网站安全概述

第6章网站安全

6.1网站安全概述

程中，要始终考虑到系统以及网络的安全问题。从理论上讲，目前还没有办法做出一个绝对 在一个开放式的网络结构上，没有人敢保证网站系统是绝对安全的，所以在网站架设过

受的程度，除此之外还要改进系看在的管理同题，据调查，有め%以上的系交全 安全的系统，只能根据所要保护对象的价值和时效性，尽量提高网站系统的安全达到一个可

问题出于天灾人祸和内部管理不当所至，只有不到209%的安全问题是来自外来的入侵。

6.1.1网站的五种主要安全问题

侵犯了人家的隐私 。「1)末经授权的存取动作。用户未经授权就使用系统资源，虽然未对系统造成破坏，但

客户的资料，尤其是银行系统客户的信用卡账号等，这种行为给用户造成非常大的经济损失 。(2)窃取系统的信息。入侵者进入系统后，窃取系统的机密文件，如系统的账号密码

(3)破坏系统。入侵者进入系统后，破坏系统的重要数据、或系统运行的重要文件，导

致网站系统无法正常运行 4)非法使用。入侵者利用系统从事不法用途，例如利用系统的FTP服务器存放及散

布非法软件等。

(5)病毒破坏。由于不小心执行病毒程序，导致系统数据被破坏，或是系统的数据被窃走。

6.1.2网站的典型安全漏洞

1.操作系统类安全漏河

包括非法文件访问，远程获得root权限，系统后门( Backdoors)，NS漏洞， Finger(查

询服务)漏洞，RPC漏洞等方式。

2.网络系统的安全漏河

(1)路由器出现错误的路由配置、默认的路由配置都可导致黑客的攻击

(2)某些交换机有后门ロ令或允许未授权的用户通过某种手段绕过认证系统

对数据包进行分析。(3)防火培防外不防内。只能防一个ロ，不能防范来自网站内部的安全威胁并且不

(4)Web服务器是一个非常容易利用的黑客工具。

应用系统的安全漏洞

Internet使用的TCPP协议以及 Mail Server， WWW Server， FTP Server，DNS

132

在许多洞河。

4.网安全防护系统不健全

5.其他安全河 少安全监控。网管人员的技术水平有待提高。网络安全意识不足，缺少信息系统安全管理的规范，缺少定期的安全测试与检查，更缺

包括薄弱的认证环节，复杂的设置和控制(很难配置或验证其正确性)、易被监视和易

awa/ Active X控件进行有效的控制。骗等漏洞。不能对来自 Internet的电子邮件所携带的病毒和Web浏览可能存在的恶意

6，2Web站点的安全技术

6 2.1 Windows NT的安全体系结构

节提供支持，这三个纸要的环节是:登录安全系统，资源访间权限控制系统，安全市计控制 从网络信息资源的安全考虑， Windows NT网络资源的安全大体上由三个相对独立的环

系统。它们之间相互补充又相互制的，共同保证网络资源安全，并使网络不被非法使用或遭

1.登录安全系统

登录安全，指通过对某些条件的设置，控制各用户能否入网的一系列安全措施和方法。

登录安全是确保 Windows NT网络系统安全最为直接的手段，它是 Windows NT I网络安全系

统的第一道屏障。 Windows NT网络登录安全措施除了最基本的用户账号(或用户名)和密 码入网检测外，还包括:可由系统管理员对任一用户进行入网时间限制、入网地点限制、非

法者锁定以及关闭账号等，下面分别加以介绍

(1)用户账号检测:用户账号是由系统管理员为用户设置的，任何网络用户想进入

Windows NT网络享用网络资源和网络服务，必须使用合法的用户账号登录 Windows NT域。

如果所使用的用户账号在域用户管理器中根本不存在，入网要求将被拒绝

(2)密码检测:密码，又称口令，它是用户登录的可选项。如果系统管理员或用户设置

了入网密码，那么在每次入网时必须向网络输入正确的密码，只有键入了拼写完全正确的密

码，才能进入网络。否则，用户入网要求将被拒绝

Windows NT密码有以下几个特点

① Windows NT密码是以加密的形式存储在服务器中、并以加密的形式在网络上传

②密码在输入时，除了拼写必须正确外， Windows NT是区分大小写字母的。③系统管理员可以限制任一密码的最小长度，还可以对用户允许输入错误密码的次数

加以限制，即如果用户在入网时连续输入错误密码次数超过了该限制，系统就认为是非法用

户在猜测入网密码，便立即自动封锁用户的账号，网站制作

拒绝其入网 ④如果某一用户忘记了自己的密码，便无法以用户名入网。这时必须由系统管理员