南昌網(wǎng)站建設(shè)公司百恒網(wǎng)絡(luò)經(jīng)過(guò)多年對(duì)政府網(wǎng)站建設(shè)通常講的政務(wù)網(wǎng)經(jīng)驗(yàn)總結(jié)，政務(wù)網(wǎng)對(duì)安全的要求比一般的企業(yè)網(wǎng)站要求高許多，企業(yè)網(wǎng)站惡意攻擊一般來(lái)自同行的惡性競(jìng)爭(zhēng)，這種概率造成大的影響比較小，而政務(wù)不同，因?yàn)槠渲杏姓我蛩兀€有資源豐富等因素。資源豐富是指政務(wù)網(wǎng)為了保證網(wǎng)絡(luò)辦公效率，一般硬件比較優(yōu)越，而讓很多黑客想利用這樣的資源來(lái)做一些非法的攻擊。同時(shí)南昌網(wǎng)絡(luò)公司工程師在分析一些攻擊日志發(fā)現(xiàn)有大量的國(guó)外IP，有可能是國(guó)內(nèi)的黑客利用國(guó)外的服務(wù)器攻擊此類政務(wù)網(wǎng)，當(dāng)然也不能排政治因素。對(duì)于我們看來(lái)一般的政府單位網(wǎng)站也沒(méi)有什么很高的機(jī)密，但是如果把所有的政府網(wǎng)站聯(lián)合到一起來(lái)分析，那情況就大不同了。所以南昌網(wǎng)站設(shè)計(jì)公司工程師認(rèn)為一定要高度重視政務(wù)網(wǎng)站的安全，穩(wěn)定。

從事網(wǎng)絡(luò)行多十多年來(lái)，經(jīng)常聽(tīng)到其他政務(wù)網(wǎng)站管理人員質(zhì)疑，“明明已經(jīng)安裝了防火墻，為什么還是被‘黑’了呢?”，其實(shí)關(guān)鍵就在于，管理員們安裝的這些防火墻，全稱應(yīng)該叫網(wǎng)絡(luò)防火墻，工作在ISO模型的網(wǎng)絡(luò)層以下。它的工作原理，就是阻擋其它的訪問(wèn)，只允許對(duì)80端口HTTP應(yīng)用的訪問(wèn)通過(guò)，而互聯(lián)網(wǎng)上的攻擊，大多數(shù)針對(duì)的恰恰就是80端口HTTP協(xié)議，也就是對(duì)web應(yīng)用層的攻擊。據(jù)Gartner調(diào)查顯示，互聯(lián)網(wǎng)上現(xiàn)在有75%的攻擊都是針對(duì)Web應(yīng)用層發(fā)起的。

應(yīng)用層攻擊能夠使用多種不同的方法來(lái)實(shí)現(xiàn)，最平常的方法是使用服務(wù)器上通常可找到的應(yīng)用軟件(如SQL Server、PostScript和FTP)缺陷。通過(guò)使用這些缺陷，攻擊者能夠獲得計(jì)算機(jī)的訪問(wèn)權(quán)，以及該計(jì)算機(jī)上運(yùn)行相應(yīng)應(yīng)用程序所需賬戶的許可權(quán)。

應(yīng)用層攻擊的一種最新形式是使用許多公開(kāi)化的新技術(shù)，如HTML規(guī)范、Web瀏覽器的操作性和HTTP協(xié)議等。這些攻擊通過(guò)網(wǎng)絡(luò)傳送有害的程序，包括JAVA applet和Active X控件等，并通過(guò)用戶的瀏覽器調(diào)用它們，很容易達(dá)到入侵、攻擊的目的。

在應(yīng)用層攻擊中，容易遭受攻擊的目標(biāo)包括路由器、數(shù)據(jù)庫(kù)、Web和FTP服務(wù)器和與協(xié)議相關(guān)的服務(wù)，如DNS、WINS和SMB。

應(yīng)用層安全設(shè)置方案：

1、使用通用防注入代碼

加入防注入代碼，在上傳文件入口處或關(guān)鍵程序中增加一行代碼調(diào)用防注入程序，可以登陸后臺(tái)對(duì)防注入程序進(jìn)行管理，查看入侵掃描信息。代碼不要放在首頁(yè)，這樣影響網(wǎng)站打開(kāi)速度，網(wǎng)站首頁(yè)的ASP代碼要盡可能少，最好已經(jīng)是HTML，調(diào)用數(shù)據(jù)庫(kù)內(nèi)容太多會(huì)影響網(wǎng)站速度。

登陸后臺(tái)頁(yè)面

入侵信息記錄

在防注入系統(tǒng)后臺(tái)系統(tǒng)設(shè)置中推薦采用“直接關(guān)閉網(wǎng)頁(yè)”。鎖定IP可以封掃描IP，但不推薦使用，以防誤操作一個(gè)局域網(wǎng)段的internet出口地址全部被封。這個(gè)自己在使用中可以慢慢體會(huì)。

2、限制提交POST上傳代碼

給個(gè)簡(jiǎn)單的參考：

upload.htm

upload.asp

<%

Function GetFileName(ByVal strFile)

If strFile <> "" Then

GetFileName = mid(strFile,InStrRev(strFile, "")+1) 'InStrRev從字符串最后一個(gè)搜索起

Else

GetFileName = ""

End If

End function

strFileName = Request.Form("file1")

Set objStream = Server.CreateObject("ADODB.Stream")

objStream.Type = 1 ' adTypeBinary

objStream.Open

objStream.LoadFromFile strFileName

objStream.SaveToFile Server.MapPath(GetFileName(strFileName)),2

objStream.Close

%>

strFileName = Request.Form("file1")

'''假設(shè)上傳的文件類型只允許rar和zip格式

if (instr(lcase(strFileName),".rar")>0 and left(lcase(StrFileName),4)=".rar") or

(instr(lcase(strFileName),".zip")>0 and left(lcase(StrFileName),4)=".zip") then

......'保存文件

else

response.write "您上傳的文件類型屬于禁止的范圍!"

response.end

end if

3、登陸設(shè)置驗(yàn)證碼

南昌網(wǎng)站制作公司技術(shù)人員認(rèn)為在程序中加入驗(yàn)證碼的計(jì)算代碼和顯示圖片即可。

專業(yè)專注于南昌網(wǎng)頁(yè)制作、南昌建網(wǎng)站、南昌網(wǎng)站開(kāi)發(fā)項(xiàng)目,為用戶提供高品質(zhì)的網(wǎng)絡(luò)產(chǎn)品和優(yōu)質(zhì)的服務(wù)是我們始終追求的目標(biāo)!