3网站攻击和防护 网络钓鱼的防范.pdfVIP

网络安全攻防技术 崔宝江副教授 北京邮电大学计算机学院 cui_bj@ 北邮 计算机学院 崔宝江 目录 一. 网络安全架构设计 二. 黑客攻击与防范技术 三. 网站攻击防范和网络防钓鱼 四. 主机操作系统和服务器的安全诊断 五. 病毒原理与防治 北邮 计算机学院 崔宝江 针对网站的网络攻击技术 1. 针对服务器的漏洞攻击 2. SQL注入攻击 3. XSS攻击 4. 网站安全防范技术 北邮 计算机学院 崔宝江 针对网站的网络攻击技术 1. 针对服务器的漏洞攻击 黑客通过对IIS、RPC等存在的漏洞的网络服务 进行缓冲溢出，执行未授权的代码和命令，在 系统中直接添加管理员账号，从而控制了服务 器主机. 演示：利用IIS漏洞控制服务器 北邮 计算机学院 崔宝江 二. 针对网站的网络攻击技术 防范措施 给服务器打上必威体育精装版的安全补丁程序 包含操作系统、应用程序、数据库等必威体育精装版的安全补 丁 防止缓冲溢出和设计缺陷等攻击 封闭未用但开放的网络服务端口 Windows 自带的防火墙 Linux的iptables防火墙 北邮 计算机学院 崔宝江 针对网站的网络攻击技术 1. 针对服务器的漏洞攻击 2. SQL注入攻击 3. XSS攻击 4. 网站安全防范技术 北邮 计算机学院 崔宝江 针对网站的网络攻击技术 2. SQL注入攻击 SQL注入是一种发生在应用程序的数据库层的 安全漏洞。 攻击者通过把SQL命令嵌入到Web表单提交或 输入域名或页面请求的查询字符串，服务器没 有过滤的情况下，执行了这些查询字符，最终 达到欺骗数据库服务器执行恶意的SQL命令。 北邮 计算机学院 崔宝江 SQL注入 防范难度 SQL注入是从正常的WWW端口访问，而且表面看 起来跟一般的Web页面访问没什么区别，所以目前 市面的防火墙都不会对SQL注入发出警报 对Web应用攻击的变化非常多，传统的基于特征检 测的IDS对此类攻击几乎没有作用 如果管理员没查看IIS 日志的习惯，可能被入侵很 长时间都不会发觉 北邮 计算机学院 崔宝江 Sql注入概述 SQL注入的根本原因 随着B/S模式应用开发的发展，使用这种模式 编写应用程序的程序员也越来越多。 但是由于程序员的水平及经验也参差不齐，相 当大一部分程序员在编写代码的时候，没有对 用户输入数据的合法性进行判断，使应用程序 存在安全隐患。 北邮 计算机学院 崔宝江 SQL注入 据统计，网站用ASP+Access或SQLServer的占 70% 以上，PHP+MySQL 占20%，其他的不足 10%。 北邮 计算机学院 崔宝江 Sql