WEB应用安全概述.ppt

总结词
性能优化与安全防护
总结词
技术实现细节解析
详细描述
介绍如何对电子商务网站进行性能优化和安全防护，包括 服务器配置、负载均衡、缓存策略、防止SQL注入和跨站 脚本攻击等措施，以确保网站的高可用性和安全性。
案例二：社交网络平台的架构与设计
总结词
社交网络平台架构概述
详细描述
详细阐述社交网络平台的主要功能模块，如用户注册与登 录、动态发布与浏览、消息通知、好友管理等，并讨论如 何进行良好的交互设计，提升用户体验。
PART 03
Web开发流程
需求分析
定义问题
明确Web应用需要解决的问题和满足的需 求。
调研市场与用户
分析目标用户群体，了解他们的需求和行为 习惯。
制定计划
根据需求制定开发计划，包括时间表、预算 和资源分配。
设计阶段
界面设计
设计用户界面，包括布局、颜色、字体等。
数据库设计
设计存储数据的关系型数据库或非关系型数 据库。
JavaScript
JavaScript定义
JavaScript是一种脚本语言，用于实现网页的交互功能和动 态效果。
JavaScript语法
JavaScript语法包括变量、数据类型、运算符、函数等基本 概念，以及事件处理、DOM操作等常用功能。
JavaScript应用场景
JavaScript可以用于实现表单验证、动态内容更新、动画效 果等，提高网页的用户体验。
后端框架（如Django, Spring Boot, Ruby on Rails等）
Django
是一个高级Python Web框 架，提供了自动化的ORM、 模板引擎和表单处理等功能 ，适合快速开发复杂的Web

针对公钥的攻击
修改公钥中的签名，并且标记它为公钥中已经检查过 的签名，使得系统不会再去检查它。 针对PGP的使用过程，修改公钥中的有效位标志，使 一个无效的密钥被误认为有效。

3.安全扫描技术
基本原理 采用模拟黑客攻击的形式对目标可能存在的 已知的安全漏洞进行逐项检查，然后根据扫 描结果向系统管理员提供周密可靠的安全性 分析报告，为网络安全的整体水平产生重要 的依据。
利用SSL SMTP和SSL POP 利用பைடு நூலகம்PN或其他的IP通道技术，将所有的TCP/IP 传输封装起
E-mail的安全隐患
密码被窃取 邮件内容被截获 附件中带有大量病毒 邮箱炸弹的攻击 本身设计上的缺陷
PGP（Pretty Good Privacy） 使用单向单列算法对邮件内容进行签名，以 此保证信件内容无法被篡改，使用公钥和私 钥技术保证邮件内容保密已不可否认。 特征：
第九章 Web安全技术
主要内容
IP安全技术 E-mail安全技术 安全扫描技术 网络安全管理技术 身份认证技术 VPN技术
1. IP安全技术
目前常见的安全威胁
数据泄漏 在网络上传输的明文信息被未授权的组织或个人所截获， 造成信息泄漏。 数据完整性的破坏 确保信息的内容不会以任何方式被修改，保证信息到达 目的地址时内容与源发地址时内容一致。 身份伪装 入侵者伪造合法用户的身份来登录系统，存取只有合法 用户本人可存取的保密信息。 拒绝服务 由于攻击者攻击造成系统不能正常的提供应有的服务或 系统崩溃。
VPN原理
VPN客 户 端 软 件
Internet
移 动 用 户 终 端
VPN网 关 终 端 局 域 网 VPN网 关 局 域 网

2．Web中的安全问题
（ 1 ）未经授权的存取动作。由于操作系统等方面的 漏洞，使得未经授权的用户可以获得 Web 服务器上的秘 密文件和数据，甚至可以对数据进行修改、删除，这是 Web站点的一个严重的安全问题。 （ 2 ）窃取系统的信息。用户侵入系统内部，获取系 统的一些重要信息，并利用这些系统信息，达到进一步 攻击系统的目的。 （ 3 ）破坏系统。指对网络系统、操作系统、应用程 序进行非法使用，使得他们能够修改或破坏系统。 （4）病毒破坏。目前，Web站点面临着各种各样病毒 的威胁，使得本不平静的网络变得更加动荡不安。
1.Windows2000 Server下Web服务器的安全配置
（2）用户控制 对于普通用户来讲其安全性可以通过相应的“安全策 略”来加强对他们的管理，约束其属性和行为。值得注意 的是在IIS安装完以后会自动生成一个匿名账号 IUSE_Computer_name，而匿名访问Web服务器应该被禁止 ，否则会带来一定的安全隐患。 禁止的方法：启动“Internet服务管理器”；在Web 站点属性页的“目录安全性”选项卡中单击“匿名访问和 验证”；然后单击“编辑(E)”按钮打开“验证方法”对 话框（如下图所示）；在该对话框中去掉“匿名访问”前 的“√”即可。

2.目录遍历


目录遍历对于Web服务器来说并不多见，通过对任 意目录附加“../”，或者是在有特殊意义的目录 附加“../”，或者是附加“../”的一些变形，如 “..”或“..//”甚至其编码，都可能导致目录遍 历。 前一种情况并不多见，但是后面的几种情况就常见 得多，曾经非常流行的IIS二次解码漏洞和Unicode 解码漏洞都可以看作是变形后的编码。

物理路径泄露一般是由于Web服务器处理用户请求出 错导致的，如通过提交一个超长的请求，或者是某 个精心构造的特殊请求，或是请求一个Web服务器上 不存在的文件。这些请求都有一个共同特点，那就 是被请求的文件肯定属于CGI脚本，而不是静态HTML 页面。 还有一种情况，就是Web服务器的某些显示环境变量 的程序错误的输出了Web服务器的物理路径，这通常 是设计上的问题。

iGuard所获资质
▪ 国家信息安全测评认证中心的信息安全产品认证 ▪ 公安部计算机信息系统安全专用产品销售许可证
目录
1 背景 2 网页防篡改 3 Web应用防火墙 4 结束
目录
3 Web应用防火墙 1 Web应用防火墙技术介绍 2 主流产品品牌和技术路线 3 安恒与绿盟产品对比
Web应用防火墙（WAF）技术介绍
▪ iGuard采用双引擎防护技术。引擎1——实时阻断，使用增强 型事件触发式技术，截获所有写文件调用，对于其中的非 法写行为实施了实时阻断，让常规黑客的篡改行为即时落 空，同时发出报警。引擎2——核心内嵌，将篡改检测的 核心内嵌到Web服务器中，仅在网页信息流出Web服务器时 进行检测。
InforGuard与iGuard对比-功能比较
改”更严重的Web安全问题，如网页挂马、敏感信息失窃、 数据破坏、网站成为傀儡机等。
被篡改网站统计
WEB应用价值的破坏与损失
监管部门
信息泄露
拒绝服务
网页篡改Βιβλιοθήκη 网页被篡改 非法内容 用户信息泄露
追责
非法入侵
服务提供者+基础网络提供者
个人信息丢失 个人信息被篡改 恶意程序下载 网站无法访问
投诉
社会公信力下降 名誉受损 用户流失 经济损失
▪ 其中安恒信息(DBAPPSecurity)、绿盟
(NSFOCUS)、铱讯信息、天泰 、宝界 、中 软华泰 、金电网安为国内厂商
WEB应用防火墙的工作机理
▪ Web应用防火墙主要致力于提供应用层保护，通过
对HTTP/HTTPS及应用层数据的深度检测分析，识
别及阻断各类传统防火墙无法识别•WEB的应用W防E火B墙应用攻击•Web。服务器