1、概述

計(jì)算機(jī)的安全性歷來(lái)都是人們討論的主要話題之一。而計(jì)算機(jī)安全主要研究的是計(jì)算機(jī)病毒的防治和系統(tǒng)的安全。在計(jì)算機(jī)網(wǎng)絡(luò)日益擴(kuò)展和普及的今天，計(jì)算機(jī)安全的要求更高，涉及面更廣。不但要求防治病毒，還要提高系統(tǒng)抵抗外來(lái)非法黑客入侵的能力，還要提高對(duì)遠(yuǎn)程數(shù)據(jù)傳輸?shù)谋Ｃ苄?，避免在傳輸途中遭受非法竊取。

在防治網(wǎng)絡(luò)病毒方面，在http傳輸中HTML文件是一般不會(huì)存在感染病毒的危險(xiǎn)。危險(xiǎn)在于下載可執(zhí)行軟件如：.zip .exe .arj .Z 等文件過(guò)程中應(yīng)特別加以注意。都有潛伏病毒的可能性。

對(duì)于系統(tǒng)本身安全性，主要考慮服務(wù)器自身穩(wěn)定性、健狀性，增強(qiáng)自身抵抗能力，杜絕一切可能讓黑客入侵的渠道，避免造成對(duì)系統(tǒng)的威脅。對(duì)重要商業(yè)應(yīng)用，必須加上防火墻和數(shù)據(jù)加密技術(shù)加以保護(hù)。

在數(shù)據(jù)加密方面，更重要的是不斷提高和改進(jìn)數(shù)據(jù)加密技術(shù)，使不法分子難有可乘之機(jī)。

當(dāng)然，計(jì)算機(jī)系統(tǒng)安全是個(gè)很大的范疇，本章僅僅討論在構(gòu)造 web時(shí)，可能出現(xiàn)的一些情況，希望能引起重視。

2、WEB在安全上的漏洞WEB 服務(wù)器上的漏洞可以從以下幾方面考慮：

(1)在web服務(wù)器上你不讓人訪問(wèn)的秘密文件、目錄或重要數(shù)據(jù)。

(2)從遠(yuǎn)程用戶向服務(wù)器發(fā)送信息時(shí)，特別是信用卡之類(lèi)東西時(shí)，中途遭不法分子非法攔截。

(3) web服務(wù)器本身存在的一些漏洞，使得一些人能侵入到主機(jī)系統(tǒng)破壞一些重要的數(shù)據(jù)，甚至造成系統(tǒng)癱瘓。

(4)CGI安全方面的漏洞有：

1〕有意或無(wú)意在主機(jī)系統(tǒng)中遺漏(bugs)給非法黑客創(chuàng)造條件。

2〕用 CGI腳本編寫(xiě)的程序當(dāng)涉及到遠(yuǎn)程用戶從瀏覽器中輸入表格(form) 并進(jìn)行象檢索(Search index)或form-mail之類(lèi)在主機(jī)上直接操作命令時(shí)，或許會(huì)給web主機(jī)系統(tǒng)造成危險(xiǎn)。

因此，從CGI角度考慮WEB的安全性，主要是在編制程序時(shí)，應(yīng)詳細(xì)考慮到安全因素。盡量避免CGI程序中存在漏洞。

從web服務(wù)器版本上分析：

在1995年3月發(fā)現(xiàn)NCSA1.3以下版本的HTTPD明顯存在安全上的漏洞，即客戶計(jì)算機(jī)可以任意地執(zhí)行服務(wù)器上面的命令，非常危險(xiǎn)。但，NCSA1.4以上版本的服務(wù)器就補(bǔ)上了這個(gè)漏洞。還有一些簡(jiǎn)單的從網(wǎng)上下載WEB服務(wù)器，沒(méi)有過(guò)多考慮到一些安全因素，不能用作商業(yè)應(yīng)用。

因此，不管是配置服務(wù)器，還是在編寫(xiě) CGI程序時(shí)都要注意系統(tǒng)的安全性。盡量堵住任何存在的漏洞，創(chuàng)造安全的環(huán)境。在具體服務(wù)器設(shè)置及編寫(xiě) cgi程序時(shí)應(yīng)該注意：

管理服務(wù)器上

1)禁止亂用從其他網(wǎng)中下載的一些工具軟件，并在沒(méi)有詳細(xì)了解之前盡量不要用root身份注冊(cè)執(zhí)行。以防止某些程序員在程序中設(shè)下的陷井，如：程序中加上一兩行 "rm -rf /"或"mail username < /etc/passwd" 之類(lèi)情況發(fā)生。

2)在選用 web服務(wù)器時(shí)，應(yīng)考慮到不同服務(wù)器對(duì)安全的要求不一樣。一些簡(jiǎn)單的 web服務(wù)器就沒(méi)有考慮到一些安全的因素，不能把他用作商業(yè)應(yīng)用。只作一些個(gè)人的網(wǎng)點(diǎn)。

3)在利用WEB中的.htpass來(lái)管理和校驗(yàn)用戶口令時(shí)，存在校驗(yàn)的口令和用戶名不受次數(shù)限制。

3、如何在WEB上提高系統(tǒng)安全性和穩(wěn)定性

web服務(wù)器安全預(yù)防措施：

〔1〕限制在web服務(wù)器開(kāi)帳戶，定期刪除一些斷進(jìn)程的用戶。

〔2〕對(duì)在web服務(wù)器上開(kāi)的帳戶，在口令長(zhǎng)度及定期更改方面作出要求，防止被盜用。

〔3〕盡量使ftp, mail等服務(wù)器與之分開(kāi)，去掉ftp,sendmail,tftp,NIS, NFS，finger,netstat等一些無(wú)關(guān)的應(yīng)用。

〔4〕在web服務(wù)器上去掉一些絕對(duì)不用的shell等之類(lèi)解釋器，即當(dāng)在你的 cgi的程序中沒(méi)用到perl時(shí)，就盡量把perl在系統(tǒng)解釋器中刪除掉。

〔5〕定期查看服務(wù)器中的日志logs文件，分析一切可疑事件。在errorlog 中出現(xiàn)rm, login, /bin/perl, /bin/sh 等之類(lèi)記錄時(shí)，你的服務(wù)器可能有受到一些非法用戶的入侵的嘗試。

〔6〕設(shè)置好web服務(wù)器上系統(tǒng)文件的權(quán)限和屬性，對(duì)可讓人訪問(wèn)的文檔分配一個(gè)公用的組如：www，并只分配它只讀的權(quán)利。把所有的HTML文件歸屬WWW組，由WEB管理員管理WWW組。對(duì)于WEB的配置文件僅對(duì)WEB管理員有寫(xiě)的權(quán)利。

〔7〕有些WEB服務(wù)器把WEB的文檔目錄與FTP目錄指在同一目錄時(shí)，應(yīng)該注意不要把FTP的目錄與CGI-BIN指定在一個(gè)目錄之下。這樣是為了防止一些用戶通過(guò) FTP上在一些尤如PERL或SH之類(lèi)程序并用WEB的CGI-BIN去執(zhí)行造成不良后果。

〔8〕通過(guò)限制許可訪問(wèn)用戶IP或DNS如：

在NCSA中的access.conf中加上：

< Directory /full/path/to/directory >

< Limit GET POST >

order mutual-failure

deny from all

allow from 168.160.142. abc.net.cn

< /Limit >