終極Web安全防護(hù)解決方案（1）
Web信息系統(tǒng)各種安全問(wèn)題潛伏在Web系統(tǒng)中，Web系統(tǒng)的時(shí)時(shí)刻刻遭受各種攻擊的安全威脅?，F(xiàn)在大多數(shù)的企業(yè)已經(jīng)意識(shí)到Web信息系統(tǒng)的安全威脅，采取了眾多安全措施，花費(fèi)大量的人力物力在網(wǎng)絡(luò)及服務(wù)器的安全上，為什么信息系統(tǒng)還是得不到真正的安全呢？
企業(yè)的Web安全現(xiàn)狀
現(xiàn)在據(jù)調(diào)查統(tǒng)計(jì)75%網(wǎng)絡(luò)攻擊行為都來(lái)自于Web應(yīng)用層面而非網(wǎng)絡(luò)層面，同時(shí)調(diào)查表明國(guó)內(nèi)有近大于50%的站點(diǎn)存在各種Web層面的安全問(wèn)題。現(xiàn)在很多的企業(yè)給自己的網(wǎng)絡(luò)應(yīng)用了入侵檢測(cè)系統(tǒng)、網(wǎng)絡(luò)防火墻、VPN、網(wǎng)絡(luò)防病毒系統(tǒng)等，為什么還得不到真正的安全呢？
我們應(yīng)用了諸多的安全設(shè)備，但是我們的Web服務(wù)還是要外開(kāi)放的，也就是說(shuō)80、443端口還是要開(kāi)放的。80及443即是Http及Http服務(wù)的端口，只要你的Web服務(wù)開(kāi)放，那么與Web服務(wù)通訊的信息，有些是正常的訪問(wèn)，有些是帶有攻擊行為的訪問(wèn)，Web系統(tǒng)無(wú)法判斷那些訪問(wèn)是惡意的訪問(wèn)，所有你的Web系統(tǒng)就會(huì)出現(xiàn)諸多Web層面的安全問(wèn)題。
現(xiàn)在企業(yè)的Web信息系統(tǒng)大多為新聞、留言版、郵件、Blog、論壇、OA及其它應(yīng)用系統(tǒng)，試想一下這些多的Web信息系統(tǒng)沒(méi)有安全漏洞的嗎？目前關(guān)于Web信息系統(tǒng)出現(xiàn)的漏洞最多最嚴(yán)重的漏洞就是SQL Injection、XSS跨站安全漏洞。
SQL Injection漏洞
SQL Injection，中文名稱(chēng)為“SQL 注入”是一種數(shù)據(jù)庫(kù)攻擊手段，也是Web應(yīng)用程序漏洞存在的一種表現(xiàn)形式，它的實(shí)際意義就是利用某些數(shù)據(jù)庫(kù)的外部接口把用戶(hù)數(shù)據(jù)插入到實(shí)際的數(shù)據(jù)庫(kù)操作語(yǔ)言當(dāng)中，從而達(dá)到入侵?jǐn)?shù)據(jù)庫(kù)乃至操作系統(tǒng)的目的。
Web程序員在編寫(xiě)Web系統(tǒng)時(shí)對(duì)Web的安全性考慮不夠，對(duì)用戶(hù)輸入的數(shù)據(jù)沒(méi)有進(jìn)行有限的驗(yàn)證及過(guò)濾，從而會(huì)引發(fā)SQL注入漏洞。如果我們的新聞系統(tǒng)或者OA辦公系統(tǒng)出現(xiàn)SQL注入漏洞，那么攻擊者通過(guò)構(gòu)造的特殊SQL語(yǔ)句就可以查看、插入、刪除數(shù)據(jù)的的數(shù)據(jù)及可以執(zhí)行主機(jī)的系統(tǒng)命令等具有很大的危害。
SQL注入攻擊具有如下特點(diǎn)：
(1)sql 注入種類(lèi)繁多：
按數(shù)據(jù)庫(kù)分類(lèi)就有：
Access、MsSql、Oracle、Informix 、DB2、Sybase 、PostgreSQL 、SQLite 數(shù)據(jù)庫(kù)注入，幾乎包含了所有的主流數(shù)據(jù)庫(kù)。
按程序語(yǔ)言分類(lèi)就有：
ASP、ASPX、JSP、PHP、CGI、PL注入，也幾乎包含了所有Web編程語(yǔ)言。
按程序提交數(shù)據(jù)方式分類(lèi)就有：
GET注入、POST注入、Cookies注入等。
這導(dǎo)致傳統(tǒng)的特征匹配檢測(cè)方法僅能識(shí)別相當(dāng)少的攻擊，難以防范。
(2)攻擊過(guò)程簡(jiǎn)單，目前互聯(lián)網(wǎng)上流行眾多的SQL注入攻擊工具，攻擊者借助這些工具可很快對(duì)目標(biāo)Web系統(tǒng)實(shí)施攻擊和破壞。
(3)危害大，由于Web編程語(yǔ)言自身的缺陷以及具有安全編程能力的開(kāi)發(fā)人員少之又少，大多數(shù)Web業(yè)務(wù)系統(tǒng)均具有被SQL注入攻擊的可能。而攻擊者一旦攻擊成功，可以對(duì)控制整個(gè)Web業(yè)務(wù)系統(tǒng)，對(duì)數(shù)據(jù)做任意的修改數(shù)據(jù)、甚至刪除整個(gè)數(shù)據(jù)庫(kù)，給企事業(yè)單位帶來(lái)毀滅性的災(zāi)難。
(4)SQL攻擊語(yǔ)句多樣性
就SQL注入攻擊語(yǔ)句大小寫(xiě)混淆、部分攻擊語(yǔ)句url編碼性、部分攻擊語(yǔ)句16進(jìn)制編碼等編碼格式、就空格字符就可以用“+”“、“/**/”、“%09”、“[TAB]空格”字符來(lái)代替空格。
Web安全防護(hù)解決方案中的SQL Injection漏洞問(wèn)題就為大家介紹完了，希望大家多多掌握這方面的知識(shí)。
【編輯推薦】
