服务器安全经验：防止非法登陆
作者：佚名 发布时间：2009-01-07 13:53:00
标签：服务器,安全,验证,登陆
1、对数据库进行安全配置，例如你的程序连接数据库所使用的帐户/口令/权限，如果是浏览新闻的，用只读权限即可;可以对不同的模块使用不同的帐户/权限;另外，数据库的哪些存储过程可以调用，也要进行严格地配置，用不到的全部禁用(特别是cmd这种)，防止注入后利用数据库的存储过程进行系统调用;
2、在获取客户端提交的参数时，进行严格的过滤，包括参数长短、参数类型等等;
3、对管理员后台进行严格的保护，有条件的话，应该设置为只允许特定的IP访问(例如只允许管理员网段访问)——这个要根据实际情况来看的;
4、对操作系统进行安全配置，防止注入后调用系统的功能，例如把
cmd.exe/tftp.exe/ftp.exe/net.exe
这些文件全部转移到其他目录，并对目录进行严格的权限指派;
5、设置网络访问控制;
6、有条件的话，配置针对HTTP的内容过滤，过滤病毒、恶意脚本等;
7、如果有必要，可以考虑选择HTTPS，这样可以防止很多的注入工具扫描，我以前自己开发注入检测工具的时候，考虑过做支持HTTPS方式的，但目前还没付诸实施。
相信你也看出来了，总的来说程序方面主要考虑权限、参数过滤等问题;权限主要包括IIS浏览权限、数据库调用权限。除此以外，还要考虑数据库、操作系统的安全配置。另外，不知道你们在开发过程中会不会用到其他人开发的组件，例如图片上传之类的，这类组件你们研究过其安全性么?或者开发的过程中，绝大多数人会使用网上、书上提供的现成代码，例如用户登录验证等等，这些公开代码，也要研究其安全性问题。
0
投稿猜你喜欢
一，删除所有无价值的插件以下为引用的内容：插件是致使WordPress博客访问速度变慢的主要杀手之一，当你的博客访问速度逐渐变慢的时候，问问- 本篇文章，笔者就教大家在Discuz!7.0的边栏添加自己的广告。1、开启侧边栏进入后台 => 工具 => 数据调用：点击边栏下
- 精博的域名已经由 essentialblog.cn 改为 jingpin.org，下面介绍我是如何更换域名的。一、cPanel 上的操作：在
- 搜狗云输入法跨平台、免安装，对于Linux、Mac OS等操作系统的用户，或在网吧等临时使用环境，都能在上网冲浪时享受搜狗输入法的流畅输入体
- 首先下载几个软件：JDK、Apache和Tomcat。JDK(Java Development Kit )是一切java应用程序的基础，可以
- 现在论坛到处可见，有的论坛很强大，几万几十万甚至几百万IP都有，地域性的(如：某个县的论坛)、实用性的(如炒股论坛)、行业性的(如化工行业)
- 经过数月的紧张开发，TM2009系列的第二个稳定版今天发布了！这个版本增加了传文件夹、插件管理、锁定等多项功能，大大增强了实用性。TM200
- 内页的优化对于整站权重的提高具有很大的作用，所以大家一定要重视内页的优化。很多站长常挂嘴边的话就是做网站要以内容为王，创造高质量的内容。当然
- 现在或多或少大家对于Seo就像是千百年来中国人对月亮上的嫦娥一样充满着美好的想象。其实Seo对此是否有如此神通让我们网站一夜成名?答案肯定是
- 这样的话，如果图片的宽高比例不合适，那么缩略图将会被压缩得很不好看，在这里，我是先对图片进行按宽或高进行放缩，超过缩略图大小的部分再进行裁剪
- 网站备案很无奈,上网搜索了些关于备案的攻略不知道对各位有没有帮助.由于国家信产部一纸奇怪的规定，国内所有的网站都需要做备案了，不备案，搞不好
- 如何在WordPress程序中集成支付宝是实现WordPress电子商务化必须要突破的一个瓶颈。WordPress有很多的电子商务类插件，像
- 技巧一：挂聊天室挂聊天室的方法已经不是什么新鲜的了，但是真正掌握关键技术的还是少数人，这点就非常符合市场规则。什么是关键？永远都是细节。网络
- 客户有一个跑了3年多的组装pc服务器， 1.5G内存，p4 2.8G cpu，apache2.28+mod_php+mysql。95％的页面
- 查询处理以及分词技术随着搜索经济的崛起，人们开始越加关注全球各大搜索引擎的性能、技术和日流量。作为企业，会根据搜索引擎的知名度以及日流量来选
- 现在建站的人越来越多了，竞争力也非常大，有部分人成功，但大多数的人还是以失败告终。为什么人家的网站流量那么多而自己的站做了几个月都没几个人来
- 现在国内互联网形式越来越严峻，加上百度已经成为中国互联网的流量分发者，放几十年的香港就是道上的“水龙头”，大小站长都要看他脸色行事，否则便没
- 我们一直致力于为发布商提供充足的数据信息，从而让您更好地了解自己的网站运营和广告效果。现在我们很高兴地告诉大家，AdSense 帐户将会融入
- 由于各种原因，我们有时候需要在一个IP地址上建立多个web站点，在IIS5中，我们可能通过简单的设置达到这个目标。在IIS中，每个 Web
- apache|服务器|高级作为系统管理员，若你只有一个IP地址，却有好几个域名，又要求访问每个域名都要看到不同的内容，那怎么办？总不至于为每
