在操作系統(tǒng)不定發(fā)布并在你的環(huán)境中測試的時(shí)候，Web服務(wù)器應(yīng)該第一批打補(bǔ)丁，防御Web服務(wù)器的攻擊。在發(fā)現(xiàn)漏洞的幾天內(nèi)，任何人都可以獲得攻擊代碼。在黑客獲取到之后的幾天內(nèi)，準(zhǔn)備好的攻擊可能已經(jīng)發(fā)生了，可以成功攻擊你沒有配置補(bǔ)丁的Web服務(wù)器。幾乎沒有時(shí)間給這些漏洞測試和安裝補(bǔ)丁，所以在補(bǔ)丁發(fā)布前設(shè)計(jì)配置計(jì)劃非常重要。

看一下Web代碼，黑客有幾種操控網(wǎng)站URL執(zhí)行SQL注入、目錄移動(dòng)和緩沖器一處等的方法。防御這三種類型的漏洞又兩種常見的方法。其一是讓一個(gè)人或者工具檢查你的Web代碼，識(shí)別并修正漏洞。或者你可以安裝應(yīng)用防火墻，檢查yon過戶的輸入，在它進(jìn)入后門應(yīng)用前確定它不是惡意或者格式錯(cuò)誤的。Blue Coat Systems Inc.和Sanctum Inc.都有這種的產(chǎn)品，值得看看，特別是在你認(rèn)為不能給程序員再次作編寫安全代碼的培訓(xùn)的時(shí)候。

如果你是用網(wǎng)站銷售產(chǎn)品或者提供金融服務(wù)，檢查提交到服務(wù)器處理在線訂單的數(shù)據(jù)就具有極大的重要性，如果你的安全性只是依賴于網(wǎng)頁上顯示給用戶的價(jià)格或者帳戶信息，使用在黑客的電腦上運(yùn)行的代理工具就可以進(jìn)行簡單的操作。這樣的工具允許攻擊者改變提交到你的服務(wù)器上的數(shù)據(jù)，移除網(wǎng)頁本身執(zhí)行的所有限制。一本價(jià)格是50塊的書可以改到1塊錢，而銀行賬號(hào)可以在資金轉(zhuǎn)賬或者顯示其他張戶的帳戶平衡時(shí)改成其他人的。

根據(jù)你處理終端用戶提交的信息的方式，你可以采取以下驗(yàn)證終端用戶的方式。例如，大多數(shù)程序可以編寫為在處理提交的數(shù)據(jù)前，檢查數(shù)據(jù)中的不恰當(dāng)?shù)淖址烷L度。這種驗(yàn)證應(yīng)該放在后端執(zhí)行，而不是限制網(wǎng)頁上的輸入?yún)^(qū)域，因?yàn)榫W(wǎng)頁上的限制可以使用上面提到的代理工具繞過。

Web服務(wù)器是從外部進(jìn)入公司網(wǎng)絡(luò)的第一個(gè)方法。通過采用恰當(dāng)?shù)腤eb服務(wù)器防護(hù)措施保護(hù)Web服務(wù)器，你就可以解決網(wǎng)絡(luò)上風(fēng)險(xiǎn)最大的問題，并防御潛在的極端危險(xiǎn)的攻擊。

【編輯推薦】

1. 保障WEB服務(wù)器安全的三方面的利器
2. 用SSL安全協(xié)議實(shí)現(xiàn)WEB服務(wù)器的安全性
3. Web服務(wù)器常見安全漏洞