深圳搬家搬厂网站建设公司
当前位置:网站首页 > 建站百科 > 中小型网站制作时安全性分析与研究详解 返回列表

中小型网站制作时安全性分析与研究详解

发布时间:2022-04-02来源:admin
中小型网站制作时安全性分析与研究详解,小型公司的宣传网站也是的当下网站制作公司制作最多的一种网站了,由于这种网站是好多的公司都能使用得到的,并且方便与用户通过网站将自己公司的产品或者服务上传到网络公司,方便与公司的产品或者宣传和推广了,但是这种方面最多,由于这种小网站基本上很简单,没有什么技术门槛,只要是个懂技术的人都是能制作的出来,但是问题是即使你能制作出来这样的网站,但是网站的安全性以及稳定性如何,是需要时间的验证的,往往用户在日常找<a href="http://www.szbc888.com" target="_blank"><strong>网站制作公司</strong></a>的时候,也很少去关注这些网站的安全和稳定的,接下来我们来听一下<a href="http://www.szbc888.com" target="_blank"><strong>深圳网页制作</strong></a>公司的技术是怎么说的。<br /> 1 网页防篡改的意义和应对措施&nbsp;<br /> &emsp;&emsp;目前,企事业单位网站一般搭建在Windows或Linux服务器上,对web服务器来说,包含的风险不仅是服务器宕机或者网站瘫痪,更严重的是被黑客入侵后上传了木马文件,由于木马文件是可执行文件或具有可执行脚本,能够篡改网站文件使其链接到广告、游戏甚至国外政治敏感站点,所以危害极大。对网站管理者来说,防止木马文件上传和网页被篡改非常重要!网页防篡改的基本要求是:及时发现和处理上传的木马和被篡改的正常文件。常见的防护措施包括:&nbsp;<br /> &emsp;&emsp;(1) 加固服务器安全设置,包括禁止远程操作注册表、禁用CMD命令、开启防火墙等。&nbsp;<br /> &emsp;&emsp;(2) 安装安全狗、云盾、防篡改等商业软件或者购买硬件防护设备(WAF)。&nbsp;<br /> &emsp;&emsp;两类措施各有不足,第一类措施强化了服务器的安全,但是对HTTP的80端口攻击无能为力,例如SQL注入、XSS攻击等。第二类措施需要购买昂贵的商业产品,不适于资金紧张的中小型网站。&nbsp;<br /> &emsp;&emsp;2 本文的防篡改系统设计思路&nbsp;<br /> &emsp;&emsp;中小网站管理者缺少足够的资金,无法将安全工作外包或购买安全设备,却往往具有一定的编程能力或者丰富的网站安全经验,本文根据这一情况设计了适合于中小型网站的防篡改系统,根据此设计开发的软件可以24小时运行在Windows或Linux服务器上,以后台服务方式保护网站,设计思路包含两类防护措施。&nbsp;<br /> &emsp;&emsp;(1) 文件监听和合法性检查&nbsp;<br /> &emsp;&emsp;Windows和Linux系统都提供了文件系统的事件触发机制,当操作系统监听到文件被创建、修改和重命名时,会触发相应事件并调用对应的方法,在方法中执行文件合法性检查,就能实时监测网站文件的变化,实现被动防护[1][2]。&nbsp;<br /> &emsp;&emsp;(2) 设计蜜罐页面和入侵痕迹检索&nbsp;<br /> &emsp;&emsp;为了进一步提高防护能力,增加了主动防护措施,在网站目录中设计蜜罐页面,“引诱”入侵者访问此页面,从而在日志文件中留下痕迹,通过分析日志检索并屏蔽非法IP。&nbsp;<br /> &emsp;&emsp;3 文件监听和合法性检查&nbsp;<br /> &emsp;&emsp;3.1 业务逻辑&nbsp;<br /> &emsp;&emsp;(1) 对网站文件进行监听&nbsp;<br /> &emsp;&emsp;Windows平台可以使用FileSystemWatcher类对指定的文件夹进行监听,也可以使用JNotify包进行监听,由于后者兼容Linux平台,所以建议使用后者,两种监听技术都对文件的内容修改、创建、重命名、删除等事件提供了触发机制,重点监听创建、修改和重命名事件的发生,以下是事件的触发条件、参数和处理方法。&nbsp;<br /> &emsp;&emsp;(2) 文件合法性检查&nbsp;<br /> &emsp;&emsp;以Create事件为例,检查参数文件是否为木马依赖于网站的配置、运行特征和管理员的安全经验,不同的网站需要设置不同的检查规则,以某中学网站为例,总结并形成如表2所示的几条规则。&nbsp;<br /> &emsp;&emsp;规则等级的数值越大表示检验优先级越高,最先检查的是文件上传(创建)时间,因为网站编辑一般在每天6:30~23:00内工作,所以此时间段之外上传的文件违规;其次检查上传文件是否位于UploadFile目录下,位于此目录之外违规;接下来检查上传文件类型是否为动态脚本或可执行文件,若是则违规;最后以文本形式打开文件,检查内容是否含有暗链或非法关键词,若存在则违规。所有规则检查结果为真表示上传文件合法,可以保留在网站上,违反任意一条就视为非法文件进行处理。&nbsp;<br /> &emsp;&emsp;(3) 非法文件处理&nbsp;<br /> &emsp;&emsp;由于非法文件可能是入侵者上传的,这说明此时的网站很可能已经被黑客攻破,服务器肯定存在漏洞,需要执行以下操作:&nbsp;<br /> &emsp;&emsp;1) 加密非法文件并备份到某个隐藏位置后删除此文件。&nbsp;<br /> &emsp;&emsp;2) 根据非法文件名称和上传时间,在网站日志中查找来源IP,发现后屏蔽。&nbsp;<br /> &emsp;&emsp;3) 发送手机短信给管理员。&nbsp;<br /> &emsp;&emsp;4) 将非法文件信息写入自定义日志,以备日后分析服务器漏洞。&nbsp;<br /> &emsp;&emsp;3.2 开发实现&nbsp;<br /> &emsp;&emsp;上述设计思路已经使用Java语言实现,主要包含以下几个技术要点。&nbsp;<br /> &emsp;&emsp;(1) 读取XML配置文件&nbsp;<br /> &emsp;&emsp;由于不同网站的配置、运行情况很不相同,所以监听网站前先要读取XML文件初始化参数,包括监听的网站目录、禁止上传的文件类型、日志位置、上传文件所在目录、发送短信参数等。&nbsp;<br /> &emsp;&emsp;(2) 监听工具&nbsp;<br /> &emsp;&emsp;服务程序使用Java的JNotify组件进行监控,程序运行后调用监控类,监控类继承于JNotifyListener接口,需要开发者重写fileRenamed、fileModified、fileCreated等方法,发生了某个事件就执行对应方法。&nbsp;<br /> &emsp;&emsp;(3) 使用Drools引擎实现业务逻辑规则化&nbsp;<br /> &emsp;&emsp;文件合法性检查归结为一组业务规则的执行,建议使用Drools引擎来实现业务逻辑的规则化[3][4],开发者可以针对各类触发事件,分别编写出每组业务规则并形成DRL文件,Drools引擎解析、执行文件包含的所有规则,这大大简化了传统的高级语言编程,以表2的时间限制规则为例,只要将它的Salience属性定义为四个规则中的最大值,就可以最先执行,参数6:30和23:00可以在规则中直接修改且不需要重新编译,此规则调用外部java类静态方法检测时间的合法性,这样就将业务逻辑和类库代码分离开了。 (4) IP屏蔽技术&nbsp;<br /> &emsp;&emsp;若发现网站被上传了非法文件,可以根据文件上传时间或者事件触发时间在网站日志中查找入侵IP,重点查找POST操作,发现后使用Java语句调用IPTABLES命令实现IP屏蔽。在Windows系统中可以调用IPSEC安全策略中的netsh命令实现IP屏蔽。&nbsp;<br /> &emsp;&emsp;(5) 手机短信通知&nbsp;<br /> &emsp;&emsp;使用订购的中国移动云MAS服务,可以使用MAS服务提供的接口编写Java短信类,将非法文件的文件名、处理方式和违反的规则名称等参数写入预定义模板发送给网站管理员,实现24小时短信通知。&nbsp;<br /> &emsp;&emsp;4 设计蜜罐页面和入侵痕迹检索&nbsp;<br /> &emsp;&emsp;4.1 设计蜜罐页面&nbsp;<br /> &emsp;&emsp;入侵者为了找到网站漏洞,总是先用工具软件扫描网站,尤其是最常见的登录和管理页面,例如login.asp、index.asp等,这为网站防御提供了一个蜜罐“诱骗”思路[5][6]:将正常使用的后台登录和管理页面重命名隐藏起来,然后在网站根目录下添加login或index等蜜罐页面,这些页面不提供任何服务功能,正常用户应该访问不到,只是是为了引诱入侵者访问。&nbsp;<br /> &emsp;&emsp;服务程序定时读取日志文件,每次读取从上次日志结尾开始,利用正则表达式检索访问了蜜罐页面的IP,这些IP一定是尝试入侵者,由于入侵者找到漏洞并成功入侵总是需要时间的,在不严重增加服务器负担的情况下,采用较小时间间隔定时检索日志,可以及时发现大多数入侵企图。&nbsp;<br /> &emsp;&emsp;4.2 入侵痕迹的扩展检索&nbsp;<br /> &emsp;&emsp;除了发现蜜罐页面的来访IP之外,还可以同时检索SQL注入和XSS入侵痕迹,它们的表现是在GET或POST请求的URL字符串中含有非法字符和单词,包括:&nbsp;<br /> &emsp;&emsp;(1) 西文的单引号、双引号、中括号和星号等,重点检查单引号。<br /> 来访的URL字符串都记录在网站日志文件中,为了尽可能发现攻击性URL,建议管理员将待检索的非法字符和单词写成正则表达式去匹配URL,若匹配则说明此URL含有攻击,例如“.*select.*or”表示在URL查找select和or,匹配成功表明此URL存在SQL攻击。&nbsp;<br /> &emsp;&emsp;由于SQL的攻击URL复杂多变,管理员需要不断更新,而Drools规则的修改不需要重新编译程序源代码,所以建议将待检索的正则表达式串编入Drools规则,在规则中调用外部类静态方法验证来访URL是否与之匹配。&nbsp;<br /> &emsp;&emsp;5 运维和管理&nbsp;<br /> &emsp;&emsp;建议以命令行方式在服务器上安装程序和所需的Drools开发包,以后台服务形式24小时伴随网站运行,为了保证服务在线运行,将程序设置为开机启动并定时检查进程是否存在,在Window Server中使用计划任务和PowerShell实现,在Linux系统中使用Crond和Shell实现。&nbsp;<br /> &emsp;&emsp;为了有效管理服务器的防篡改系统运行,开发Android手机端App,APP能够基于SSH协议向服务器发送指令,实现以下功能。&nbsp;<br /> &emsp;&emsp;(1) 请求并接收服务器端认定的非法文件信息,以供管理员浏览、分析。&nbsp;<br /> &emsp;&emsp;(2) 发送文件恢复指令,将误删除的文件恢复到原位置。&nbsp;<br /> &emsp;&emsp;(3) 发送IP操作指令,解除误屏蔽的IP。&nbsp;<br /> &emsp;&emsp;(4) 定时发送HTTP请求,检查网站是否可以正常访问。&nbsp;<br /> &emsp;&emsp;(5) 发送重启网站、重启和关闭服务器的指令。&nbsp;<br />
联系方式:   0755-84185494

阅读过此文章的读者,还阅读过下面的文章

  • 深圳网站制作好后来年到期了该怎么办
    <p> 深圳网站制作好后来年到期了该怎么办,不管是个人还是公司,要想制作好一个网站真的不容易,不仅仅需要做网站前期的规划和策划工作,还需要对网站建设的栏目,内容进行填充和建设,面对这一堆的要求和东西,整体还是比较麻烦和费事的,所以,网站建设制作好之后,一定要注意来年的续费问题,好多公司不注意这个问题,造成了网站后期打不开了,不能正常方面了,出现了问题才想起来网站没有续费,接下来我们来看看深圳网络公司是如何建议的。 </p> <p> 1.域名到期的影响<br /> &nbsp;一般情况下,网站域名需要一年进行一次续费,也可以一次购买多年,如果域名到期没有及时续费,网站就会打不开,域名续费期一般是一个月,过了这个时间就会进入赎回期,这时候就不能续费了。<br /> &nbsp;2.服务器到期的影响<br /> &nbsp;服务器到期与域名一样,到期后网站同样不能打开,如果之前网站在做推广,会直接影响展现效果,长时间不续费的话,网站数据就会全部删除了,之前的努力就全白做了。<br /> &nbsp;3.网站维护服务到期<br /> &nbsp;有些网络公司服务商会有网站维护费用,一般都是一年为一个期限,如果到期后您没有及时维护,网站出现问题后就不会有人给您维护,就会造成影响。影响最大的就是网站展现的效果。<br /> </p>
  • 深圳做网站公司做网站时要明白这些
    <p> 深圳做网站公司做网站时要明白这些。其实做网站有的时候不仅仅是在做网站,更多的是在帮助其他公司在做网络宣传门户,站在这个角度上你就知道你所承担的责任了,作为现在公司网站建设不仅要符合时代潮流,更多的需要紧扣时代网页设计特色和要求,只有这样制作设计出来的网站才能更好的满足现在人们的使用要求和观念的,不管是在网站设计理念,网站布局规划,以及网站内容建设等等,这些方面都需要进口时代主题和要求的,接下来我们来看看深圳网站制作公司是如何做的,需要做好那些方面的要求和规范呢? </p> <p> 审美在变,网站设计要紧跟潮流<br /> 也许用户访问时,不会逐一阅读网站内容,但首先映入眼帘的一定是设计。也许网站在几年前设计制作的确实很漂亮,但是我们无法否认的事实是,用户对网站设计的审美一直在不断改变。这个比较容易对比,随便找一个行业,然后通过百度搜索到十家网站,分别对应年份和网站的网址,让一个不知情的人去逐一打开并评判感受。大体趋势是越是新近设计制作的网站,越容易赢得用户的接受承认。其实这就是用户的真实感受,每年快速改版重做对于很多公司来说有些压力,但是笔者认为一般而言网站2-3年是需要重新设计制作快速的。一个通过网站寻找供应商的用户,其浏览网站一般也就几十秒到几分钟时间,先进的网站设计效果是吸引其深入了解进而咨询的较好方法。<br /> 技术在变,网站制作要贴合需求<br /> 周围的一切都在发生着巨变,网站技术也是如此,此前被很多网站公司采用的ASP网站开发语言几乎已经没人使用,相对于传统的PC端网站,现在更多看重的是移动端,公司设计制作的网站现在多为自适应PC端、PAD端以及手持移动终端的响应式网站。谁也不知道网站技术会走向哪个方向,但是对于普通的企业而言,我们可以把握趋势,至少每隔两三年对网站重新快速设计制作。<br /> 企业在变,网站建设要适应发展<br /> 网站总是为企业服务的,换句话说就是网站的设计制作需要跟上企业的发展步伐。现在急剧变化的市场面前,如果想立于不败之地,企业的经营策略一定在不断调整优化。作为给企业发展提供服务的网站,其理应不断调整不断优化以适应公司需求。现在是互联网时代,用户了解公司更多的也是通过网络,网站不仅是营销的工具,更是企业品牌形象的展示窗口。由于人力成本的不断升高,而网站设计更多的需要技术人员手工完成,所以真正定制开发的网站都价格不菲。但是同样是网站建设公司网站改版也不一定就选择定制,如果有合适的模板网站,也是不做的选择。我们需要的是一个紧跟时代和用户需求的网站,而非一定采用哪种方式实现它。 </p>
  • 英文网站制作需要注意那些问题和事项
    英文网站制作需要注意那些问题和事项。英文网站制作还是跟中文网站制作有比较大的区别的,应为中文网站面对的客户群体是国内的用户,而国内的用户对网站的使用习惯,要求都是跟国外不一样的,从而在制作英文网站的时候,一定要注意,像这种英文网站制作还是需要从国外人使用网站的习惯,使用网站的一些喜好出发,只有这样制作出来的网站满足国外人的使用的,这是一个方面,另外一个方面就是国外网站面对的搜索引擎,也是不一样的,国外的搜索引擎跟国内有着比较大的区别的,搜索引擎也是制作英文网站必须要考虑的一个方面了,最后就是网站制作价格方面了,一般英文网站制作价格要比国内的网站制作价格高一些,这是一定的,毕竟国外网站制作的细节要求,以及针对搜索引擎优化方面还是有比较高的要求的,所以,这些都是工作量,也都是需要处理好这些方面的细节工作的。
  • 网站设计公司的发展趋势详解
    <p> 网站设计公司的发展趋势详解,目前网页设计公司慢慢的转型升级成为一种综合性的设计公司了,不仅仅是在网站设计了,如果单纯的依赖于网站设计,对于这样的公司来说现在还是很被动的,并且目前的网站制作价格已经白热化了,竞争也是很大的情况下,好多公司已经赚不到什么钱了,面对这样的市场形式,作为网站设计公司要不断的扩大和尝试新的方式和方法,实现公司业务的升级和转型,这也是摆在深圳<a href="http://www.szbc888.com" target="_blank"><strong>网站制作公司</strong></a>面对不可逾越的一个问题了,毕竟现在网站制作公司的活量不大,如果养一个专业的网页设计技术团队专门作网站,根本养活不了这样的公司的发展了,更多的还需要通过其他的渠道,其他的平台上获得更为有质量的客户,这也是当下网站制作公司不得不面对的一个话题了。 </p> <p> <img src="static/picture/20231030113846_47114.jpg" alt="" /> </p> <p> <a href="http://www.szbc888.com" target="_blank"><strong>网页设计公司</strong></a>业务范围扩大,于是着这个网站制作行业市场需求量在逐渐的缩小,并且凡是使用到网站的多半集中在一些公司,单位方面的需求了,对于一些个人对网站的需求还是很少的,除非一些专业化路线的个人才会这样做的,网站设计公司的转型升级,不仅提升的服务质量,更多的将服务方位不断的扩大,从而得到更好的市场群体,能够为更多的市场客户服务。 </p>
  • 网站制作低价格策略已经成为网站制作行业的杀手锏
    <p> 网站制作低价格策略已经成为网站制作行业的杀手锏,整个大环境不好的情况下,好多公司在制作网站的时候,已经在想尽办法降低网站制作的成本了,从当初的网站制作就直接去搜索引擎上搜索网站制作公司了,而如今制作网站已经发生变化了,从搜索引擎走向了淘宝,拼多多这些低价平台了,并且这些平台都是担保交易了,好多的需要<a href="http://www.szbc888.com" target="_blank"><strong>制作公司网站</strong></a>的商家慢慢转向这个方面来了,所以制作出来的网站不是模板的就是仿制的网站,价格的确很低,并且效率也是很高的,这也是聪明的用户慢慢的转型和变化了,如果这些模板网站放在搜索引擎来的客户的话,这些网站制作下来的费用基本上在好几千了,面对这样的市场转型和升级,这也让好多网站制作公司寻找不同的出路了。 </p> <p> <img src="static/picture/20231030113212_16069.jpg" alt="" /> </p> <p> <a href="http://www.szbc888.com" target="_blank"><strong>深圳网站制作</strong></a>的价格的确没有那么低,但是作为一些低价平台上的用户,他们为了争取到客户,低价引流,从而实现了低价格制作网站的形式,作为网站制作公司,你这样低价格去做的目的就只有一个,那就是辛苦转不到钱的,都是转一些辛苦钱而已,面对这样的市场形式和要求,作为网站制作公司一定要不断的提升网站制作的附加值,提升<a href="http://www.szbc888.com" target="_blank"><strong>网站制作</strong></a>的质量,让用户以质量取胜,不能专门走低价格战略,不然你的公司是发展不起来的,也作不大的,作为用户而已,你公司小还可以这样去做,如果公司发展到一定程度的去制作网站,这对于你的公司来说是灭顶之灾了,所以选择网站制作公司还是要从专业的角度出发去帮助客户解决实际的问题,从而实现网站制作公司的价值和效益。 </p>
  • 深圳网站定制开发全流程详解
    <p> 深圳网站定制开发全流程详解,作为网站定制开发公司接下来给大家普及一下网站定制究竟要经过那些过程呢,前期的网站沟通肯定是少不了的,除此之外,网站备案这块也是需要的,只要是正规的公司,正常的流程,网站备案也是需要做的,剩下的就是网站制作过程中的一些沟通了,接下来我们来看看<a href="http://www.szbc888.com" target="_blank"><strong>深圳网站制作</strong></a>公司的一个标准的流程。 </p> <p> 需求分析: 通过对客户业务的了解和与客户对流程的讨论对需求进行基本建模,最终形成需求规格说明书<br /> 总体设计: 通过分析需求信息,对系统的外部条件及内部业务需求进行抽象建模,最终形成概要设计说明文档<br /> 详细设计: 此部分在对需求和概要设计的基础上进行系统的详细设计(也包含部分代码说明)<br /> 开发编程: 对系统进行代码编写<br /> 测试分析与系统整合: 对所有功能模块进行模拟数据测试及其它相关性测试并整合所有模块功能<br /> 现场支持: 系统上线试运行进行现场问题记录、解答<br /> 系统运行支持: 系统正式推产后,对系统进行必要的维护和BUG修改<br /> </p>

Copyright © 2015 深圳市鑫惠广网络科技有限公司 粤ICP备2023111395号