一、Web技術(shù)簡介

　　World Wide Web稱為萬維網(wǎng)，簡稱Web。它的基本結(jié)構(gòu)是采用開放式的客戶/服務(wù)器結(jié)構(gòu)(Client/Server),分成服務(wù)器端、客戶接收機及通訊協(xié)議三個部分。

　　1、服務(wù)器(Web服務(wù)器)

　　服務(wù)器結(jié)構(gòu)中規(guī)定了服務(wù)器的傳輸設(shè)定、信息傳輸格式及服務(wù)器本身的基本開放結(jié)構(gòu)。Web 服務(wù)器是駐留在服務(wù)器上的軟件，它匯集了大量的信息。Web服務(wù)器的作用就是管理這些文檔，按用戶的要求返回信息。

　　2、客戶接收機(Web瀏覽器)

　　客戶機系統(tǒng)稱為Web瀏覽器，用于向服務(wù)器發(fā)送資源索取請求，并將接收到的信息進行解碼和顯示。Web瀏覽器是客戶端軟件，它從Web服務(wù)器上下載和獲取文件，翻譯下載文件中的HTML代碼，進行格式化，根據(jù)HTML中的內(nèi)容在屏幕上顯示信息。如果文件中包含圖像以及其他格式的文件(如聲頻、視頻、Flash等)，Web瀏覽器會作相應(yīng)的處理或依據(jù)所支持的的插件進行必要的顯示。

　　3、通訊協(xié)議(HTTP協(xié)議)

　　Web瀏覽器與服務(wù)器之間遵循HTTP協(xié)議進行通訊傳輸。HTTP(HyperText Transfer Protocol，超文本傳輸協(xié)議)是分布式的Web應(yīng)用的核心技術(shù)協(xié)議，在TCP/IP協(xié)議棧中屬于應(yīng)用層。它定義了Web瀏覽器向Web服務(wù)器發(fā)送索取Web頁面請求的格式，以及Web頁面在Internet上的傳輸方式。

　　Web服務(wù)器通過Web瀏覽器與用戶交互操作，相互間采用HTTP協(xié)議相互通信(服務(wù)器和客戶端都必須安裝HTTP協(xié)議)。Web服務(wù)器也稱為HTTPd服務(wù)器(d是指UNIX系統(tǒng)中的daemon)。最早的Web服務(wù)器軟件是在UNIX系統(tǒng)上發(fā)展起來的，有CERN和NCSA兩種類型。現(xiàn)在占居市場分額最大的是Apache服務(wù)器軟件，并且可以在多種環(huán)境下運行，如Unix、Linux、Solaris、Windows 2000等。在Window環(huán)境下，由于Microsoft得天獨厚的優(yōu)勢，因而IIS (Internet Information Server)成為Windows NT及 Windows 2000下主要的服務(wù)器軟件。

　　Web瀏覽器軟件中，Netscape的Web瀏覽器NN(Netscape Navigator)、NC(Netscape Communicator)具有最廣泛的系統(tǒng)平臺支持，可以在所有平臺上運行；Microsoft的IE(Internet Explorer)則是Windows平臺上運行最完美的瀏覽器軟件。

　　Web服務(wù)器和Web瀏覽器之間通過HTTP協(xié)議相互響應(yīng)。一般情況下，Web服務(wù)器在80端口等候Web瀏覽器的請求, Web瀏覽器通過3次握手與服務(wù)器建立起TCP/IP聯(lián)接。

　　大多數(shù)Web服務(wù)器和Web瀏覽器已使用了HTTP/1.1版。HTTP1.1具有許多新的特色：

　　(1) 能夠識別主機名，允許多個虛擬主機名共存于一個IP上。
　　(2) 具有內(nèi)容協(xié)商的能力，允許服務(wù)器以多種格式存取資源，供Web服務(wù)器和Web瀏覽器選擇最佳版本。
　　(3) 通過持續(xù)性聯(lián)接加速Web服務(wù)器的響應(yīng)速度。
　　(4) 允許Web瀏覽器請求索取文件的某部分，從而為端點續(xù)傳功能提供更好的支持。
　　4、公共網(wǎng)關(guān)接口介紹(CGI)

　　在討論Internet和Web技術(shù)給人們提供瀟灑服務(wù)的同時，不能不提到CGI(Common Gateway Interface)。它是Web服務(wù)器與外部應(yīng)用程序之間交換數(shù)據(jù)的標(biāo)準接口軟件。有了CGI，Web網(wǎng)站將不只是靜態(tài)頁面的收藏點，而是可以通過在Web服務(wù)器上運行一定的程序，輸出一個動態(tài)的頁面。CGI是一種獨立于語言的接口，CGI程序可以使用任何可以訪問環(huán)境變量和產(chǎn)生輸出的編程語言來編寫，有C、C++、PERL、Shell等。

　　CGI與Web服務(wù)器的關(guān)系：首先，用戶的Web 服務(wù)器必須支持CGI程序，并且CGI應(yīng)用程序必須在Web服務(wù)器上運行。客戶端(Web瀏覽器)常用Post、Get兩種方式向Web服務(wù)器提交表單數(shù)據(jù)(圖、表、文字的鏈接等)，Web服務(wù)器采用相應(yīng)的數(shù)據(jù)傳遞方式向CGI應(yīng)用程序傳遞數(shù)據(jù)。CGI對數(shù)據(jù)處理后，將動態(tài)生成的Web頁面發(fā)給Web服務(wù)器，服務(wù)器再把頁面發(fā)送給發(fā)送請求數(shù)據(jù)的客戶端。客戶端用Post 方式遞交數(shù)據(jù)，Web 服務(wù)器按照標(biāo)準方式向CGI輸入和接受數(shù)據(jù)，CGI同樣按標(biāo)準方式讀取和輸出數(shù)據(jù)；客戶端用Get方式遞交數(shù)據(jù)，在Unix類系統(tǒng)中Web服務(wù)器通過環(huán)境變量方式把數(shù)據(jù)轉(zhuǎn)交CGI應(yīng)用程序，CGI應(yīng)用程序須從環(huán)境變量中讀入數(shù)據(jù)，輸出結(jié)果同樣送到標(biāo)準輸出中。
　　
　　二、建立Web安全體系

　　Web賴以生成的環(huán)境包括計算機硬件、操作系統(tǒng)、計算機網(wǎng)絡(luò)、許多的網(wǎng)絡(luò)服務(wù)和應(yīng)用，所有這些都存在著安全隱患，最終威脅到Web的安全。Web 的安全體系結(jié)構(gòu)非常復(fù)雜主要包括以下幾個方面：
　　
　　* 客戶端軟件(既Web瀏覽器軟件)的安全；
　　* 運行瀏覽器的計算機設(shè)備及其操作系統(tǒng)的安全(主機系統(tǒng)安全)；
　　* 客戶端的局域網(wǎng)(LAN)；
　　* Internet；
　　* 服務(wù)器端的局域網(wǎng)(LAN)；
　　* 運行服務(wù)器的計算機設(shè)備及操作系統(tǒng)的安全(主機系統(tǒng)的安全)；
　　* 服務(wù)器上的Web服務(wù)器軟件。

　　在分析Web服務(wù)器的安全性時，一定要考慮到所有這些方面，因為它們是相互聯(lián)系的，每個方面都會影響到Web服務(wù)器的安全性，它們中安全性最差的決定了給定服務(wù)器的安全級別。由于篇幅的限制不能夠詳細地討論所有影響Web安全的因素。考慮到影響Web安全的最直接的因素，下面主要討論Web服務(wù)器軟件及支撐服務(wù)器運行的操作系統(tǒng)的安全設(shè)置與管理。

　　1、主機系統(tǒng)的安全需求

　　網(wǎng)絡(luò)的攻擊者通常通過主機的訪問來獲取主機的訪問權(quán)限，一旦攻擊者突破了這個機制，就可以完成任意的操作。對某個計算機，通常是通過口令認證機制來實現(xiàn)的登陸到計算機系統(tǒng)上。現(xiàn)在大部分個人計算機沒有提供認證系統(tǒng)，也沒有身份的概念，極其容易被獲取系統(tǒng)的訪問權(quán)限。因此，一個沒有認證機制的PC是Web服務(wù)器最不安全的平臺。所以，確保主機系統(tǒng)的認證機制，嚴密地設(shè)置及管理訪問口令，是主機系統(tǒng)抵御威脅的有力保障。

　　2、Web服務(wù)器的安全需求

　　隨著“開放系統(tǒng)”的發(fā)展和Internet的知識普及，獲取使用簡單、功能強大的系統(tǒng)安全攻擊工具是非常容易的事情。在訪問你的Web站點的用戶中，不少技術(shù)高超的人，有足夠的經(jīng)驗和工具來探視他們感興趣的東西。還有在人才流動頻繁的今天，“系統(tǒng)有關(guān)人員”也可能因為種種原因離開原來的崗位，系統(tǒng)的秘密也可能隨之?dāng)U散。

　　不同的Web網(wǎng)站有不同的安全需求。建立Web網(wǎng)站是為了更好地提供信息和服務(wù)，一定程度上Web站點是其擁有者的代言人，為了滿足Web服務(wù)器的安全需求，維護擁有著的形象和聲譽，必須對各類用戶訪問Web資源的權(quán)限作嚴格管理；維持Web服務(wù)的可用性，采取積極主動的預(yù)防、檢測措施，防止他人破壞，造成設(shè)備、操作系統(tǒng)停運或服務(wù)癱瘓；確保Web服務(wù)器不被用做跳板來進一步侵入內(nèi)部網(wǎng)絡(luò)和其他網(wǎng)，使內(nèi)部網(wǎng)免遭破，同時避免不必要的麻煩甚至法律糾紛。
　　三、Web服務(wù)器設(shè)備和相關(guān)軟件的安全考慮

　　Web服務(wù)器的硬件設(shè)備和相關(guān)軟件的安全性是建立安全的Web站點的堅實基礎(chǔ)。人們在選擇Web服務(wù)器主機設(shè)備和相關(guān)軟件時，除了考慮價格、功能、性能和容量等因素外，切莫忽略安全因素，因為有些服務(wù)器用于提供某些網(wǎng)絡(luò)服務(wù)時存在安全漏洞。挑選Web服務(wù)器技術(shù)通常要在一系列有沖突的需求之間作出折中的選擇，要同時考慮建立網(wǎng)站典型的功能需求和安全要求

　　對于Web服務(wù)器，最基本的性能要求是響應(yīng)時間和吞吐量。響應(yīng)時間通常以服務(wù)器在單位時間內(nèi)最多允許的鏈接數(shù)來衡量，吞吐量則以單位時間內(nèi)服務(wù)器傳輸?shù)骄W(wǎng)絡(luò)上的字節(jié)數(shù)來計算。

　　典型的功能需求有：提供靜態(tài)頁面和多種動態(tài)頁面服務(wù)的能力；接受和處理用戶信息的能力；提供站點搜索服務(wù)的能力；遠程管理的能力。

　　典型的安全需求有：在已知的Web服務(wù)器(包括軟、硬件)漏洞中，針對該類型Web服務(wù)器的攻擊最少；對服務(wù)器的管理操作只能由授權(quán)用戶執(zhí)行；拒絕通過Web訪問Web服務(wù)器上不公開的內(nèi)容；能夠禁止內(nèi)嵌在操作系統(tǒng)或Web服務(wù)器軟件中的不必要的網(wǎng)絡(luò)服務(wù)；有能力控制對各種形式的執(zhí)行程序的訪問；能對某些Web操作進行日志記錄，以便與入侵檢測和入侵企圖分析；具有適當(dāng)?shù)娜蒎e功能。

　　所以，在選擇Web服務(wù)器時，首先要從建立網(wǎng)站的單位的實際情況出發(fā)，根據(jù)安全政策決定具體的需求，廣泛地收集分析產(chǎn)品信息和相關(guān)知識，借鑒優(yōu)秀方案或?qū)嵤┌咐木A，選擇你認為能夠最好地滿足本單位包括安全考慮在內(nèi)的需求的產(chǎn)品組合。

　　四、建立安全的Web網(wǎng)站

　　在本篇文章的開始討論過Web站點的組成的三個部分。需要強調(diào)的是，主機操作系統(tǒng)是Web的直接支撐者，合理配置主機系統(tǒng)，能為Web服務(wù)器提供強健的安全支持。

　　1、理解配置主機操作系統(tǒng)

　　(1) 僅僅提供必要的服務(wù)

　　已經(jīng)安裝完畢的操作系統(tǒng)都有一系列常用的服務(wù)，UNIX系統(tǒng)將提供Finger、Rwho、RPC、LPD、Sendmail、FTP、NFS、IP轉(zhuǎn)發(fā)等服務(wù)。Windows NT系統(tǒng)將提供RPC(遠程過程調(diào)用)IP(網(wǎng)際協(xié)議)轉(zhuǎn)發(fā)、FTP(文件傳輸協(xié)議)、SMTP(簡單郵件傳輸協(xié)議)等。而且，系統(tǒng)在缺省的情況下自動啟用這些服務(wù)，或提供簡單易用的配置向?qū)А＿@些配置簡單的服務(wù)應(yīng)用在方便管理員而且增強系統(tǒng)功能的同時，也埋下了安全隱患。因為，關(guān)于這些應(yīng)用服務(wù)的說明文檔或是沒有足夠的提醒，或是細碎繁雜使人無暇細研，不熟練的管理員甚至沒有認真檢查這些服務(wù)的配置是否清除了已知的安全隱患。

　　為此，在安裝操作系統(tǒng)時，應(yīng)該只選擇安裝必要的協(xié)議和服務(wù)；對于UNIX系統(tǒng)，應(yīng)檢查/etc/rc.d/目錄下的各個目錄中的文件，刪除不必要的文件；對于Windows系統(tǒng)，應(yīng)刪除沒有用到的網(wǎng)絡(luò)協(xié)議，不要安裝不必要的應(yīng)用軟件，如C/C++編譯程序等。一般情況下，應(yīng)關(guān)閉Web服務(wù)器的IP轉(zhuǎn)發(fā)功能。

　　系統(tǒng)功能越單純，結(jié)構(gòu)越簡單，可能出現(xiàn)的漏洞越少，因此越容易進行安全維護。對于專門提供Web信息服務(wù)(含提供虛擬服務(wù)器)的網(wǎng)站，最好由專門的主機(或主機群)作Web服務(wù)器系統(tǒng)，對外只提供Web服務(wù)，沒有其他任務(wù)。這樣，可以保證(1)使系統(tǒng)最好地為Web服務(wù)提供支持；(2)管理人員單一，避免發(fā)生管理員之間的合作不調(diào)而出現(xiàn)安全漏洞的現(xiàn)象；(3)用戶訪問單一，便于控制；(4)日志文件較少，減輕系統(tǒng)負擔(dān)。

　　對于必須提供其他服務(wù)，如(提供需擬網(wǎng)站服務(wù))FTP服務(wù)與Web服務(wù)共用文件空間，既FTP和HTTP共享目錄，則必須仔細設(shè)置各個目錄、文件的訪問權(quán)限，確保遠程用戶無法上傳通過Web服務(wù)所能讀取或執(zhí)行的文件。

　　(2) 使用必要的輔助工具，簡化主機的安全管理

　　啟用系統(tǒng)的日志(系統(tǒng)帳戶日志和Web服務(wù)器日志)記錄功能。監(jiān)視并記錄訪問企圖是主機安全的一個重要機制，以利于提高主機的一致性以及其數(shù)據(jù)保密性。

　　Unix系統(tǒng)，可以在服務(wù)器上安裝tcp_wrapper工具。它在其他網(wǎng)絡(luò)服務(wù)啟動之前首先啟動。tcp_wrapper的配置文件可以控制只有本主機上的用戶才可以用登陸(Telnet)到本服務(wù)器。

　　Windows NT提供端口訪問控制功能，有助于加強Web服務(wù)器的安全。在網(wǎng)絡(luò)→協(xié)議→TCP/IP協(xié)議屬性→高級，選用“啟用安全機制” → 配置，將出現(xiàn)窗口。選擇“僅允許”，便可以利用“添加”功能，設(shè)置允許訪問的端口。
　　
　　2、合理配置Web服務(wù)器

　　(1)在Unix OS中，以非特權(quán)用戶而不是Root身份運行Web服務(wù)器。(如Nobody、www、Daemon)
　　(2)設(shè)置Web服務(wù)器訪問控制。通過IP地址控制、子網(wǎng)域名來控制，未被允許的IP地址、IP子網(wǎng)域發(fā)來的請求將被拒絕；
　　(3)通過用戶名和口令限制。只有當(dāng)遠程用戶輸入正確的用戶名和口令的時候，訪問才能被正確響應(yīng)。
　　(4)用公用密鑰加密方法。對文件的訪問請求和文件本身都將加密，以便只有預(yù)計的用戶才能讀取文件內(nèi)容。

　　3、設(shè)置Web服務(wù)器有關(guān)目錄的權(quán)限

　　為了安全起見，管理員應(yīng)對“文檔根目錄”(HTML文件存放的位置)和“服務(wù)器根目錄”(日志文件和配置文件存放的位置)做嚴格的訪問權(quán)限控制；

　　(1)服務(wù)器根目錄下存放日志文件、配置文件等敏感信息，它們對系統(tǒng)的安全至關(guān)重要，不能讓用戶隨意讀取或刪改；
　　(2)服務(wù)器根目錄下存放CGI腳本程序，用戶對這些程序有執(zhí)行權(quán)限，惡意用戶有可能利用其中的漏洞進行越權(quán)操作，比如，增、刪、改；
　　(3)服務(wù)器根目錄下的某些文件需要由Root來寫或者執(zhí)行，如Web服務(wù)器需要Root來啟動，如果其他用戶對Web服務(wù)器的執(zhí)行程序有寫權(quán)限，則該用戶可以用其他代碼替換掉Web服務(wù)器的執(zhí)行程序，當(dāng)Root 再次執(zhí)行這個程序時，用戶設(shè)定的代碼將以Root身份運行。

　　4、謹慎組織Web服務(wù)器的內(nèi)容

　　5、安全管理Web服務(wù)器

　　Web服務(wù)器的日常管理、維護工作包括Web服務(wù)器的內(nèi)容更新，日志文件的審計，安裝一些新的工具、軟件，更改服務(wù)器配置，對Web進行安全檢查等。主要注意以下幾點：

　　(1)以安全的方式更新Web服務(wù)器(盡量在服務(wù)器本地操作)；
　　(2)經(jīng)常審查有關(guān)日志記錄；
　　(3)進行必要的數(shù)據(jù)備份；
　　(4)定期對Web服務(wù)器進行安全檢查；
　　(5)冷靜處理意外事件。

　　五、Web網(wǎng)站的安全管理

　　1、建立安全的Web網(wǎng)站，首先要全盤考慮Web服務(wù)器的安全設(shè)計和實施。無論是政府網(wǎng)站，還是企業(yè)、商業(yè)機構(gòu)或是社會團體，各自都有其特殊的安全要求，所以，根據(jù)本單位的實際情況出發(fā)，周密制定安全政策是實現(xiàn)系統(tǒng)安全的前提。

　　2、對Web系統(tǒng)進行安全評估，也就是說，權(quán)衡考慮各類安全資源的價值和對它們實施保護所需要的費用。這個當(dāng)中不能只考慮看得見的資源實體，應(yīng)該綜合考慮資源帶來的效益，資源發(fā)生不安全情況的幾率，資源的安全保護被突然破壞時將可能帶來的損失。

　　3、制定安全策略的基本原則和管理規(guī)定，即指明各類資源的基本安全要求以及為了達到這種安全要求應(yīng)該實施的事項。安全管理是由個人或組織針對為了達到特定的安全水平而制定的一整套要求有關(guān)部門人員必須遵守的規(guī)則和違規(guī)罰則。對于Web服務(wù)提供者來說，安全管理的一個重要的組成是哪個人可以訪問哪些Web文擋，獲權(quán)訪問Web文檔和使用這些訪問的人的有關(guān)部門權(quán)利和責(zé)任，有關(guān)人員對設(shè)備、系統(tǒng)的管理權(quán)限和維護守則，失職處罰等。

　　4、對員工的安全培訓(xùn)，培養(yǎng)員工主動學(xué)習(xí)安全知識的意識和能力。一個網(wǎng)站的安全政策必須被每一個工作人員所理解，這樣才可能讓每一個員工自覺遵守、維護它。

　　盡管如此，Web網(wǎng)站的安全是相對的，沒有絕對的安全，我們只能把遭受攻擊的可能性降到最低。更重要的是，必須做到“有法必依”，把安全政策體現(xiàn)到設(shè)備的選購、網(wǎng)絡(luò)結(jié)構(gòu)的設(shè)計、人員的配置、管理及每一個人的日常的工作中。