時間：2022-02-26 14:26:54
緒論：在尋找寫作靈感嗎？愛發表網為您精選了8篇網站安全總結，愿這些內容能夠啟迪您的思維，激發您的創作熱情，歡迎您的閱讀與分享！
一、組織安排。xx隊組織成立自查工作小組，組長為隊長xxx擔任，由兼職信息系統責任、運行維護和信息安全管理科室的辦公室人員組成自查工作小組工作人員，按照自查任務要求，制定具體自查方案，明確本地檢查對象和具體要求，落實各項保障措施，開展自查工作，撰寫自查報告，并填寫相應自查表。
二、制度檢查。自查工作小組根據《關于開展重要信息系統及重點網站安全檢查工作的通知》，對前郭隊的網絡安全工作的基本情況以及網站的安全保護情況的相關制度進行了檢查，現有制度有：網絡與信息安全管理制度、內網計算機與互聯網連接制度、終端計算機安全管理制度、桌面安全管理系統制度及其他網絡安全管理手段及措施制度。及時發現了問題，要求建立健全信息安全年度預算制度、信息安全發展規劃。
三、完備設施。自建互聯網局域網網絡安全防護措施：xx隊接入互聯網出口數量只有一個；終端計算機已安裝有效的防病毒軟件；終端計算機已設置管理員口令；有專門封網計算機可處理涉密信息；機房安全中防盜、消防、供電相關設施完備。
為什么當前安全威脅會變得如此嚴峻？Fortinet技術總監李宏凱在研討會上指出，網絡技術的發展和社會工程學的傳播特性自然是兩大驅動因素，比如，類似E-Mail的隨意化的信息平臺就為網絡安全問題提供了滋生的溫床。但目前看來，更重要原因是商業利益的驅動。黑客可以通過惡意代碼獲得用戶的個人信息，包括存儲在機中的和電腦中的，并利用這些具有經濟價值的信息來非法牟利；或者在用戶的終端上植入木馬，以流量牽引的方式，使得某些網站點擊率提高。在這樣的背景下，用戶被動地頻繁升級自己的防火墻、病毒庫等等，然而安全威脅手段的進化似乎總是快于安全防護技術的更新。
李宏凱認為，電信運營商有必要重新審視整個網絡安全邊界的概念。在網絡安全技術架構搭建的過程中，安全邊界的劃分具有重要意義。談到安全邊界的問題，在過去，電信運營商或許會認為，只有核心骨干網的安全才屬于自身的網絡安全范疇；而今，骨干網的概念開始延伸。事實上，在互聯網中，不僅只有電信核心網才算骨干網，每一個互聯網用戶都是骨干網的一個分支。電信運營商如果只是“自掃門前雪”，忽視整個用戶層網絡的健康性，等安全威脅到了核心網才采取防御和管控，那么其安全策略將顯得十分被動，永遠會處在疲于應付的狀態，無法真正從源頭上解決安全問題。
僵尸網絡正在給運營商帶來這樣的困擾。由于網絡接入終端數量的不斷增加，如果電信運營商將用戶劃入安全管控的邊界之外，只是被動地防御，任憑僵尸網絡規模的不斷擴大，那么，當受感染用戶達到一定數量級的時候，電信運營商就會發現自己正在面對數量可怕的傀儡攻擊源，情況將會失控。反之，如果從邊界開始就對網絡進行了有效地管理，那么核心網面對的壓力就能大大減輕。
根據上級關于《全市學校開展安全隱患拉網式大排查專項行動工作方案》的通知精神，我校安全領導小組立即組織全體教師，認真學習通知精神，嚴格對照文件精神及要求對學校進行了全方位、拉網式的大排查，現將此次安全檢查情況總結如下：
一、工作目標
通過開展安全隱患排查治理專項工作,切實落實學校的安全主體責任,消除安全隱患,改善校園及周邊治安環境狀況,遏制重大事故發生,確保學校安全形勢穩定,學校安全教育進一步強化,師三生安全意識和防范能力明顯增強。
二、組織領導
學校成立學校安全隱患排查治理領導小組：
組長：
副組長:
成員:
三、工作內容
1、校舍安全:檢查是否存在隱患,廚房、廁所、學生寢室等重點場所給予高度重視,查找是否存在安全隱患.
2、食品衛生安全:教育學生禁止購買“三無”食品，同時制定《孟店小學突發公共衛生事件應急預案》。
3、設施設備安全:對學校的電路、電器進行檢查,發現問題及時檢修和整改.
4、防火安全:檢查是否對師生集中進行了防火安全教育,教學、生活設施等人員集中場所的火災隱患是否得到整改,消防設置是否完善,消防通道是否暢通.
5、防盜安全:學校的微機室、圖書室及教師辦公室等重點部位的安全防范措施是否到位,有無領導、教師值班巡邏,門衛值班制度是否落實.
6、周邊環境安全:對學校周邊環境進行一次集中清理.重點檢查有無社會閑雜人員在學校附近敲詐勒索傷害學生,有無違反規定在學校附近設置游戲廳、錄像廳、網吧等現象.
7、學生心理安全:是否面向全體學生開設心理健康教育課程,是否組織心理健康教育活動,對有心理疾病和問題家庭的學生是否進行心理疏導。
8、消防及安保設施設備是否齊全并妥善保管。
9、管制刀具等危險物品：是否建立管制刀具等危險物品相關制度，并在學生間開展管制刀具等危險物品的排查。
四、本次安全隱患大排查的總體情況
學校安全領導小組對全校安全工作做了一次拉網式大排查，并對檢查情況作了認真總結，指出了存在的問題，對存在安全隱患的地方進行了積極整改。因此本次安全隱患排查總體情況較好。
五、存在的問題和不足之處
本次安全檢查總體情況較好，這是全校師生共同努力取得的成果，但也有個別地方還存在不足之處和漏洞，還存有安全隱患，需要整改確保萬無一失。
1、個別教室的玻璃存在松動、損壞現象。
2、學生上學、放學路途存在不遵守交通規則的個別現象；
3、講究衛生,不食用無證攤點的飲料,食品,不亂吃零食,不亂丟垃圾的習慣養成。
4、師生安全消防意識不強，進行消防火技能培訓及消防安全常識教育，提高防火及消防能力。
5、家長接送學生時存在圍堵校門現象。
六、整改措施
1、針對玻璃松動、損壞問題，由專人進行加固或及時更換新玻璃。
2、針對學生上學放學路途存在不遵守交通規則的個別現象、亂丟垃圾、買零食、消防意識薄弱等現象，我校通過國旗下講話、召開交通安全、消防安全、食品安全等相關主題班會及手抄報、安全征文的形式強化全體師生的安全意識，并通過消防等各項演練提高學生逃生意識和逃生能力。
3、針對家長接送學生時存在圍堵校門現象，我校在校門口處設置兩個鐵質防撞木馬，將家長同校門口隔開，同時告知家長接送學生時存放好自己的交通工具，避免影響交通秩序。
七、今后安全工作要求
1、加強學校安全工作領導、精心組織。學校要切實加強對學校安全隱患排查治理工作組織領導,進一步落實隱患排查治理責任制,健全工作機制,明確職責分工,周密部署,精心組織,全面完成各項治理工作任務
2、加強安全教育。有針對性地對學生開展安全教育，特別是加強學生在防溺水、交通安全、食品安全、預防校園欺凌、預防踩踏等方面的校園安全意識及養成教育。
3、大力宣傳安全工作的重要性。營造良好的輿論和工作環境，充分利用班會，給家長的一封信、宣傳材料等普及安全知識，使廣大師生都能明確校園安全管理中對自己的要求以及相關的法律責任。
實習對于我們來說是非常必要的，不僅使我們在課堂上學到的東西得到在現實工作中運用，更重要的是能夠體驗豐富自己的社會實踐閱歷，盡快適應社會，而且還可以在社會中學到一些在課本上學不到的東西，鍛煉自己的社會本能，這樣在以后畢業后出到社會就可以以最快，最好的態勢來適應社會環境，投身到自己的工作崗位。于是，在大一大二暑假我都提前踏上社會實習，體驗社會工作的壓力，下面我就大二到xxxx網絡科技有限公司做電話營銷的實習做一下回顧。
二、實踐目的
通過到xxxx網絡科技有限公司實習，首先，可以對互聯網行業做進一步的了解；其次，可以更深一步了解電子商務網絡安全的防護措施；再次，可以將本專業所學的知識應用到實踐中，不僅可以鞏固專業知識，還能進一步提升完善知識框架；最后，感受公司的企業文化，了解公司的管理體制和經營之道，學會如何在企業做事，做人。
三、實踐內容
針對央行文件，擁有支付清算系統公司要做安全評估，訪問相關客戶
每天下班前對當天電話訪問的情況做詳細記錄，并總結
針對電子商務網站安全，做產品信息網頁防篡改，防病毒等宣傳，挖掘潛在客戶
兩三天開一次遠程會議，做工作匯報總結，發現其中問題，及時做修改及經驗交流
針對高校招生時期，對高校教育網做招生信息，學校信息網頁防篡改，防病毒等宣傳，挖掘潛在客戶
對已遭受黑客攻擊的網站，進行安全漏洞修補宣傳，以及防止被黑的措施宣傳，挖掘潛在客戶
第一周：開始進入公司實習，第一周主要是培訓。
首先是公司的人力資源主管，給我們介紹了一些關于公司的規章制度，和工作期間的一些相關事項。接著就是華南地區總經理和網絡安全總監，給我們介紹了這次實習項目的主要內容，讓我們有個大概的了解。了解完公司的大概情況后，就開始培訓跟項目有關的技術知識了。給我們介紹技術知識的是技術部的主管，為我們講解了關于網絡安全的相關技術，如soc，ddos，流量控制，防火墻等。雖然學過電子商務安全與支付，了解過相關網頁安全及支付系統安全的控制技術，但還有很多相關安全技術還是不懂的。經過了技術主管的培訓，雖然只是簡單的講解，也擴展了我對電子商務安全方面的技術知識。
第二天，就開始進入電話營銷的知識培訓了。給我們培訓的是客戶服務總監，是臺灣人。由于做這個項目的還有湖南長沙分公司的幾個人，所以就湖南和廣州的一起開培訓會議，通過遠程視頻三地連接，雖然是通過互聯網的開會，但是跟實際坐在一個會議室開會是一樣的，你的任何聲音，任何動作，其他人都可以聽到看到的。客服總監給我們講解了一些電話營銷的技巧以及常用術語，然后發了些資料讓我們背熟。
了解了技巧，熟悉了術語，該是考驗我們掌握的程度的時候了。客服總監讓廣州與湖南的的實習生相互訓練，即一個扮演客戶，一個扮演電話營銷員，讓我們在完全不知道對方會作何反應的情況下隨機應變，大大提升了我們的實踐經驗。
第二周：第一個任務——針對央行的最新文件，要求擁有支付清算系統的公司要做安全檢測。
接受了系統的培訓后，就開始正式對外撥號了。所以我們就搜集了擁有支付清算業務的公司的資料，包括公司名稱、網站、地址、電話、聯系人、郵箱等，然后輸入事先已經制作好的表格里。資料搜集后，就一個一個打電話，通過各種方法找到相關負責人，然后詢問他們關于支付清算系統的安全檢測問題是否已經做了，根據他們的知情程度、是否完成、以及是否有意愿完成、是否繼續跟進等將訪問的結果記錄到表格里。
很多時候我們打電話過去，才剛剛報了公司名字后，以為我們是推銷東西的，就立刻遭到拒絕。有時候有些公司根本不清楚支付系統安全方面是誰負責的，電話接來接去都找不到負責人。有時候接線員就騙我們說負責人不在，故意推脫。剛開始的時候，屢次的失敗讓我們自信心很受打擊。
每天下班前都要把今天所撥打的電話的訪問情況記錄整理好，然后發給客服總監，同時下班前客服總監會召我們開會，匯報今天的電訪情況，以及遇到的無法解決的問題，與大家進行交流，并想出應付辦法。
第三周：開始第二個任務——針對電子商務網站做網頁安全宣傳。
電子商務網站涉及交易信息、商品信息以及支付信息等一系列安全問題。一些黑客可能會把網站上的商品信息（如價格）進行篡改，從而導致電子商務企業和客戶陷入誤解糾紛等。因此電子商務網站要時刻進行漏洞掃描，及時修補，以防黑客進行攻擊。我們針對這些要點對電子商務網站公司進行電話訪問，了解他們的需求，同時宣傳我們公司在這方面的業務成就。
同樣的，我們事先就制作表格，搜集客戶資料進行輸入，同時對每個客戶訪問后的反應做整理，然后輸入表格里面。在本周開展新任務的同時，我們也對上周需要進一步跟進的客戶進行了再一次電訪，以盡可能促成交易。
第四周：開始第三個任務——針對高校招生時期，對高校網頁防篡改做業務宣傳。
恰逢暑假時期，各地高校正在忙著招生，各高校網都會更新關于招生的信息，各個學生家長也都會登錄高校網站查看自己的錄取情況。因此，很多黑客騙子會利用篡改高校網站招生信息，或是制作類似已有高校的網站的假高校網站騙取學生以牟取暴利，像北大清華等名牌高校都有被篡改過的前例。所以有安全意識的高校就會重視，也會有這方面的需求。我們便針對此要點撥通廣東所有高校的電話，試圖找到網絡中心的負責人進行交流。
學生與老師的交流自然比之前的與商業企業要容易多，不會很快就被人拒絕了。不過電訪過程我們還是會遇到很多問題，例如放假了學校網絡中心是實行值班制，很多時候打電話過去都沒人接聽。另外就是網絡中心老師有這方面意識，但學校項目需要向學校領導申請審批等一系列問題都難以促成交易。
第五周：開始第四個任務——根據國家信息中心提供的被黑網站統計系統，針對已經被黑的網站，勸其及時修補漏洞，刪除被黑網頁。
公司與國家信息中心有合作，根據國家信息中心提供的一個被黑網站統計系統，系統里每天都會更新搜集被黑網頁的鏈接，根據這個鏈接我們可以找到他的原始網站，再從網站上搜集公司的電話，進行撥打，告知對方網站已存在安全漏洞，已遭黑客攻擊，需要及時修補，從而希望對方可以讓我司為其提供這方面的服務。
電訪中很多網站是外包給網站建設公司的，原網站企業老板根本就不懂這方面的技術，而且說外包公司會負責其網站的安全維護。另外有些公司負責人不相信他們網站已被黑，我們便提供了他們網站被黑鏈接給他們。電訪中遇到的種種我們無法事先想象的問題，我們都會在事后開會交流中討論解決方案，以應付可能出現的問題。
五、實踐總結
一、選擇自己認可的工作
兩年暑假實踐的對比，讓我了解到，一個人如果做一件自己認可的工作，他會很認真很投入去完成，而做一件自己不認可的工作，你會發現你自己是在勉強過日子。網絡信息安全，對于一個讀電子商務的我來講，可以說是專業知識。網站漏洞、病毒入侵、黑客攻擊、網上支付安全等，我們很清楚互聯網的給人類帶來方便的同時也會帶來安全隱患，而我們也會極力去防范這些隱患的發生。我認可這項工作，因此我會很自然地跟客戶介紹這項服務，可以有足夠的理由及說服力勸說客戶接受我的觀點。而如果一件東西你自己都不認可，你又怎么可能有足夠的理由和自信心去讓別人接受呢？因此一定要選擇自己認可的工作，你才會去用心投入，才會收到你想要的結果。
二、工作安排及總結
每天早上上班開始時先為自己今天的工作做個計劃，讓自己知道今天要做哪些事。然后一定要在下班前完成它。因為沒有計劃就不會有行動，也不會有壓力，會讓自己變得懶惰。工作中會遇到很多你原先沒有想到的情況，就要及時記錄下來，以待改進。如果沒有記下來的話你會很快就忘記。因為每天接觸幾十個客戶，不把每個客戶的情況及時記下，回頭你怎么可能記得哪個客戶說過哪些話呢？臨近下班時，就要把今天的工作內容匯總整理好，以便以后翻閱。也把當天遇到的特殊情況或是自己無法應付的情況總結一下，向上級報告后交流下次如何應付。每天都做個daily report。積少成多，這就是你成長的見證。
三、專業知識
剛學完電子商務概論，知道了電子商務不只是局限在網上商城這一類，還有isp、icp、idc、vpn等網絡提供商。當進入xxxx網絡科技有限公司，一個做因特網服務提供商的公司實踐時，當培訓講了那些網絡通信知識時，才發現原來專業知識是那么有用的。當與客戶交流，涉及到不少專業知識，而自己無法解釋時才后悔自己上課時不認真學好，只為應付考試而去看書的，而過后就忘得一干二凈。因此專業知識一定要認真學好，尤其時當你去從事一個技術含量比較高時，對專業知識的要求自然也會高。因此奉勸大家不要只為考試而去讀書，專業知識的精通是你區別他人的籌碼。
當你接到面試通知后，你就應該去了解你所要應聘的職位。職位的要求是什么，需要哪方面的能力，面試官可能會問什么等等。電話營銷，一個我即將要去挑戰的職位，當我接到面試通知后，利用有限的一兩天時間，我立刻上網找了關于電話營銷的相關資料，要求、流程、技巧通通過目一遍，另外也跑去圖書館借了幾本電話營銷技巧的書來看，讓自己對這個職位有充分的了解并且做到心里有底。另外還準備了自我介紹，以及設想面試官可能會問到的問題都準備好。
著裝方面，雖然公司沒有要求，但是我還是穿了正裝去面試。沒穿正裝你不會扣分，但穿了正裝你一定會加分。當眾多面試者中只有你一個人穿正裝的話，面試官會給你打個很高的印象分，這也是你脫穎而出的因素。所以想在面試中取勝就必須做好前期準備，比別人花更多的心思。如果連暑假實踐這樣比較簡單的面試都不好好準備，那又怎么能夠去挑戰畢業后的高難度面試呢？
二、公司氛圍
當我第一天去這家公司報到時，公司的人很熱情，對我們兩個初來報到的暑假工照顧很周到，華南地區的副總經理、網絡安全的總監也很隨和，甚至第二天總監還請我們吃飯。整個公司的氛圍很融洽，讓人很有歸屬感。這不禁讓我想起了去年在保險公司實習的感受，簡直是天壤之別。保險公司的人心機很重，讓人覺得社會很黑。而xxxx的氛圍卻讓我感覺就像在學校一樣，大家都是大學畢業的，沒有那種沉重的心機，都是敞開心扉去交友的。大家一起看日全食，一起吃西瓜，一起吃哈密瓜。因此我總結出：學歷素質人品公司氛圍職工奉獻程度公司效益。因此，如果一個團體想收到優異的成績時，就必須營造良好的氛圍，讓成員有歸屬感，這樣他們才愿意為這個團體奉獻更多。
論文摘要：網絡上的動態網站以ASP為多數，我們學校的網站也是ASP的。筆者作為學校網站的制作和維護人員，與ASP攻擊的各種現象斗爭了多次，也對網站進行了一次次的修補，根據工作經驗，就ASP網站設計常見安全漏洞及其防范進行一些探討。本文結合 ASP 動態網站開發經驗，對ASP 程序設計存在的信息安全隱患進行分析，討論了ASP 程序常見的安全漏洞，從程序設計角度對 WEB信息安全及防范提供了參考。
1網絡安全總體狀況分析
2007年1月至6月期間，半年時間內，CNCERT/CC接收的網絡仿冒事件和網頁惡意代碼事件，已分別超出去年全年總數的14.6%和12.5%。
從CNCERT/CC掌握的半年情況來看，攻擊者的攻擊目標明確，針對不同網站和用戶采用不同的攻擊手段，且攻擊行為趨利化特點表現明顯。對政府類和安全管理相關類網站主要采用篡改網頁的攻擊形式，也不排除放置惡意代碼的可能。對中小企業，尤其是以網絡為核心業務的企業，采用有組織的分布式拒絕服務攻擊(DDoS)等手段進行勒索，影響企業正常業務的開展。對于個人用戶，攻擊者更多的是通過用戶身份竊取等手段，偷取該用戶游戲賬號、銀行賬號、密碼等，竊取用戶的私有財產。
2 用IIS+ASP建網站的安全性分析
微軟推出的IIS+ASP的解決方案作為一種典型的服務器端網頁設計技術，被廣泛應用在網上銀行、電子商務、網上調查、網上查詢、BBS、搜索引擎等各種互聯網應用中。但是，該解決方案在為我們帶來便捷的同時，也帶來了嚴峻的安全問題。本文從 ASP 程序設計角度對 WEB 信息安全及防范進行分析討論。
3 SP安全漏洞和防范
3.1 程序設計與腳本信息泄漏隱患
bak 文件。攻擊原理：在有些編輯ASP程序的工具中，當創建或者修改一個ASP文件時，編輯器自動創建一個備份文件，如果你沒有刪除這個bak文件，攻擊者可以直接下載，這樣源程序就會被下載。
防范技巧：上傳程序之前要仔細檢查，刪除不必要的文檔。對以BAK為后綴的文件要特別小心。
inc文件泄露問題。攻擊原理：當存在ASP的主頁正在制作且沒有進行最后調試完成以前，可以被某些搜索引擎機動追加為搜索對象。如果這時候有人利用搜索引擎對這些網頁進行查找，會得到有關文件的定位，并能在瀏覽器中查看到數據庫地點和結構的細節，并以此揭示完整的源代碼。
防范技巧：程序員應該在網頁前對它進行徹底的調試。首先對.inc文件內容進行加密，其次也可以使用.asp文件代替.inc文件，使用戶無法從瀏覽器直接觀看文件的源代碼。
3.2 對ASP頁面進行加密。為有效地防止ASP源代碼泄露，可以對ASP頁面進行加密。我們曾采用兩種方法對ASP頁面進行加密。一是使用組件技術將編程邏輯封裝入 DLL之中；二是使用微軟的Script Encoder對ASP頁面進行加密。
3.3 程序設計與驗證不全漏洞
驗證碼。普遍的客戶端交互如留言本、會員注冊等僅是按照要求輸入內容，但網上有很多攻擊軟件，如注冊機，可以通過瀏覽WEB，掃描表單，然后在系統上頻繁注冊，頻繁發送不良信息，造成不良的影響，或者通過軟件不斷的嘗試，盜取你的密碼。而我們使用通過使用驗證碼技術，使客戶端輸入的信息都必須經過驗證，從而可以解決這個問題。
登陸驗證。對于很多網頁，特別是網站后臺管理部分，是要求有相應權限的用戶才能進入操作的。但是，如果這些頁面沒有對用戶身份進行驗證，黑客就可以直接在地址欄輸入收集到的相應的 URL 路徑，避開用戶登錄驗證頁面，從而獲得合法用戶的權限。所以，登陸驗證是非常必要的。
SQL 注入。SQL注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什么區別，所以目前市面的防火墻都不會對SQL注入發出警報，如果管理員沒查看IIS日志的習慣，可能被入侵很長時間都不會發覺。
SQL 注入攻擊是最為常見的程序漏洞攻擊方式，引起攻擊的根本原因就是盲目信任用戶，將用戶輸入用來直接構造 SQL 語句或存儲過程的參數。以下列出三種攻擊的形式：
A．用戶登錄： 假設登錄頁面有兩個文本框，分別用來供用戶輸入帳號和 密碼，利用執行SQL 語句來判斷用戶是否為合法用戶。試想，如果黑客在密碼文本框中輸入 'OR 0=0，即不管前面輸入的用戶帳號和密碼是什么，OR后面的 0=0 總是成立的，最后結果就是該黑客成為了合法的用戶。
B．用戶輸入：假設網頁中有個搜索功能，只要用戶輸入搜索關鍵字，系統就列出符合條件的所有記錄，可是，如果黑客在關鍵字文本框中輸入' GO DROP TABLE 用戶表，后果是用戶表被徹底刪除。
C．參數傳遞： 假設我們有個網頁鏈接地址是 HTTP：//……asp?id=22， 然后 ASP在頁面中利用 Request.QueryString['id']取得該 id值，構成某 SQL 語句， 這種情況很常見。可是，如果黑客將地址變為HTTP：//……asp?id=22 and user=0 ，結果會怎樣?如果程序員有沒有對系統的出錯提示進行屏蔽處理的話，黑客就獲得了數據庫的用戶名，這為他們的進一步攻擊提供了很好的條件。
解決方法：以上幾個例子只是為了起到拋磚引玉的作用，其實，黑客利用“猜測+精通的sql 語言+反復嘗試”的方式，可以構造出各種各樣的sql入侵。作為程序員，如何來防御或者降低受攻擊的幾率呢?作者在實際中是按以下方法做的：
第一： 在用戶輸入頁面加以友好備注，告知用戶只能輸入哪些字符；
第二： 在客戶端利用 ASP 自帶的校驗控件和正則表達式對用戶輸入進行校驗，發現非法字符，提示用戶且終止程序進行；
第三： 為了防止黑客避開客戶端校驗直接進入后臺，在后臺程序中利用一個公用函數再次對用戶輸入進行檢查，一旦發現可疑輸入，立即終止程序，但不進行提示，同時，將黑客IP、動作、日期等信息保存到日志數據表中以備核查。
第四： 對于參數的情況，頁面利用 QueryString 或者 Quest 取得參數后， 要對每個參數進行判斷處理，發現異常字符， 要利用 replace 函數將異常字符過濾掉，然后再做下一步操作。
轉貼于
第五：只給出一種錯誤提示信息，服務器都只提示HTTP 500錯誤。
第六：在IIS中為每個網站設置好執行權限。千萬別給靜態網站以“腳本和可執行”權限。一般情況下給個“純腳本”權限就夠了，對于那些通過網站后臺管理中心上傳的文件存放的目錄，就更吝嗇一點吧，執行權限設為“無”好了。
第七：數據庫用戶的權限配置。對于MS＿SQL，如果PUBLIC權限足夠使用的絕不給再高的權限，千萬不要SA級別的權限隨隨便便地給。
3.4 傳漏洞
諸如論壇，同學錄等網站系統都提供了文件上傳功能，但在網頁設計時如果缺少對用戶提交參數的過濾，將使得攻擊者可以上傳網頁木馬等惡意文件，導致攻擊事件的發生。
防文件上傳漏洞
在文件上傳之前，加入文件類型判斷模塊，進行過濾，防止ASP、ASA、CER等類型的文件上傳。
暴庫。暴庫，就是通過一些技術手段或者程序漏洞得到數據庫的地址，并將數據非法下載到本地。
數據庫可能被下載。在IIS+ASP網站中，如果有人通過各種方法獲得或者猜到數據庫的存儲路徑和文件名，則該數據庫就可以被下載到本地。
數據庫可能被解密
由于Access數據庫的加密機制比較簡單，即使設置了密碼，解密也很容易。因此，只要數據庫被下載，其信息就沒有任何安全性可言了。
防止數據庫被下載 。由于Access數據庫加密機制過于簡單，有效地防止數據庫被下載，就成了提高ASP+Access解決方案安全性的重中之重。以下兩種方法簡單、有效。
非常規命名法。為Access數據庫文件起一個復雜的非常規名字，并把它放在幾個目錄下。
使用ODBC數據源。在ASP程序設計中，如果有條件，應盡量使用ODBC數據源，不要把數據庫名寫在程序中，否則，數據庫名將隨ASP源代碼的失密而一同失密。
使用密碼加密。經過MD5加密，再結合生成圖片驗證碼技術，暴力破解的難度會大大增強。
使用數據備份。當網站被黑客攻擊或者其它原因丟失了數據，可以將備份的數據恢復到原始的數據，保證了網站在一些人為的、自然的不可避免的條件下的相對安全性。
3.5 SP木馬
由于ASP它本身是服務器提供的一項服務功能，所以這種ASP腳本的木馬后門，不會被殺毒軟件查殺。被黑客們稱為“永遠不會被查殺的后門”。我在這里講講如何有效的發現web空間中的asp木馬并清除。
技巧1：殺毒軟件查殺
一些非常有名的asp木馬已經被殺毒軟件列入了黑名單，所以利用殺毒軟件對web空間中的文件進行掃描，可以有效的發現并清除這些有名的asp木馬。
技巧2：FTP客戶端對比
asp木馬若進行偽裝，加密，躲藏殺毒軟件，怎么辦？
我們可以利用一些FTP客戶端軟件（例如cuteftp，FlashFXP）提供的文件對比功能，通過對比FTP的中的web文件和本地的備份文件，發現是否多出可疑文件。
技巧3：用Beyond Compare 2進行對比
滲透性asp木馬，可以將代碼插入到指定web文件中，平常情況下不會顯示，只有使用觸發語句才能打開asp木馬，其隱蔽性非常高。 Beyond Compare 2這時候就會作用比較明顯了。
技巧4：利用組件性能找asp木馬
如：思易asp木馬追捕。
大家在查找web空間的asp木馬時，最好幾種方法結合起來，這樣就能有效的查殺被隱藏起來的asp木馬。
結束語
總結了ASP木馬防范的十大原則供大家參考：
建議用戶通過FTP來上傳、維護網頁，盡量不安裝asp的上傳程序。
對asp上傳程序的調用一定要進行身份認證，并只允許信任的人使用上傳程序。
asp程序管理員的用戶名和密碼要有一定復雜性，不能過于簡單，還要注意定期更換。
到正規網站下載asp程序，下載后要對其數據庫名稱和存放路徑進行修改，數據庫文件名稱也要有一定復雜性。
要盡量保持程序是最新版本。
不要在網頁上加注后臺管理程序登陸頁面的鏈接。
為防止程序有未知漏洞，可以在維護后刪除后臺管理程序的登陸頁面，下次維護時再通過上傳即可。
要時常備份數據庫等重要文件。
日常要多維護，并注意空間中是否有來歷不明的asp文件。
一旦發現被人侵，除非自己能識別出所有木馬文件，否則要刪除所有文件。重新上傳文件前，所有asp程序用戶名和密碼都要重置，并要重新修改程序數據庫名稱和存放路徑以及后臺管理程序的路徑。
做好以上防范措施，您的網站只能說是相對安全了，決不能因此疏忽大意，因為入侵與反入侵是一場永恒的戰爭！網站安全是一個較為復雜的問題，嚴格的說，沒有絕對安全的網絡系統，我們只有通過不斷的改進程序，將各種可能出現的問題考慮周全，對潛在的異常情況進行處理，才能減少被黑客入侵的機會。
參考文獻
[1]袁志芳 田曉芳 李桂寶《ASP程序設計與 WEB信息安全》 中國教育信息化2007年21期.
論文摘要：網絡上的動態網站以ASP為多數，我們學校的網站也是ASP的。筆者作為學校網站的制作和維護人員，與ASP攻擊的各種現象斗爭了多次，也對網站進行了一次次的修補，根據工作經驗，就ASP網站設計常見安全漏洞及其防范進行一些探討。本文結合ASP動態網站開發經驗，對ASP程序設計存在的信息安全隱患進行分析，討論了ASP程序常見的安全漏洞，從程序設計角度對WEB信息安全及防范提供了參考。
1網絡安全總體狀況分析
2007年1月至6月期間，半年時間內，CNCERT/CC接收的網絡仿冒事件和網頁惡意代碼事件，已分別超出去年全年總數的14.6%和12.5%。
從CNCERT/CC掌握的半年情況來看，攻擊者的攻擊目標明確，針對不同網站和用戶采用不同的攻擊手段，且攻擊行為趨利化特點表現明顯。對政府類和安全管理相關類網站主要采用篡改網頁的攻擊形式，也不排除放置惡意代碼的可能。對中小企業，尤其是以網絡為核心業務的企業，采用有組織的分布式拒絕服務攻擊(DDoS)等手段進行勒索，影響企業正常業務的開展。對于個人用戶，攻擊者更多的是通過用戶身份竊取等手段，偷取該用戶游戲賬號、銀行賬號、密碼等，竊取用戶的私有財產。
2用IIS+ASP建網站的安全性分析
微軟推出的IIS+ASP的解決方案作為一種典型的服務器端網頁設計技術，被廣泛應用在網上銀行、電子商務、網上調查、網上查詢、BBS、搜索引擎等各種互聯網應用中。但是，該解決方案在為我們帶來便捷的同時，也帶來了嚴峻的安全問題。本文從ASP程序設計角度對WEB信息安全及防范進行分析討論。
3SP安全漏洞和防范
3.1程序設計與腳本信息泄漏隱患
bak文件。攻擊原理：在有些編輯ASP程序的工具中，當創建或者修改一個ASP文件時，編輯器自動創建一個備份文件，如果你沒有刪除這個bak文件，攻擊者可以直接下載，這樣源程序就會被下載。
防范技巧：上傳程序之前要仔細檢查，刪除不必要的文檔。對以BAK為后綴的文件要特別小心。
inc文件泄露問題。攻擊原理：當存在ASP的主頁正在制作且沒有進行最后調試完成以前，可以被某些搜索引擎機動追加為搜索對象。如果這時候有人利用搜索引擎對這些網頁進行查找，會得到有關文件的定位，并能在瀏覽器中查看到數據庫地點和結構的細節，并以此揭示完整的源代碼。
防范技巧：程序員應該在網頁前對它進行徹底的調試。首先對.inc文件內容進行加密，其次也可以使用.asp文件代替.inc文件，使用戶無法從瀏覽器直接觀看文件的源代碼。
3.2對ASP頁面進行加密。為有效地防止ASP源代碼泄露，可以對ASP頁面進行加密。我們曾采用兩種方法對ASP頁面進行加密。一是使用組件技術將編程邏輯封裝入DLL之中；二是使用微軟的ScriptEncoder對ASP頁面進行加密。3.3程序設計與驗證不全漏洞
驗證碼。普遍的客戶端交互如留言本、會員注冊等僅是按照要求輸入內容，但網上有很多攻擊軟件，如注冊機，可以通過瀏覽WEB，掃描表單，然后在系統上頻繁注冊，頻繁發送不良信息，造成不良的影響，或者通過軟件不斷的嘗試，盜取你的密碼。而我們使用通過使用驗證碼技術，使客戶端輸入的信息都必須經過驗證，從而可以解決這個問題。
登陸驗證。對于很多網頁，特別是網站后臺管理部分，是要求有相應權限的用戶才能進入操作的。但是，如果這些頁面沒有對用戶身份進行驗證，黑客就可以直接在地址欄輸入收集到的相應的URL路徑，避開用戶登錄驗證頁面，從而獲得合法用戶的權限。所以，登陸驗證是非常必要的。
SQL注入。SQL注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什么區別，所以目前市面的防火墻都不會對SQL注入發出警報，如果管理員沒查看IIS日志的習慣，可能被入侵很長時間都不會發覺。
SQL注入攻擊是最為常見的程序漏洞攻擊方式，引起攻擊的根本原因就是盲目信任用戶，將用戶輸入用來直接構造SQL語句或存儲過程的參數。以下列出三種攻擊的形式：
A．用戶登錄：假設登錄頁面有兩個文本框，分別用來供用戶輸入帳號和密碼，利用執行SQL語句來判斷用戶是否為合法用戶。試想，如果黑客在密碼文本框中輸入''''OR0=0，即不管前面輸入的用戶帳號和密碼是什么，OR后面的0=0總是成立的，最后結果就是該黑客成為了合法的用戶。
B．用戶輸入：假設網頁中有個搜索功能，只要用戶輸入搜索關鍵字，系統就列出符合條件的所有記錄，可是，如果黑客在關鍵字文本框中輸入''''GODROPTABLE用戶表，后果是用戶表被徹底刪除。
C．參數傳遞：假設我們有個網頁鏈接地址是HTTP：//……asp?id=22，然后ASP在頁面中利用Request.QueryString[''''id'''']取得該id值，構成某SQL語句，這種情況很常見。可是，如果黑客將地址變為HTTP：//……asp?id=22anduser=0，結果會怎樣?如果程序員有沒有對系統的出錯提示進行屏蔽處理的話，黑客就獲得了數據庫的用戶名，這為他們的進一步攻擊提供了很好的條件。
解決方法：以上幾個例子只是為了起到拋磚引玉的作用，其實，黑客利用“猜測+精通的sql語言+反復嘗試”的方式，可以構造出各種各樣的sql入侵。作為程序員，如何來防御或者降低受攻擊的幾率呢?作者在實際中是按以下方法做的：
第一：在用戶輸入頁面加以友好備注，告知用戶只能輸入哪些字符；
第二：在客戶端利用ASP自帶的校驗控件和正則表達式對用戶輸入進行校驗，發現非法字符，提示用戶且終止程序進行；
第三：為了防止黑客避開客戶端校驗直接進入后臺，在后臺程序中利用一個公用函數再次對用戶輸入進行檢查，一旦發現可疑輸入，立即終止程序，但不進行提示，同時，將黑客IP、動作、日期等信息保存到日志數據表中以備核查。
第四：對于參數的情況，頁面利用QueryString或者Quest取得參數后，要對每個參數進行判斷處理，發現異常字符，要利用replace函數將異常字符過濾掉，然后再做下一步操作。
第五：只給出一種錯誤提示信息，服務器都只提示HTTP500錯誤。
第六：在IIS中為每個網站設置好執行權限。千萬別給靜態網站以“腳本和可執行”權限。一般情況下給個“純腳本”權限就夠了，對于那些通過網站后臺管理中心上傳的文件存放的目錄，就更吝嗇一點吧，執行權限設為“無”好了。
第七：數據庫用戶的權限配置。對于MS＿SQL，如果PUBLIC權限足夠使用的絕不給再高的權限，千萬不要SA級別的權限隨隨便便地給。
3.4傳漏洞
諸如論壇，同學錄等網站系統都提供了文件上傳功能，但在網頁設計時如果缺少對用戶提交參數的過濾，將使得攻擊者可以上傳網頁木馬等惡意文件，導致攻擊事件的發生。
防文件上傳漏洞
在文件上傳之前，加入文件類型判斷模塊，進行過濾，防止ASP、ASA、CER等類型的文件上傳。
暴庫。暴庫，就是通過一些技術手段或者程序漏洞得到數據庫的地址，并將數據非法下載到本地。
數據庫可能被下載。在IIS+ASP網站中，如果有人通過各種方法獲得或者猜到數據庫的存儲路徑和文件名，則該數據庫就可以被下載到本地。
數據庫可能被解密
由于Access數據庫的加密機制比較簡單，即使設置了密碼，解密也很容易。因此，只要數據庫被下載，其信息就沒有任何安全性可言了。
防止數據庫被下載。由于Access數據庫加密機制過于簡單，有效地防止數據庫被下載，就成了提高ASP+Access解決方案安全性的重中之重。以下兩種方法簡單、有效。
非常規命名法。為Access數據庫文件起一個復雜的非常規名字，并把它放在幾個目錄下。
使用ODBC數據源。在ASP程序設計中，如果有條件，應盡量使用ODBC數據源，不要把數據庫名寫在程序中，否則，數據庫名將隨ASP源代碼的失密而一同失密。
使用密碼加密。經過MD5加密，再結合生成圖片驗證碼技術，暴力破解的難度會大大增強。
使用數據備份。當網站被黑客攻擊或者其它原因丟失了數據，可以將備份的數據恢復到原始的數據，保證了網站在一些人為的、自然的不可避免的條件下的相對安全性。
3.5SP木馬
由于ASP它本身是服務器提供的一項服務功能，所以這種ASP腳本的木馬后門，不會被殺毒軟件查殺。被黑客們稱為“永遠不會被查殺的后門”。我在這里講講如何有效的發現web空間中的asp木馬并清除。
技巧1：殺毒軟件查殺
一些非常有名的asp木馬已經被殺毒軟件列入了黑名單，所以利用殺毒軟件對web空間中的文件進行掃描，可以有效的發現并清除這些有名的asp木馬。
技巧2：FTP客戶端對比
asp木馬若進行偽裝，加密，躲藏殺毒軟件，怎么辦？
我們可以利用一些FTP客戶端軟件（例如cuteftp，FlashFXP）提供的文件對比功能，通過對比FTP的中的web文件和本地的備份文件，發現是否多出可疑文件。
技巧3：用BeyondCompare2進行對比
滲透性asp木馬，可以將代碼插入到指定web文件中，平常情況下不會顯示，只有使用觸發語句才能打開asp木馬，其隱蔽性非常高。BeyondCompare2這時候就會作用比較明顯了。
技巧4：利用組件性能找asp木馬
如：思易asp木馬追捕。
大家在查找web空間的asp木馬時，最好幾種方法結合起來，這樣就能有效的查殺被隱藏起來的asp木馬。
結束語
總結了ASP木馬防范的十大原則供大家參考：
建議用戶通過FTP來上傳、維護網頁，盡量不安裝asp的上傳程序。
對asp上傳程序的調用一定要進行身份認證，并只允許信任的人使用上傳程序。
asp程序管理員的用戶名和密碼要有一定復雜性，不能過于簡單，還要注意定期更換。
到正規網站下載asp程序，下載后要對其數據庫名稱和存放路徑進行修改，數據庫文件名稱也要有一定復雜性。
要盡量保持程序是最新版本。
不要在網頁上加注后臺管理程序登陸頁面的鏈接。
為防止程序有未知漏洞，可以在維護后刪除后臺管理程序的登陸頁面，下次維護時再通過上傳即可。
要時常備份數據庫等重要文件。
日常要多維護，并注意空間中是否有來歷不明的asp文件。
一旦發現被人侵，除非自己能識別出所有木馬文件，否則要刪除所有文件。重新上傳文件前，所有asp程序用戶名和密碼都要重置，并要重新修改程序數據庫名稱和存放路徑以及后臺管理程序的路徑。
做好以上防范措施，您的網站只能說是相對安全了，決不能因此疏忽大意，因為入侵與反入侵是一場永恒的戰爭！網站安全是一個較為復雜的問題，嚴格的說，沒有絕對安全的網絡系統，我們只有通過不斷的改進程序，將各種可能出現的問題考慮周全，對潛在的異常情況進行處理，才能減少被黑客入侵的機會。
參考文獻
[1]袁志芳田曉芳李桂寶《ASP程序設計與WEB信息安全》中國教育信息化2007年21期.
（一）廣泛開展質量宣傳教育，營造全社會重視質量安全的良好氛圍
充分發揮*時報、*有線及區政府網站等新聞媒體的宣傳作用，定期在*時報開設“質量和安全年”專題欄目，普及質量安全教育知識，加大社會輿論監督。精心組織開展“質量月”、迎世博“三五”集中行動、“世界標準日”等宣傳活動，動員社會各界積極參與“質量和安全年”活動，形成全區上下重視質量的良好氛圍。
（二）大力實施品牌發展戰略，促進區域經濟平穩較快增長
進一步發揮品牌戰略對區域經濟的促進作用，引導和鼓勵“老字號”企業提高自主創新能力和產品科技含量，增強企業核心競爭力。保護和培育“著（馳）名商標”，強化品牌商標的監管力度，增強企業運用商標謀求發展的能力。深入開展知識產權試點企業創建活動，提高品牌企業對知識產權的創造、保護、運用及管理能力。夯實名牌企業質量管理基礎，引導企業實施卓越績效質量管理模式，鼓勵企業爭創*市質量金獎、市長質量獎等榮譽稱號。采取有效措施，培育一批擁有知名自主品牌和知識產權的支柱企業和產業集群，形成“企業自主創新、順應市場發展、政府積極推進”的品牌發展新局面。
（三）切實推動標準化引領戰略，提升世博窗口服務質量
積極推進南京路商貿、餐飲、住宿行業服務標準化工作，切實規范區域公共信息圖形標志，不斷提高城區公共管理水平。樹立“誠信經營促發展，微笑服務添光彩”服務理念，優化商業服務結構，提升旅游、商貿、交通等世博窗口服務能級，提高區域整體服務質量和顧客滿意度，突出體現標準化工作在建設誠信、溫馨和放心的世博服務區工作中的積極作用。
（四）深化實施以質取勝戰略，夯實質量工作發展基礎
切實落實生產企業產品質量的第一責任，促使企業樹立以質量為生命、以誠信為根本的發展理念，健全企業質量管理制度，按照產品安全標準和質量標準配備檢測設備，對生產經營全過程開展質量控制和檢測檢驗，確保產品質量安全。切實加強質量宏觀管理，不斷豐富質量興區工作內涵。充分發揮社會中介機構和社會團體的行業自律作用，加強對企業的指導和服務。完善各街道積極參與的社區質量監管網絡。
（五）全面加強質量安全監管，創造平安、和諧的民生環境
研究制定世博服務區食品安全、特種設備安全和產品質量安全的保障方案，確保食品、產品的質量安全和特種設備運行安全。以貫徹實施《食品安全法》為契機，開展對食用農產品以及食品安全的集中整治；加大對涉及人身安全的裝飾材料、小家電、絮用纖維產品的打假治劣力度。加強對建設工程中設備質量的監管，開展對住宅工程質量的專項整治；加大市場綜合監管力度，嚴厲打擊“吊模斬客”等違法行為，深化“百城萬店無假貨活動”，建立各類企業質量誠信檔案，形成安商、留商、穩商、富商的社會風氣，保障民生安全，創造平安、和諧的城區環境。
二、指導思想
以學習實踐科學發展觀為指導，按照區委、區政府“保增長、迎世博、攻舊改、重民生、促和諧”的總體要求，認真貫徹實施《*區質量工作三年行動計劃》，圓滿完成各項質量目標任務,深入推進質量興區工作，切實加強質量安全監管，不斷提高質量保障能力，努力打造安全放心的世博環境，不斷提升我區質量安全總體水平。
三、工作要求
（一）完善工作體系
進一步健全政府負總責、監管部門各負其責、企業作為第一責任人、行業質量自律的質量責任體系，努力構建“各方參與、責任明確、服務到位、監管嚴格”的區域質量工作體系。健全區質量工作聯席會議制度，并作為統籌協調“質量和安全年”活動的領導協調機構，具體工作由區質量技監局負責。
（二）加強工作指導
認真落實區質量工作聯席會議精神，加強部門間協調配合，強化對企業的指導幫助，合力推進“質量和安全年”工作全面開展。及時研究質量工作中存在的具體困難和問題，進一步鞏固《區質量工作三年行動計劃》中的優勢指標，加大對尚未完成指標的推進力度，完善*區質量狀況分析報告制度。
（三）抓好工作督查
充分發揮區質量工作聯席會議領導協調作用，加強對本區“質量和安全年”活動的監督檢查，評估活動開展的進度和成效，確保“質量和安全年”各項工作落實到位。
關鍵詞：Linux服務器；安全隱患；攻擊；防護措施
中圖分類號：TP393.0 文獻標識碼：A
Abstract：Linux system as a mainstream network server is facing increasingly serious security problems，various attacks and vulnerabilities impose devastating losses on businesses.In this paper，we analyze and summarize the security risks of the Linux server according to the safety problem，and researching the familiar attack methods in Linux system.Finally，we represent some effective protective measures combining with the practical experience.
Keywords：Linux server；security risks；attack；protective measures
1 引言（Introduction）
隨著信息技術的廣泛應用，承載企業重要資料和信息的服務器扮演著極為重要的角色，很多企業和單位都搭建了服務器，一旦服務器受到破壞或發生故障，將會給企業帶來巨大的經濟損失，所以服務器的安全是十分重要的。
目前，由于很多具有攻擊性的程序，如病毒、木馬等大多是針對Windows系統開發，故Linux系統一直被認為是安全穩定的，很多大型的網站和公司都傾向于使用Linux操作系統作為服務器平臺。但是安全總是相對的，目前針對Linux系統的入侵和攻擊手段愈來愈多，Linux服務器本身的漏洞也愈來愈多，Linux服務器的安全風險正在日益增長，如何應對千變萬化的攻擊并保證Linux服務器的安全，已成為至關重要的課題。
本文將詳細分析常見的Linux服務器安全隱患和攻擊手段，并提出一些具體的防護措施。
2 Linux服務器的安全隱患（The security risks of
Linux server）
我們將Linux服務器的安全隱患總結為以下三點：
（1）Linux系統自身的安全漏洞；
（2）Linux服務的安全隱患；
（3）Linux的網絡安全隱患。
下面詳細分析這三點隱患。
2.1 Linux系統自身的安全漏洞
任何系統都不是絕對完美的，Linux系統也是如此，隨著Linux應用的復雜化和開源化，Linux操作系統自身的漏洞也逐漸增多，我們將其分為以下幾點：
（1）Linux賬號漏洞
Linux賬號漏洞也可以稱為權限提升漏洞，這類漏洞一般都是來自系統自身或程序的缺陷，使得攻擊者可以在遠程登錄時獲得root管理員權限。以RedHat系統為例，其某個版本曾經存在賬號漏洞，使得黑客入侵系統時通過執行特定的腳本可以輕松獲得root級別的權限。此外，如果普通用戶在重啟系統后通過單用戶模式進入Linux系統，通過修改Passwd賬號文件，也可以獲取root權限。
（2）Linux文件系統漏洞
Linux文件系統的安全保障是靠設置文件權限來實現的。Linux的文件權限包括三個屬性，分別是所有者，用戶組和其他人的權限，權限包括讀、寫、執行、允許SUID、允許SGID等。黑客會利用SUID和SGID獲得某些程序的運行權限。另外黑客還可能修改一些可執行文件的腳本，讓用戶在登錄時執行從而達到破壞系統的目的。
（3）Linux內核漏洞
系統內核出現漏洞往往是很危險的，Linux的內核短小精悍、穩定性和擴展性好，但是其內核的漏洞卻不少。例如2003年9月份被發現的do_brk（）邊界檢查不充分漏洞可以使攻擊者可以繞過系統安全防護，直接對內核區域進行操作。再比如Linux內核中的整數溢出漏洞會導致內核中的數據被破壞，從而使得系統崩潰。
2.2 Linux服務的安全隱患
Linux系統上的服務種類繁多，其中網絡服務最為重要，網絡服務主要用來搭建各種服務器，下面我們就針對不同的網絡服務探討Linux系統的安全隱患。
（1）Apache服務的安全隱患
Apache是最為常見的開源WEB網站服務器程序，如果Apache服務出現漏洞將會對網站造成極大的威脅。目前Apache服務漏洞主要包括拒絕服務攻擊、文件描述符泄露、日志記錄失敗等問題。
一些Apache服務的模塊也可能存在漏洞，例如Apache的線程多處理模塊（MPM）和Apache mod_cache模塊中的cache_util.c可以引發服務器系統的崩潰。
（2）BIND域名服務的安全隱患
很多Linux域名服務器都采用BIND（Berkeley Internet Name Domain）軟件包，據統計互聯網上的DNS服務器有一半以上用的是有漏洞的BIND版本。常見的BIND漏洞有：solinger bug，黑客可以利用其讓BIND服務產生間隔為120秒以上的暫停；fdmax bug，可以造成DNS服務器的崩潰；nxt bug，允許黑客以運行DNS服務的身份（默認為root）進入系統。
（3）SNMP服務的安全隱患
SNMP的全稱是簡單網絡管理協議，Linux中SNMP服務的作用是管理監控整個核心網絡，黑客利用SNMP的漏洞可以控制整片區域的網絡。常見的SNMP漏洞有：Net-SNMP安全漏洞，黑客通過發送畸形的SNMP報文使服務器程序發生溢出，而導致系統崩潰[1]；SNMP口令漏洞，SNMPv1版本使用明文口令，默認情況下系統自動開啟并使用默認口令public，這是很多管理者經常忽略的問題[2]。
2.3 Linux的網絡安全隱患
Linux作為網絡操作系統，要頻繁的與網絡交互數據包，很多數據包經過偽裝進入系統內部，會給系統帶來破壞。較為常見的Linux網絡安全隱患有：
（1）口令隱患
口令是操作系統的首道屏障，黑客入侵服務器的第一步往往就是破解口令。Linux操作系統的口令以文件的形式保存在系統中，例如RedHat版本中口令保存在/etc/passwd中。如果文件中存在不設口令或者弱口令的賬號，就很容易被黑客破解。
（2）TCP/IP隱患
TCP/IP協議棧是網絡操作系統內核中的重要模塊，從應用層產生的網絡數據都要經過TCP/IP協議的逐層封裝才能發送到網絡中去。當協議棧收到一些特殊的網絡數據時就會發生異常。例如TCP模塊收到SYN報文后，會回復一個ACK報文并稍帶自己的SYN序號，這時如果黑客再回復一個RST報文，服務器就會重置TCP信息，這樣黑客就可以在不暴露自己信息情況下對服務器進行端口掃描。
還有一些黑客給服務器的某個端口發送大量的SYN報文，而自己不回復確認，這樣就會消耗服務器的資源而造成其癱瘓[3]。
3 針對Linux服務器的攻擊手段（The means of
attack to Linux server）
在信息安全領域，攻擊是指在未經授權的情況下進入信息系統，對系統進行更改、破壞或者竊取信息等行為的總稱。在Linux服務器中，攻擊行為主要可以概括為：
（1）口令入侵：對于一些采用弱口令的賬戶，黑客可以很輕松的通過暴力破解窮舉口令以獲得賬戶的權限。目前有很多口令破解的工具，例如字典破解工具將常見的口令和有意義的詞組錄入到字典庫中，破解的時候優先選擇這些常見的口令，可以大大的減少窮舉的時間。另外，隨著計算機處理能力的發展，口令破解對于普通人來說已經不是難事，如果口令長度不長，組合不復雜，破解時間都在可以接受的范圍內。
（2）木馬病毒：木馬病毒是指植入到計算機系統中可以破壞或竊據機密信息的隱藏程序，木馬一般常見于客戶端主機，但也可能潛伏在Linux服務器中，例如Linux.Plupii.C木馬可以通過系統漏洞傳播，打開服務器的UDP端口27015以允許黑客遠程控制服務器。
（3）端口掃描：端口掃描是黑客入侵服務器的第一步，通過端口掃描，黑客可以獲知服務器的相關信息。端口是應用層網絡進程的標識，入侵計算機系統的實質是入侵系統中的進程，所以獲知端口是否開啟后才能實施真正的攻擊。端口掃描的原理是利用系統的網絡漏洞，繞過防火墻并獲得服務器的回復，例如常見的S掃描就是利用TCP建立連接時三次握手的漏洞，在最后一次握手時發給服務器重置命令，在獲得服務器端口信息后讓服務器刪除和自己相關的連接信息。
（4）拒絕服務攻擊：拒絕服務攻擊是指通過某種手段使得服務器無法向客戶端提供服務，拒絕服務攻擊可能是最不容易防護的攻擊手段，因為對于服務器而言向外提供服務的形式是開放的，我們很難判斷請求服務的主機是否為入侵者，當大量的主機發送請求時，服務器就會因為資源耗光而陷入癱瘓。
（5）緩沖區溢出：緩沖區溢出是指經過精心設計的程序將系統內執行程序的緩沖區占滿而發生溢出，溢出的數據可能會使系統跳轉執行其他非法程序或造成系統崩潰。緩沖區溢出的原因是程序員編寫程序時沒有檢查數據長度造成的。
（6）僵尸網絡：僵尸網絡是指受黑客控制的大量主機，這些主機可以同時對一個服務器發起攻擊，而自身卻不知情。這種攻擊手段是很隱秘的，很難查到攻擊者的真實身份。
（7）網絡監聽：網絡監聽是指通過某種手段截獲主機之間的通信數據以獲得口令等重要信息。一些常見網絡監聽工具可以解析網段內的所有數據，此時如果主機之間的通信是明文傳輸的，黑客就可輕而易舉地讀取包括口令在內的所有信息資料。
（8）網絡欺騙：網絡欺騙包括IP地址欺騙、WWW欺騙、DNS欺騙、ARP欺騙等一系列欺騙方法。其主要目的是通過虛假的網絡信息欺騙目的主機，已達到擾亂通信的目的。
4 Linux服務器的防護措施（The protective
measures of Linux server）
針對以上漏洞和攻擊，Linux服務器的防護措施主要可以分為系統安全防護和網絡安全防護兩類，下面逐一介紹：
4.1 Linux系統安全防護措施
（1）系統賬號及口令安全：對于網絡服務器而言，很多賬戶都是不必要的，賬號越多，系統就越易受攻擊。所以應該最大限度的刪除多余賬戶，并對用戶賬號設置安全級別，以保證每個賬號的權限都被限制在被允許的范圍內。
另外還要確保每個已有賬戶都設置了復雜度高的口令，口令的復雜度設置可以通過修改/etc/login.defs文件來實現，其中的PASS_MAX_DAYS表示密碼最長的過期天數，PASS_MIN_DAYS用來設置密碼最小的過期天數，PASS_MIN_LEN表示密碼最小的長度，PASS_WARN_AGE表示密碼過期后的警告天數。
口令文件的安全性也至關重要，我們可以通過chattr命令給口令文件加入只讀屬性：chattr+i/etc/passwd，這樣口令文件就不能隨意被修改了。
（2）文件安全設置：Linux的文件系統提供了訪問控制的功能，訪問控制的客體是文件和目錄，主體是用戶，包括文件或目錄的所有者，用戶所在組及其他組。訪問控制的操作包括讀（r）、寫（w）和執行（x），管理員根據不同的權限設置關于主體的能力表以及關于客體的訪問控制列表。
（3）系統日志：Linux服務器的系統日志也是應該被關注的設置，因為日志文件詳細的記錄了系統發生的各類事件，例如系統的錯誤記錄，每次用戶登錄系統記錄，各種服務的運行記錄以及網絡用戶的訪問記錄等等。如果服務器遭受到攻擊，管理員可以通過日志追蹤到黑客留下的痕跡，另外，當涉及到法律糾紛時，系統日志經過專業人員提取還可以作為電子證據。
（4）服務安全：Linux服務器中往往開啟了很多服務，首先應該確定的是哪些服務是不必要的，可以通過chkconfig命令關閉系統自啟動的服務。接下來要在必須啟動的服務中找到存在的風險，例如apache服務的目錄瀏覽功能會使訪問者進入網站的根目錄，并能瀏覽其中的所有文件。
（5）安全工具：Linux服務器中帶有很多安全工具方便管理員的使用，例如SSH可以加密傳輸數據，Tcpdump可以用來檢查網絡通訊的原始數據。
4.2 Linux網絡安全防護措施
Linux網絡服務器也采用了傳統的網絡安全防護手段，即防火墻與入侵檢測系統。防火墻是保護內網的屏障，它過濾并分析網絡數據包，阻止有威脅的數據進入；入侵檢測是內網和系統內部的監控器，它分析異常數據并作出報警，有些入侵檢測還會與防火墻聯動，一同保護服務器的安全。Linux系統中的Iptables和Snort是比較成熟的防火墻和入侵檢測系統，下面我們逐一介紹：
（1）防火墻：Iptables，目前使用的最新版本是Linux 2.4內核中的Netfilter/Iptables包過濾機制[4]。Iptables包括三個功能表，分別完成數據包過濾、網絡地址轉換和數據拆分的任務。每個表中有若干規則連：這五個位置也被稱為五個鉤子函數（hook functions），也叫五個規則鏈：PREROUTING（路由前）、INPUT（數據包流入鏈）、FORWARD（轉發鏈）、OUTPUT（數據包出口鏈）、POSTROUTING（路由后），不同的鏈用于不同位置的數據，每個鏈中又可以包含若干條規則[5]。
（2）入侵檢測：Snort是一個免費的輕量級網絡入侵檢測系統。它能兼容多個不同的操作系統平臺，可以用于監視小型網絡或者服務器系統內部的服務，在進行網絡監控時Snort可以將網絡數據與入侵檢測規則做模式匹配，從而檢測出可能的入侵數據，同時Snort也可以使用統計學的方法對網絡數據進行異常檢測[6]。
5 結論（Conclusion）
針對Linux的攻擊手段日益增多，Linux服務器的安全隱患也隨之增大，對于企業而言，總結出一整套有效且規范的防護措施是極為必要的。本文結合實際工作經驗，分析并總結了Linux服務器存在的安全隱患和常見的攻擊手段，提出了一些措施與方法。
參考文獻（References）
[1] 思科系統公司.網絡互聯故障排除手冊[R].北京：電子工業出版社，2002：120-125.
[2] 胡冠宇，陳滿林，王維.SNMP網絡管理安全性研究與應用[J].哈爾濱師范大學自然科學學報，2010，26（3）：95-98.
[3] 劉曉萍.Linux2.4內核TCP/IP協議棧安全性研究[D].中國人民信息工程大學，2004：10-11.
[4] 董劍安，王永剛，吳秋峰.iptables防火墻的研究與實現[J].計算機工程與應用，2003，39（17）：161-163.
[5] 王波.Linux網絡技術[M].北京：機械工業出版社，2007.
[6] 郭兆豐，徐興元，刑靜宇.Snort在入侵檢測系統中的應用[J].大眾科技，2007（2）：69-71.
作者簡介：
