第七章 WWW安全性

第七章 WWW 安全性

7.1 HTTP协议及W W W 服务7.2 W W W 服务器的安全性7.3 W eb欺骗7.4 W W W 客户安全性7.5 增强W W W 的安全性

第七章 WWW安全性

本章学习目标本章本章主要介绍了 WWW 的有关安全问题。通过本章学习，读者应该掌握以下内容：Web 与 HTTP 协议， HTTP 数据包的过滤特性和代理特性， Web 的访问控制， HTTP 的安全问题， S-HTTP 和 SSL 的简介，缓存的安全性；WWW 服务器的安全漏洞； NCSA 、 Apache 、 Netscape 的安全问题；CGI 程序的安全性问题；Plug-in 的安全性问题；Java 与 JavaScript 的安全性问题；Cookies 的安全性；ActiveX 的安全性；Web 攻击的行为特点；与 Web 安全相关的决策；WWW 客户安全性；如何增强 WWW 的安全性； 返回本章首页

第七章 WWW安全性

7.1 HTTP 协议及 WWW 服务

7.1.1 HTTP 协议及其安全性

7.1.2 Web 的访问控制

7.1.3 安全超文本传输协议 S-HTTP

7.1.5 安全套接层 SSL

7.1.6 缓存的安全性

返回本章首页

第七章 WWW安全性

7.1.1 HTTP 协议及其安全性 HTTP 协议（ Hypertext Transfer Protocol ，超文本传输协议）是分布式的 Web 应用的核心技术协议，在 TCP/IP 协议栈中属于应用层。它定义了Web 浏览器向 Web 服务器发送 Web 页面请求的格式，以及 Web 页面在 Internet 上的传输方式。

HTTP 协议允许远程用户对远程服务器的通信请求，这会危及 Web 服务器和客户的安全

HTTP 的另一个安全漏洞就是服务器日志。

返回本节

第七章 WWW安全性

7.1.2 Web 的访问控制

IP 地址并不能得到解析，因为客户机本地名字服务器配置可能不正确，这个时候 HTTP 服务器就伪造一个域名继续工作。 一旦 Web服务器获得 IP 地址及相应客户的域名，便开始进行验证，来决定客户是否有权访问请求的文档。这其中隐含着安全漏洞。

可用一些方法来增强服务器的安全性

返回本节

第七章 WWW安全性

7.1.3 安全超文本传输协议 S-HTTP

S-HTTP （ Secure Hyper Text Transfer Protocol ）是保护 Internet 上所传输的敏感信息的安全协议。随着Internet 和 Web 对身份验证的需求的日益增长，用户在彼此收发加密文件之前需要身份验证。 S-HTTP 协议也考虑了这种需要。 S-HTTP 的目标是保证蓬勃发展的商业交易的传输安全，因而推动了电子商务的发展。 S-HTTP 使 Web 客户和服务器均处于安全保护之下，其信息交换也是安全的。

返回本节

第七章 WWW安全性

7.1.5 安全套接层 SSL

SSL （ Secure Sockets Layer ）是 Netscape 公司设计和 开 发 的 ， 其 目 的 在 于 提 高 应 用 层 协 议 （ 如HTTP ， Telnet ， NNTP ， FTP 等）的安全性。 SSL 协议的功能包括：数据加密、服务器验证、信息完整性以及可选的客户TCP/IP 连接验证。 SSL 的主要目的是增强通信应用程序之间的保密性和可靠性。

SSL 是两层协议，它依赖了一些可靠的传输协议 SSL 不同于 S-HTTP 之处在于后者是 HTTP 的超集，只限于Web

SSL 可以使用各种类型的加密算法和密钥验证机制 安全方案不仅仅只有 SSL 和 S-HTIP 返回本节

第七章 WWW安全性

7.1.6 缓存的安全性

缓存通过在本地磁盘中存储高频请求文件，从而大大提高Web 服务的性能。不过，如果远程服务器上的文件更新了，用户从缓存中检索到的文件就有可能过时。而且，由于这些文件可由远程用户取得，因而可能暴露一些公众或外部用户不能读取的信息。 HTTP 服务器通过将远程服务器上文件的日期与本地缓存的文件日期进行比较可以解决这个问题。

返回本节

第七章 WWW安全性

7.2 WWW 服务器的安全性

7.2.1 WWW 服务器的安全漏洞 7.2.2 通用网关接口 (CGI) 的安全性 7.2.3 Plug-in 的安全性 7.2.4 Java 与 JavaScript 的安全性 7.2.5 Cookies 的安全性 7.2.6 ActiveX 的安全性

返回本章首页

第七章 WWW安全性

7.2.1 WWW 服务器的安全漏洞

1 ． NCSA 服务器的安全漏洞 2 ． Apache WWW 服务器的安全问题 3 ． Netscape 的 WWW 服务器的安全问题

返回本节

第七章 WWW安全性

7.2.2 通用网关接口 (CGI) 的安全性 公共网关接口（ CGI ）提供了扩展 Web 页面功能的最灵活

的方法。客户方 CGI 的编程用 HTML 标记，让窗口捕获用户的输入，并把它传到服务器方的应用程序，服务器方的CGI把这些信息传递给应用程序，由它返回给客户系统更新的 Web 页面和其他信息。

1 ． CGI 程序的编写应注意的问题

2. CGI脚本的激活方式

3. 不要依赖于隐藏变量的值

4. CGI 的权限问题

返回本节

第七章 WWW安全性

7.2.3 Plug-in 的安全性

把任何一个命令行 shell 、解释器、宏处理器或脚本语言处理器作为一种文档类型的阅读器，都会受到 Web 上的攻击。

不要为任何可能包含可执行语句的文件声明任何外部阅读器。Java 和安全 Tcl 这些脚本语言会检测到这个安全问题：它们可以防止那些危险的功能。

返回本节

第七章 WWW安全性

7.2.4 Java 与 JavaScript 的安全性 尽管名字上很相似，但 Java 与 JavaScript 之间毫无瓜葛。 Java 是 Sun 公司设计的一种语言。用 Java编写的 代码编译成一 种紧凑的 格 式 并 存 在 连 接 的 服 务 器端。 JavaScript 是 Netscape 公 司 设 计 的 一系列HTML语言扩展，它增强了 HTML语言的动态交互能力，并且可以把部分处理移到客户机，减轻服务器的负载。

1.Java applet 的安全性的问题 2.JavaScript 的安全性问题

返回本节

第七章 WWW安全性

7.2.5 Cookies 的安全性

Cookie 是 Netscape 公司开发的一种机制。用来改善HTTP 协议的无状态性。 Cookie 是一段很小的信息，通常只有一个短短的章节标记那么大。它是在浏览器第一次连接时由 HTTP 服务器送到浏览器的。以后，浏览器每次连接都把这个 Cookie 的一个拷贝返回给服务器。 Cookie 不能用来偷关于用户或用户的计算机系统的信息。但是大多数的 Cookie 是试图改善Web 浏览体验的良性尝试，而不是侵犯隐私。

返回本节

第七章 WWW安全性

7.2.6 ActiveX 的安全性

ActiveX 是 Microsoft 公司开发的用来在 Internet 上分发软件 的产品。 ActiveX 控 件 有 许多是 为 Microsoft Internet Explorer( 目前唯一支持它们的浏览器 ) 而做的 , ActiveX 的安全模型与 Java applet 有很大不同。 ActiveX 的授权过程保证 ActiveX 不能被匿名分发，并且控件在公布以后不会被第三者修改。 ActiveX 可以从Microsoft Internet Explorer 的选项菜单里完全关闭。只要找到活跃内容一项并选择最安全选项即可实现关闭。

返回本节

第七章 WWW安全性

7.3 Web 欺骗

7. ３ .１ Web 攻击的行为和特点 7. ３ .２ 攻击的原理和过程

返回本章首页

第七章 WWW安全性

7. ３ .１ Web 攻击的行为和特点

Web 欺骗是指攻击者建立一个使人相信的 、 Web 页站点的拷贝，这个假的 Web站点拷贝就像真的一样：它具有所有的页面和连接。然而攻击者控制了这个假的 Web 页，被攻击对象和真的 Web站点之间的所有信息流动都被攻击者所控制了。

攻击者可以监视和控制整个过程 １．静态地观察 ２．实施破坏 ３．攻击的简单性

返回本节

第七章 WWW安全性

7. ３ .２ 攻击的原理和过程

攻击的关键在于攻击者的 Web 服务器能够插在浏览者和其他的 Web 之间

1 ．改写URL

2 ．开始攻击 3 ．制造假象

攻击者的伪 Web 服务器

Web 服务器 受骗用户

返回本节

第七章 WWW安全性

7.4 WWW 客户安全性

7.4.１防范恶意代码

7.4.2 隐私侵犯

返回本章首页

第七章 WWW安全性

１．几种清除恶意代码的方法 (1) 解开被禁用的注册表 (2) 解决 IE 属性主页不能修改 (3) 修改 IE 的标题栏 (4)IE 默认连接首页的修改(5) 右键菜单中的网页广告

7.4.１防范恶意代码

2 ．采取防范措施，杜绝恶意代码 （ 1 ） 管住自己 （ 2 ） 禁用 ActiveX 插件、控件和 Java 脚本（ 3 ） 安装防病毒软件 （ 4 ） 注册表加锁 （ 5 ） 对 Win2000 用户，禁用远程注册表操作服务 （ 6 ）升级 IE 为 IE6.0 以上版本 （ 7 ）下载微软最新的Microsoft  Windows  Script  5.6 （ 8 ） 避免重蹈覆辙

返回本节

第七章 WWW安全性

7.4.2 隐私侵犯

广泛使用的英特网技术已经引起了许多个人隐私方面的问题，它还会在将来发展的过程中对个人自由的许多方面带来意想不到的问题。涉及到一个个人隐私权的尊重与保护和公共安全之间的冲突问题。需要指出的是，并不是在任何时候保护公共安全的需要都应当优先于保护和尊重个人隐私权的需要。

1 ．网上数据搜集的方法 2 ．网上数据搜集对个人隐私可能造成的侵害

返回本节

第七章 WWW安全性

7.5 增强 WWW 的安全性

7.5.１ WWW 安全建议 7.5.2 Web 保护方法 7.5.3 Web 服务器的安全措施

返回本章首页

第七章 WWW安全性

7.5.１ WWW 安全建议

尽可能使用一台专用堡垒主机 ,应仔细配置服务器来控制它访问的东西；特别要注意某人会设法向系统装载程序 , 然后通过 HTTP 服务器来执行。 在没有允许内部主机访问所有 TCP端口的情况下，不能允许它们访问所有 HTTP 服务器 。代理 HTTP

使用一个高速缓存代理服务器即可。这样既有利于扩展网络宽度，又有利于安全。

返回本节

第七章 WWW安全性

7.5.2 Web 保护方法 虽然Web 欺骗是危险的和几乎不可察觉的，然而还是可以采用下面的一些方法进行保护。 １．跟踪攻击者 可以使用网络监听或用 netstat 之类的工具找到攻击者所用的服务器 2 ．短期的解决方法 （ 1 ） 关闭浏览器的 JavaScript ，使得攻击者不能隐藏攻击的迹象。（ 2 ） 确信你的浏览器的地址行总是可见的。（ 3 ） 留意浏览器地址行上显示的 URL ，确信它们一定是指向所想的服务器。3 ．长期办法 访问限制方法： IP 地址、子网、域的限制 ；用户名和密码 ；加密

返回本节

第七章 WWW安全性

7.5.3 Web 服务器的安全措施 限制 IP 地址可以提供一定程序的安全性，但并不能阻止黑客攻击站点。 比较理想的方法是，对 IP 地址的限制与其他一些验证方法，如检查用户名和密码等，结合起来。运行 Web 服务器可以采取的一些基本安全手段 （ 1 ） 保证注册账户的时效性。 （ 2 ） 删除死账户。（ 3 ） 强制用户登录时使用好的密码 （ 4 ） 不要保留不用的服务。 （ 5 ）有不用的 shell 或解释程序，则删除它们。（ 6 ）定期检查系统和 Web 记录以发现可疑活动。（ 7 ） 检查系统文件的权限设置是否正确。

返回本节

第七章 WWW安全性

THANK YOU VERY MUCH ！

本章到此结束，谢谢您的光临！

返回本章首页结 束放映