web系统安全解决方案

web系统安全解决方案（9篇）

1.web系统安全解决方案 篇一

今天VBS群里有人要了解ARP攻击，ARP攻击盛行于局域网，找了这个BAT，对付ARP攻击，

网上流行一个vbs的虚拟网关,也有斯普林的程式的,这个是批处理,加开机批处理,爽到不行了!

@echo off

FOR /F “usebackq eol=; tokens=2 delims=:” %%I in (`ipconfig /all^|find /i “IP Address”`) do set IP=%%I

FOR /F “usebackq eol=; tokens=2 delims=:” %%I in (`ipconfig /all^|find /i “Physical Address”`) do set MAC=%%I

’第一行是读取本机的IP地址，第二行是读取本机的MAC地址

Set /a a=%RANDOM%/128

Set /a b=%RANDOM%/128

Set IPhead=172.16

Set GatewayIP=%IPhead%.%a%.%b%

’这四行是生成一个172.16开头的随机网关IP地址

我自己的内网网段为172.16.0.0，所以设成这样

(若想生成192.168.1.X网段的IP,可改成如下

Set /a a=%RANDOM%/128

Set IPhead=192.168.1

Set GatewayIP=%IPhead%.%a%

若想限制生成的随机IP范围在192.168.1.100-192.168.1.255之间,可改成如下

:start

Set /a a=%RANDOM%/128

IF %a% LEQ 100 goto start

’这样就可以限制a比100大

’EQU - 等于，NEQ - 不等于，LSS - 小于，LEQ - 小于或等于，GTR - 大于，GEQ - 大于或等于

’要限制在其他范围的话，自己改一下代码吧

Set IPhead=192.168.1

Set GatewayIP=%IPhead%.%a%

Set GatewayMAC=00-0f-e2-3e-b6-66

’这里的是真实的网关MAC地址

arp -d

arp -s %IP% %MAC%“

’静态绑定本机IP和本机MAC地址

arp -s %GatewayIP% %GatewayMAC%”

’静态绑定随机生成的网关IP和真实的网关MAC地址

route delete 0.0.0.0

route add 0.0.0.0 mask 0.0.0.0 %GatewayIP% metric 1

’删除原先的默认路由，定义默认路由指向随机生成的网关IP

4.手动修改网内所有PC的网关地址为一个不存在的IP

如果更换了网关设备，你只需改动Server服务器中的脚本即可，不用到每台客户机去修改

原理简单分析：

PART I.ARP病毒攻击手段一是向网内其它PC谎称“网关IP地址对应的MAC地址是aa-bb-cc-dd-ee-ff”;

例：PC1骗PC2、PC3说“网关192.168.1.1的MAC地址为11-11-11-11-11-11”，192.168.1.1是PC1用IPCONFIG命令查看到的网关地址，PC2、PC3信以为真，在各自的ARP表中添加一个ARP条目“192.168.1.1 11-11-11-11-11-11”，但是PC2、PC3上网的网关地址并不是192.168.1.1，而是随机生成的那个IP地址，所以即使受骗了也不要紧，依然可以正常上网;

ARP病毒攻击手段二是向网关谎称“PC1的MAC地址是bb-cc-dd-ee-ff-gg”，“PC2的MAC地址是cc-dd-ee-ff-gg-hh”之类;

例：PC1骗网关地址192.168.1.1说“PC2的MAC地址为22-22-22-22-22-22”，但192.168.1.1是随便改的一个不存在的IP地址，所以不会有机器上当受骗

PART II.默认路由里指向的网关MAC地址正确，就确保了所有发向外网的数据包可以顺利发送到真实的网关;

总结：

理论上说，用上面的方法去绑定所有的客户机(注意要一台不漏喔)，不在路由上绑也是可以的;实践中还要等你测试过之后跟我说效果;

有条件的话，最好在路由或者交换机里面绑定所有客户机的IP和MAC，这样ARP欺骗应该就可以完美解决的了;

2.web系统安全解决方案 篇二

关键词：web应用,系统安全,Usb-Key,IP SAN,Sql Server

0 Web应用系统的安全防护模型

人们普遍认为将安全考虑嵌入到整个软件开发生命周期的做法是非常正确的。EDUCAUSE的SECURITY INITIAL的应用安全建议提出了web应用系统安全的8个步骤, 包括规范建设、人员培训、安全需求分析、确定组织安全角色、将安全作为开发或者购买软件的必要环节, 应用实施、运行维护、应用终止。美国国家标准技术研究院的标准规范文件从应用的启动、需求、开发、部署、运行几个阶段提出了相应的安全建议。

Web应用安全模型可以分成4个阶段来实施:设计阶段明确安全需求、开发阶段避错、测试阶段排错、运行阶段容错, 通过4个阶段的工作确保web应用的安全。

1) 设计阶段明确安全需求, 通过对风险分析和与用户的沟通, 明确应用的安全需求, 包括认证、授权、访问控制、审核等方面的需求。

2) 开发阶段避错, 通过制定安全编码指南、开发人员的安全培训、安全单元测试, 结合一些安全测试工具, 确保web应用系统的代码安全。

3) 测试阶段排错, 综合运用各种web应用安全评测工具, 排除web应用系统中的安全漏洞。

4) 运行阶段容错, 设置物理、主机、网络、数据、应用等各个层面的安全防护措施, 防止应用的安全漏洞被黑客利用。

从以上4个方面对web系统的安全性进行规范, 可以持续性改进信息系统的安全级别。目前大部分web应用系统代码都是由用户自己编写, 而大部分web应用开发程序员在处理安全性问题上没有足够的经验, 新开发的应用也很少经过严格的质量保证测试, 导致web应用程序存在安全漏洞。

1 数据安全措施

数据安全措施主要从防窃取、防篡改、防泄密等方面进行。具体实现通过对源数据加密, 如果数据泄密, 其它人很难破解。web数据加密与c/s的系统加密有差异, web数据加密要求容易实现、占用资源少、运行快, 因此不适合做复杂的计算。在C#中对数据加密可以自设函数使用对称加解密、非对称加解密、不可逆加密等。从安全的角度看, 使用不可逆加密对数据而言是非常安全的。根据不同内容可能需要不同的加密策略。如果数据读取出来并不需要展现给用户, 那么可以使用不可逆加密算法;如果数据还需要对合法用户显示, 那么使用不可逆加密, 就破坏了数据的原始性, 导致无法恢复, 所以需要显示内容时只能采用对称、非对称加密方法。

加密算法要达到的目的主要为以下4点:

提供高质量的数据保护, 防止数据未经授权的泄露和未被察觉的修改;

具有相当高的复杂性, 使得破译的开销超过可能获得的利益, 同时又要便于理解和掌握;

DES密码体制的安全性应该不依赖于算法的保密, 其安全性仅以加密密钥的保密为基础;

实现经济, 运行有效, 并且适用于多种完全不同的应用。

2 应用程序安全设计

安全必须部署到系统开发中, web应用程序的安全可以从用户录入点开始考虑, 所有页面只要有接收用户输入数据的都必须作严格的检查, 以防止SQL注入攻击。接收完数据后, 紧接着的任务是对用户、权限进行审查, 所有页面未经判断审核不允许访问页面。对于OA等系统如果能将用户和ip地址关联起来再做访问权限控制, 如果还能提供usb-key登录物理介质验证, 可以大幅提升web应用系统的安全性能。

2.1 严防SQL注入攻击

数据库是web应用系统的核心, 数据库被攻破, 所有的努力将付之东流, SQL注入是一种攻击方式, 在这种攻击方式中, 恶意代码被插入到字符串中, 然后将该字符串传递到SQL Server的实例以进行分析和执行。任何构成SQL语句的过程都应进行注入漏洞检查, 因为SQL Server将执行其接收到的所有语法有效的查询。

SQL注入的主要形式包括直接将代码插入到与SQL命令串联在一起并使其得以执行的用户输入变量。因此, 必须验证所有用户输入, 并仔细检查在您所用的服务器中执行构造SQL命令的代码。

2.2 使用Usb-Key做身份验证

传统密码验证的方式是从数据库中验证用户名和密码, 这样做很容易被非法人员发现甚至破解, 使用USB-KEY更加安全具有双因子的验证效果。

USB-KEY是一种通过USB接口与计算机连接的智能存储设备, 内有CPU芯片与加密算法, 可用于存放电子印章与用户证书等信息, 其中证书信息只能由特定的加密算法来应用, 不可读出;而其他的信息也只能通过程序按特定的方式进行读取。使用USB-KEY才能保证电子印章系统的安全性, 其印章也不会因为操作不当而被误删除, 也不会因为丢失造成电子印章失密。USB-KEY是为了PKI应用的安全性而设计的设备。在商业化、高可用的系统安全需求下, 部署Usb-key验证技术, 是必须的。

3 IP SAN存储保证数据的物理存储安全

IP SAN可以为各种应用系统提供可靠的物理存储空间, IP SAN是在ISCSI技术不断完善的过程中, 出现的新技术。IP存储就是基于IP网络来实现数据块级的存储方式。由于ISCSI技术的固有优势, IP存储能够将存储规范化。IP SAN存储方案的优势:由于IP SAN融合了传统IP网络和存储网络的双重性能, 用户无需花费昂贵的费用来部署和管理光纤存储网络, 同时又得到了近于光纤存储网络的应用和性能。

4 Sql Server 2008备份和恢复策略

Usb-key认证、数据加密、应用程序的安全设计从防破解、防泄密、防攻击的角度提高系统的安全性;IP SAN考虑到网络环境对存储进行集中, 为系统提供可靠的存储, 是从物理介质的角度考虑数据的安全性。如果web的核心数据库损坏, 或者由于用户造成数据丢失, 又该如何找回宝贵的数据呢?这必须考虑备份与恢复策略。这个可以借助现成的商业软件来实现, 如果向Sql Server 2008这样的数据库做备份和恢复, 不需要第三方软件, Sql Server 2008自身就可以完成。

5 网络安全保障

防火墙的配置完成作为安全策略的最后一项任务。在web服务器安装好杀毒、防火墙软件, 设置好本机的防火墙策略, 定期更新系统补丁, 维护好系统用户, 这样一个快速、高安全、高可用、高冗灾的web服务系统就诞生了。

6 结束语

信息系统的安全性是一项系统工程, 安全的保障是技术, 安全的持续性是建立在安全管理措施的基础之上。

参考文献

[1]Anonymous.最高安全机密[M].3版.北京:机械工业出版社, 2003.

[2]章立明研究室.Sql Server2005数据库开发实战[M].北京:机械工业出版社, 2007.

[3]吴海燕.清华大学:四层防护Web应用[M].北京:中国教育网络, 2009 (56) .

3.web系统安全解决方案 篇三

关键词：web网络技术；数据库；JSP；安全预警系统；功能

中图分类号：TP393.08 文献标识码：A 文章编号：1674-7712 （2012） 18-0048-01

随着信息技术的飞速发展，Web网络应用正在逐渐成为新时期科技与经济发展的新方向，web网络的便捷性能进行对多种行业的应急事件进行安全预警。基于web网络的安全预警系统的主要优势在于其技术基础为现代信息技术，具有反应迅速，能够在大多数恶劣环境下进行，预警体系是面向服务对象的。鉴于当前社会对突发性应急预警信息系统具有越来越高的发展需求，且各不同系统间需要进行更高程度的集成，系统的开发工具和开发环境需要尽量统一化，因此基于web网络，具体结合其他技术的安全预警系统得到了广泛的关注。

一、Web网络技术原理

本文主要提到的Web网络技术为web service技术，该技术是一种基于对象/组件模型的分布式的计算机技术，其通过使用XML及建立在该语言基础上的SOAP协议进行交互，具体交互实现方式为客户端与服务器端的请求和数据结果都按照XML的形式通过SOAP协议进行数据封包，然后通过加密的HTTP网络进行数据包传送，实现交互。

基于该技术的通信系统具有以下优势：相较于传统的面向对象/组件模型的技术，该技术具有更好的网络环境优势；且由于基于web service技术，故其在复杂、异构的网络中可以更好的进行应用程序集成，而不用考虑这些应用程序所使用的编程语言和操作环境等；通过该技术，任何支持Internet标准技术的系统都可以被服务器端进行定位或者与其他web Service进行交互，该环境中的客户都可以在授权范围内进行服务调用，这就大大增强了系统的可实用性和便捷性，也就是其突破了通信和应用范围的限制。

二、web网络技术与其他技术结合应用概述

在当前的预警系统中，与web网络技术进行结合使用最多的是GIS，出现这种情况的主要原因在于，当前的安全预警系统主要被应用在气象、旅游、交通、或者其他对动态资源要求较高，对地理位置要求较为敏感的地区。

其他与webService技术相结合的技术还有诸如数据库访问技术、前台和后台之间的交互技术、基于ExtJS技术构建的Web客户端技术、其他技术等。一个完整的系统必然要具有强大的数据库支持，但是web网络技术的优势在于可以将复杂的面向对象的数据持久化，使数据访问与应用逻辑分离，保证系统具有更佳的可扩展性、可移植性、安全性、易维护性等，如此可以满足安全预警系统的开发需求。其次在前后台交互技术方面，结合web技术可以实现系统数据的异步传输，即人员与系统之间存在一个中间件，通过该中间件可以实现信息的传输，这样做的好处是脚本不会产生发送命令后挂起等待服务器响应的情况发生。再者，web技术及ExtJS技术可以使得前后台完全分离，这样可以对前后台进行相互独立的开发，只需要保证两者的数据接口相同即可，这样做的好处是后台程序可以进行不同平台间的移植，提高使用效率，增强系统兼容度。

三、对系统的功能的研究

基于web网络的系统主要在通信网络和数据库的基础上进行实现的。具体到某一项目中，项目的空间数据和属性数据就是安全预警所需监控的核心内容，通过利用web网络技术，可以对这些数据进行处理、分析以及技术挖掘，能够方便的实现查询、统计、显示、预警等功能。

（一）系统信息的交互查询功能

利用web网络技术及其他技术，可以对所监控的数据或者项目的图形或属性进行关联，实现不同条件下的数据查询，根据查询条件在web端或者客户端实现图、文、表的一体化显示。这就能够将被检测端的信息以显著的方式呈现在监测端，而监测端又可以根据显示数据的结果进行数据决策等操作。

（二）异常数据处理功能

在web端，也就是监测端，可以对监测数据进行数据分析，一旦出现尖峰数据或者突变数据，则根据被监测端的环境属性进行数据比较和判断，确定其是否为异常数据。若为异常数据，但该数据由于系统干扰等造成，可以进行粗差在线剔除，若确实为异常数据，则在监测端可以进行提醒和跟踪。

（三）安全预警功能

该功能的实现是在传统正常项目模型的基础上，对预警物理量进行时效分析、超限分析等确定其预警模型，然后利用web网络的高效便捷性和人工神经网络的智能技术建立预警端的自学习模型，通过该模型的技术指标对被监测项目进行预警，基于web网络的安全预警功能具有预警效率高、预警精度高的特点。

（四）系统权限管理

基于web网络的预警系统可以根据用户的级别设定不同用户可进行的操作的权限，只有得到足够授权的人员才能进行数据库访问、数据的查询、修改等操作。

四、总结

通过分析发现机遇web网络技术的安全预警系统具有更为动态和高效的功能显示，且其技术特点决定了该技术具有广泛的应用范围和较强的扩展与兼容性，具有很好的发展前景。

参考文献：

[1]金裕祥，马福恒，刘成栋.基于WEB的三维水库大坝安全实时监控预警系统[J].水电能源科学，2009，27（1）.

[2]杨俭波，黄耀丽，徐颂，罗平.Web Service/Web GIS在突发性旅游灾害事件应急预警信息系统中的应用[J].人文地理，2006，21（4）.

[3]吴巨峰，钟继卫，王鑫.一种新型桥梁健康监测预警系统设计[J].计算机时代，2012，8.

[4]吴妍.安全预警及保障系统研究与开发[J].科技传播，2012，4（15）.

[5]龚剑，欧阳治华.基于Web网络技术的矿山安全预警系统及应用[J].金属矿山，2010，7.

[6]李和平，张明媚.基于Web GIS的瓦斯事故预警系统设计[J].煤炭工程，2011，4.

[作者简介]彭洋（1982-），男，四川省射洪县人，中国人民解放军后勤工程学院毕业，中国人民解放军92076部队助理工程师。

4.web系统安全解决方案 篇四

1、如何可以防止溢出类的骇客攻击呢?

① 尽最大的可能性将系统的漏洞补丁都打完;最好是比如Microsoft Windows Server系列的系统可以将自动更新服务打开，然后让服务器在您指定的某个时间段内自动连接到Microsoft Update网站进行补丁的更新。如果您的服务器为了安全起见 禁止了对公网外部的连接的话，可以用Microsoft WSUS服务在内网进行升级

② 停掉一切不需要的系统服务以及应用程序，最大限能的降底服务器的被攻击系数。比如前阵子的MSDTC溢出，就导致很多服务器挂掉了。其实如果WEB类服务器根本没有用到MSDTC服务时，您大可以把MSDTC服务停掉，这样MSDTC溢出就对您的服务器不构成任何威胁了。

③ 启动TCP/IP端口的过滤:仅打开常用的TCP如21、80、25、110、3389等端口;如果安全要求级别高一点可以将UDP端口关闭，当然如果这样之后缺陷就是如在服务器上连外部就不方便连接了，这里建议大家用IPSec来封UDP。在协议筛选中“只允许”TCP协议(协议号为:6)、UDP协议(协议号为:17)以及RDP协议(协议号为:27)等必需用协议即可其它无用均不开放。

④ 启用IPSec策略:为服务器的连接进行安全认证，给服务器加上双保险。如③所说，可以在这里封掉一些危险的端品诸如:135 145 139 445 以及UDP对外连接之类、以及对通读进行加密与只与有信任关系的IP或者网络进行通讯等等。(注:其实防反弹类木马用IPSec简单的禁止UDP或者不常用TCP端口的对外访问就成了,关于IPSec的如何应用这里就不再敖续，你可以到服安讨论Search “IPSec”，就 会有N多关于IPSec的应用资料..)

⑤ 删除、移动、更名或者用访问控制表列Access Control Lists (ACLs)控制关键系统文件、命令及文件夹:

1. 通常在溢出得到shell后，来用诸如net.exe net1.exe ipconfig.exe user.exe query.exe regedit.exe regsvr32.exe 来达到进一步控制服务器的目的如:加账号了，克隆管理员了等等;这里我们可以将这些命令程序删除或者改名。(注意:在删除与改名时先停掉文件复制服务(FRS)或者先将 %windir%system32dllcache下的对应文件删除或改名。)

2.也或者将这些.exe文件移动到你指定的文件夹,这样也方便以后管理员自己使用。

3.访问控制表列ACLS控制:找到%windir%system32下找到cmd.exe、cmd32.exe net.exe net1.exe ipconfig.exe tftp.exe ftp.exe user.exe reg.exe regedit.exe regedt32.exe regsvr32.exe 这些 常用的文件，在“属性”→“安全”中对他们进行访问的ACLs用户进 行定义，诸如只给administrator有权访问，如果需要防范一些溢出攻击、以及溢出成功后对这些文件的非法利用;那么我们只需要将system用户 在ACLs中进行拒绝访问即可。

4.如果你觉得在GUI下面太麻烦的话，你也可以用系统命令的CACLS.EXE来对这些.exe文件的Acls进行编辑与修改，或者说将他写成一个.bat批处理 文件来执行以及对这些命令进行修改，

(具体用户自己参见cacls /? 帮助进行，由于这里的命令太多我就不一一列举写成批处理代码给各位了!!)

5.对磁盘如C/D/E/F等进行安全的ACLS设置从整体安全上考虑的话也是很有必要的，另外特别是win2k，对Winnt、WinntSystem、Document and Setting等文件夹。

⑥ 进行注册表的修改禁用命令解释器: (如果您觉得用⑤的方法太烦琐的话，那么您不防试试下面一劳永逸的办法来禁止CMD的运行)

通过修改注册表，可以禁止用户使用命令解释器(CMD.exe)和运行批处理文件(.bat文件)。具体方法:新建一个双字节(REG_DWORD)执行 HKEY_CURRENT_USERSoftwarePolicies MicrosoftWindowsSystemDisableCMD，修改其值为1，命令解释器和批处理文件都不能被运行。修改其值为2，则只是禁止命令解释器的运行,反之将值改为0，则是打开CMS命令解释器。如果您赚手动太麻烦的话,请将下面的代码保存为*.reg文件，然后导入。

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USERSoftwarePoliciesMicrosoftWindowsSystem]

“DisableCMD”=dword:00000001

⑦ 对一些以System权限运行的系统服务进行降级处理。(诸如:将Serv-U、Imail、IIS、Php、Mssql、Mysql等一系列以System权限运行的服务或者应用程序换成其它administrators成员甚至users权限运行，这样就会安全得多了...但前提是需要对这些基本运行状态、调用API等相关情况较为了解. )

其实，关于防止如Overflow溢出类攻击的办法除了用上述的几点以外，还有N多种办法:诸如用组策略进行限制，写防护过滤程序用DLL方式加载windows到相关的SHell以及动态链接程序之中这类。当然自己写代码来进行验证加密就需要有相关深厚的Win32编程基础了，以及对Shellcode较有研究;由于此文仅仅是讨论简单的解决办法，因此其它办法就不在这里详述了。

2、如何在防止被骇客溢出得到Shell后对系统的而进一步入侵呢?

① 在做好1中上述的工作之后，基本上可以防目骇客在溢出之后得到shell了;因为即使Overflow溢出成功，但在调用CMDSHELL、以及对外联接时就卡了。 (为什么呢，因为:1.溢出后程序无法再调用到CMDSHLL我们已经禁止system访问CMD.exe了。2.溢出之后在进行反弹时已经无法对外部IP进行连接了。所以，基本上要能过system权限来反弹shell就较困难的了...)

② 当然世界上是不存在绝对的安全的，假设入侵者在得到了我们的shell之后，做些什么呢?一般入侵者在在得到shell之后，就会诸如利用系统命令加账号了 通过tftp、ftp、vbs等方式传文件了等等来达到进一步控制服务器。这里我们通过1上述的办法对命令进行了限制，入侵者是没有办法通过tftp、ftp来传文件了，但他们仍然可以能过echo写批处理，用批处理通过脚本BAT/VBS/VBA等从WEB上下载文件，以及修改其它盘类的文件等潜在破坏行为。所以我们需要 将echo命令也限制以及将其它盘的System写、修改文件的权限进行处理。以及将VBS/VBA类脚本以及XMLhttp等组件进行禁用或者限制system的运行权。这样的话别人得到Shell也无法对服务器上的文件进行删除以及进行步的控制系统了;以及本地提权反弹Shell了。

5.web系统安全解决方案 篇五

前言：

大家应该都还没有忘记三年前在Serv-U5.004版的之前所有版本的“Serv-UFTPMDTM命令缓冲区溢出”与“Serv-UFTP服务器LIST命令超长-l参数远程缓冲区溢出漏洞”吧，这个漏洞让很多服务器管理员立坐不安，也让很多大型的站点、甚至电信级的服务器沦陷了...随着Serv-U新版本的推出，这个漏同已经不存在了;虽然溢出不存在了，但 永远也没有停止，所以伴随着来的又是Serv-U5.0到6.0之 常用的本地提升权限缺陷。(注：最常见的就如webshell+su提权，我在Baidu输入“Serv-U提权”关键词，搜索结果“百度一下，找到相关网页约34,000篇，用时0.001秒”)因此，解决Serv-U的安全问题迫在眉睫。

Serv-U提权虽然严格来说这个不应该算是Serv-U的重大漏洞，但只要因管理员的配置不当将会产生严重的后果;下面LeeBolin就来为大家介绍下如何安全配置Serv-U，才能保证Serv-U甚至服务器的安全，跟我来.“go,go,go...”(最近CS玩多了，嘻嘻:P)

Serv-U防溢出提权攻击解决办法解决办法正文：

一、大家知道Liunx系统和Unix系统比Windows安全的一个重要原因在于：Linux和Unix的系统服务不使用root权限，而是使用权限比较低的另外一个单独用户，比如web服务使用了nobody这个用户。而Serv-U默认是以system身份运行的，而System这个系统内置账户对本机有完全操作的权限;因此如果攻击者利用Serv-U程序的漏洞而获得了可执行shell的那，那么他将可以随意控制操作系统里任何一个目录了

二、我们根据一的讲解知道了为什么Serv-U提权与溢出攻击可怕的原因了，那么我们该如何防止这一类攻击的发生呢?答案就是降底Serv-U的运行权限与控制Serv-U的“Acls”可访问目录...好，下面就一步一步跟我来吧!

三、Serv-U安全配置

1、首先请保持合用Serv-U的最新版本(目前新版为6.4...)。然后在安装Serv-U的时候尽量不要选择默认的安装目录，比如俺将Serv-U安装在D:/Pro_LeeBolin^_^/Serv-U#$$/...(因为这样复杂的目录名可防止Hacker的猜解)

2、然后将Serv-U取消MDTM命令的执行，修改Serv-UFTPBanner并开启好Serv-U的FTP日志保存到非系统盘，日志选择记录好Serv-U命名用了那些命令与DLL，并为Serv-U设置一个强壮的本地管理密码(因提权多是因为Serv-U的默认管理员：LocalAdministrator，默认密码：#l@$ak#.lk;0@P所造成的，呵呵$_$)，你还可以选择将Serv-U的FTP账户信息保存到注册表，不要存在Serv-U目录下的ini文中，这样更加安全。

3、我们再开启“计算机管理”新建一个用户Serv-UAdmin,设置好密码。将用户退出Users组，不加入任何组。并在用户的“终端服务配置文件”选项里取消“允许登录到终端服务器。并且禁止Serv-UAdmin用户的本地登陆。进入控制面板->管理工具->本地安全策略->本地策略->用户权利指派->拒绝本地登陆。(备注：这个用户我们将它来作为俺们Serv-U的服务运行账号，嘿嘿)[(AD^_^:游刃在技术鬼神边缘,打造服务器安全神话!创世纪网络技术前瞻，成就互联网革命先驱!服务器安全讨论区[S.S.D.A])]

4、开始运行“Services.msc”打开win的服务管理器，找开Serv-UFtpServer的Serv-U服务;打开“登陆”对话框，

当前默认的为“本地系统帐户”。我们将其修改为我们在3中新建的Serv-UAdmin用户，并输入密码。

5、下面的工作就是设置Serv-U的运行与FTP目录的ACLs权限了:

①C:/DocumentsandSettings/Serv-UAdmin目录加入Serv-UAdmin的权限，允许读取与写入..

②D:/Pro_LeeBolin^_^/Serv-U#$2008$/ Serv-U的安装目录加入Serv-UAdmin的权限，允许读取与运行。(如果选择了账户保存在ini文件的话，这里就需要增加修改与删除权限，因增删FTP账户时需要删改权才成，否则不能增删FTP账户哟^_^)

③如果Serv-U账户选择存在注册表的话。运行regedt32.exe,打开注册表编辑器。找到[HKEY_LOCAL_MACHINE/SOFTWARE/CatSoft]分支。在上面点右键，选择权限，然后点高级，取消允许父项的继承权限传播到该对象和所有子对象，删除除admins外的所有的账号。仅添加Serv-UAdmin账号到该子键的权限列表，并给予完全控制权限。(如果选择了账户信息保存在ini文件中的话可略过此步。)

④现在就来设置WEB目录的ACLs了，比如我的虚拟主机总目录为E:/Leebolin$(%/wwwroot;那么我们将此WEB目录加入Serv-UAdmin账号的权限即可，这样FTP就可以访问我们的WEB目录进行上传下载了，呵.(由于Serv-U并没有以system运行，所以这里只存留admins与serv-uadmin的权限就OK了。)

⑥如果是asp/php/html脚本的话，WEB目录只需要admins&serv-uadmin&IUSR_XX即可(这里的IUSR_XX是指站点的匿名单用户账号...关于站点的安全与asp.Net的安全请参考我以前的文章:《FSO安全隐患解决办法》、《ASP木马Webshell之安全防范解决办法》、《ASP.NET木马及Webshell安全解决方案》、《服务器安全检查十大要素》)

四、到目前为止，我们的Serv-U已经简单的做到了防提权，防溢出了。为什么呢?因为能常远程溢出overflow的话，都是通过得一shell而进行进一步的hacking，而我们现在的Serv-U不是以system运行，所以即使执行了overflow指命，也并不能得到什么...防提权就不用我解释了：因为我们的Serv-Uadmin没有任何系统级的ACLs访问权限..

五、今天的Serv-U防溢出提权攻击解决办法就为大家介绍到这里，您看到此处后，你会了吗?

后记：其实服务器、系统的安全是个整体的概念;有可能你其它一小点的疏忽就可以让你的网站、甚至服务器沦陷。因此安全策略必需走防患未然的道路，任何一个小地方都不能马虎、今天关于防Serv-U的安全配置小技巧就为大家介绍到这里...其它方面的服务器安全配置经验我们在下一篇文章再见吧:-)(注：由于本人才疏学浅，如文中有错误实为在所难免，还请各位看官见谅!旨在抛砖引玉，如果您有更好的办法请别忘了在服安论坛跟贴^0^,先行谢过!)

关于本文版权：本文版权归[服务器安全讨论区]与[本文作者]共同所有，您可以任意，但务必请保留文章的完整性与信息来源及作者信息等链接;但不欢迎转载者除去本版权信息。

6.web系统安全解决方案 篇六

通过伪装Linux系统，给 设置系统假象，可以加大 对系统的分析难度，引诱他们步入歧途，从而进一步提高计算机系统的安全性。下面以Red Hat Linux为例，针对几种 常用的途径介绍一些常用的Linux系统伪装的方法。

针对HTTP服务

通过分析Web服务器的类型，大致可以推测出操作系统的类型，比如，Windows使用IIS来提供HTTP服务，而Linux中最常见的是Apache。

默认的Apache配置里没有任何信息保护机制，并且允许目录浏览。通过目录浏览，通常可以获得类似“Apache/1.3.27 Server at apache.linuxforum.net Port 80”或“Apache/2.0.49 (Unix) PHP/4.3.8”的信息。

通过修改配置文件中的ServerTokens参数，可以将Apache的相关信息隐藏起来。但是，Red Hat Linux运行的Apache是编译好的程序，提示信息被编译在程序里，要隐藏这些信息需要修改Apache的源代码，然后，重新编译安装程序，以实现替换里面的提示内容。

以Apache 2.0.50为例，编辑ap_release.h文件，修改“#define AP_SERVER_BASEPRODUCT “Apache””为“#define AP_SERVER_BASEPRODUCT “Microsoft-IIS/5.0””。编辑os/unix/os.h文件，修改“#define PLATFORM. “Unix””为“#define PLATFORM. “Win32””。修改完毕后，重新编译、安装Apache。

Apache安装完成后，修改httpd.conf配置文件，将“ServerTokens Full”改为“ServerTokens Prod”;将“ServerSignature On”改为“ServerSignature Off”，然后存盘退出。重新启动Apache后，用工具进行扫描，发现提示信息中已经显示操作系统为Windows。

针对FTP服务

通过FTP服务，也可以推测操作系统的类型，比如，Windows下的FTP服务多是Serv-U，而Linux下常用vsftpd、proftpd和pureftpd等软件。

以proftpd为例，修改配置文件proftpd.conf，添加如下内容：

ServerIdent on “Serv-U FTP Server v5.0 for WinSock ready...”

存盘退出后，重新启动proftpd服务，登录到修改了提示信息的FTP服务器进行测试：

C:>ftp 192.168.0.1Connected to 192.168.0.1.220 Serv-U FTP Server v5.0 for WinSock ready...User (192.168.0.1:(none)): 331 Password required for (none). Password: 530 Login incorrect. Login failed. ftp >quit 221 Goodbye.

这样从表面上看，服务器就是一个运行着Serv-U的Windows了。

针对TTL返回值

可以用ping命令去探测一个主机，根据TTL基数可以推测操作系统的类型。对于一个没有经过任何网关和路由的网络，直接ping对方系统得到的TTL值，被叫做“TTL基数”。网络中，数据包每经过一个路由器，TTL就会减1，当TTL为0时，这个数据包就会被丢弃。

通常情况下，Windows的TTL的基数是128，而早期的Red Hat Linux和Solaris的TTL基数是255，FreeBSD和新版本的Red Hat Linux的TTL基数是64。比如，ping一个Red Hat系统，显示如下：

Pinging 192.168.0.1 with 32 bytes of data:Reply from 192.168.0.1: bytes=32 time <10ms TTL=64Reply from 192.168.0.1: bytes=32 time <10ms TTL=64Reply from 192.168.0.1: bytes=32 time <10ms TTL=64Reply from 192.168.0.1: bytes=32 time <10ms TTL=64Ping statistics for 192.168.0.1:Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),Approximate round trip times in milli-seconds:Minimum = 0ms, Maximum = 0ms, Average = 0ms

用以下命令修改Red Hat Linux的TTL基数为128(本来为64)：

# echo 128 >/proc/sys/net/ipv4/ip_default_ttl

若想使设置永久生效，可以修改/etc/sysctl.conf配置文件，添加如下一行：

net.ipv4.ip_default_ttl = 128

保存退出后，再ping 192.168.0.1，TTL基数就变为128了，

针对3389端口和22端口

有时通过扫描3389端口和22端口，也可以推测操作系统的类型。Windows下一般利用TCP协议的3389端口进行远程控制，而Linux可能会用TCP协议的22端口，提供带有加密传输的SSH服务。

为了安全，可以利用iptables来限制22端口的SSH登录，让非授权的IP扫描不到TCP 22端口的存在：

#iptables -I INPUT -s ! xx.xx.xx.xx -p tcp --dport 22 -j DROP

利用iptables，将本机的TCP 3389端口转移到其它开有3389端口的计算机上，给Linux系统伪装出一个提供服务的TCP 3389端口。命令如下：

#echo 1 >/proc/sys/net/ipv4/ip_forward#iptables -t nat -I PREROUTING -p tcp --dport 3389 -j DNAT --to xx.xx.xx.xx#iptables -t nat -I POSTROUTING -p tcp --dport 3389 -j MASQUERADE

第一条命令表示允许数据包转发;第二条命令表示转发TCP 3389到xx.xx.xx.xx;第三条命令表示使转发数据包实现“双向通路”，给数据包设置一个正确的返回通道。若想使转发永久生效，可以把以上命令添加到/etc/rc.local文件中。

这样，当 扫描服务器所开端口的时候，就找不到22号端口，而是看到一个伪装的3389端口，从而不能正确判断出操作系统的类型。

针对netcraft

netcraft是一个很厉害的扫描引擎，它通过简单的TCP 80，就可以知道所测服务器的操作系统、Web服务程序和服务器开机时间(Uptime)等信息。

上面介绍的几种方法对netcraft来说，均不奏效。针对netcraft，可利用iptables进行系统伪装，使netcraft错误判断操作系统：

#iptables -t nat -I PREROUTING -s 195.92.95.0/24 -p tcp --dport 80 -j DNAT --to xx.xx.xx.xx#iptables -t nat -I POSTROUTING -s 195.92.95.0/24 -p tcp --dport 80 -j MASQUERADE

由于通过抓包发现，netcraft的服务器不止一台，所以需要对它所在网段进行转发欺骗处理。

小结

7.web系统安全解决方案 篇七

能源互联网是当下能源行业最热门的话题之一，所有的能源媒体都在讨论它的发展潜力和对未来世界的重大影响：不仅仅是经济发展模式，更包括人类生活方式的变革。可以想象，随着大数据、移动互联网、物联网等新兴信息技术与智能电网、分布式发电、可再生能源等的不断结合，以能源互联网为基础的“万物互联”时代终将到来。在国家层面上，李克强总理也提出要制定“互联网+”的战略。

中国的“能源互联网”之路面临着极为巨大的危机：对安全问题的忽视。在互联网时代，如果黑客入侵了某个公共网络，可能会造成大量数据的泄露或被篡改，甚至会导致银行财产被盗取，但在能源互联网时代，情况可能要严重得多：切断电网，造成大规模的断电事件；篡改数据，烧掉无数电力设备和各种连接能源互联网的智能设备；操纵智能交通系统，制造可怕的大规模交通事故，等同于大规模恐怖袭击等。

美国国防部长利昂·帕内塔曾表示：“我们遭遇的下一次珍珠港事件很有可能是一次网络攻击，让我们的电力系统、电网、安全系统、金融体系和政府体系都陷入瘫痪”。美军网络行动特别小组前指挥官哈里·拉多哥表示：“能源和其他系统的安全方面仍存在很大漏洞，因为它们在最初设计时就没有考虑安全因素。”2014年，俄罗斯恶意软件BlackEnergy侵入了可以控制美国电力涡轮机的软件系统。目前，还没有计算机病毒造成电网瘫痪这类的问题，但是，黑客既然可以侵入就有可能对电网造成毁灭性的灾难。

在能源互联网的威胁中，特别是在电力系统中，WEB入侵是一个重要的威胁来源。WEB安全问题的根源在于安全漏洞和后门[1]，并且WEB具有如下特点：功能强大，手机APP、网页等几乎所有WEB应用都采用WEB接口；WEB需要变化快，应用更新频繁；WEB开发人员以效率为重，安全意识相对单薄。

这些特点造就了各种各样的安全漏洞。计算机协会发布的调查显示，近92%的网站存在不同类型和程度的安全漏洞[2]。本文针对能源互联网形式下的WEB安全进行威胁分析，总结已有的安全保障方法，最后给出基于操作系统增强的WEB系统安全防护技术，并给出实验结果。

1 WEB安全分析

WEB应用是目前互联网上数量最多、用户最多、功能最广的应用系统，典型的有电子商务、生活社区、电子公告牌等。WEB应用基于B/S结构，包括WEB客户端、WEB服务器、WEB应用程序和后台数据中心（数据库）。

WEB应用的主要威胁包括：跨站脚本攻击（Cross Site Scripting,XSS）攻击、Shell注入攻击、结构化查询语言（Structured Query Language,SQL）注入攻击、文件上传漏洞攻击等。开放Web软体安全项目（Open Web Application Security Project,OWASP）发布了最新针对WEB应用十大漏洞的攻击[3]（见表1）。

在WEB安全防护方面，已有的WEB应用安全防护方法包括以下几个方面。

1）安全配置WEB应用组件。安全合理地配置操作系统、WEB应用服务器和数据库是必不可少的部分。具体包括安全配置操作系统；安全配置WEB服务器；安全配置脚本语言解释器；安全配置数据库等。

2）安全编码。开发人员对外部的输入数据必须进行过滤和检查，减少SQL注入漏洞；尽量不使用系统命令来实现WEB功能，以规避Shell注入漏洞；减少XSS漏洞的方法，对输入输出数据进行严格的数据检查[4]；开发人员在开发文件上传功能模块时，必须严格检查文件名、类型、大小等。

3）静态分析。静态分析是指从程序正确性、安全缺陷、系统优化等层面对源代码进行全面的评审。开发人员只需要阅读分析代码，并在模拟环境中查看一些执行结果，这往往通过一些工具实现，如RATS[5,6]。

4）渗透测试。渗透测试是广泛使用的动态测试方法[7,8]，它不关注源代码，只需要使用一系列功能测试方法配合策略来实施，扫描工具如Acunetix[9]等。

5）运行时防护。应用环境中的运行时防护包含一系列的运行时检测和阻止攻击的行为，防护工具是WEB应用防火墙，着重对应用层的数据进行检查和安全防御，和网络防火墙一起构成双层的防御体系。运行时防护的研究工作有很多，Apache开源项目ModSecurity提供了应用防火墙的功能。Ettore Merlo[10,11]等提出了结合静态分析、动态监测的方法来防范SQL注入。

这些传统的方法可以极大地减少WEB安全威胁，但是无法从根本上解决问题。本文的创新点在于即使操作系统、WEB应用存在漏洞，基于最小特权的安全增强，NARIsecOS能很好地保障WEB服务器安全。

2 基于最小特权的WEB安全增强

本文提出了基于操作系统最小特权[12]的WEB安全增强。最小特权的实现依靠类型增强（Type Enforcement,TE）模型、基于角色的访问控制（RoleBased Access Control,RBAC）模型的结合实现，同时系统加上BLP(Bell-La Padula）模型和BIBA模型使得系统更加安全和可靠。最小特权使得访问的主体不再是用户，而是一个单独的进程。

本节从安全策略说明TE模型和RBAC模型的策略语法设计，并阐述了策略的配置，同时抽象出TE模型与RBAC模型的关系，并对最小特权进行了分析，从而进一步说明了NARIsecOS对WEB服务的细粒度强制访问控制。

2.1 安全策略及安全模型

安全策略是一组对系统的资源与行为进行控制的规则。策略的不同表达模式构成了不同的安全模型。SElinux定义的安全策略综合了TE、BLP、RBAC等安全模型，它定义的安全策略包含的属性有：用户（user）、角色（role）、主体域（domain）、客体的类型（type）以及主客体的安全级别等。

NARIsecOS在SELinux的基础上，增加了BIBA模型，同时增加了主客体的完整性级别。TE模型能够对系统中的进程和客体提供细粒度的访问控制，RBAC模型通过提供更高级别的抽象来简化用户的管理，BLP模型和BIBA模型在TE和RBAC的基础上，分别增加了安全级别的限制和完整性数据流流向的限制。

SELinux安全模型包括：TE模型、RBAC模型、BLP模型。NARIsecOS安全模型包括：TE模型、RBAC模型、改进的BLP模型和改进的BIBA模型，其中BLP敏感标记的级别范围为s0～s15*c0.c1023，所限制的数据流向为禁止具有高等级安全的数据信息向低等级的区域流动。BIBA模型的完整性级别范围为i0～i15*bc0.bc1023，所限制的数据流向为禁止低完整性的数据插入、覆盖到高完整性的数据。

2.2 权限分配最小性分析

TE模型中给出了一组S→O(R)，即主体S对客体O的权限R的规则，限制了每个主体能访问的客体。对于一个主体，无论是哪个用户，只要能到达该主体，就能操作该主体所能访问的资源。

RBAC模型中，进一步限定了哪个用户可以到达该主体，以及如何到达该主体。即利用角色作为用户和主体之间的桥梁。BLP模型中，通过对主体和客体敏感级别的限定，限定了数据流的流向为禁止具有高等级安全的数据信息向低等级的区域流动，即“不上读，同级写”原则。BIBA模型中，通过对主体和客体完整性级别的限定，限定了数据流的流向为禁止低完整性的数据插入、覆盖到高完整性的数据，即“不下读，同级写”原则。

TE与RBAC示例如图1所示。从图1可以直接看出，TE模型与RBAC模型的结合是如何做到细粒度的强制访问控制。图中以具体的示例说明了本系统最小特权的实施情况。由于客体安全上下文用户的角色对访问没有影响，所以在此只考虑客体的类型。每一条完整的路径都是一条安全策略。

2.3 用户管理机制的最小特权

用户管理机制的最小特权是使用三权分立实现的，将系统的管理划分为系统管理员（sysadm＿u）、系统安全员（secadm＿u）和系统审计员（auditadm＿u）。各个管理员有各自的权限，权利互不交叉，且相互制约。

由于3个管理员都是特权用户，在设计的过程中，在自主访问控制阶段，3个管理员必须要不受限制，真正的限制是在强制访问控制中通过策略限制，因此，3个管理员需要可以切换到特权级别。为了防止权限的重叠，在设计的过程中要保证角色的不重叠，系统安全员和系统审计员的角色均有staff＿r，是因为staff＿r是管理员角色的一个基，这样才能保证2个都是特权用户。由于是特权用户，所以敏感级别和完整性级别都是覆盖全范围的。系统中大部分的资源都是由系统管理员管理，所以在设计时，先划分出系统安全员和系统审计员的资源，剩余的资源都是系统管理员的。

2.4 WEB安全策略配置

假设此时在系统中新安装一个Apache，该Apache只能访问本地的资源，而对于系统中的2个用户Alice和Bob，其用户安全上下文分别为sysadm＿u:sysadm＿r:sysadm＿t和user＿u:user＿r:user＿t，此时，希望Alice可以使用Apache访问本地的资源，而Bob不可以。在这里可以定义Alice和Bob为WEB用户。

通常情况下对于应用程序的策略配置可能只配置这几部分：(1)给Apache的域为apache＿t;(2)整理出Apache需要访问资源的客体；(3)写策略语句允许Apache访问这些客体资源；(4)让Alice的角色sysadm＿r关联该域apache＿t,Bob什么都不用做即可。

上面的配置方法中，单个都没有问题，但在(3)和(4)之间可能会出现很隐晦的问题。因为Apache在没有主体用时是作为一个客体，只有当Apache用起来之后才会作为一个主体，所以上述配制方法忽略了该点，且没有考虑到域切换问题。

针对以上不完善的配置方法，给出在配置应用程序策略时需要注意的点，以及指导性的配置方法：

1）对于Apache，设定其域类型为apache＿t;

2）整理出Apache所需要访问资源的客体，假设只能放问/home目录下的资源；

3)Apache在不启用时的类型为apache＿exec＿t，只有当其被另外一个进程激活时，才会进入apache＿t，因此假设Alice用户的进程域此时为sysadm＿t，则需要有如下域切换的语句才能激活Apache:

type＿transition sysadm＿t apache＿exec＿t:process apache＿t;

此时添加apache＿t域对客体资源的访问语句：

allow apache＿t user＿home＿dir＿t:{A}{R};

其中，

4）在做完上述操作后，Apache可以访问本地/home目录下的资源。此时需要限制哪个用户可以使用Apache，对于Alice用户，其拥有的角色为sysadm＿r，此时要想完成目标，则将sysadm＿r与apache＿t相关联即可。对于Bob用户，什么都不用做即可，因为SELinux策略是白名单形式，没有策略即代表否定。

到此，Alice用户可以正常使用Apache，而Bob用户则不可以使用Apache。并且，Apache如果对Alice提供WEB服务，并且Alice以攻击者的角度不正常使用，那么Alice可以访问的也是白名单形式定义的系统资源，确保了WEB服务器的安全。

3 实验

本实验环境见表2所列，实验选择了电力系统常用的主流的开源电子公告牌程序phpbb v2.0，选择该版本主要是因为其公开了部分漏洞库，可以很好地检验安全增强的有效性。

AB的全称是ApacheBench，是Apache附带的专门用于HTTP Server的benchmark测试，可以同时模拟多个并发请求。AB的原理是创建多个并发访问线程同时对某一URL地址进行访问。在固定总量的请求次数前提下，通过改变每次请求的并发次数，观察每次请求响应时间，以此来说明在安全增强的情况下，系统Apache处理能力的变化情况。

通过AB工具的测试数据显示，在安全增强的情况下，Apache处理请求的响应时长略有增加，平均大概延迟了12%。说明操作系统安全增强的性能损失在可接受的范围；除此之外性能影响还与实际部署的WEB应用有关。性能对比如图2所示。

SecurityFocus[8]公布了phpbb v2.0存在的12个SQL注入漏洞，为了检测本文实现的原型系统针对SQL注入的防护效果，首先部署PHP官方发布的公开版本并基于这12个漏洞展开SQL注入攻击，全部成功；然后部署本文实现的增强系统，操作系统安全增强模块能够实时检测到全面漏洞的后续违规操作，并输出警报信息，说明了基于操作系统增强的WEB安全防护技术的有效性。

4 结语

与在网络安全方面有丰富经验的互联网公司相比，传统的能源企业和互联网的联合，在安全问题上会更缺乏经验，也缺乏应有的重视。和美国、日本等发达国家已经有了防范的安全技术研究和准备不同，我国在这一方面还有很多的工作需要做。WEB安全在电力信息安全中首当其冲。WEB安全一方面要求要杜绝WEB漏洞；另外一方面，在WEB百密一疏被攻入的情况下仍然能够保障整个WEB服务器的安全。本文实现了基本的基于操作系统增强的WEB系统安全防护技术，可以很好地满足WEB安全的2方面要求，但真正在电力系统普及应用，提供WEB系统的全面安全保障，是下一阶段的主要工作目标。

参考文献

[1]HOWARD M,LEBLANC D,VIEGA J.19 deadly sins of software security:Programming fl aws and how to fi x them[M].USA:Mc Graw-Hill Osborne Media,2005:103-112.

[2]GORDON L,LOEB M,LUCYSHYN W,et al.Computer crime and security survey[R].Computer Security Institute.2009.

[3]OWASP.Top 10 Web Security Risks.[2016-04-14].https://www.owasp.org/index.php/Top_10_2010-Main.

[4]古开元,周安民.跨站脚本攻击原理与防范[J].网络安全技术与应用,2005(12):19-21.GU Kai-yuan,ZHOU An-min.Principle and prevention of cross-site scripting attack[J].Network Security Technology&Application,2005(12):19-21.

[5]RATS.[2016-04-14].https://www.fortify.com/ssa-elements/threatintelligence/rats.html.

[6]GALAN E,ALCAIDE A,ORFILA A,et al.A multi-agent scanner to detect stored-XSS vulnerabilities[C]//2010 International Conference for ICITST,2010:215-221.

[7]MUTHUKUMARAN D,O'KEEFFE D,PRIEBE C,et al.Flowwatcher:Defending against data disclosure vulnerabilities in Web applications[C]//ACM Conference on Computer and Communications Security,2015:603-615.

[8]娄翠伶.基于Grails的Web安全漏洞检测系统的研究与应用[D].大连:大连海事大学,2011.

[9]Acunetix.[2016-04-15].http://www.acunetix.com/vulnerabilityscanner/.

[10]XU Mingkun,CHEN Xi,HU Yan.Design of software to search ASP Web shell[C]//2012 International Workshop on Information and Electronics Engineering,2012:123-127.

[11]CHEN Jan-min,WU Chia-lun.An automated vulnerability scanner for injection attack based on injection point[C]//2010International Computer Symposium(ICS).2010:113-118.

8.web系统安全解决方案 篇八

[关键词] Web 人力资源管理系统 身份认证 数字签名 加解密

基于Web的高校人力资源管理系统在高校人力资源的管理和发展规划方面起着举足轻重的作用。但随着网络的开放，人力资源系统的安全性让人担忧。如何验证用户身份的真实性，如何保证数据在传输过程中不受干扰，保证数据的安全性和真实性等安全问题，成为人力资源管理系统急需要解决的问题，本文旨在研究人力资源管理系统的安全体系。

人力资源管理系统的安全性调研

高校人力资源管理系统，涉及到教职工的一些重要信息，如教师的职称、学历、学位、工作时间、聘任岗位等信息必须严格进行保密。经过大量的充分调研以及本人的切身工作经历，在人力资源管理系统的设计过程中，应该充分考虑业务层和数据层的安全性，对于业务层，做到根据角色不同可以执行不同的任务，作不同的操作，使用不同的操作流程；对于数据层，根据数据集的不同，角色的不同，可以对数据拥有不同的读取、修改、删除的权限；对于每一个用户在系统的每一步操作，系统都应该有相应的日志记录，以备查询。

系统安全体系研究

1.网络通讯保护层（SSL）

SSL(Secure Sockets Layer)是由Netscape公司开发的一套Internet数据安全协议。SSL协议位于TCP/IP协议与各个应用层协议之间，为数据通讯提供安全支持，保证传输过程安全、可靠。SSL协议可分为两层，SSL记录协议(SSL Record Protocol)和SSL握手协议(SSL Handshake Protocol)。SSL安全机制的通信过程如下：用户与IIS服务器建立连接后，服务器会把数字证书与公用密钥发送给用户，用户端生成会话密钥，并用公共密钥对会话密钥进行加密，然后传递给服务器，服务器端用私人密钥进行解密，这样，用户端和服务器端就建立了一条安全通道，只有SSL允许的用户才能与IIS服务器进行通信。

2.数据库的安全性

数据库安全模型如图1，分为认证模块、授权登录模块、加解密模块。可采取的安全保护措施有：数据加密、系统登录口令保护、权限控制、访问控制等。

图1 数据库安全模型

（1）认证模块

认证模块主要用于用户的注册与认证，用户首先进行严格的注册，然后，系统根据注册信息进行认证。用户的注册是用数字签名技术，通过同认证中心进行双向身份认证以获得注册，并用于后续认证。

数字签名是公开密钥体系加密技术发展的一个重要的成果。主要是通过单向散列函数(Hash)和RSA 加密算法来实现。在Hash函数的构造中，输入可变长数据，得到一个固定长度的散列值，作为第三方，不可能用不同的输入数据得到一个完全相同的散列值，即h(M)=h(M’)；而且，散列函数的单向性、一致性和唯一性，也保证了散列函数的安全性与通信数据的完整性。

（2）授权登录模块

授权登录模块主要依靠权限管理来实现。权限管理包括系统功能定义，角色定义和角色分配。系统采用了先进的基于角色的访问控制思想，在系统中根据资源访问情况定义了相对稳定的角色类别，然后根据用户的需要分配给相应的角色来完成资源的访问。系统的角色类别有系统管理员、人事处负责人、院级领导、职能部门负责人、普通用户等。在基于角色的权限控制中，不同的角色拥有不同的权限。在对角色的权限分配是在系统的角色定义里完成。系统管理员在人机交互界面中，可以方便地对角色权限进行配置。在角色定义页面中，根据要授权的内容，修改条目对话框中各项内容的具体权限。

（3）加解密模块

系统的加解密模块中，对数据库中数据表的数据采用的是二级密钥管理机制进行加解密。所谓二级密钥管理机制就是一级密钥是主密钥，二级密钥是工作密钥。工作密钥用于对数据库中的数据进行加解密，主密钥是对工作密钥进行加密。这样既利用了私钥算法的快速性又保证了工作密钥的安全性。在本系统中，以数据表为加密对象，可设计一个主密钥，多个表密钥。主密钥的作用是用来生成表密钥，并保证表密钥的安全。表密钥对数据表进行加密，并保证数据表中敏感数据的安全。整个数据库的安全性依赖于主密钥的安全性。这种二级密钥管理机制可以有效避免字段加密或记录加密庞大密钥量的存储管理以及加密粒度过小所带来的加解密时耗，这样也就提高了用户的访问效率。

结束语

基于Web的高校人力资源管理系统的安全问题是一个系统性、综合性的问题。不仅要从硬件、软件上进行安全考虑，更要从维护系统的管理人员来考虑，人人要有安全意识，安全操作，系统的安全问题才能够得到有效的解决。

参考文献：

[1]刘宗田.Web 站点安全与防火墙技术[M].北京:机械工业出版社,1998：102-110.

[2]蒋光明.开放式系统的安全策略[J].重庆师范学院学报( 自然科学版)，2002,19(2):90-92.

[3]陈也平.基于校园网的高校人事管理系统[J].微机发展,2002,12(2):32-34.

[4]汪培芬.数据库加密技术的研究与实现[D].南京:南京理工大学,2008.

9.超市安全监控系统解决方案 篇九

第一章 设计原则及依据

一、前言

在市场经济活跃发展的今天，城市生活节奏逐渐变快，功能齐全、货源完备的大型超市逐渐取代了传统的百货商场，走入都市人的生活，成为城市人消费的重要场所。

要在激烈的竞争中取得胜利，已经不能只靠简单的价格战，这只会让商家两败俱伤；只有打出品牌，树立良好形象，为顾客创造一个舒适轻松、安全洁净、货源齐备的购物环境，才有可能取得好的业绩。

大型超市具备一定的规模、相当的面积，全部实行无人售货，由顾客在无人干预的情况下挑选喜爱的商品，避免售货人员左右顾客的购买欲也不担心顾客的购买能力低而引起的尴尬；为保证充足的货源、齐全的品种，还必须在仓库储存足够的货物储备。曾有一位超市人这样感叹：挣钱不容易，只能控制损耗；挣钱不可以控制，但损耗是可以控制的。可见，在现在的零售业竞争中，各位商家都把防损管理放在一个非常重要的位置，据统计，大型超市的平均毛利率只有8-12%，纯利1-2%，而损耗率就高达1%-3%，防损已成为当今超市生存与发展的焦点话题，如何防损，怎样才能把损耗控制到最低，也就成为现代零售企业生存发展的核心竞争力之一。在日常的管理中，防损，已经成为零售业成本控制的重要环节，于是就需要避免货品被不良顾客顺手牵羊，避免他人的蓄意破坏，避免顾客在人潮过多时发生意外；还要保障仓库的货物安全，进行员工的管理等工作。因此，超市必须配以一整套完备的监控系统，解决超市运营中的安全、控制管理问题。

随着计算机技术的快速发展，多媒体图像语音处理和通信技术的不断创新和提高，使得数字化监控系统日趋完善和成熟。在实现对图像语音的数字化处理和存储的基础上，也将数据通过公用电话网，数字数据通信网综合业务数字网和各种类型的LAN/WAN以及INTERNET传向远方，形成了以各种通信网络和多媒体监控站为基础，采用先进的图像编解码技术和控制手段的远程数字化监控系统和远程监控网络。人们在足不出户的情况下，即可感知千里之外的监控现场的情 况，方便了日常的生产和管理活动，监控也因此焕发出新的生命力。若要在较窄的带宽时保证网络图像传输质量，必须要求两点：

1、图像具有比较高的压缩比率；

2、产品具有很强的网络功能。

计算机数字电视监控系统，是集实时图像监控和录像、图像技术处理、报警信号处理、多媒体技术和数字硬盘录像为一体的综合监控管理系统，它的建立和使用，使安保人员和主管人员不必亲临现场，就可将现场情况尽收眼底，极大地提高了工作效率，并能事后查找当时发生的情况，为领导决策提供准确、及时、有效的信息服务及决策依据。同时也对形成了一种强大的威慑效果，很大程度上将偷盗现象扼杀于萌芽状态。

本方案主要就设计要求、设计依据进行了确认，同时根据要求和依据对现场位置、器材和控制室的配置和实现的目的进行组合设计来完成方案的设计主体，同时确定系统的主要设计依据、技术指标，并对机房的控制台根据实际需要进行设计。根据设计我们对产品的选用要求、功能进行描述，同时就方案的实施估算整个工程费用。

二、设计要求

1.采用当今世界最先进的计算机全数字化压缩监控系统和传统的监控系统相结合，形成一套合理的安保闭路电脑监控系统。

2.安装在超室的摄像机，能较清楚的看到现场人员的状况。发布时间：2009-10-26 阅读：699次

3.系统对图像记录应采用计算机数字硬盘进行全实时录像，清晰而无遗漏。

4.系统具有可扩展性。系统稳定性高、寿命长、维修方便。

三、设计依据（略）

四、设计原则（略）

第二章 方案的实施

u监控点设计

Ø货架监控

超市的最大特点是顾客可以自己选择喜爱的商品，最后到出口处付款，满足了顾客自由选择的需求。对超市来说，最关心的是如何管理商品，避免顾客顺手牵羊的行为；为了尊重顾客，超市只能采取预防措施。

利用监控服务器系统，通过在天花板等地点安装的摄像头，可以方便的监看众多的货架，以查看超市内是否有偷窃行为；如果发现偷窃行为，只要在付款处把录像资料回放给顾客看就可以了，不需要与顾客发生任何争执。在监看货架时，如果发现货物错架、货架较乱的地方，可以马上派人员进行整理。本系统在回放录像时，能够将资料中需要突出显示的部分放大，比如顾客偷藏物品的动作等。

Ø收银台监控

收银台是最容易与顾客发生摩擦的地方，顾客等待付款的时间过长，在找付金额上有出入，或是顾客携带未付款商品准备出超市，都有可能引起与顾客的摩擦。服务对超市的品牌形象至关重要；在打价格战的同时，最能影响顾客心理的是超市服务态度的好坏。

利用监控服务器系统，通过在收银台安装的摄像头和录音头，设置监控服务器中的录音功能，就可以监控收银台的员工与顾客的交流的情况，看员工是否礼貌待客。这样，就能很好的处理与顾客的纠纷，提高超市的服务 水平，确保超市在顾客中树立良好的口碑。

Ø人流监控

每天的下班时间和周末往往是大型超市人流比较多的时候，遇到节假日更是人如鱼涌。超市必须根据超市内人流情况，做出适当的安排，进行人流的疏导，或是增派人手缩短顾客等待时间；以避免因人多而发生的意外。

利用监控服务器系统，能使超市及时地间了解顾客数量的情况，据此进行疏导等必要的工作。此外，系统还能将所有场景详细记录下来，在资料中记录时间、地点；为市场人员分析市场走向提供了详细的资料。通过对录像资料进行系统分析，就能知道哪个季节、什么节日，甚至具体到一天哪个时间段，客流最旺；还能知道什么物品、哪个卖点最吸引顾客。

Ø员工工作状态监控

员工态度的好坏直接影响到顾客的购买欲。因为超市是顾客自由选择商品的自由市场，经营者在考虑顾客心理、经营成本等各方面因素时，不会安排太多的销售人员，只会安排一定的人员在顾客有需要事时能够进行指引。销售员工作在直接与顾客打交道的最前线，她们的表现往往直接代表了超市的形象。

利用监控服务器系统，能够对销售员工的状态进行考核和评定，观察员工在规定范围内的值守情况，以及员工接待顾客的工作态度。利用系统的录像功能，还可以将员工的工作状态保存下来，作为考核评定的依据。

Ø无人上班时超市的安全监控

非24小时营业的超市总有下班的时候，此时超市中的货物安全就需要保安人员进行巡逻来保障。对于大型的超市，保安人员巡逻的面积很大，如果配备的人员少，将不能保证足够的巡逻密度；如果配备的人员多，又将增加超市的经营成本。

利用监控服务器系统，通过在商场中安装夜视镜头、低照度镜头、红外镜头等，配以各类报警传感器，保安人员就可以在中央控制室中对超市的情况进行监控有效的保障超市的财产安全。当监控范围内有情况发生时，连接在系统上的传感器会自动报警，还可以把警报传送到管理者的手机或传呼机中，使管理者随时知道超市内发生的情况并及时采取相应的解决措施。本系统实现了远距离的监控，可以有效的减轻保安人员的工作强度，提高安全保障的效率。

监控服务器系统以数码监控服务器为中心控制设备，采用了先进的计算机全数字化压缩技术，充分考虑了用户的具体要求和使用的具体情况。本系统能够堵塞安全漏洞，为突发事件提供现场情况的记录；具有高度的可靠性和工作的连续性，大大减少用户的维护工作量；可扩展性、伸缩性亦较强，使用方便。

u

二、系统机构及拓扑图

从图中可以看到，摄像头（可配备云台）通过同轴电缆（或双绞线）与监控服务器主机相连，摄像头可以安装在收银台、商场中、仓库等场所；还可以在需要的地方安装音频头和各种类型的传感器，取得现场的声音及其他信息。

本系统具有的运动目标检测技术，基于数字图像处理技术，可以在画面上直接用软件进行设防，自动“感受”画面上目标的变化，在达到一定的变化率后产生报警及录像；配合传感器，能够实现对公共场所的设防。

一台N路的监控服务器主机可以使用N个摄像头监控多个场所，通过中央控制台可以控制摄像头进行旋转、变焦等动作，实现对场所的全面监控；在需要的时候，还可以连接各类报警传感器，对需要的地点进行布防。通过本系统，在中央控制室就可以方便直观的进行对各个地点的监控，而不需要进行频繁的巡查。需要观看现场情况的人还可以通过网络，从连接在网络上的监控服务器主机取得音、视频资料。

利用上图所示的监控服务器系统，可以对超市的多个场所进行有效的监控；系统的实时录像功能、动态感应报警录像功能，可以方便的将现场情况的资料录 制在硬盘里，还能制作成光盘永久保

存。

同时，本系统还能选择对录像资料进行加密存储，大大增加了对录像资料进行删除、修改、剪切的难度，从而保证了监控录像资料的完整、准确，提高了数据的安全性。

所以，监控服务器系统可以很好的满足超市安全监控的需要。

u

三、数字硬盘录象机介绍

监控服务器系统用计算机作为监控的中心，并且把多媒体技术、网络技术、视频技术应用到监控上，结合良好的操作界面，有效的加强了人机配合监视的效果。

监控服务器系统实现了多媒体监控系统的视/音频的数字化、系统的网络化、应用的多媒体化、管理的智能化和技术的专业化。

监控服务器系统的特点主要有以下几点：

1、实时抓拍功能

每个摄像头每秒25帧，可以把所有的情况真实地记录下来，还能把现场的声音清晰地记录下来。

2、移动报警录像

在每路视频图像范围内可任意设置移动探测区域，视频移动探测发生报警时自动联动报警录像。这样，设定区域内的任何变化都可以记录下来。

3、性能稳定、安全可靠

数码监控服务器各项技术指标都符合国家电工及电气标准，经过严格的 测试及恶劣环境的使用，通过国家公安部安全检测验证。

4、支持远程传输

可通过Intranet的多种网络连接方式进行监控、录像、回放和备份的工作。

u

四、数字硬盘录像机性能

系统软件功能

ü主机功能

软件平台：Windows 2000中文版。

压缩格式：MPEG-4，动态压缩。

录像帧数：每路每秒25帧。

云台控制：全通道云台控制。

镜头控制：光圈，范围，焦距（视镜头而定）。

权限设置：可授予不同的操作员不同的权限。

动态报警：视频区域图像移动报警。

I/O报警：各种常规传感器输入报警，警笛或警灯输出。

断电报警：当断电时，有报警信号，同时主机会保存资料后自动关机（配备UPS的情况）。自动画面切换：1/4/9/16画面自动切换。

图像回放：按年月日、时分秒检索，剪切、打印、播放画面大小及速度

ü图像传输质量

LAN（局域网）每路每秒25帧，延时1-3秒

ADSL(宽带网)每路每秒15帧，延时3-5秒

ISDN（专线）每路每秒6帧，延时3-5秒

PSTN（公用电话网）每路每秒3帧，延时3-5秒

ü图像的存储

录像资料的存储时间根据实际情况而定。

可支持多个硬盘。

ü图像的清晰度

监视分辨率1024*768，录像回放清晰度达到460线以上。

ü产品稳定性

产品已通过长时间的测试，能在恶劣环境下应用，产品的电源功率、散热等各项指标均符合国家电工标准。

u

五、监控服务器系统的数据安全保护

A：重要的视频及音频资料可存储在DVD-RAM中，录像存储图像质量好，便于存放管理，存放的时间也比较长。

B：重要的图像或数据可直接输出到打印机。

C：录像数据的剪切、修改、删除均有操作权限设置保护，每一项操作均记录在日志中。

u

六、工程施工（略）

第三章：售后支持和系统培训