WWW服务器的安全课件

1、WWW服务器安全第1页，共31页。目录引言网站安全概述操作系统的选择防火墙与杀毒软件的选用IIS的安装与设置数据库的安全服务器安全第2页，共31页。引言08年7月网络与信息安全协调小组组织某省大检查总共检测省级网站近70家90%网站存在严重安全隐患部分网站已经被挂马或被黑客控制大检查基本上使用评测工具进行远程评估工作第3页，共31页。发现问题的网站漏洞类型分布图第4页，共31页。2019年上半年网络安全报告主机数达520多万僵尸网络被篡改网站（28367）比去年同期增加4倍，比去年全年增加了近16.9%网络仿冒事件超过去年全年总数的14.6%网页恶意代码事件超过去年全年总数的12.5%被植入木

2、马主机远远超过去年全年，增幅达21倍第5页，共31页。黑客产业链 - 网上木马典型传播途径锁定网站目标如电子商务网站利用Web应用的弱点特别是各类SQL注入等Web安全漏洞, 入侵和控制Web服务器篡改网页植入恶意代码网站客户在访问网站时候被自动植入木马；在控制个人用户计算机(肉鸡)后，攻击者更多的是通过用户身份窃取（如：利用间谍软件和木马程序等）手段，偷取用户游戏账号、银行账号、密码或针对性的窃取商业信息等。第6页，共31页。黑客产业链入侵者入侵企业服务器窃取机密信息(图纸、财务报表等）出售收费传播流氓软件获取金钱拒绝服务攻击发送垃圾邮件批量入侵网站盗取银行帐号盗取信用卡帐号盗取证券交易帐号

3、盗取虚拟财产组建僵尸网络洗钱主动攻击勒索网站受雇攻击收取佣金第7页，共31页。网站安全概述网站的典型安全漏洞操作系统的安全漏洞网络系统的安全漏洞应用系统的安全漏洞系统内部的安全漏洞其他类型的安全漏洞第8页，共31页。操作系统的选择建议操作系统选用windows server 2000Windows server 2019安装操作系统后，先打补丁。系统文件格式，windows选择NTFS格式帐号的权限，密码的使用周期。删除不用的协议和禁用不用的服务，提供的服务越少,被利用的漏洞和攻击的机会就越少。组策略的设置，包括升级服务器的设置、密码的有效期、日志审核机制等等卸载不安全的组件第9页，共31页。

4、防火墙与杀毒软件的选用防火墙可以用自带的。杀毒软件一定要用服务器专用版阻止一些非法操作，系统文件被篡改第10页，共31页。IIS的安装与设置不使用默认的Web站点，如果使用也要将IIS目录与系统磁盘分开。删除IIS默认创建的Inetpub目录（在安装系统的盘上）。删除系统盘下的虚拟目录，如：_vti_bin、IISSamples、Scripts、IIShelp、IISAdmin、IIShelp、MSADC。第11页，共31页。IIS的安装与设置下面 列出一些示例的默认位置。 示例 虚拟目录 位置IIS 示例 IISSamples c :inetpubiissamplesIIS 文档 IISHe

5、lp c:winnthelpiishelp数据访问 MSADC c:program filescommon filessystemmsadc第12页，共31页。IIS的安装与设置删除不必要的IIS扩展名映射。右键单击“默认Web站点属性主目录配置”，打开应用程序窗口，去掉不必要的应用程序映射。主要为.shtml、.shtm、 .stm。更改IIS日志的路径右键单击“默认Web站点属性-网站-在启用日志记录下点击属性第13页，共31页。IIS的安装与设置禁用父路径 “父路径”选项允许在对诸如 MapPath 函数调用中使用“.”。禁用该选项的步骤如下： 右键单击该 Web 站点的根，然后从上下文

6、菜单中选择“属性”。 单击“主目录”选项卡。 单击“配置”。 单击“应用程序选项”选项卡。 取消选择“启用父路径”复选框。第14页，共31页。IIS的安装与设置设置适当的 虚拟目录的权限 确保 IIS 虚拟目录如scripts等权限设置是否最小化，删除不需要目录。 将IIS目录重新定向 更改系统默认路径，自定义WEB主目录路径并作相应的权限设置。第15页，共31页。IIS的安装与设置2.2SqlServer数据服务器防范只开放1433端口或更改默认端口Sa用强口令（若sa密码泄露，后果很严重）防火墙配置只对需要的服务器开放端口2.3 IIS里除特别需要外，不能开放目录浏览权限，不要用容易被猜测

7、的名称做为路径第16页，共31页。IIS的安装与设置第17页，共31页。数据库的安全数据库的安全性是指保护数据库，防止因用户非法使用数据库造成数据泄露、更改或破坏。数据库系统的安全保护措施是否有效是数据库系统主要的性能指标之一第18页，共31页。数据库的安全数据库的附加数据库的备份数据库的恢复第19页，共31页。数据库的安全1、使用安全的密码策略 我们把密码策略摆在所有安全配置的第一步，请注意，很多数据库帐号的密码过于简单，这跟系统密码过于简单是一个道理。对于sa更应该注意，同时不要让sa帐号的密码写于应用程序或者脚本中。健壮的密码是安全的第一步！ SQL Server2000安装的时候，如果

8、是使用混合模式，那么就需要输入sa的密码，除非你确认必须使用空密码。这比以前的版本有所改进。同时养成定期修改密码的好习惯。数据库管理员应该定期查看是否有不符合密码要求的帐号。比如使用下面的SQL语句： Use masterSelect name,Password from syslogins where password is null 第20页，共31页。数据库的安全2、使用安全的帐号策略 由于SQL Server不能更改sa用户名称，也不能删除这个超级用户，所以，我们必须对这个帐号进行最强的保护，当然，包括使用一个非常强壮的密码，最好不要在数据库应用中使用sa帐号，只有当没有其它方法登录到

9、 SQL Server 实例（例如，当其它系统管理员不可用或忘记了密码）时才使用 sa。建议数据库管理员新建立一个拥有与sa一样权限的超级用户来管理数据库。安全的帐号策略还包括不要让管理员权限的帐号泛滥。 第21页，共31页。SQL Server的认证模式有Windows身份认证和混合身份认证两种。如果数据库管理员不希望操作系统管理员来通过操作系统登陆来接触数据库的话，可以在帐号管理中把系统帐号“BUILTINAdministrators”删除。不过这样做的结果是一旦sa帐号忘记密码的话，就没有办法来恢复了。 很多主机使用数据库应用只是用来做查询、修改等简单功能的，请根据实际需要分配帐号，并赋

10、予仅仅能够满足应用要求和需要的权限。比如，只要查询功能的，那么就使用一个简单的public帐号能够select就可以了。第22页，共31页。3、加强数据库日志的记录审核数据库登录事件的“失败和成功”，在实例属性中选择“安全性”，将其中的审核级别选定为全部，这样在数据库系统和操作系统日志里面，就详细记录了所有帐号的登录事件。请定期查看SQL Server日志检查是否有可疑的登录事件发生。 C:Microsoft SQL ServerMSSQLLOG*.* 第23页，共31页。服务器安全不要用弱密码密码定期更换最小化授权账号级别的最小化账号权限的最小化应用程序权限的最小化第24页，共31页。（1）

11、SQL Server安装在NTFS分区上；（2）为数据库访问建立替代帐号，并为替代帐号设置数据库访问角色，不要用sa帐号。（3）安装数据库系统的最新服务包（对SQL server 2000应安装Service Pack 4）。（4）将数据库系统设置成禁用其他SQL SERVER通过RPC远程连接；（5）选择低权限本地账户，启动SQL Server服务；（6）停止 Distributed Transaction Coordinator (MSDTC) 服务，并将其设置为手动启动。（7）禁止数据库服务器运行 COM+ 应用程序；第25页，共31页。（8）限制所支持的身份验证协议的级别（在控制面板|

12、管理工具|本地安全设置|安全设置|本地策略|安全选项: LAN Manager身份验证级别中进行设置）；（9）禁用应用程序不需要的 SQL Server 代理和 Microsoft 搜索服务； （10） 设置Server Network的网络属性,由“直接客户端广播”改为“隐藏 SQL Server”； （11）如应用程序不使用“命名管道”协议，则删除之； （12）限制数据库用户只具有用得到的数据库操作权限。（13）xp_cmdshell是扩展存储过程，可以执行操作系统级命令，该存储过程的功能通过SQL SERVER安装目录中的文件C:Program FilesMicrosoft SQL Se

13、rverMSSQLBinnxplog70.dll获得，如果系统没有用到xp_cmdshell扩展存储过程，请将该文件换名或删除掉。第26页，共31页。开发Web站点程序应考虑的安全性问题（1）对Web应用系统应建立基于角色的用户权限管理机制；（2）使用参数化存储过程。（3）输入有效性验证。（4）尽量少用session和Application变量，切忌不要通过session用来在页面间传递大数据量。（5）信息加密存储。第27页，共31页。（6）窗体身份验证。窗体身份验证即是当用户请求一个安全页面时，系统要对其进行判断，如果该用户已经登录系统并尚未超时，系统将返回此页面给请求用户；反之如该用户尚未登录，系统就要将此用户重定向到登录页面。第28页，共31页。（7）通过在用户登录窗口中设置输入验证码的方法，可以防止非法用户以程序自动处理方式推测用户登录账户和密码，从而提高系统的安全性。 (8)在用户登录输入密码的时