有效预防SQL注入攻击的六脉神剑
来源：asp之家 发布时间：2010-02-21 12:14:00
据CNNIC中国互联网络信息中心2009年7月16日发布的《第24次中国互联网络发展状况调查统计报告》中显示，我国共有网民数量3.38亿人，网站数量306.1万个，半年内有1.95亿网民在上网过程中遇到过病毒和木马的攻击，1.1亿网民遇到过账号或密码被盗的问题。
而据多种调查显示，目前SQL注入攻击是造成上述严重情况的根本原因之一，也是黑客对数据库进行攻击的常用手段之一。随着B/S模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。但是由于程序员的水平及经验也参差不齐，相当大一部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患，这也给黑客带来很多可乘之机。
其实，SQL注入之所以会造成严重后果而不被防火墙所发现，是因为这种攻击方式是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。
而正是因为SQL注入攻击原理本身非常简单的原因，才使得相关攻击工具容易下载，成为近年来攻击者最有效Web入侵入手段。针对这一攻击手段，联想网御的安全专家倾囊传授广大51CTO读者“预防SQL注入攻击的六脉神剑”：
1、Web应用安全评估：结合应用的开发周期，通过安全扫描、人工检查、渗透测试、代码审计、架构分析等方法，全面的发现Web应用本身的脆弱性及系统架构导致的安全问题。应用程序的安全问题可能是软件生命周期的各个阶段产生的，其各个阶段可能会影响系统安全的要点主要有：
而对应用程序本身在评估过程中可以参考OWASP TOP TEN 2007年最新版本，重点检查以下内容：
2、Web应用安全加固：对应用代码及其中间件、数据库、操作系统进行加固，并改善其应用部署的合理性。从补丁、管理接口、帐号权限、文件权限、通讯加密、日志审核等方面对应用支持环境和应用模块间部署方式划分的安全性进行增强。
3、对外部威胁的过滤：通过部署Web防火墙、IPS等设备，监控并过滤恶意的外部访问，并对恶意访问进行统计记录，作为安全工作决策及处置的依据。
4、Web安全状态检测：通过常见挂马页面代码的特征，持续地检测被保护应用页面的当前状态，判断页面是否被攻击者加入恶意代码。同时通过检测Web访问日志及Web程序的存放目录，检测是否存在文件篡改及是否被加入Web Shell一类的网页后门。
5、事件应急响应：提前做好发生几率较大的安全事件的预案及演练工作，力争以最高效、最合理的方式申报并处置安全事件，并整理总结。
6、安全知识培训：让开发和运维人员了解并掌握相关知识，在系统的建设阶段和运维阶段同步考虑安全问题，在应用发布前最大程度的减少脆弱点。
在现在和将来，由于受互联网地下黑色产业链中盗取用户账号及虚拟财产等行为的利益驱动，攻击者仍将Web应用作为传播木马等恶意程序的主要手段。尽管这会对广大的运维人员和安全工作者造成很大的工作压力，但是我们相信通过持续不断地执行并改进相关安全措施，可以最大限度地保障Web应用的安全，将关键系统可能发生的风险控制在可接受的范围之内。
0
投稿猜你喜欢
- 安装之前，首先要满足一些先决条件。为了安装Docker，你需要是Ubuntu任意64版本。Yakkety 16.10xenial 16.04
- 核心提示：来对SEO网页进行相关的优化，使其提高搜索引擎排名，从而提高网站访问量，最终提升网站的销售能力或宣传能力的技术,达到SEO目的。什
- 美元在加速贬值，而google却在加慢付款，二月份的收入从3月27日开始到现在一直显示着“正在付款”而不见付款，以往这个时候钱早到拿到手了。
- 10月13日消息，金蝶友商网总经理冯颉在做客网易科技访谈室时透露，友商网正积极寻找适合的收购对象，将通过并购来加强业务。冯颉向网易科技表示，
- 盗链是指服务提供商自己不提供服务的内容，通过技术手段绕过其它有利益的最终用户界面(如广告)，直接在自己的网站上向最终用户提供其它服务提供商的
首先我们都要承原创是件非常痛苦的事情，于是出现了转载和抄袭，这也造就了很多东东，譬如数以千万的垃圾网站、新年祝福短信、山寨手机，还有花儿乐队- 跨站脚本的名称源自于这样一个事实，即一个Web 站点（或者人）可以把他们的选择的代码越过安全边界线注射到另一个不同的、有漏洞的Web 站点中
- 准备工作先在VS2012上编译一个winform，代码如下：using System;using System.Windows.Forms;
- 9月9日，织梦教育类网站解决方案专题（http://www.dedecms.com/products/education）正式上线，Dede
- 第一次看到这句话时，是在一个网站上，那时，我还是一个纯粹的网民，只会在网上查查资料、打打游戏之类的东西。那几个字是书法字体，制作成一个GIF
- 如果您使用Linux,可千万要记得不要让傻孩子们敲入以下命令,尽管这些命令看上去相当复杂,但还是会对你的系统造成严重影响.有一些会影响你的程
- 刚才在月光博客上看到一有关MD5的安全性问题的文章，文章写得不错，但是我个人还有一些想补充的地方，算是对作者这个文章的补充。对于一些经常上网
- 1. 下载地址：https://www.vmware.com/go/getfusion2. 安装和安装其他Mac软件一样，双击app文件即可
- Windows2000系统提供了FTP服务功能，由于简单易用，与Windows系统本身结合紧密，深受广大用户的喜爱。但使用IIS5.0 架设
- 传统的广告seo公司，没有人敢说自己在做营销，都是说自己在做广告，同理，网络广告也只是网络广告，决不是网络营销。相信很多人都在接触中听过SE
- 这里我们按照所需要的服务开放响应的端口。在2003系统里，不推荐用TCP/IP筛选里的端口过滤功能，譬如在使用FTP服务器的时候
- 你是否留心过：通过域名访问网站首页时，网页返回Http状态码是什么？甚至访问内页时，Http状态码又是什么吗？大多数人可能会想当然的认为首页
- 一、首先说明的是连不上 wifi 的原因无外乎以下几点 1、网卡问题
- 本文将介绍Linux系统下查看显卡硬件信息内容如下：如何在ubuntu系统中查看显卡型号。（其他文章大多只介绍了命令而未介绍如何对应显卡型号
- 10月31日消息，消息人士透露，思科和EMC将联手销售用于云计算服务的新款网络设备、计算机和存储系统。据国外媒体报道称，代号为&ld
