基于Unix的Web服务器安全指南(2)
来源:asp之家 发布时间:2009-09-10 12:52:00
二。 提高系统安全性和稳定性
Web服务器安全预防措施:
1.限制在Web服务器开账户,定期删除一些断进程的用户。
2.对在Web服务器上开的账户,在口令长度及定期更改方面作出要求,防止被盗用。
3.尽量使FTP、MAIL等服务器与之分开,去掉ftp,sendmail,tftp,NIS, NFS,finger,netstat等一些无关的应用。
4.在Web服务器上去掉一些绝对不用的如SHELL之类的解释器,即当在你的CGI的程序中没用到PERL时,就尽量把PERL在系统解释器中删除掉。
5.定期查看服务器中的日志logs文件,分析一切可疑事件。在errorlog中出现rm, login, /bin/perl, /bin/sh等之类记录时,你的服务器可能已经受到了一些非法用户的入侵。
6.设置好Web服务器上系统文件的权限和属性,对可让人访问的文档分配一个公用的组,如WWW,并只分配它只读的权利。把所有的HTML文件归属WWW组,由Web管理员管理WWW组。对于Web的配置文件仅对Web管理员有写的权利。
7.有些Web服务器把Web的文档目录与FTP目录指在同一目录时,应该注意不要把FTP的目录与CGI-BIN指定在一个目录之下。这样是为了防止一些用户通过FTP上载一些如PERL或SH之类程序,并用Web的CGI-BIN去执行,造成不良后果。
8.通过限制许可访问用户IP或DNS,如在NCSA中的access.conf中加上:
《Directory /full/path/to/directory》
《Limit GET POST》
order mutual-failure
deny from all
allow from 168.160.142. abc.net.cn
《/Limit》
《/Directory》
这样只能是以域名为abc.net.cn或IP属于168.160.142的客户访问该Web服务器。
对于CERN或W3C服务器可以这样在httpd.conf中加上:
Protection LOCAL-USERS {
GetMask @(*.capricorn.com, *.zoo.org, 18.157.0.5)
}
Protect /relative/path/to/directory/* LOCAL-USERS
9.WINDOWS下HTTPD
(1)Netscape Communications Server for NT
PERL解释器的漏洞:
Netscape Communications Server中无法识别CGI-BIN下的扩展名及其应用关系,如.pl文件是PERL的代码程序自动调用的解释文件,即使现在也只能把perl.exe文件存放在CGI-BIN目录之下。执行如:/cgi-bin/perl.exe? &my_script.pl。但是这就给任何人都有执行PERL的可能,当有些人在其浏览器的URL中加上如:/cgi-bin/perl.exe?-e unlink 《*》时,有可能造成删除服务器当前目录下文件的危险。但是,其他如:O′Reilly WebSite或Purveyor都不存在这种漏洞。
CGI执行批处理文件的漏洞:
文件test.bat的内容如下:
@echo off
echo Content-type: text/plain
echo
echo Hello World!
如果客户浏览器的URL为:/cgi-bin/test.bat?&dir,则执行调用命令解释器完成DIR列表。这就让访问者有执行其他命令可能性。
(2)O′Reilly WebSite server for Windows NT/95
在WebSite1.1B以前的版本中使用批处理文件存在着与Netscape同样的漏洞,但是,新版关闭了.bat在CGI中的作用。支持PERL,新版将VB和C作为CGI开发工具。
(3)Microsoft′s IIS Web Server
1996年3月5日前的IIS在NT下的BUG严重,可以任意使用command命令。但之后已修补了该漏洞,你可检查你的可执行文件的建立日期。IIS3.0还存在一些安全BUG,主要是CGI-BIN下的覆给权利。另外,许多Web服务器本身都存在一些安全上的漏洞,都是在版本升级过程中被不断更新了,在此就不一一列举了。
猜你喜欢
- 2007 年 10 月期间我们在全国6个城市举办了 AdSense 产品介绍会,期间有很多的发布商朋友提出了很多很好的意见和建议。这里我们就
- 在第一部分( 搜索引擎中图像优化漫谈(一)),我们讨论了优化用于网站或是博客图片和图像的一些基本方法。按照SEO的要求,把重要的东西放在第一
- 最近发现Godaddy控制面板又更新了,搞的有些东西都不知道点哪里,呵呵,特此我们发表这篇文章,以后配置的时候直接来这里看方便广大Godad
- 1、服务器处理器主频服务器处理器主频也叫时钟频率,单位是MHz,用来表示CPU的运算速度。CPU的主频=外频×倍频系数。很多人认为主频就决定
- Godaddy主机用户您假如发现需要更改您的主机操作系统,是可以随时进行。操作如下:首先. 登陆你的Account Manager.第二.
- 腾讯的Web版QQ推出正式版并广获好评之时,网页版的新浪UC也顺势推出,凭借着新浪强大的门户力量,WebUC也加入到网络化软件的大阵营之中。
- 北京市计算机中心、Platform公司今天在京召开新闻发布会,宣布双方达成战略合作,共建联合实验室,大力推进北京云计算公共平台的建设和发展。
- 据笔者了解,即将于11月7日13:00在江苏南京科技馆盛大召开的由主办江苏站长站和承办炎黄网络联合发起的“2009江苏站长年会暨江苏 (南京
- 最近忙着为一个客户做优化,其实基本的优化工作已经结束,现在主要做的是分析工作,根据分析出来的数据对网站做适当调整,和一些营销工作。今天将数据
- IIS的相关设置:删除默认建立的站点的虚拟目录,停止默认web站点,删除对应的文件目录c:inetpub,配置所有站点的公共设置,设置好相关
- 在IIS里的站点属性里“目录安全性”---“身份验证和访问控制&rdqu
- 由于中文点击网赚由于开站的成本比较低,开站比较容易,但是前期的投入比较大,如果没有更多的后续资金做保证、或者网站没有稳定的收入来源,网站的倒
- 一,ping它是用来检查网络是否通畅或者网络连接速度的命令。作为一个生活在网络上的管理员或者黑客来说,ping命令是第一个必须掌握的DOS命
- 7月11日消息,近日Google公布了一份网页统计报告,数据来源为Google索引的42亿个网页。网页的平均容量是320KB,(包含内嵌脚本
- 2009年应届毕业生的各大校园招聘会近日拉开序幕,一个大学生求职论坛上的一篇题为“写给HR的一封信”
- Godaddy主机用户怎样创建自己选择的新名字作为目录名的新目录呢?首先. 登陆你的Account Manager.第二. 在My Prod
- 一、为何要DDoS?随着Internet互联网络带宽的增加和多种DDoS黑客工具的不断发布,DDoS拒绝服务攻击的实施越来越轻易,DDoS攻
- 1. UIC需要做的采用Css Sprite将背景图片,图标图片集成在一张图片内。优点:减少用户代理对服务器的请求次数;加快用户载入页面时间
- 2008年1月8日消息:“2007年度中国互联网市场数据发布会”今天在北京举行。在会上刚刚揭晓的《Netguide2008中国互联网调查报告
- 昨天有个站长告诉我,他打算把网站关掉,重新注册域名搞一个。问他为什么,答案是“被百度k了,没人看了”。面对这种现实,确实有点悲哀。网站没有独