十堰網(wǎng)站建設中要警惕網(wǎng)站程序中的安全漏洞

時(shí)間：2010-08-10      閱讀: 次

　　為了迎合SEOer，現在網(wǎng)站賣(mài)黑鏈的鋪天蓋地，這些鏈接獲得的渠道多數是通過(guò)入侵網(wǎng)站，通過(guò)網(wǎng)站程序的漏洞或者服務(wù)器的漏洞獲得網(wǎng)站的修改權限，因此，對于網(wǎng)站的安全防范我們要提高警惕。一般網(wǎng)站的安全分為：服務(wù)器配置安全和腳本程序安全。這里，我們來(lái)談?wù)勱P(guān)于十堰網(wǎng)站建設中網(wǎng)站安全的程序設計原則性問(wèn)題。

　　在編寫(xiě)網(wǎng)站程序時(shí)，程序員往往會(huì )忽略程序的安全性設置，尤其是對用戶(hù)輸入信息的過(guò)濾。很容易導致不法分子對數據庫進(jìn)行非法的操作、上傳木馬等。一般出現比較多的漏洞是：注入和跨站兩種。

　　注入漏洞是由于程序沒(méi)有對用戶(hù)的輸入數據進(jìn)行嚴格的檢查、過(guò)濾，使攻擊者可以把SQL命令插入到請求查詢(xún)的字符串中，根據程序返回的結果，獲得他所想得到的數據。

　　跨站漏洞是指攻擊者利用網(wǎng)站程序對用戶(hù)輸入的信息過(guò)濾不足，輸入可以顯示在頁(yè)面上對其他用戶(hù)造成影響的HTML代碼，從而盜取用戶(hù)資料、利用用戶(hù)身份進(jìn)行某種攻擊的一種方式。

　　除了以上兩種，還有越權、上傳、引擎等多種漏洞。一個(gè)站點(diǎn)程序的安全可能會(huì )導致整個(gè)服務(wù)器的“淪陷”，對于網(wǎng)站來(lái)說(shuō)，這關(guān)系到網(wǎng)站的信譽(yù)、用戶(hù)的隱私、網(wǎng)站的發(fā)展等問(wèn)題。

　　不要相信用戶(hù)輸入的數據

　　永遠不要相信任何時(shí)候用戶(hù)所輸入的任何數據-這是編寫(xiě)安全的WEB程序的基本原則。用戶(hù)輸入的數據，在程序執行前一定要經(jīng)過(guò)嚴格的檢查、過(guò)濾非法字符串。通過(guò)對特殊文字、編碼、字段數組每個(gè)元素以及SQL語(yǔ)句關(guān)鍵字進(jìn)行過(guò)濾，檢查各項輸入參數的長(cháng)度、格式數據類(lèi)型以及有效性的檢查，采取對將要入庫、顯示的內容進(jìn)行關(guān)鍵字替換等措施來(lái)有效阻止注入攻擊和跨站攻擊。

　　輸出內容檢測

　　對于代碼輸出的程序過(guò)程，在輸出前檢測輸出的代碼中不含有跨站攻擊的腳本。我們不信任用戶(hù)輸入的數據，程序輸出的數據我們也一樣不能完全信任。這就好比設置了一道門(mén)，不管是進(jìn)來(lái)還是出去的人，都要嚴格檢查。防止在進(jìn)入檢查的時(shí)候出現紕漏。

　　防止越權操作

　　凡涉及到用戶(hù)和管理員的操作，必須要嚴格檢查操作的合法性，特別是對會(huì )員自身的操作，要檢查數據是否屬于操作者的本人，是否存在越權的行為。而且在驗證其身份的合法性時(shí)一定要引用系統服務(wù)端的程序。

　　上傳文件的檢查

　　所有對網(wǎng)站文件的讀寫(xiě)操作都要經(jīng)過(guò)權限的判斷、類(lèi)型檢查，杜絕用戶(hù)上傳木馬、病毒等文件或者刪除，篡改系統程序文件。不管是文件、文件夾的創(chuàng )建、修改還是瀏覽讀取，要進(jìn)行過(guò)濾存在安全隱患的字符，最好不要給用戶(hù)更改文件后綴名的權限。

　　信息加密

　　建立一個(gè)完善的加密體制，確保密碼和信息的安全。對于一些特殊的鏈接字符串、參數也要進(jìn)行不要的加密措施，最大限度保障系統信息的安全。