web安全之攻防战争

《web安全之攻防战争》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、Web安全之攻防战争～教育资源库　　当前，来自L)为客户端节点提供服务。　　所预期的40亿美元的规模。与此对应的是，根据Gartner在第二季度公布的统计数字，全球Web安全产品的使用程度相当低，仅有10%的企业部署了专门的Web安全网关。　　对此万卿的看法是，传统上企业为了保障信息系统安全，通常会使用不同的技术，主要包括：访问控制技术、防病毒技术、加密技术等等。但是即便有防病毒保护、防火墙和VPN，企业仍然不得不允许一部分的通信经过防火墙。毕竟Web服务的目的是为用户提供服务，保护措施可以关闭不必要暴露的端口，但是Web应用必须的

2、80和443端口是一定要开放的。可以顺利通过的这部分通信，可能是善意的，也可能是恶意的，很难辨别。　　须要指出的是，Web应用是由软件构成的，那么它一定会包含缺陷(Bug)，这些Bug就可以被恶意的用户利用，他们通过执行各种恶意的操作，或者偷窃、或者操控、或者破坏Web应用数据、甚至利用Web系统作为攻击跳板，破坏企业的整个信息系统。　　Web业务平台的不安全性主要是由Web平台的特点，即开放性所致，企业需要利用Web业务平台为用户提供服务就必须接受这个特点。对此孙大军的看法是，只要访问可以顺利通过企业的防火墙，Web业务就可以毫无

3、保留地呈现在用户面前。因此，只有加强Web业务服务器自身的安全，才是真正的Web服务安全解决之道。　　另外，徐学龙表示，全球爆发大规模疫情的时代已经宣告结束，今后Web威胁的数量将持续成长，并且越来越显现出逐利性，以窃取企业、个人用户的私密信息牟利为目的。新一代的Web威胁具备混合型、定向攻击和区域性爆发等特点，员工对互联网的依赖性使得公司网络比以往更加容易受到攻击。正因为如此，普通的浏览网页都变成了一件带有极大安全风险的事情。Web威胁可以在用户完全没有察觉的情况下进入网络，从而对公司数据资产、行业信誉和关键业务构成极大威胁。　　

4、由于Web威胁的发展越来越表现逐利性，而攻击的越是大型企业，黑客们所能够获得的收益也就越大。因此，越是大型的企业，他们遭遇Web威胁的程度也就越严重，很多知名的大型企业往往成为黑客零日攻击和目标定点攻击的主要威胁目标。由于采用定向攻击的手法，这些病毒并不会大规模传播，普通病毒数据库也很难收集到它们的病毒样本。因此，这些定向攻击的病毒也就很难被防病毒软件侦测并查杀。　　只有依靠提供量身定做的客制化病毒码，才能走在新病毒的123下一页友情提醒：，特别！前面，快速有效地进行病毒查杀，将未知威胁带来的危害降至最小。像趋势科技推出的针对未知威

5、胁的主动式服务TMHD，可为企业量身打造客制化病毒码，满足不同企业的差异化网络安全需求。　　新技术威胁　　根据世界上权威的Web安全与数据库安全研究组织OWASP提供的报告，目前对Web业务系统威胁最严重的两种攻击方式是SQL注入攻击和跨站脚本攻击。　　SQL注入攻击　　SQL注入的攻击原理是利用程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，导致入侵者可以通过恶意SQL命令的执行，获得数据读取和修改的权限。攻击者成功进行SQL注入后，会拥有整个系统的最高权限，可以修改页面、数据，在网页中添加恶意代码，危害极大。　　SQ

6、L注入攻击的变种极多，有经验的攻击者会手动调整攻击参数，致使攻击数据的变种不胜枚举，这导致传统的特征匹配检测方法仅能识别相当少的攻击。　　另外，此类攻击的实现过程非常简单。目前互联网上流行众多的SQL注入攻击工具，攻击者借助这些工具可很快对目标Web系统实施攻击和破坏。　　令人担忧的是，由于Web编程语言自身的缺陷，以及具有安全编程能力的开发人员少之又少，大多数Web业务系统均具有被SQL注入攻击的可能。而攻击者一旦注入成功，可以控制整个Web业务系统，包括对数据做任意的修改。　　跨站脚本(XSS)攻击　　不同于SQL注入以Web服

7、务器为目标的攻击方式，跨站脚本攻击则是将目标指向了Web业务系统所提供服务的客户端。　　跨站脚本攻击是通过在网页中加入恶意代码，当访问者浏览网页时，恶意代码会被执行或者以通过给管理员发信息的方式诱使管理员浏览，从而获得管理员权限，控制整个网站。攻击者利用跨站请求伪造能够轻松地强迫用户的浏览器发出非故意的HTTP请求，如诈骗性的电汇请求、修改口令和下载非法的内容等请求。　　根据以往跨站脚本攻击的安全事件及产生的后果来看，跨站脚本攻击可导致的后果非常严重，影响面也十分之广，主要包括了：　　第一，盗取各类用户账号，如机器登录账号、用户网银

8、账号、各类管理员账号等。　　第二，控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力。　　第三，盗窃企业重要的具有商业价值的资料。　　第四，非法转账。　　第五，强制发送电子邮件。　　第六，网站挂马。　　第七，控制受害者机器向其