網(wǎng)絡(luò)服務(wù)器防范被黑安全經(jīng)驗(yàn)談

1、對數(shù)據(jù)庫進(jìn)行安全配置， 例如你的程序連接數(shù)據(jù)庫所使用的帳戶/口令/權(quán)限， 如果是瀏覽新聞的， 用只讀權(quán)限即可可以對不同的模塊使用不同的帳戶/權(quán)限；另外， 數(shù)據(jù)庫的哪些存儲過程可以調(diào)用， 也要進(jìn)行嚴(yán)格地配置， 用不到的全部禁用(特別是cmd這種)， 防止注入后利用數(shù)據(jù)庫的存儲過程進(jìn)行系統(tǒng)調(diào)用；

2、在獲取客戶端提交的參數(shù)時， 進(jìn)行嚴(yán)格的過濾， 包括參數(shù)長短、參數(shù)類型等等；

3、對管理員后臺進(jìn)行嚴(yán)格的保護(hù)， 有條件的話， 應(yīng)該設(shè)置為只允許特定的IP訪問(例如只允許管理員網(wǎng)段訪問)――這個要根據(jù)實(shí)際情況來看的；

4、對操作系統(tǒng)進(jìn)行安全配置， 防止注入后調(diào)用系統(tǒng)的功能， 例如把　cmd.exe/tftp.exe/ftp.exe/net.exe 這些文件全部轉(zhuǎn)移到其他目錄， 并對目錄進(jìn)行嚴(yán)格的權(quán)限指派；

5、設(shè)置網(wǎng)絡(luò)訪問控制；

6、有條件的話， 配置針對HTTP的內(nèi)容過濾， 過濾病毒、惡意腳本等；

7、如果有必要， 可以考慮選擇HTTPS， 這樣可以防止很多的注入工具掃描， 我以前自己開發(fā)注入檢測工具的時候， 考慮過做支持HTTPS方式的， 但目前還沒付諸實(shí)施。 相信你也看出來了， 總的來說程序方面主要考慮權(quán)限、參數(shù)過濾等問題；權(quán)限主要包括IIS瀏覽權(quán)限、數(shù)據(jù)庫調(diào)用權(quán)限。 除此以外， 還要考慮數(shù)據(jù)庫、操作系統(tǒng)的安全配置。

另外， 不知道你們在開發(fā)過程中會不會用到其他人開發(fā)的組件， 例如圖片上傳之類的， 這類組件你們研究過其安全性么?或者開發(fā)的過程中， 絕大多數(shù)人會使用網(wǎng)上、書上提供的現(xiàn)成代碼， 例如用戶登錄驗(yàn)證等等， 這些公開代碼， 也要研究其安全性問題。