您所在的位置： &
当我们谈Web应用安全的时候 主要谈哪些(1)
当我们谈Web应用安全的时候 主要谈哪些(1)
TechTarget中国
在本文中，主要探讨Web应用程序的安全性，主要包括漏洞攻击者如何利用不安全的Web应用程序来危害整个服务器或者破坏一个网站、以及开发人员如何避免引入这些漏洞。
在本文中，主要探讨Web应用程序的安全性，主要包括漏洞攻击者如何利用不安全的Web应用程序来危害整个服务器或者破坏一个网站、以及开发人员如何避免引入这些漏洞。主要介绍业界几个需要被着重考虑的Web应用程序的安全问题：SQL注入、表格和脚本以及Cookies和会话管理。
一、防止SQL注入
SQL(结构化查询语言)是基于美国国家标准学会(ANSI)标准，并作为共同的语言与数据库通信。每个数据库系统增加了一些专有功能到基本的ANSI SQL。
SQL注入是一门将制作好的SQL注入用户输入字段的一种技术，它是网页形式的一部分&&用来绕过自定义登录到网站。然而，SQL注入也可以用于登录或者接管一个网站，因此要确保其能防止攻击很重要。
开发人员和管理员可以采取许多不同的步骤解决SQL注入的问题。以下是为开发者提供的解决方案：
& 过滤的所有输入字段单引号(' )，以防止未经授权的登录。
& 过滤器SQL命令的所有输入字段，如插入，选择，工会，删除和exec ，以保护服务器操作。 (请确保操作是在过滤单引号后进行)
& 限制输入字段长度(这将限制攻击者的选择)，并用服务器端脚本验证输入长度。
表1 常见的攻击者攻击SQL服务器储存过程
& 使用选项来过滤&转义字符& (用于注入SQL代码，比如单引号) ，如果该数据库提供了该功能。
& 除了Web 服务器，将数据库在不同的计算机的Web服务器上。一旦数据库遭到黑客攻击，也很难攻击到Web服务期。
& 限制的服务器端脚本的用户权限。从服务器端脚本中记录到数据库的通常的做法是使用管理用户，但这可能同事也让攻击者趁机运行需要管理用户的数据库任务(如修改表或运行存储过程) 。所以用最小的用户权限分配来达到此目的。
& 删除所有不必要的扩展存储过程来限制攻击者的可能性。
& 将数据库放置到一个单独的空间(在防火墙后面) ，与Web容器和应用服务器相隔离。
不同于开发商，管理员没有代码的控制权，不能代表程序员产生变化。然而管理员可以通过运行一些测试，并确保代码安全来降低风险：
& 确保Web服务器给返回一个自定义错误页。这样一来，服务器将不会返回SQL错误，这将使攻击者更难获得SQL数据。(自定义错误页面不应该包含任何可能有助于攻击者的信息，不同于常规将返回部分SQL的错误页面。)
& 只部署从Web服务器分离数据的Web应用程序。
& 聘请外部机构对Web服务器上执行穿透测试，并寻找SQL注入攻击。
& 使用一个专用的自动扫描设备来探索由程序员的失误导致的SQL注入漏洞。
& 部署安全解决方案来验证用户输入并过滤SQL注入企图。
内容导航&第 1 页： &第 2 页： &第 3 页： &第 4 页：
关于&&&&的更多文章
随着网络时代的飞速发展,网络安全问题越来越受大家的关注,而SQL
随着云计算、物联网、大数据、移动互联网的大发展，你应该知道这些。
讲师： 7446人学习过讲师： 3458人学习过讲师： 2459人学习过
2013年是足以载入IT史册的一年，安全产业再次步入转型
趋势科技特邀国内外云计算实践者、业内领导者，亲临现
高持续性威胁（APT）是以商业和政治为目的的一个网络
本书是《网管第一课》系列图书中的第一本，是专门针对高校和培训机构编写的，其主要特点是内容细而精、针对性强。书中内容全是经
51CTO旗下网站Web系统必须采取措施降低Web应用安全风险。 1.认证模块必须采用防暴力破解机制，例如：验证码或者多次连续尝试登录失败后锁定帐号或IP。 说明：如采用多次连续尝试登录失败后锁定帐号或IP的方式，需支持连续登录失败锁定策略的“允许连续失败的次数”可配置，支持在锁定时间超时后自动解锁。 2.对于每一个需要授权访问的页面或servlet的请求都必须核实用户的会话标识是否合法、用户是否被授权执行这个操作，以防止URL越权。 说明：防止用户通过直接输入URL，进行URL越权，请求并执行一些页面或servlet；建议通过过滤器实现。 3. 登录过程中，往服务器端传递用户名和口令时，必须采用HTTPS安全协议（也就是带服务器端证书的SSL）。只提供本机接入、登录，做设备管理使用的场景暂时不要求。 说明：如果在客户端和服务器间传递如帐号、口令等敏感数据，必须使用带服务器端证书的SSL。由于SSL对服务端的CPU资源消耗很大，实施时必须考虑服务器的承受能力。 4. 对用户的最终认证处理过程必须放到服务器进行。 5. 用户产生的数据必须在服务端进行校验；数据在输出到客户端前必须先进行HTML编码，以防止执行恶意代码、跨站脚本攻击。对于不可信的数据，输出到客户端前必须先进行 HTML 编码。 6. 使用主流Web安全扫描工具扫描Web服务器和Web应用，不存在“高”级别的漏洞。 7. 非嵌入式产品的Web应用，应使用预编译语句PreparedStatement代替直接的语句执行Statement，以防止SQL注入。 数据库安全 外购数据库、开源数据库、华为自研数据库都应进行安全配置，保证不出现安全漏洞。 1.数据库口令禁止使用数据库厂商的缺省口令，且口令复杂度需满足“口令安全要求”。数据库若存在多个默认帐号，须将不使用的帐号禁用或删除。 2. 使用单独的操作系统帐号来运行数据库；数据库中的敏感文件（如：Oracle数据库的init.ora、listener.ora等）需要严格控制访问权限，只能被数据库进程运行帐户和DBA帐户读写；对数据库帐户授予的权限进行严格清晰的划分，所有数据库帐户只能具备执行其任务的最小权限；对于有监听器功能的数据库（如Oracle的listener.ora）需要设置监听器密码或者设置为本地操作系统验证。 3. 使用主流或华为指定的系统扫描软件进行安全扫描，不存在“高”级别的漏洞。 敏感数据保护 系统对敏感数据的存储、传输和处理需保证数据安全，并遵从适用国家和地区的法律和法规要求。 敏感数据定义：包括但不限于口令、银行账号、个人数据（单独使用该数据或者结合其他信息可以识别某个活着的自然人的数据，包括：最终用户姓名、帐号、主叫和被叫号码、通信记录、话单、通信时间、定位数据等）。 1. 口令不允许明文存储在系统中，应该加密保护。在不需要还原口令的场景，必须使用不可逆算法加密。对银行账号等敏感数据的访问要有认证、授权和加密机制。口令文件必须设置访问权限控制，普通用户不能读取或拷贝加密的内容。如果帐户文件/数据中含有口令又必须所有用户可访问，则需将帐户文件/数据与口令文件/数据分开。 注：对于业界第三方主流软硬件（如操作系统、数据库、Web容器）自身提供的口令功能，不受本条限制。 2. 在非信任网络之间进行敏感数据（包括口令，银行帐号，批量个人数据等）的传输须采用安全传输通道或者加密后传输，有标准协议规定除外。 3.禁止使用私有加密算法。 说明： 1) 对称加密算法建议使用：AES192及以上强度； 2) 密钥交换算法建议使用：DH1024； 3) 数字签名算法建议使用：DSA1024、ECDSA192； 4) 非对称算法建议使用：RSA2048、ECC192； 5) HASH（哈希）算法建议使用：SHA256及以上强度； 6) HMAC（基于哈希的消息验证码）算法建议使用：HMAC-SHA256； 1. 用于敏感数据传输加密的密钥，不能硬编码在代码中。 在敏感数据的安全传输上，优先使用业界的标准安全协议（如SSH v2/TLS1.0/SSL3.0/IPSec/SFTP/HTTPS等），并确保密钥可配置；如果是由产品自身实现安全传输过程，则优先使用Diffie-Hellman密钥交换算法，如果使用预置共享密钥等其他方法，也必须保证该密钥可配置和可替换。 2. 禁止在日志、话单等文件中记录口令、银行账号、通信内容等敏感数据； 敏感数据保护 3. 尽量避免在日志、话单中记录个人数据，如果必须记录个人数据，则所有数据必须进行结构化存储或适合于进行匿名化提取； 1）尽量避免在日志中记录个人数据，如果必须记录，在个人数据之前或之后加统一的标记，以区别于其他非个人数据。 2）尽量避免在话单中记录个人数据，如果必须记录，则话单必须进行结构化存储，字段间必须由统一的分隔符分开，每行的字段按列严格对应。 4. 有个人数据导出功能的产品发布时必须同时提供对个人数据进行过滤或匿名化处理和功能或工具； 5. 严格限制导出功能的权限，对导出功能的使用必须有日志记录。 6. 涉及个人数据的采集/处理的功能须提供安全保护机制（如认证、权限控制、日志记录等），并通过产品资料向客户公开。 7. 在正常业务流程和标准协议之外，禁止出于故障定位目的进行用户精确位置信息定位。如需处理用户精确位置数据，应有华为的明确需求，并在方案设计时，给予用户随时撤回同意的机会。 口令安全策略管理 1. 设置口令时，默认检测口令复杂度，口令至少满足如下要求： 1) 口令长度至少6个字符（特权用户至少8个字符）； 2) 口令必须包含如下至少两种字符的组合: －至少一个小写字母； －至少一个大写字母； －至少一个数字； －至少一个特殊字符：`~!@#$%^&*()-_=+\|[{}];:'",&.&/?& 和空格 3) 口令不能和帐号或者帐号的逆序相同； 若设置的口令不符合上述规则，必须进行警告。 2. 系统必须提供锁定用户的机制。可选择如下两种方式之一： 方式一：当重复输入错误口令次数（默认3次，次数系统可以设置）超过系统限制时，系统要锁定该用户。 方式二：系统还可以设置下次允许输入口令的间隔时间加倍，采用这种方式时，用户可以不设置自动锁定。 3. 可设置自动解锁时间（只适用于由于口令尝试被锁定的用户） 1) 对于口令尝试N次失败被锁定的用户，系统要能够设置自动解锁时间，建议默认解锁时间为5分钟。 2) 用户被锁时间达到预定义时间，可自动解锁该用户，或者也可通过安全管理员手工解锁该用户。 3) 在锁定时间内，仅能允许应用安全管理员角色所属帐号手动解锁该用户。 口令安全使用规则 4. 操作界面中的口令不能明文显示，键入口令时不能明文显示出来(操作界面中的输入口令可不显示或用*代替)，包括在终端上打印或存储在日志中时也不能明文显示口令，即使是内存中的明文口令（如登录期间），也应在使用后立即覆盖。 5. 口令输入框不支持拷贝功能。 6. 对于系统内置帐号的缺省口令，口令应符合复杂度的要求，并在客户资料中提醒用户修改。 7. 用户可修改自己的口令，需满足如下要求： 1) 用户修改自己口令时必须验证旧口令； 2) 不允许修改除自身帐号以外的帐号的口令（管理员除外） 8. 口令不能在网络中明文传输，口令等认证凭证在传输过程中必须加密，使用高安全等级的加密算法。 说明： 1) 对称加密算法建议使用：AES192及以上强度； 2) 密钥交换算法建议使用：DH1024； 3) 数字签名算法建议使用：DSA1024、ECDSA192； 4) 非对称算法建议使用：RSA2048、ECC192； 5) HASH（哈希）算法建议使用：SHA256及以上强度； 6) HMAC（基于哈希的消息验证码）算法建议使用：HMAC-SHA256； 9. 口令在本地存储时必须加密，需满足如下要求： 1) 口令不能够明文写入日志文件、配置文件以及cookie中； 2) 口令文件必须设置访问控制，普通用户不能读取或拷贝加密的内容。 10. 产品配套资料提供清晰的帐号、口令清单。 说明：华为提供用户清单模板 安全资料 针对售前、开局、现网运维几个阶段，提供配套安全方案、资料。 1.在产品描述中对产品安全特性进行描述。 2. 产品发布前提供产品通信矩阵。描述机器/网元/模块间的通信关系，包括：通信使用的端口、协议、IP地址、认证方式、端口用途信息等。 说明：华为提供通信矩阵模板。 3. 产品发布前提供防病毒软件部署指南。描述防病毒软件部署前的准备、流程、执行步骤、失败后回退处理，以及病毒特征库升级配置指导（Windows系统平台必选）。 4. 产品发布前提供安全配置/加固指南。 描述如下内容： -安全加固及检查，主要包括操作系统、数据库或WEB服务器等加固内容，需要包含具体的加固内容和操作步骤（必选）。 -应用的安全配置，针对产品业务安全应用，需要启用哪些安全选项，配置哪些内容。（对于需要通过对产品开局时进行安全策略配置才能生效的安全功能，需要提供此部分内容）。如果没有应用的安全配置，命名为安全加固指南。安全加固指南是必须的。 5. 产品发布前提供安全维护手册。从解决方案角度提供业务日常安全维护方面的指导，包括安全补丁、安全配置、防病毒软件例行检查等，指导维护人员例行进行安全维护。 操作系统安全 无论是使用通用操作系统（Windows、Linux、Unix等）还是嵌入式操作系统（如VxWorks、pSOS等)，系统都应该保证软件及软件运行环境的安全。 注：系统指交付给客户运行的整体系统，包括自研的软件、软件运行的操作系统及应用服务在内。 1.使用主流漏洞扫描软件进行安全扫描，不存在高风险级别的漏洞。 2.基于通用操作系统的新发货产品“操作系统加固+操作系统补丁”预装率=100%；对于不在生产环节预安装的产品，需要在正式发布的版本中包含默认的安全策略文件，并在产品资料中说明加固要求和操作步骤。 说明： 1）华为提供的操作系统，产品版本应基于最新的操作系统安全补丁进行开发和兼容性测试。 2）合作方提供的操作系统，合作方需在版本交付前对操作系统安全补丁进行兼容性测试并随版本发布，并根据CIS标准对操作系统进行加固并随版本发布。 3.使用Windows操作系统的产品，产品需要使用主流防病毒软件进行进行兼容性测试。 说明： 1）华为提供的Windows操作系统，合作方需使用主流防病毒软件或华为指定的防病毒软件进行兼容性测试； 2）合作方提供的Windows操作系统，产品需要缺省配套华为指定的防病毒软件，并对防病毒软件进行兼容性测试。 协议与接口防攻击 系统应具备基本的防攻击能力，对影响自身的常见攻击具备防御能力等。注：系统指交付给客户运行的整体系统，包括自研的软件、软件运行的操作系统及应用服务在内。 1.系统所有的对外通信连接必须是系统运行和维护必需的，对使用到的通信端口在产品通信矩阵文档中说明，动态侦听端口必须限定确定的合理的范围。通过端口扫描工具验证，未在通信矩阵中列出的端口必须关闭。 说明： 1）华为提供通信矩阵模板。 2.尽量避免使用动态侦定端口的实现方式，在没有替代方案的情况下，如果必须使用，需满足如下要求： 1)、如果使用业界标准的协议（如RPC、FTP被动模式），并有一定的安全措施（如NFS安全配置、防火墙支持FTP被动模式等）； 2)、如果自实现的方式，则动态侦听端口必须限定确定的合理的范围。 2. 所有能对系统进行管理的通信端口及协议必须有接入认证机制，标准协议没有认证机制的除外。 3. 对自研协议和业界非主流软件（包括非主流的开源软件）实现的协议要进行协议畸形报文攻击测试。 4. 设备外部可见的能对系统进行管理的物理接口必须有接入认证机制。 监听接口及防止非法监听 产品开发合法监听接口应遵循国际标准及所在国的法律要求。 1.在没有华为明确需求的情况下，严禁开发具有监听性质的功能和接口，无论该功能和接口是否要遵循相应的国家标准和国际标准。 2. 在华为对合法监听接口有需求的情况下，合作方需根据华为提供的监听功能或接口的文件中的要求开发。 说明：对提供合法监听接口的产品版本的要求（二选一） 1）产品提供两个版本的软件安装包：一个支持合法监听，一个不支持合法监听。根据市场的安全要求，选择对应的软件安装包进行部署。 2）产品提供软件安装包拆分为：基本软件安装包和合法监听插件安装包。根据市场的安全要求，选择是否安装合法监听插件安装包。 3. 在正常业务流程和标准协议之外，禁止提供采集最终用户原始通信内容（语音类、短信/彩信类、传真类、数据业务类）的功能，即使出于保障网络运营和服务目的。 注： 1) 除了语音类、短信/彩信类、传真类、数据业务类信息属于通信内容外，最终用户的即时消息、E-Mail信息、URL同样属于通信内容； 2) 允许使用debug功能，但debug信息中不允许包含口令、银行账号、通信内容等敏感数据。
阅读(...) 评论()合作伙伴产品
企业WEB应用安全隐患越来越严重的原因有哪些?
& & & & 现如今，企业的经营过程中，企业WEB应用安全隐患已经越来越严重了。很多企业在日常的工作中，都在不知不觉地过程中，将病毒安装到自己的电脑中去。今天，小编就来和大家讨论一下，究竟是哪些原因在无声无息中增加了企业WEB应用的安全隐患。
　　一、TCP/IP的设计没有考虑安全问题
　　TCP/IP的设计的时候是没有考虑过安全问题的，这就使得互联网上传输的数据没有任何安全防护。也就是说，攻击者如果愿意，完全可以可以利用系统漏洞造成系统进程缓冲区的溢出，或者提升自己的用户权限来运行任意程序，甚至安装和运行恶意代码窃取一些企业的机密数据。而应用层面的软件在开发过程中也没有过多考虑到安全的问题，这使得程序本身存在很多漏洞，诸如缓冲区溢出、SQL注入等等流行的应用层攻击等。这些漏洞都成为了企业WEB应用过程中的安全隐患。
　　二、用户对某些隐秘的东西带有强烈的好奇心
　　很多企业在日常的工作过程中，看到一些艳丽的图片、音视频及免费软件等，有时候就会忍不住打开一探究竟。有些攻击者往往就利用了用户的这种好奇心理，将木马或病毒程序捆绑在文件中，然后把这些文件置于网站当中，再引诱用户去单击或下载运行。或者通过电子邮件附件和QQ、MSN等即时聊天软件，将这些捆绑了木马或病毒的文件发送给用户。
　　三、互联网的普及和移动办公趋势的增加
　　随着互联网的普及，越来越多的员工都开始把工作带回家，或者在公共场所接入互联网进行工作。这部分人群成为了当前Web威胁首先侵入的目标。而企业员工对互联网依赖性的加剧，也会使得公司网络比以往更加容易受到一些将员工做为跳板的恶意程序的攻击。恶意程序的主要入侵途径已经转变为HTTP方式，而且病毒产生速度非常快、变种有很多，防不胜防，令本来就脆弱的企业网络雪上加霜。
　　以上就是公司的WEB应用安全隐患日渐明显的一些原因介绍了。任何一个情况的产生都是有必然条件的。要想很好地保护公司的办公安全，最好的办法还是选择一家正规的信息安全公司。上讯科技作为中国信息安全领域领先企业之一，能够为企业的信息安全提供很好的服务，如果有需要，可以在线咨询我们的工作人员了解详细信息。
版权所有：上海上讯信息技术股份有限公司20大互联网安全隐患Web服务居首
20大互联网安全隐患Web服务居首
安全研究机构美国系统网络安全协会（SANS Institute）日前发布了2004年度“20大互联网安全隐患”排行榜。据悉，这20大互联网安全隐患分别由10项最重大的Windows安全隐患和10项最重大的Unix及Linux安全隐患构成。该协会表示，发布该榜单的目的在于帮助企业和个人有效、有重点地保护其计算机系统安全。
SANS表示，今年已经是他们连续第五次公布年度安全隐患排行榜。除了这些安全隐患名单外，SANS还同时发布了上百页的文档，对这一类安全隐患进行了详细的描述，并提供了具体的解决方案。同时，本年度排行榜结合了全球多名安全研究专家和企业的意见和建议，其中包括美国国家基础设施保护中心和英国国家基础设施协同中心等重要机构。
根据SANS评出的本年度排行榜单显示，Web服务器和服务位居Windows安全隐患的第一位，而排在Unix安全隐患第一位的则是BIND域名系统。此外，还有很多安全隐患属于首次入围，如Windows列表中的第7位“文件共享”和第10位的“即时消息”应用。另外值得关注的是，由于微软IE浏览器以及其他浏览器的糟糕表现，使得“网络浏览器”也带上“安全隐患”的帽子，并位居该排行榜的第六位。
以下分别为SANS评出的2004年度“Windows十大安全隐患”和“Unix十大安全隐患”：
Windows十大安全隐患：
1 Web服务器和服务
2 工作站服务
3 Windows远程访问服务
4 微软SQL服务器
5 Windows验证
6 Web浏览器
7 文件共享应用
8 LSAS Exposures
9 电子邮件客户端
10 即时消息
Unix十大安全隐患：
1 BIND域名系统
2 Web服务器
4 版本控制系统
5 电子邮件传输服务
6 简单网络管理协议（SNMP）
7 开放安全连接通讯层（OSSL）
8 企业服务NIS/NFS 配置不当
10 内核（Kernel）
（文/友亚）
新华网/赛迪网 日
版权所有 中国互联网新闻中心 电子邮件:
电话: 86-10-说到web业务系统，很多人会下意识的认为业务系统 = 网站，但实际上，我们通常所说的Web业务系统指的是利用各种动态Web技术开发的基于B/S(浏览器服务器)模式的事务处理系统。比如：、以及常见的网站系统(如电子政务网站、企业网站等)都是Web业务系统。这些Web业务系统，都会遭受Web威胁的影响。
　　安全隐患有很多，常见的不外乎这几种，熟悉了解了就知道怎么规避风险。Web服务器存在的主要漏洞包括物理路径泄露，CGI源代码泄露，目录遍历，执行任意命令，缓冲区溢出，拒绝服务，SQL注入，条件竞争和跨站脚本执行漏洞，和CGI漏洞有些相似的地方，但是更多的地方还是有着本质的不同。不过无论是什么漏洞，都体现着安全是一个整体的真理，考虑Web服务器的安全性，必须要考虑到与之相配合的操作系统。
　　物理路径泄露
　　物理路径泄露一般是由于Web服务器处理用户请求出错导致的，如通过提交一个超长的请求，或者是某个精心构造的特殊请求，或是请求一个Web服务器上不存在的文件。这些请求都有一个共同特点，那就是被请求的文件肯定属于CGI脚本，而不是静态页面。
　　还有一种情况，就是Web服务器的某些显示环境变量的程序错误的输出了Web服务器的物理路径，这应该算是设计上的问题。
　　目录遍历
　　目录遍历对于Web服务器来说并不多见，通过对任意目录附加“../”，或者是在有特殊意义的目录附加“../”，或者是附加“../”的一些变形， & & & & & & 如“..\\”或“..//”甚至其编码，都可能导致目录遍历。前一种情况并不多见，但是后面的几种情况就常见得多，以前非常流行的IIS二次解码漏洞和Unicode解码漏洞都可以看作是变形后的编码。
　　执行任意命令
　　执行任意命令即执行任意操作系统命令，主要包括两种情况。一是通过遍历目录，如前面提到的二次解码和UNICODE解码漏洞，来执行系统命令。另外一种就是Web服务器把用户提交的请求作为SSI指令解析，因此导致执行任意命令。
　　缓冲区溢出
　　缓冲区溢出漏洞想必大家都很熟悉，无非是Web服务器没有对用户提交的超长请求没有进行合适的处理，这种请求可能包括超长URL，超长HTTP Header域，或者是其它超长的数据。这种漏洞可能导致执行任意命令或者是拒绝服务，这一般取决于构造的数据。
　　拒绝服务
　　拒绝服务产生的原因多种多样，主要包括超长URL，特殊目录，超长HTTP Header域，畸形HTTP Header域或者是DOS设备文件等。由于Web服务器在处理这些特殊请求时不知所措或者是处理方式不当，因此出错终止或挂起。
　　SQL注入
　　SQL注入，就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击。SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
&&&&& 原理
　　注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，其主要原因是程序没有细致地过滤用户输入的数据，致使非法数据侵入系统。
　　根据相关技术原理，SQL注入可以分为平台层注入和代码层注入。前者由不安全的数据库配置或数据库平台的漏洞所致；后者主要是由于程序员对输入未进行细致地过滤，从而执行了非法的数据查询。基于此，SQL注入的产生原因通常表现在以下几方面：①不当的类型处理；②不安全的数据库配置；③不合理的查询集处理；④不当的错误处理；⑤转义字符处理不合适；⑥多个提交处理不当。
　　SQL注入的漏洞在编程过程造成的。后台数据库允许动态SQL语句的执行。前台应用程序没有对用户输入的数据或者页面提交的信息(如POST， GET)进行必要的安全检查。数据库自身的特性造成的，与web程序的编程语言的无关。几乎所有的关系数据库系统和相应的SQL语言都面临SQL注入的潜在威胁 。
　　条件竞争
　　这里的条件竞争主要针对一些管理服务器而言，这类服务器一般是以System或Root身份运行的。当它们需要使用一些临时文件，而在对这些文件进行写操作之前，却没有对文件的属性进行检查，一般可能导致重要系统文件被重写，甚至获得系统控制权。
　　CGI漏洞
　　通过CGI脚本存在的安全漏洞，比如暴露敏感信息、缺省提供的某些正常服务未关闭、利用某些服务漏洞执行命令、应用程序存在远程溢出、非通用CGI程序的编程漏洞。
　　而会威胁到Web业务安全的因素又包括哪些方面呢？在日常工作中，我们会遇到哪些Web安全隐患呢？
　　第一个方面：操作系统和后台数据库可能会存在漏洞或配置不当，如弱口令等等，导致骇客、病毒可以利用这些缺陷进行攻击。
　　第二个方面：Web业务常用的发布系统，如IIS、Apache等，这些系统存在的安全漏洞，给入侵者可乘之机。
　　第三个方面：主要指Web应用程序的编写人员，在编程的过程中没有考虑到安全的问题，使得骇客能够利用这些漏洞发起攻击，比如SQL注入、跨站脚本攻击等等。
　　第四个方面：Web应用系统服务器所处的网络安全状况也影响着Web应用系统的安全，比如网络中存在的DoS攻击等，也会影响到这些Web应用系统的正常运营。
& & & 上述文章内容概要地对Web应用系统存在的安全风险进行分析，当然还有更多的其它安全漏洞。小编提醒基于web应用交易的企业用户，建议寻求专业的安全服务团队或机构对web应用的站点进行风险评估，以减少web应用系统的风险。
&&相关文章推荐
* 以上用户言论只代表其个人观点，不代表CSDN网站的观点或立场
访问：10551次
积分：1230
积分：1230
排名：千里之外
原创：117篇