終極Web安全防護解決方案（1）
XSS攻擊案例
僅在2009年上半年，著名的社交網(wǎng)站校內網(wǎng)就爆發(fā)了多處的XSS Worm威脅，就在前幾天在校內網(wǎng)又爆發(fā)了Flash XSS Worm威脅，現(xiàn)在已經(jīng)有許多的用戶執(zhí)行惡意代碼并受到了各種病毒威脅。相信08年的QQ Mail的XSS跨站漏洞大家都還記憶猶新，當你打開一封QQ好友發(fā)來的信件時，惡意代碼已經(jīng)悄悄被你執(zhí)行了，此時你主機可能成為黑客的一臺肉機。
XSS 跨站漏洞
XSS攻擊：跨站腳本攻擊(Cross Site Scripting)，為不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆。故將跨站腳本攻擊縮寫為XSS。XSS是一種經(jīng)常出現(xiàn)在Web應用中的計算機安全漏洞，它允許惡意Web用戶將代碼植入到提供給其它用戶使用的頁面中。比如這些代碼包括HTML代碼和客戶端腳本。攻擊者利用XSS漏洞旁路掉訪問控制——例如同源策略(same origin policy)。這種類型的漏洞由于被駭客用來編寫危害性更大的phishing攻擊而變得廣為人知。對于跨站腳本攻擊，黑客界共識是：跨站腳本攻擊是新型的“緩沖區(qū)溢出攻擊“，而JavaScript是新型的“ShellCode”。
XSS 漏洞的特點：
(1)XSS跨站漏洞種類多樣性：
XSS攻擊語句可插入到、URL地址參數(shù)后面、輸入框內、img標簽及DIV標簽等HTML函數(shù)的屬性里、Flash的getURL()動作等地方都會觸發(fā)XSS漏洞。
(2)XSS跨站漏洞代碼多樣性：
為了躲避轉義HTML特殊字符函數(shù)及過濾函數(shù)的過濾，XSS跨站的代碼使用“/”來代替安字符“””、使用Tab鍵代替空格、部分語句轉找成16進制、添加特殊字符、改變大小寫及使用空格等來繞過過濾函數(shù)。
如果在您的新聞系統(tǒng)發(fā)現(xiàn)安全漏洞，如果該漏洞是一個SQL 注入漏洞，那么該漏洞就會得到您的網(wǎng)站管理員密碼、可以在主機系統(tǒng)上執(zhí)行shell命令、對數(shù)據(jù)庫添加、刪除數(shù)據(jù)。如果在您的新聞或郵件系統(tǒng)中發(fā)現(xiàn)安全漏洞，如果該漏洞是一個XSS跨站漏洞，那么可以構造一些特殊代碼，只要你訪問的頁面包含了構造的特殊代碼，您的主機可能就會執(zhí)行木馬程序、執(zhí)行盜取Cookies代碼、突然轉到一個銀行及其它金融類的網(wǎng)站、泄露您的網(wǎng)銀及其它賬號與密碼等。
現(xiàn)在Web業(yè)務系統(tǒng)的安全防護意見不統(tǒng)一，最早我們以為使用了防火墻關閉了危險端口、安裝了殺毒軟件我們的信息系統(tǒng)將會很安全?，F(xiàn)在隨著企業(yè)對信息安全重示及關主度的提高，開始為自己的信息安全部署入侵預防系統(tǒng)(IPS: Intrusion Prevension System)來提高信息系統(tǒng)的安全性，由于技術等各方面因素制約，IPS并不能100%正確分析入侵行為，從而可能會阻斷有用信息，導致業(yè)務系統(tǒng)的客戶獲取信息不全，因此不適用于對數(shù)據(jù)完整性有較高要求的場合。
因IPS存在的一定的誤報性，所以一些企業(yè)會把IPS的高危險策略的動作由阻斷改為忽略。IPS的檢測技術流程是攻擊者向我們服務器提交惡意的代碼時，我們的IPS會做它做出一個動作是阻斷還是放行，只有攻擊者在向我們服務器進行攻擊時我們才IPS才會做出動作，所以我們不能真正了解目前我們的Web信息系統(tǒng)的安全狀態(tài)，我們信息系統(tǒng)的安全一直處在被動的狀態(tài)。我們的信息系統(tǒng)同樣得不到真正的安全，那怎么來保護我們信息系統(tǒng)的安全呢？
主動出擊防護您的信息系統(tǒng)
聯(lián)想網(wǎng)御安全服務部成立多年來，一直關注于國內信息安全的發(fā)展趨勢，目前，應用安全已經(jīng)成為信息安全中的重點。應用系統(tǒng)是客戶的業(yè)務、生產系統(tǒng)的基本組成，應用系統(tǒng)安全才是客戶目前都迫切解決的安全。針對目前客戶所面臨信息安全的狀況，聯(lián)想網(wǎng)御把以往的安全服務項目做了一個針對性的調整，推出了“Web應用安全服務” 。
Web應用安全服務是針對客戶的Web應用系統(tǒng)首先由專業(yè)滲透測試工程師對Web應用系統(tǒng)進行滲透測試;具有安全編程的工程師對Web源代碼進行安全審計;對客戶的網(wǎng)絡環(huán)境進行安全評估;最后把滲透測試、源代碼審計、網(wǎng)絡評估的安全加固，做出一個全面有針對性的安全加固方案。全面對主機系統(tǒng)、Web應用服務器、網(wǎng)絡設備進行安全加固，保證客戶的Web應用安全，使客戶安全放心使用信息系統(tǒng)。
【編輯推薦】
