Ｃｏｖｅｒ Ｓｔｏｒｙ封面报道ｌ互联网安全 Ｗ ｅ ｂ应用平台的安全防范 文，范渊 安全概述 随着Ｂ／Ｓ应用的普及，Ｗｅｂ应用安全越来越被人 重视。无论是内网中的ＯＡ办公系统、财务系统， 还是外网的门户系统、营业厅系统都使用Ｂ／ｓ构架。 Ｗｅｂ应用安全除了应用程序本身，另一个非常重 要的就是应用平台的安全，即１＾ 中间件安全。 目前广泛使用的中间件有很多种，包括轻量级的 ＩＩＳ、Ａｐａｃｈｅ、Ｔｏｍｃａｔ、ＪＢｏｓｓ、。Ｎｇｉｎｘ等，重量级的 ＷｅｂＬｏｇｉｃ、ＷｅｂＳｐｈｅｒｅ等。但无论哪种，都存在安 全隐患。 面临的风险 安全漏洞 所有中间件都不同程度存在安全漏洞。有些漏洞 可能导致攻击者直接获取系统权限，有些则可 以导致Ｗｅｂ拒绝服务。对于中间件漏洞，目前黑 客利用比较多的有：ＩＩｓ、Ｎｇｉｎｘ的解析漏洞，ＩＩｓ、 Ａｐａｃｈｅ解析ＪＳＰ时的原码泄露，以及最近比较流 行的ＨＡＳＨ冲突拒绝服务漏洞。这些漏洞危害很 大，即使在一些非常知名的大型网站也同样存在。 配置安全 对于中间件，大部分的功能都可以通过配置启用 或者关闭。很多安全问题也会由于不合理的配置 引起。配置安全可分为两部分。 －中间件本地配置的安全，例如： 启用了ＷｅｂＯｅｖ：黑客可以很轻松地通过一个包 含ＰＵＴ命令的数据包将木马文件上传到服务器， 并对其进行控制； 列目录：启用了列目录功能，使网站一些敏感信息 泄露； 日志安全：为方便日志传输，将日志文件配置到 ｗｌｅｂ目录中； 权限分类：在多个站点的虚拟主机中，使用相同的 账户管理所有站点，一旦一个站点被攻击，就会 波及所有的站点； 执行权限：在中间件中配置上传目录可执行脚本 命令，通常默认情况都是这样配置，而黑客通过 上传恶意脚本便可直接获取操作系统的权限。 ・中间件所在服务器的配置安全，例如： 中间权限：将使用中间件的用户配置为最高权限， 这将导致一旦Ｗｅｂ应用被攻击，黑客就可直接获 取操作系统的最高权限； 文件权限：在ｗｅｂ目录中，将配置文件的属性设 定为中间件账户可写，这样就为黑客篡改网页提 供了便利条件。 管理方式 中间件的管理方式是方便管理软件及开发人员通 过中间件维护及发布应用程序。 管理方式通常有三种： ＿通过修改配置文件的方式对中间件进行管理， 这需要对配置文档比较熟悉。最典型的是类似 Ａｐａｃｈｅ的配置方式； ＿通过ＧＵＩ的配置界面对页面进行管理，操作方 法相对比较简单，如ＩＩｓ的配置方式； ＿使用Ｗｅｂ应用管理的方式对中间进行配置管理。 常见的有Ｔｏｍｃａｔ，ＷｅｂＬｏｇｉｃ等。 防范手段 漏洞补丁 面对众多的安全漏洞，我们应该及时进行修复。 但对于不同类型的漏洞修复方式通常也不太一 样。安全漏洞分为三类： ４３ ￣ｏｖｅｒ ｂ［ｏｒｙ主可回强迫ｌ且联ｐ。ｑ爱芏 －未公开的漏洞。也就是我们所说的０Ｄａｙ漏洞， 程序安全 由于没有公开发布，所以这类漏洞很难防范。对 在编写一个安全可靠的程序时，我们应该考虑到， 于这些漏洞我们无法直接进行防护，但可以通过 中间件的防护有一定作用，但不能完全依赖其安 使用安全的Ｗｅｂ构架的方式来减少此类漏洞引起 全特性。在成本允许的情况下，应该在程序中对 的损失。 客户浏览器交互的数据进行校验，过滤非正常的 ＿公开但未发布补丁。部分漏洞已经公开，但中间 输入。一切漏洞的源头就是输入，控制并校验了 件厂商还没来得及发布补丁。由于已经有许多人 用户的输入，就可防护大部分的安全漏洞。 知道这类嘱洞，所以影响范围可能很大。我们可 配置文件中的敏感数据特别是数据库连接字符串 以通过一些临时补丁，或临时调整配置来提升网 的加密，可通过程序，或通过中间件本身的功能 站的安全性。 进行。如：ＩＩＳ、ＮＥＴ、ＷｅｂＬｏｇｉｃ等中间件均提供 －已发布安全ＷＴ。已经公布漏洞，并且相关厂商 了对建立数据源的账户密码的加密，利用这些安 已经发布了漏洞补丁。这类漏洞，最好也是最快 全特性，我们可以方便地隐藏一些敏感信息。 解决方法就是安装安全补丁或者更新程序。 使用第三方程序防护 正确地进行配置 很多中间件提供一些安全防护的模块，用来防止 较成熟的开原模块如：Ａｐａｃｈｅ ｍｏｄ ｓｅｃｕｒｉｔｙ。 要进行安全配置，我们需要遵循两个原则：“权 开发人员在编写Ｗｅｂ程序时存在的安全漏洞。比 限最小化”和“服务最／Ｊｖ化”。 ＿权限最小化：使用最小的权限部署应用程序，例 Ａｐａｃｈｅ ｍｏｄ ｓｅｃｕｒｉｙ可以过滤Ｗｅｔｂ请求的所有部 如减小启动进程账户权限、减小账户对目录的访 分，并终结恶意代码。它在Ⅵ 服务器进行任何 问权限、减小数据库连接时的账户权限。 实际处理之前发挥作用，因而与Ｗｅｂ应用程序无 ｉｙ适用于过滤从ＳＱＬ注入到ＸＳＳ ｔ・服务最小化：使用最小的服务配置，例如在 关。Ｍｏｄ ｓｅｃｕｒＡｐａｃｈｅ上只使用ＨＴＩＶＩＬ页面，就不需要启用ＰＨＰ 攻击的任何恶意流量，也是保护易受攻击的Ｗｅｂ 模块，ⅡＳ上若只使用ＡＳＰ．ＮＥＴ功能，就不需要启 应用程序最快速、最容易的方法。该软件有众多 用ＡＳＰ扩展。 随时可以使用的规则，但也可 艮容易自行编写。 安全的管理方式 基于Ｗｅｂ的ＧＵＩ用户管理界面可以很大程度地减 总结 少配置人员的管理成本，并且界面友好，易于操作。 由于每个站点都有其特殊性，所以Ｗｅｂ应用面临 但远程Ｗｅｂ管理存在非常严重的安全隐患。所以 的问题也更为复杂。在实际情况中，我们需要根 通常不建议开启远程的Ｗｅｂ管理方式。但目前很 据实际情况制定安全策略，正确地配置中间件，ｆ］Ｗｅｂ站点的安全。●擎 多中间件在默认情况下都会安装远程Ｗｅｂ管理功 才能进一步保证我ｆ能，例如ｒＩｂｍｃａｔ、ＷｅｂＬｏｇｉｃ、ＪＢｏｓｓ等。对于一个 有经验的开发人员来说，完全可以通过配置文件 控制所有内容。所以，开发人员应该在应用系统 上线前完成相关的配置，并发布到目标服务器上。 对于必须要使用Ｗｅｂ管理的平台，应该通过防火 墙对其访问进行限制，只允许可信ＩＰ访问，拒绝 其他ＩＰ地址。此外，应该进行有足够强度的验证， 例如使用证书验证，或者使用高强度的密码进行 ｇ氲正 ■ 杭业范州于渊美安 恒国信加州息技立术大有学限。 公司总裁兼技术总监，毕
