站長(zhǎng)百科訪談：網(wǎng)站安全防護(hù)探討揭秘

2013-06-27 15:32 來(lái)源：站長(zhǎng)百科我來(lái)投稿撤稿糾錯(cuò)

　域名預(yù)訂/競(jìng)價(jià)，好“米”不錯(cuò)過(guò)

站長(zhǎng)百科：

大家下午好，歡迎參加本期站長(zhǎng)百科訪談。

網(wǎng)站安全問(wèn)題是每個(gè)站長(zhǎng)都或多或少遇到過(guò)的，也許有很多人的網(wǎng)站都曾經(jīng)被掛馬之類的安全問(wèn)題困擾。本期站長(zhǎng)百科訪談，邀請(qǐng)了湖盟云防火墻安全工程吳輝，就個(gè)人網(wǎng)站的安全問(wèn)題進(jìn)行探討揭秘。

下面有請(qǐng)本期訪談嘉賓與大家打聲招呼，并簡(jiǎn)單自我介紹下。

吳輝：

大家好，我是吳輝，湖北黃岡人,現(xiàn)居深圳,國(guó)內(nèi)一線安全白帽子聚集區(qū)——烏云技術(shù)社區(qū)一員。2007年起專攻互聯(lián)網(wǎng)網(wǎng)絡(luò)安全，以viekstID混跡于國(guó)內(nèi)各個(gè)相關(guān)的論壇。在校期間曾對(duì)學(xué)校主站，內(nèi)部網(wǎng)絡(luò)，當(dāng)?shù)亻T戶等做滲透測(cè)試，均取得成功。個(gè)人擅長(zhǎng)代碼審計(jì)和web滲透測(cè)試。近期在湖盟云防火墻做為安全工程師，負(fù)責(zé)針對(duì)WEB的規(guī)則補(bǔ)強(qiáng)，以及注入滲透等測(cè)試工作。

站長(zhǎng)百科：

可以看得出來(lái)，嘉賓的網(wǎng)站安全方面的實(shí)戰(zhàn)經(jīng)驗(yàn)很豐富。

下面開(kāi)始本期訪談的第一個(gè)問(wèn)題

什么是網(wǎng)站安全?嘉賓能簡(jiǎn)單給我們介紹下網(wǎng)站安全的概念嗎?

吳輝：

網(wǎng)站安全是指出于防止網(wǎng)站受到外來(lái)電腦入侵者對(duì)其網(wǎng)站進(jìn)行掛馬，篡改網(wǎng)頁(yè)等行為而做出一系列的防御工作。由于一個(gè)網(wǎng)站設(shè)計(jì)者更多地考慮滿足用戶應(yīng)用，如何實(shí)現(xiàn)業(yè)務(wù)。很少考慮網(wǎng)站應(yīng)用開(kāi)發(fā)過(guò)程中所存在的漏洞，這些漏洞在不關(guān)注安全代碼設(shè)計(jì)的人員眼里幾乎不可見(jiàn)，大多數(shù)網(wǎng)站設(shè)計(jì)開(kāi)發(fā)者、網(wǎng)站維護(hù)人員對(duì)網(wǎng)站攻防技術(shù)的了解甚少;在正常使用過(guò)程中，即便存在安全漏洞，正常的使用者并不會(huì)察覺(jué)。

站長(zhǎng)百科：

那么對(duì)于個(gè)人網(wǎng)站來(lái)說(shuō)，利用這些漏洞的常見(jiàn)網(wǎng)站攻擊手段又有哪些呢?

吳輝：

對(duì)于這些覺(jué)的攻擊有：SQL注入，跨站，文件包含，遠(yuǎn)程代碼執(zhí)行

這些漏洞都是由于程序的設(shè)計(jì)缺陷或者某些參數(shù)沒(méi)有過(guò)濾，成功利用這些漏洞可以獲取管理員權(quán)限

站長(zhǎng)百科：

很多站長(zhǎng)會(huì)經(jīng)常被網(wǎng)站上出現(xiàn)的黑鏈所困擾，對(duì)于黑鏈我們?cè)撛趺捶婪赌?

吳輝：

一般黑客會(huì)在網(wǎng)站的首頁(yè)或者內(nèi)容頁(yè)掛上一段代碼，讓搜索引擎認(rèn)為網(wǎng)站導(dǎo)出了一個(gè)鏈接，而且這段代碼是非常隱蔽的，在我們平時(shí)簡(jiǎn)單的網(wǎng)站維護(hù)中是看不到的，此時(shí)就可以通過(guò)IE的查看菜單，找到源文件，并且通過(guò)Ctrl+F進(jìn)行查找，比如。

“ < a href="" target="_blank" > 百度 < /a > ”內(nèi)容頁(yè)也是如此。如果查找到以后。可以通過(guò)Ftp下載Index.php等文件進(jìn)行刪除，上傳并覆蓋。這樣就基本上解決了被掛黑鏈的問(wèn)題，當(dāng)然解決問(wèn)題之后，就一定要通過(guò)密碼的設(shè)置加強(qiáng)對(duì)網(wǎng)站的安全的防護(hù)，從而保證今后的網(wǎng)站安全性能!

站長(zhǎng)百科：

對(duì)于個(gè)人網(wǎng)站來(lái)說(shuō)，掛馬可能是經(jīng)常遇到和頭疼的一件事情。

那么我們?cè)撊绾畏婪稈祚R這類的安全問(wèn)題呢?

吳輝：

通常木馬都是在html頁(yè)面中加入了一句Iframe代碼，而這段代碼很容易通過(guò)js腳本下載到客戶機(jī)上面，從而讓別人的電腦感染木馬病毒，我們可以在首頁(yè)和內(nèi)容頁(yè)中查詢iframe開(kāi)頭的段落，然后再利用工具進(jìn)行排查，同時(shí)包括數(shù)據(jù)庫(kù)，后臺(tái)以及服務(wù)器等!網(wǎng)站受到攻擊之后，很多情況下是能夠發(fā)現(xiàn)的，你還可以檢測(cè)下網(wǎng)站服務(wù)器日志來(lái)查獲這些信息，一旦發(fā)現(xiàn)異常立即處理。

站長(zhǎng)百科：

在網(wǎng)站的服務(wù)器安全問(wèn)題上，我們會(huì)經(jīng)常提到webshell問(wèn)題。

那么我們?cè)撊绾巫霾拍苡行ьA(yù)防webshell問(wèn)題呢?

吳輝：

其實(shí)webshell的獲得不僅僅能夠通過(guò)破解服務(wù)器后門獲得，我們通過(guò)上傳漏洞，或者寫配置文件也可獲得，所以對(duì)于相關(guān)的cms建站程序，要及時(shí)的進(jìn)行修復(fù)升級(jí)，將這些漏洞打上補(bǔ)丁避免被黑客利用，另外平時(shí)多學(xué)習(xí)服務(wù)器及網(wǎng)站的安全防范知識(shí)，從多種途徑解決網(wǎng)站漏洞的問(wèn)題!

站長(zhǎng)百科：

那么關(guān)于服務(wù)器的安全問(wèn)題，我們要考慮哪些方面的因素，才能達(dá)到較高地安全性呢?

吳輝：

有些空間商為了節(jié)約成本，沒(méi)有安裝質(zhì)量高的殺毒軟件，從而讓服務(wù)器出現(xiàn)了很多的后門，這些后門往往就被一些黑客添加了很多新的管理賬戶，然后就被黑客拿走了 webshell，雖然現(xiàn)在市場(chǎng)上的webshell比較的廉價(jià)，但是黑客可以黑空間商從而進(jìn)行批量的出售

為了防止服務(wù)器后門被攻擊，我們可以通過(guò)一直按數(shù)次的shift鍵然后就提示你可以進(jìn)入后臺(tái)了，此時(shí)就可以定期的檢查后臺(tái)是否有不明身份的賬戶存在，如果有的話就要立即刪除，同時(shí)在仔細(xì)檢查服務(wù)器里面的管理組用戶，看看有沒(méi)有什么不明的用戶，當(dāng)然適當(dāng)?shù)膫浞菔欠浅Ｓ斜匾?

站長(zhǎng)百科：

對(duì)于網(wǎng)站的安全防護(hù)，我們有哪些方面需要注意的?

吳輝：

(1)網(wǎng)站上線后應(yīng)及時(shí)修改網(wǎng)站后臺(tái)管理路徑

(2)設(shè)置不常見(jiàn)的賬號(hào)和復(fù)雜的密碼

(3)定時(shí)定期的備份后臺(tái)的數(shù)據(jù)并且及時(shí)備份到個(gè)人主機(jī)上，

(4)定期到論壇觀察最新咨詢和漏洞

(5)一旦出現(xiàn)問(wèn)題，及時(shí)恢復(fù)備份的數(shù)據(jù)

站長(zhǎng)百科：

那么對(duì)于站長(zhǎng)來(lái)說(shuō)，該怎么做才能真正保障自己的網(wǎng)站不被入侵呢?

吳輝：

要保護(hù)我們的網(wǎng)站不被黑客攻擊，我們應(yīng)該從空間，建站程序，以及站長(zhǎng)的安全意識(shí)三個(gè)方面加強(qiáng)，任何一個(gè)小的問(wèn)題都有可能導(dǎo)致黑客入侵，只有這三個(gè)方面同時(shí)進(jìn)行防護(hù)，才能有效避免黑客攻擊。

站長(zhǎng)百科：

上面提到了建站程序的安全問(wèn)題

那么如何從網(wǎng)站安全的角度來(lái)選擇一個(gè)建站程序?有沒(méi)有一些測(cè)試手段來(lái)測(cè)試網(wǎng)站程序是否安全?

吳輝：

選擇一個(gè)安全建站程序很重要，這也直接決定了后面的數(shù)據(jù)以及網(wǎng)站的安全。當(dāng)然這些建站系統(tǒng)也不可能做到絕對(duì)的安全，他們或多或少都存在一些漏洞，我們要做的就是在這個(gè)基礎(chǔ)上進(jìn)行完善。

想檢測(cè)自己網(wǎng)站是否安全，你可以在網(wǎng)上下一些Web安全漏洞掃描器，這里給大家介紹一個(gè)JSky，他可以檢測(cè)出SQL注入、跨站腳本、目錄泄露、網(wǎng)頁(yè)木馬等在內(nèi)的所有的WEB應(yīng)用層漏洞，也是黑客經(jīng)常使用的一個(gè)工具。

站長(zhǎng)百科：

下面是本期訪談的最后一個(gè)問(wèn)題

請(qǐng)嘉賓從網(wǎng)站安全的角度對(duì)個(gè)人網(wǎng)站提出一些建議。

吳輝：

(1)仔細(xì)查看安裝說(shuō)明，按官方的說(shuō)明做好基礎(chǔ)的安全設(shè)置。

(2)經(jīng)常訪問(wèn)相關(guān)官方網(wǎng)站，關(guān)注程序安全漏洞和更新版本，及時(shí)給自己程序升級(jí)或打上補(bǔ)丁。

(3)盡量不采用修改版和插件版的程序，因?yàn)樾薷暮蟮某绦驎?huì)使漏洞更多，而且補(bǔ)丁也不一定完全適用。

(4)設(shè)置相對(duì)復(fù)雜的FTP密碼和網(wǎng)站管理密碼并經(jīng)常修改，同時(shí)考慮修改網(wǎng)站后臺(tái)管理的文件名稱。

(5)經(jīng)常檢查網(wǎng)站內(nèi)部文件，發(fā)現(xiàn)可疑文件后及時(shí)處理，并分析可能的原因。

(6)對(duì)于SQL數(shù)據(jù)庫(kù)，您可以用企業(yè)管理器連接，然后把重要數(shù)據(jù)表設(shè)置為只讀權(quán)限，可以防止任何方式添加管理員。

(7)二次開(kāi)發(fā)時(shí)切記做好對(duì)特殊符號(hào)的過(guò)慮，防止注入漏洞。

(8)經(jīng)常備份自己的網(wǎng)站數(shù)據(jù)，因?yàn)榫W(wǎng)站安全的第一要求就是備份，防止被黑以后數(shù)據(jù)丟失。