網(wǎng)站系統(tǒng)安全作為企業(yè)網(wǎng)絡(luò)安全防護(hù)的重頭戲，網(wǎng)絡(luò)管理員不可掉以輕心。企業(yè)網(wǎng)站作為企業(yè)的臉面，如果一旦被入侵可能會(huì)使企業(yè)受到資金損失不說(shuō)，黑客通過(guò)掛馬等方式威脅到了用戶安全，導(dǎo)致企業(yè)信譽(yù)下降則是更嚴(yán)重的問(wèn)題。
據(jù)動(dòng)易公司網(wǎng)絡(luò)安全專家介紹：根據(jù)2007年OWASP 組織發(fā)布的 Web 應(yīng)用程序脆弱性10大排名的統(tǒng)計(jì)結(jié)果表明，跨站腳本、注入漏洞、跨站請(qǐng)求偽造、信息泄露等方面的問(wèn)題仍然是目前黑客流行的攻擊方式，而其中尤以SQL注入攻擊和跨站腳本攻擊為重，所謂的SQL注入攻擊就是利用程序員在編寫代碼時(shí)沒有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，導(dǎo)致入侵者可以通過(guò)插入并執(zhí)行惡意SQL命令，獲得數(shù)據(jù)讀取和修改的權(quán)限;而跨站腳本攻擊則是通過(guò)在網(wǎng)頁(yè)中加入惡意代碼，當(dāng)訪問(wèn)者瀏覽網(wǎng)頁(yè)時(shí)，惡意代碼會(huì)被執(zhí)行或者通過(guò)給管理員發(fā)信息的方式誘使管理員瀏覽，從而獲得管理員權(quán)限，控制整個(gè)網(wǎng)站。
那么，對(duì)這種黑客攻擊方式有沒有有效的網(wǎng)站系統(tǒng)安全手段進(jìn)行阻擊呢?據(jù)悉，在SiteFactory™ 內(nèi)容管理系統(tǒng)開發(fā)中，針對(duì)各種攻擊方式都制定了相應(yīng)完整的防御方案，并且借助 ASP.NET 的特性和功能，可以有效的抵制惡意用戶對(duì)網(wǎng)站進(jìn)行的攻擊，提高網(wǎng)站的安全性，但就針對(duì)目前SQL注入攻擊和跨站腳本攻擊，其更加有效的阻擊手段是什么呢?為此，我們向動(dòng)易網(wǎng)絡(luò)安全專家了解，他向我們介紹了一些安全手段：
(一)對(duì)于SQL注入攻擊：動(dòng)易系統(tǒng)采用對(duì)SQL查詢語(yǔ)句中的查詢參數(shù)進(jìn)行過(guò)濾;使用類型安全的SQL參數(shù)化查詢方式，從根本上解決SQL注入的問(wèn)題;URL參數(shù)類型、數(shù)量、范圍限制功能，解決惡意用戶通過(guò)地址欄惡意攻擊的問(wèn)題等，這些手段是控制SQL注入的，還包括其它的一些過(guò)濾處理，和其它的對(duì)用戶輸入數(shù)據(jù)的驗(yàn)證來(lái)防止SQL注入攻擊。
(二)：對(duì)于跨站腳本攻擊：在對(duì)于不支持HTML的內(nèi)容直接實(shí)行編碼處理的辦法，來(lái)從根本上解決跨站問(wèn)題。而對(duì)于支持Html的內(nèi)容，我們有專門的過(guò)濾函數(shù)，會(huì)對(duì)數(shù)據(jù)進(jìn)行安全處理(依據(jù)XSS攻擊庫(kù)的攻擊實(shí)例)，雖然這種方式目前是安全的，但不代表以后也一定是安全的，因?yàn)楣羰侄螘?huì)不斷翻新，我們的過(guò)濾函數(shù)庫(kù)也會(huì)不斷更新。
另外對(duì)于外站訪問(wèn)和直接訪問(wèn)我們也做了判斷，從一定程度上也可以避免跨站攻擊。即使出現(xiàn)了了跨站攻擊，我們也會(huì)通過(guò)網(wǎng)站系統(tǒng)安全手段將攻擊的影響減到最小：
一、對(duì)于后臺(tái)一些會(huì)顯示HTML內(nèi)容的地方，通過(guò)frame的安全屬性security="restricted"來(lái)阻止腳本的運(yùn)行(IE有效);
二、使用Cookie的HttpOnly屬性來(lái)防止Cookie通過(guò)腳本泄密(IE6 SP1以上、Firefox 3);
三、身份驗(yàn)證票據(jù)都是加密過(guò)的;
四、推薦使用更高版本的IE或者FF。
相關(guān)閱讀