网站安全问题及安全管理措施分析与研究

郭优

摘要：网站作为信息的重要传输载体，一旦遭受攻击，既严重损害了广大网络用户的利益和隐私，又阻碍了网络应用的发展。研究网站安全问题的目的是为了更好地保护用户信息安全和网络安全。该文首先介绍了我国网站安全的现状，然后分析了网站被攻击的方式和危害性，最后针对各种攻击和危害提出了网站安全防范的具体措施。

关键词：网站安全；攻击方式；措施

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2015）14-0025-02

近年来随着互联网的高速发展，人们对于网络的依赖程度也愈加强烈。购物，网上支付，在线聊天等已经成为生活必备，政府及企业也搭建了门户网站和重要系统。然而，给人们带来极大方便的同时，网络安全问题也变得日益严峻。2014年3月携程支付日志出现漏洞，几千万数据泄露。2014年12月12306火车订票网站因被黑客撞库导致13万用户信息泄露。在互联网及大数据的今天，一旦网站存在安全漏洞，泄露信息少则几万多则上亿，数量惊人。与此同时，中央也更加重视网络信息安全，2014年3月，以习近平主席为组长的国家网络安全和信息化小组宣告成立，同年11月在世界互联网大会上习近平主席在贺词中至少三次提及网络安全。网站安全作为网络安全最重要的一部分，安全问题急需得到解决。

1 网站安全现状分析

随着计算机网络技术的迅猛发展和web站点的迅速增长，信息的交互和共享已经突破了国界，普及到了整个世界。与此同时，网站安全问题也愈来愈严重，并且为攻击者提供了更多攻击的机会，危害范围也越来越大，web站点安全越来越没有保障。目前，网站面临着如下的安全问题。

1）政府、学校、企业门户网站因为长期缺乏专业安全维护人员导致厂商发布的补丁不能及时更新，从而被攻击者利用。

2）由于网站开发人员缺乏专业的安全培训，导致所开发网站存在一系列的安全隐患。

3）网络中存在着大量的免费而又操作简单的攻击工具，使用这些工具并不需要很高的技术水平，也可以使网站受到巨大的打击。

4）随着攻击技术广泛普及，使得高水平攻击者越来越多，导致网站系统面临的压力越来越大。

5）攻击者通过各种攻击手段闯入网站系统、篡改网站内容、窃取用户隐私、非法贩卖个人信息从而获得非法收入。

2 网站被攻击方式及危害分析

网站被攻击的方式有SQL注入攻击、xss跨站脚本攻击、文件上传漏洞攻击以及流量攻击等等。现将这几种攻击做以详细分析。

2.1 SQL注入攻击

SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站信息，是发生在应用程序的数据库层面上的安全漏洞。在设计程序时，忽略了对输入字符串中夹带的SQL指令的检查，查询语句直接被带进数据库中，并且被数据库误认为是正常的SQL指令而运行，从而攻击者就可以使用对数据库有害的查询语句攻击数据库，进行增加、更改、删除等恶意操作以及造成信息泄漏。

1）get型注入

一般来说，get型sql注入存在于形如http：//xxx.xxx.xxx/abc.php？id=xx 等带有参数的动态网页中。由于程序员未做必要的过滤，导致id后所带的参数直接进入数据库中查询，攻击者就可以得到网站数据库中的信息。但是由于目前大多数网站都写入了过滤程序，所以这类注入攻击已经越来越少，但的确存在。

2）post型sql注入

这种攻击方式相对于get型sql注入来说更加隐蔽，容易被忽略。大多数网站后台登录框一般都是以post方式来传递数据，而一旦未过滤，将很容易让攻击者得到管理员账号密码，越权访问，导致攻击者非法进入网站后台管理系统的危险。像这类攻击方式，一些大型网站以及国家管理系统仍存在此类问题。

3）cookie型sql注入

cookie型注入是一种更高级的注入方式。在asp中request对象获取客户端提交数据常用get和post两种方式。而如果程序员没有规定提交数据通过何种方式传递的话，通过cookies也是可以获取客户端提交的数据，并且如果没有对使用request.cookie（“参数名称”）方式提交的数据过滤时，cookie注入就产生了。这种方式一般是在前两种方式因为网站存在防御措施而失效后所采取的另一种攻击方式。

SQL注入攻击对网站的危害包括四个方面。一是网站数据库遭受攻击。数据库作为网站数据的存储中心，放置着所有用户信息等重要数据，通过SQL注入可以把数据库中所存放的信息窃取，导致隐私信息落入攻击者手中，攻击者从而贩卖信息获得非法利益。二是获得网站管理权限。数据库中存储着网站管理员的账户信息，一旦攻击者获得管理员账户信息，攻击者将可以非法进入网站后台篡改数据，并且可以对特定网页进行篡改。三是网站被安装后门程序。攻击者入侵网站后通常会留下后门程序，用来控制网站服务器，控制操作系统。四是直接破坏硬盘中的数据，导致系统遭到破坏。

2.2 xss跨站脚本攻击

1）反射型xss攻击

只有用户点击攻击者所构造的恶意脚本的url后，可触发其攻击命令。这种攻击影响范围较小，但危害也不容小视。

2）存储型xss攻击

该类型是应用最广泛而且可能影响到web服务器自身安全的漏洞。黑客将攻击脚本上传到web服务器上，将使得所有访问该网页的用户都造成攻击，其中也包括网站管理员。例如网站留言板，一旦攻击者向留言板中插入攻击脚本，只要是访问该留言板的用户都会遭到攻击。当管理员在后台审核留言时，管理员也将遭到攻击。

xss跨站脚本攻击的危害包括七个方面。一是钓鱼欺骗。最典型的就是利用目标网站的反射型跨站脚本漏洞将目标网站重定向到钓鱼网站，或者注入钓鱼JavaScript以监控目标网站的表单输入，甚至发起基于DHTML更高级的钓鱼攻击方式。二是网站挂马。跨站时利用IFrame嵌入隐藏的恶意网站或者将被攻击者定向到恶意网站上，或者弹出恶意网站窗口等方式都可以进行挂马攻击。三是身份盗用。cookie是用户对于特定网站的身份验证标志，xss可以盗取到用户的cookie，从而利用该cookie盗取用户对该网站的操作权限。如果一个网站管理员用户cookie被窃取，将会对网站引发巨大的危害。四是盗取网站用户信息。当能够窃取到用户cookie，从而获取到用户身份，这样就使攻击者可以获取到用户对网站的操作权限，从而查看用户隐私信息。五是垃圾信息发送。利用xss漏洞借用被攻击者的身份发送大量的垃圾信息给特定的目标群。六是劫持用户Web行为。一些高级的xss攻击甚至可以劫持用户的Web行为，监视用户的浏览历史，以及用户发送与接收的数据等等。七是XSS蠕虫。xss 蠕虫可以用来打广告、刷流量、挂马、恶作剧、破坏网上数据、实施DDos攻击等。

2.3 文件上传漏洞攻击

文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严格，导致用户可以上传任意格式的文件。如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，并能够将这些文件进行解释，就可以在远程服务器上执行任意脚本。攻击者也可通过 Web 访问的目录上传后门文件，从而远程控制网站服务器。

2.4 流量攻击

流量攻击是指攻击者通过制造大量无效的或伪造的访问请求，使网站无法接受正常用户请求，使服务器过载，甚至使服务器瘫痪的一种网络攻击方式。目前，流量攻击可分为CC攻击和DDOS攻击两种。流量攻击不论网站大小都会受到不同程度的损失，对于小网站来说这样的打击将是致命的。这种攻击方式目前并没有十分有效的防御方式。一旦攻击者以十分大的访问量攻击服务器，网站服务器将没有能力去承载压力，导致服务器崩溃。

3 网站安全管理措施分析

针对不同的攻击和危害，应采取不同的网站安全管理措施。

3.1 针对SQL注入攻击的防范措施

1）在编写网站程序时，所有的数据库查询语句都需要使用数据库所提供的参数化查询接口，一旦有遗漏，就相当于给攻击者打开了一扇攻进数据库的门。这样操作不但可以避免SQL注入，还能提高查询的性能。

2）对于一些例如”select”，”and”，”union”，以及特殊字符（"<>&*"）等进行转义处理或者进行阻止。

3）限制输入的数据长度，这样攻击者在输入较长的攻击语句时将无法正确执行。

4）对数据库中的核心数据例如用户账号等个人隐私信息等进行严格加密，用户信息即使 被窃取，数据库中的真实信息也不会流入攻击者手中。

5）严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其使用的操作权限，减少注入攻击对数据库的危害。

6）尽量避免网站系统报错的信息，攻击者可以利用网站反馈的报错信息来进行一些判断，并且暴露服务器以及数据库的相关信息。

7）网站维护人员可以使用一些SQL注入自动化检测工具，对网站一些忽略的注入点进行修复。

3.2 常用的防止xss漏洞的方法

1）xss同样也是在用户输入处存在的漏洞，所以与SQL注入类似的必须要对用户输入部分进行过滤，例如对“script”、 “<”、“>”等特殊字符进行严格过滤。

2）对能够存储到服务器端的数据进行严格控制。

3）使用检测xss的自动化工具进行测试，发现立即处理。

3.3 针对文件上传漏洞攻击的防范方法

在网站开发过程中，开发者要严格限制上传文件的类型，严格控制上传文件的后缀名，对危险文件进行过滤。

3.4 流量攻击的预防措施

购置高性能的服务器和加大网络带宽。对于这种攻击方式来说，完全防范基本上是不可能的，只能提升服务器的承载能力，让攻击难度加大，攻击成本增加。

4 网站安全管理策略

1）从主动式扫描向被动式扫描转变。传统的网站安全检测方法主要采用的是主动式扫描：即网站站长授权网站安全检测服务商，利用蜘蛛爬虫技术，对网站页面进行定期的主动扫描和安全检测。不过，这种检测方法有一些难以克服的弊端。

而被动式扫描是根据网站用户的实际访问请求来进行页面的安全性检测，这就有效地克服了主动式扫描无法检测孤岛页面的局限性，从而使安全检测的扫描覆盖更全面、更彻底。此外，由于被动式扫描只扫描那些用户访问的页面，而没有去扫描那些“无人问津”页面，这在一定程度上提高了网站安全检测的效率。

2）使用防火墙并增设网络入侵检测系统。防火墙可以过滤不安全的服务和非法用户，禁止未授权的用户访问受保护的网络，并且控制对特殊站点的访问。入侵检测系统又称IDS，可以对异常行为模式进行统计分析，发现入侵行为规律。二者的共同作用可以有效抵御多数网站安全问题。

3）定期对网站数据库信息进行备份管理，特别是核心关键数据要更加重视，保障用户的信息安全。

4）在网站程序对外发布之前，首先对整个程序进行网站安全性能分析，把风险系数降低到最低。

5）建立网站安全应急部门。对于大中型企业应该常设网站安全应急部门，设立网络安全工程师，对突发的安全问题做出及时的处理，防止问题进一步扩大。做到及时发现，及时处理，及时通报。对厂商发布的补丁进行及时更新，对第三方上报的漏洞进行及时处理。

5 结束语

本文通过介绍我国网站安全的现状，分析了网站被攻击的常见方式以及由此造成的危害，最后针对这些攻击提出了保证网站安全的具体防范措施。“没有网络安全就没有国家安全”。网站安全是一个长期而又艰巨的任务，会不断出现新的问题，这就需要专业人员不断地研究和探索，在危害到来之前就将其解决。相信在未来新的技术将会更好地解决一系列的安全问题。

参考文献：

[1] 国家计算机网络应急技术处理协调中心.2013年中国互联网网络安全报告[M].北京：人民邮电出版社，2014.

[2] 赵彬.黑客攻防：Web 安全实战详解[M].北京：中国铁道出版社，2014.

[3] 奇虎360公司2014年网站安全报告，2014.

[4] 魏为民，袁仲雄.网络攻击与防御技术的研究与实践 [J].信息网络安全，2012（12）.

[5] 沈寿忠.基于网络爬虫的SQL注入与XSS漏洞挖掘[J].西安电子科技大学，2009（8）.