目錄遍歷網路安全

Ⅰ 網站安全的主要手段

1、利用Web伺服器的漏洞進行攻擊。如CGI緩沖區溢出，目錄遍歷漏洞利用等攻擊；
2、利用網頁自身的安全漏洞進行攻擊。如SQL注入，跨站腳本攻擊等。 1、緩沖區溢出——攻擊者利用超出緩沖區大小的請求和構造的二進制代碼讓伺服器執行溢出堆棧中的惡意指令。
2、Cookie假冒——精心修改cookie數據進行用戶假冒。
3、認證逃避——攻擊者利用不安全的證書和身份管理。
4、非法輸入——在動態網頁的輸入中使用各種非法數據，獲取伺服器敏感數據。
5、強制訪問——訪問未授權的網頁。
6、隱藏變數篡改——對網頁中的隱藏變數進行修改，欺騙伺服器程序。
7、拒絕服務攻擊——構造大量的非法請求，使Web伺服器不能響應正常用戶的訪問。
8、跨站腳本攻擊——提交非法腳本，其他用戶瀏覽時盜取用戶帳號等信息。
9、SQL注入——構造SQL代碼讓伺服器執行，獲取敏感數據。
10、URL 訪問限制失效——黑客可以訪問非授權的資源連接強行訪問一些登陸網頁、歷史網頁。
11、被破壞的認證和 Session 管理——Session token 沒有被很好的保護 在用戶推出系統後，黑客能夠盜竊 session。
12、DNS攻擊——黑客利用DNS漏洞進行欺騙DNS伺服器，從而達到使DNS解析不正常，IP地址被轉向導致網站伺服器無法正常打開。 SQL注入
對於和後台資料庫產生交互的網頁，如果沒有對用戶輸入數據的合法性進行全面的判斷，就會使應用程序存在安全隱患。用戶可以在可以提交正常數據的URL或者表單輸入框中提交一段精心構造的資料庫查詢代碼，使後台應用執行攻擊著的SQL代碼，攻擊者根據程序返回的結果，獲得某些他想得知的敏感數據，如管理員密碼，保密商業資料等。
跨站腳本攻擊
由於網頁可以包含由伺服器生成的、並且由客戶機瀏覽器解釋的文本和HTML標記。如果不可信的內容被引入到動態頁面中，則無論是網站還是客戶機都沒有足夠的信息識別這種情況並採取保護措施。攻擊者如果知道某一網站上的應用程序接收跨站點腳本的提交，他就可以在網上上提交可以完成攻擊的腳本，如JavaScript、VBScript、ActiveX、HTML 或 Flash 等內容，普通用戶一旦點擊了網頁上這些攻擊者提交的腳本，那麼就會在用戶客戶機上執行，完成從截獲帳戶、更改用戶設置、竊取和篡改cookie到虛假廣告在內的種種攻擊行為。
隨著攻擊向應用層發展，傳統網路安全設備不能有效的解決目 前的安全威脅，網路中的應用部署面臨的安全問題必須通過一種全新設計的高性能防護應用層攻擊的安全防火牆——應用防火牆來解決。應用防火牆通過執行應用會話內部的請求來處理應用層。應用防火牆專門保護Web應用通信流和所有相關的應用資源免受利用Web協議發動的攻擊。應用防火牆可以阻止將應用行為用於惡意目的的瀏覽器和HTTP攻擊。這些攻擊包括利用特殊字元或通配符修改數據的數據攻擊，設法得到命令串或邏輯語句的邏輯內容攻擊，以及以賬戶、文件或主機為主要目標的目標攻擊。
DNS攻擊
黑客使用常見的洪水攻擊，阻擊DNS伺服器，導致DNS伺服器無法正常工作，從而達到域名解析失敗，造成網站無法訪問。

Ⅱ 基於Web的MES系統安全架構設計及分析(2)

基於Web的MES系統安全架構設計及分析

3.2.2基於角色的訪問控制

在對MES系統業務功能、業務流程及其干係人分析整理的基礎上，能夠抽象出系統的各種用戶角色，每種角色通過一組系統功能完成一定的業務處理，需要將這一組系統功能賦予該角色，使其具有完成這一業務的能力，也就形成了允許訪問控製表，包括菜單的允許訪問列表和功能的允許操作列表。

為了構成系統的完全訪問邊界，需要明確禁止某類操作。因此設計了禁止訪問控製表，包括：菜單的禁止訪問列表和功能的禁止操作列表。

3.2.3用戶及許可權管理

構建了角色的訪問控制，將角色賦予用戶，用戶即具備了相應的訪問許可權。在企業的MES應用中，每個企業用戶都具有一個系統訪問賬號，這個賬號是用戶身份的唯一標識。為保證系統賬號的合法性，所有用戶的賬號只能由系統的賬號管理員進行分配和管理。同時，每個用戶在企業承擔著某個崗位的職責，對應於MES系統來說，這個用戶就具備著一個或者多個系統角色，通過角色許可權的控制形成用戶的許可權控制。本著最小許可權的原則，應當合理分配和控制角色許可權，並通過禁止訪問控製表限制用戶的`訪問范圍，構成系統的安全訪問邊界。

3.3 安全運行管理

多數MES系統都採用單一管理員(甚至是超級用戶)對系統進行管理。雖然簡單易行，但卻存在巨大安全隱患。一旦管理員賬號信息泄露，其他安全措施將形同虛設。因此必須進行系統許可權的分割，使其相互制約，避免許可權過分集中。本架構的劃分策略：首先是用戶管理員，只負責企業用戶賬號的分配、鎖定和吊銷，用戶崗位角色的分配，以及用戶密碼的復位操作;其次是安全管理員，負責菜單與功能矩陣的維護，以及角色訪問控制列表的制定。

用戶管理員和安全管理員相互制約，只有協調一致才能夠完成用戶的許可權分配。同時又可以分級管理，按照分廠、車間等組織架構，或者依據業務范圍，劃分出不同層級、不同范圍的用戶管理員和安全管理員，他們只能在自己的許可權范圍內行使權力。由此形成了可集中管理也可分化管理的技術模型，企業可以依據自身規模和管理模式靈活組織設計。

3.4 系統安全審計

本架構設計了完備的行為捕獲和記錄系統，對系統關鍵執行動作留有記錄，對用戶的操作和行蹤留有日誌，同時記錄了非法用戶的入侵嘗試，且滿足不可抵賴性，形成可靠證據。尤其是用戶和安全管理員的所有操作，是系統監控的重點。企業安全審計人員可以隨時調取這些記錄，進行審計，一旦發現有違反安全策略的行為，即可對行為後果進行調查，採取相應處理措施。

3.5 會話安全策略

HTTP是一個無狀態的協議，此協議無法維護兩個事務之間的聯系，而MES系統的大量應用需要與用戶進行交互操作，並且記錄這些交互，這就需要保持會話狀態。會話狀態通常需要在客戶端cookie中記錄用戶信息，或者是在伺服器端session中記錄，但也需要在用戶請求與伺服器應用程序間傳遞一個會話ID，這些信息都會成為攻擊的對象，一旦被竊取，會話就可能被冒用，成為會話劫持，造成超越許可權的訪問和數據操作。為防範此類攻擊，一方面對用戶信息、會話ID等薄弱環節採取加密措施，增加截獲難度。另一方面制定安全策略監視會話狀態，進行會話鎖定和異常保護及報警。

會話鎖定：提供互動式會話的鎖定和解鎖能力及終止會話能力。在會話進入非活動周期後對終端進行鎖定或結束會話。在用戶的靜止期超過規定的值時，通過以下方式鎖定該用戶的互動式會話：(1)在顯示設備上清除或塗抹，使當前的內容不可讀;(2)取消會話解鎖之外的所有用戶數據的存取/顯示的任何活動;(3)在會話解鎖之前再次進行身份鑒別。

異常保護及報警：在會話期間通過用戶請求進行監視分析用戶操作行為，對異常行為採取操作保護動作，並產生記錄和報警，如頻繁、重復的數據操作，或者同一用戶在不同地點創建多個會話的請求等等。

3.6 Web安全防護策略

基於Web的MES系統遭受的典型網路攻擊事件包括SQL注入、cookie破壞、會話劫持、目錄遍歷以及緩沖區溢出等，只有建立涵蓋事前、事中、事後的綜合防控體系，事前及時識別隱患和漏洞並採取修補措施，事中實時監測，積極防禦，早發現，早處置，才能將風險和損失降到最小。

本架構針對Web設計了安全防護策略，實現自動化的Web漏洞檢測，以及對網頁被掛馬、網頁被篡改、網頁出現敏感信息、系統被拒絕服務等攻擊事件的一體化監測預警。從而幫助企業構建自動化的系統安全監測系統，第一時間掌握MES應用的安全狀況，降低系統安全風險，增強安全防護等級。

4 MES系統運行安全的防護措施

MES系統的運行安全不能僅僅依靠MES自身的安全設計，需要根據企業對MES的技術經濟要求，綜合考慮信息安全技術和安全管理與防護措施。

在物理安全層面，建立MES系統安全運行相適應的安全環境，包括機房安全防護、設備安全可用、存儲介質安全等。

資料庫系統的安全至關重要，需要對數據依據其敏感性進行分類進行不同強度的加密，防止敏感信息泄露。同時資料庫要制定有備份和容災措施，資料庫管理人員定時對系統進行備份，防止系統數據損壞和丟失。一旦在系統崩潰或癱瘓的情況下，可利用備份數據迅速將系統恢復起來。

在運行安全方面，通過安全風險分析與評估，制定系統安全運行策略，建立安全檢測與監控機制，加強安全審計和系統邊界安全防護，採用防火牆、安全認證、入侵檢測等措施來阻止攻擊，綜合運用數據加密和VPN等技術，對包括計算機病毒在內的惡意代碼進行必要的安全防護，確保網路傳輸的安全要求。運用入侵檢測技術，主動保護MES系統免受攻擊，為MES系統提供了實時保護，是防火牆之後的第二道安全閘門。

依據國家計算機應急響應中心發布的數據，信息系統安全問題中的95%是可以通過科學的信息安全管理措施來避免。因此，加強信息安全意識，制定有效的安全運維策略是保障信息安全的重要基礎，已經成為企業管理的一個重要組成部分。

Ⅲ web漏洞攻擊有哪些

一、SQL注入漏洞
SQL注入攻擊（SQL Injection），簡稱注入攻擊、SQL注入，被廣泛用於非法獲取網站控制權，是發生在應用程序的資料庫層上的安全漏洞。在設計程序，忽略了對輸入字元串中夾帶的SQL指令的檢查，被資料庫誤認為是正常的SQL指令而運行，從而使資料庫受到攻擊，可能導致數據被竊取、更改、刪除，以及進一步導致網站被嵌入惡意代碼、被植入後門程序等危害。
通常情況下，SQL注入的位置包括：
（1）表單提交，主要是POST請求，也包括GET請求；
（2）URL參數提交，主要為GET請求參數；
（3）Cookie參數提交；
（4）HTTP請求頭部的一些可修改的值，比如Referer、User_Agent等；
（5）一些邊緣的輸入點，比如.mp3文件的一些文件信息等。
常見的防範方法
（1）所有的查詢語句都使用資料庫提供的參數化查詢介面，參數化的語句使用參數而不是將用戶輸入變數嵌入到SQL語句中。當前幾乎所有的資料庫系統都提供了參數化SQL語句執行介面，使用此介面可以非常有效的防止SQL注入攻擊。
（2）對進入資料庫的特殊字元（』」<>&*;等）進行轉義處理，或編碼轉換。
（3）確認每種數據的類型，比如數字型的數據就必須是數字，資料庫中的存儲欄位必須對應為int型。
（4）數據長度應該嚴格規定，能在一定程度上防止比較長的SQL注入語句無法正確執行。
（5）網站每個數據層的編碼統一，建議全部使用UTF-8編碼，上下層編碼不一致有可能導致一些過濾模型被繞過。
（6）嚴格限制網站用戶的資料庫的操作許可權，給此用戶提供僅僅能夠滿足其工作的許可權，從而最大限度的減少注入攻擊對資料庫的危害。
（7）避免網站顯示SQL錯誤信息，比如類型錯誤、欄位不匹配等，防止攻擊者利用這些錯誤信息進行一些判斷。
（8）在網站發布之前建議使用一些專業的SQL注入檢測工具進行檢測，及時修補這些SQL注入漏洞。

二、跨站腳本漏洞
跨站腳本攻擊（Cross-site scripting，通常簡稱為XSS）發生在客戶端，可被用於進行竊取隱私、釣魚欺騙、竊取密碼、傳播惡意代碼等攻擊。
XSS攻擊使用到的技術主要為HTML和Javascript，也包括VBScript和ActionScript等。XSS攻擊對WEB伺服器雖無直接危害，但是它藉助網站進行傳播，使網站的使用用戶受到攻擊，導致網站用戶帳號被竊取，從而對網站也產生了較嚴重的危害。
XSS類型包括：
（1）非持久型跨站：即反射型跨站腳本漏洞，是目前最普遍的跨站類型。跨站代碼一般存在於鏈接中，請求這樣的鏈接時，跨站代碼經過服務端反射回來，這類跨站的代碼不存儲到服務端（比如資料庫中）。上面章節所舉的例子就是這類情況。
（2）持久型跨站：這是危害最直接的跨站類型，跨站代碼存儲於服務端（比如資料庫中）。常見情況是某用戶在論壇發貼，如果論壇沒有過濾用戶輸入的Javascript代碼數據，就會導致其他瀏覽此貼的用戶的瀏覽器會執行發貼人所嵌入的Javascript代碼。
（3）DOM跨站（DOM XSS）：是一種發生在客戶端DOM（Document Object Model文檔對象模型）中的跨站漏洞，很大原因是因為客戶端腳本處理邏輯導致的安全問題。
常用的防止XSS技術包括：
（1）與SQL注入防護的建議一樣，假定所有輸入都是可疑的，必須對所有輸入中的script、iframe等字樣進行嚴格的檢查。這里的輸入不僅僅是用戶可以直接交互的輸入介面，也包括HTTP請求中的Cookie中的變數，HTTP請求頭部中的變數等。
（2）不僅要驗證數據的類型，還要驗證其格式、長度、范圍和內容。
（3）不要僅僅在客戶端做數據的驗證與過濾，關鍵的過濾步驟在服務端進行。
（4）對輸出的數據也要檢查，資料庫里的值有可能會在一個大網站的多處都有輸出，即使在輸入做了編碼等操作，在各處的輸出點時也要進行安全檢查。
（5）在發布應用程序之前測試所有已知的威脅。

三、弱口令漏洞
弱口令(weak password) 沒有嚴格和准確的定義，通常認為容易被別人（他們有可能對你很了解）猜測到或被破解工具破解的口令均為弱口令。設置密碼通常遵循以下原則：
（1）不使用空口令或系統預設的口令，這些口令眾所周之，為典型的弱口令。
（2）口令長度不小於8個字元。
（3）口令不應該為連續的某個字元（例如：AAAAAAAA）或重復某些字元的組合（例如：tzf.tzf.）。
（4）口令應該為以下四類字元的組合，大寫字母(A-Z)、小寫字母(a-z)、數字(0-9)和特殊字元。每類字元至少包含一個。如果某類字元只包含一個，那麼該字元不應為首字元或尾字元。
（5）口令中不應包含本人、父母、子女和配偶的姓名和出生日期、紀念日期、登錄名、E-mail地址等等與本人有關的信息，以及字典中的單詞。
（6）口令不應該為用數字或符號代替某些字母的單詞。
（7）口令應該易記且可以快速輸入，防止他人從你身後很容易看到你的輸入。
（8）至少90天內更換一次口令，防止未被發現的入侵者繼續使用該口令。

四、HTTP報頭追蹤漏洞
HTTP/1.1（RFC2616）規范定義了HTTP TRACE方法，主要是用於客戶端通過向Web伺服器提交TRACE請求來進行測試或獲得診斷信息。當Web伺服器啟用TRACE時，提交的請求頭會在伺服器響應的內容（Body）中完整的返回，其中HTTP頭很可能包括Session Token、Cookies或其它認證信息。攻擊者可以利用此漏洞來欺騙合法用戶並得到他們的私人信息。該漏洞往往與其它方式配合來進行有效攻擊，由於HTTP TRACE請求可以通過客戶瀏覽器腳本發起（如XMLHttpRequest），並可以通過DOM介面來訪問，因此很容易被攻擊者利用。
防禦HTTP報頭追蹤漏洞的方法通常禁用HTTP TRACE方法。

五、Struts2遠程命令執行漏洞
ApacheStruts是一款建立Java web應用程序的開放源代碼架構。Apache Struts存在一個輸入過濾錯誤，如果遇到轉換錯誤可被利用注入和執行任意Java代碼。
網站存在遠程代碼執行漏洞的大部分原因是由於網站採用了Apache Struts Xwork作為網站應用框架，由於該軟體存在遠程代碼執高危漏洞，導致網站面臨安全風險。CNVD處置過諸多此類漏洞，例如：「GPS車載衛星定位系統」網站存在遠程命令執行漏洞(CNVD-2012-13934)；Aspcms留言本遠程代碼執行漏洞（CNVD-2012-11590）等。
修復此類漏洞，只需到Apache官網升級Apache Struts到最新版本：http://struts.apache.org

六、文件上傳漏洞
文件上傳漏洞通常由於網頁代碼中的文件上傳路徑變數過濾不嚴造成的，如果文件上傳功能實現代碼沒有嚴格限制用戶上傳的文件後綴以及文件類型，攻擊者可通過 Web 訪問的目錄上傳任意文件，包括網站後門文件（webshell），進而遠程式控制制網站伺服器。
因此，在開發網站及應用程序過程中，需嚴格限制和校驗上傳的文件，禁止上傳惡意代碼的文件。同時限制相關目錄的執行許可權，防範webshell攻擊。

七、私有IP地址泄露漏洞
IP地址是網路用戶的重要標示，是攻擊者進行攻擊前需要了解的。獲取的方法較多，攻擊者也會因不同的網路情況採取不同的方法，如：在區域網內使用Ping指令，Ping對方在網路中的名稱而獲得IP；在Internet上使用IP版的QQ直接顯示。最有效的辦法是截獲並分析對方的網路數據包。攻擊者可以找到並直接通過軟體解析截獲後的數據包的IP包頭信息，再根據這些信息了解具體的IP。
針對最有效的「數據包分析方法」而言，就可以安裝能夠自動去掉發送數據包包頭IP信息的一些軟體。不過使用這些軟體有些缺點，譬如：耗費資源嚴重，降低計算機性能；訪問一些論壇或者網站時會受影響；不適合網吧用戶使用等等。現在的個人用戶採用最普及隱藏IP的方法應該是使用代理，由於使用代理伺服器後，「轉址服務」會對發送出去的數據包有所修改，致使「數據包分析」的方法失效。一些容易泄漏用戶IP的網路軟體(QQ、MSN、IE等)都支持使用代理方式連接Internet，特別是QQ使用「ezProxy」等代理軟體連接後，IP版的QQ都無法顯示該IP地址。雖然代理可以有效地隱藏用戶IP，但攻擊者亦可以繞過代理，查找到對方的真實IP地址，用戶在何種情況下使用何種方法隱藏IP，也要因情況而論。

八、未加密登錄請求
由於Web配置不安全，登陸請求把諸如用戶名和密碼等敏感欄位未加密進行傳輸，攻擊者可以竊聽網路以劫獲這些敏感信息。建議進行例如SSH等的加密後再傳輸。

九、敏感信息泄露漏洞
SQL注入、XSS、目錄遍歷、弱口令等均可導致敏感信息泄露，攻擊者可以通過漏洞獲得敏感信息。針對不同成因，防禦方式不同

十、CSRF
http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html

Web應用是指採用B/S架構、通過HTTP/HTTPS協議提供服務的統稱。隨著互聯網的廣泛使用，Web應用已經融入到日常生活中的各個方面：網上購物、網路銀行應用、證券股票交易、政府行政審批等等。在這些Web訪問中，大多數應用不是靜態的網頁瀏覽，而是涉及到伺服器側的動態處理。此時，如果Java、PHP、ASP等程序語言的編程人員的安全意識不足，對程序參數輸入等檢查不嚴格等，會導致Web應用安全問題層出不窮。

本文根據當前Web應用的安全情況，列舉了Web應用程序常見的攻擊原理及危害，並給出如何避免遭受Web攻擊的建議。

Web應用漏洞原理
Web應用攻擊是攻擊者通過瀏覽器或攻擊工具，在URL或者其它輸入區域（如表單等），向Web伺服器發送特殊請求，從中發現Web應用程序存在的漏洞，從而進一步操縱和控制網站，查看、修改未授權的信息。

1.1 Web應用的漏洞分類
1、信息泄露漏洞

信息泄露漏洞是由於Web伺服器或應用程序沒有正確處理一些特殊請求，泄露Web伺服器的一些敏感信息，如用戶名、密碼、源代碼、伺服器信息、配置信息等。

造成信息泄露主要有以下三種原因：

–Web伺服器配置存在問題，導致一些系統文件或者配置文件暴露在互聯網中；

–Web伺服器本身存在漏洞，在瀏覽器中輸入一些特殊的字元，可以訪問未授權的文件或者動態腳本文件源碼；

–Web網站的程序編寫存在問題，對用戶提交請求沒有進行適當的過濾，直接使用用戶提交上來的數據。

2、目錄遍歷漏洞

目錄遍歷漏洞是攻擊者向Web伺服器發送請求，通過在URL中或在有特殊意義的目錄中附加「../」、或者附加「../」的一些變形（如「..\」或「..//」甚至其編碼），導致攻擊者能夠訪問未授權的目錄，以及在Web伺服器的根目錄以外執行命令。

3、命令執行漏洞

命令執行漏洞是通過URL發起請求，在Web伺服器端執行未授權的命令，獲取系統信息，篡改系統配置，控制整個系統，使系統癱瘓等。

命令執行漏洞主要有兩種情況：

–通過目錄遍歷漏洞，訪問系統文件夾，執行指定的系統命令；

–攻擊者提交特殊的字元或者命令，Web程序沒有進行檢測或者繞過Web應用程序過濾，把用戶提交的請求作為指令進行解析，導致執行任意命令。

4、文件包含漏洞

文件包含漏洞是由攻擊者向Web伺服器發送請求時，在URL添加非法參數，Web伺服器端程序變數過濾不嚴，把非法的文件名作為參數處理。這些非法的文件名可以是伺服器本地的某個文件，也可以是遠端的某個惡意文件。由於這種漏洞是由PHP變數過濾不嚴導致的，所以只有基於PHP開發的Web應用程序才有可能存在文件包含漏洞。

5、SQL注入漏洞

SQL注入漏洞是由於Web應用程序沒有對用戶輸入數據的合法性進行判斷，攻擊者通過Web頁面的輸入區域(如URL、表單等) ，用精心構造的SQL語句插入特殊字元和指令，通過和資料庫交互獲得私密信息或者篡改資料庫信息。SQL注入攻擊在Web攻擊中非常流行，攻擊者可以利用SQL注入漏洞獲得管理員許可權，在網頁上加掛木馬和各種惡意程序，盜取企業和用戶敏感信息。

6、跨站腳本漏洞

跨站腳本漏洞是因為Web應用程序時沒有對用戶提交的語句和變數進行過濾或限制，攻擊者通過Web頁面的輸入區域向資料庫或HTML頁面中提交惡意代碼，當用戶打開有惡意代碼的鏈接或頁面時，惡意代碼通過瀏覽器自動執行，從而達到攻擊的目的。跨站腳本漏洞危害很大，尤其是目前被廣泛使用的網路銀行，通過跨站腳本漏洞攻擊者可以冒充受害者訪問用戶重要賬戶，盜竊企業重要信息。

根據前期各個漏洞研究機構的調查顯示，SQL注入漏洞和跨站腳本漏洞的普遍程度排名前兩位，造成的危害也更加巨大。

1.2 SQL注入攻擊原理
SQL注入攻擊是通過構造巧妙的SQL語句，同網頁提交的內容結合起來進行注入攻擊。比較常用的手段有使用注釋符號、恆等式（如1＝1）、使用union語句進行聯合查詢、使用insert或update語句插入或修改數據等，此外還可以利用一些內置函數輔助攻擊。

通過SQL注入漏洞攻擊網站的步驟一般如下：

第一步：探測網站是否存在SQL注入漏洞。

第二步：探測後台資料庫的類型。

第三步：根據後台資料庫的類型，探測系統表的信息。

第四步：探測存在的表信息。

第五步：探測表中存在的列信息。

第六步：探測表中的數據信息。

1.3 跨站腳本攻擊原理
跨站腳本攻擊的目的是盜走客戶端敏感信息,冒充受害者訪問用戶的重要賬戶。跨站腳本攻擊主要有以下三種形式：

1、本地跨站腳本攻擊

B給A發送一個惡意構造的Web URL，A點擊查看了這個URL，並將該頁面保存到本地硬碟（或B構造的網頁中存在這樣的功能）。A在本地運行該網頁，網頁中嵌入的惡意腳本可以A電腦上執行A持有的許可權下的所有命令。

2、反射跨站腳本攻擊

A經常瀏覽某個網站，此網站為B所擁有。A使用用戶名/密碼登錄B網站，B網站存儲下A的敏感信息（如銀行帳戶信息等）。C發現B的站點包含反射跨站腳本漏洞，編寫一個利用漏洞的URL，域名為B網站，在URL後面嵌入了惡意腳本（如獲取A的cookie文件），並通過郵件或社會工程學等方式欺騙A訪問存在惡意的URL。當A使用C提供的URL訪問B網站時，由於B網站存在反射跨站腳本漏洞，嵌入到URL中的惡意腳本通過Web伺服器返回給A，並在A瀏覽器中執行，A的敏感信息在完全不知情的情況下將發送給了C。

3、持久跨站腳本攻擊

B擁有一個Web站點，該站點允許用戶發布和瀏覽已發布的信息。C注意到B的站點具有持久跨站腳本漏洞，C發布一個熱點信息，吸引用戶閱讀。A一旦瀏覽該信息，其會話cookies或者其它信息將被C盜走。持久性跨站腳本攻擊一般出現在論壇、留言簿等網頁，攻擊者通過留言，將攻擊數據寫入伺服器資料庫中，瀏覽該留言的用戶的信息都會被泄漏。

Web應用漏洞的防禦實現
對於以上常見的Web應用漏洞漏洞，可以從如下幾個方面入手進行防禦：

1)對 Web應用開發者而言

大部分Web應用常見漏洞，都是在Web應用開發中，開發者沒有對用戶輸入的參數進行檢測或者檢測不嚴格造成的。所以，Web應用開發者應該樹立很強的安全意識，開發中編寫安全代碼；對用戶提交的URL、查詢關鍵字、HTTP頭、POST數據等進行嚴格的檢測和限制，只接受一定長度范圍內、採用適當格式及編碼的字元，阻塞、過濾或者忽略其它的任何字元。通過編寫安全的Web應用代碼，可以消除絕大部分的Web應用安全問題。

2) 對Web網站管理員而言

作為負責網站日常維護管理工作Web管理員，應該及時跟蹤並安裝最新的、支撐Web網站運行的各種軟體的安全補丁，確保攻擊者無法通過軟體漏洞對網站進行攻擊。

除了軟體本身的漏洞外，Web伺服器、資料庫等不正確的配置也可能導致Web應用安全問題。Web網站管理員應該對網站各種軟體配置進行仔細檢測，降低安全問題的出現可能。

此外，Web管理員還應該定期審計Web伺服器日誌，檢測是否存在異常訪問，及早發現潛在的安全問題。

3）使用網路防攻擊設備

前兩種為事前預防方式，是比較理想化的情況。然而在現實中，Web應用系統的漏洞還是不可避免的存在：部分Web網站已經存在大量的安全漏洞，而Web開發者和網站管理員並沒有意識到或發現這些安全漏洞。由於Web應用是採用HTTP協議，普通的防火牆設備無法對Web類攻擊進行防禦，因此可以使用IPS入侵防禦設備來實現安全防護。

H3C IPS Web攻擊防禦

H3C IPS入侵防禦設備有一套完整的Web攻擊防禦框架，能夠及時發現各種已經暴露的和潛在的Web攻擊。下圖為對於Web攻擊的總體防禦框架。

圖1：Web攻擊防禦框架，參見：http://blog.csdn.net/moshenglv/article/details/53439579

H3C IPS採用基於特徵識別的方式識別並阻斷各種攻擊。IPS設備有一個完整的特徵庫，並可定期以手工與自動的方式對特徵庫進行升級。當網路流量進入IPS後，IPS首先對報文進行預處理，檢測報文是否正確，即滿足協議定義要求，沒有錯誤欄位；如果報文正確，則進入深度檢測引擎。該引擎是IPS檢測的核心模塊，對通過IPS設備的Web流量進行深層次的分析，並與IPS攻擊庫中的特徵進行匹配，檢測Web流量是否存在異常；如果發現流量匹配了攻擊特徵，IPS則阻斷網路流量並上報日誌；否則，網路流量順利通過。

此Web攻擊防禦框架有如下幾個特點：

1) 構造完整的Web攻擊檢測模型，准確識別各種Web攻擊

針對Web攻擊的特點，考慮到各種Web攻擊的原理和形態，在不同漏洞模型之上開發出通用的、層次化的Web攻擊檢測模型，並融合到特徵庫中。這些模型抽象出Web攻擊的一般形態，對主流的攻擊能夠准確識別，使得模型通用化。

2) 檢測方式靈活，可以准確識別變形的Web攻擊

在實際攻擊中，攻擊者為了逃避防攻擊設備的檢測，經常對Web攻擊進行變形，如採用URL編碼技術、修改參數等。H3C根據Web應用漏洞發生的原理、攻擊方式和攻擊目標，對攻擊特徵進行了擴展。即使攻擊者修改攻擊參數、格式、語句等內容，相同漏洞原理下各種變形的攻擊同樣能夠被有效阻斷。這使得IPS的防禦范圍擴大，防禦的靈活性也顯著增強，極大的減少了漏報情況的出現。

3) 確保對最新漏洞及技術的跟蹤，有效阻止最新的攻擊

隨著Web攻擊出現的頻率日益增高，其危害有逐步擴展的趨勢。這對IPS設備在防禦的深度和廣度上提出了更高的要求，不僅要能夠防禦已有的Web攻擊，更要有效的阻止最新出現的、未公布的攻擊。目前，H3C已經建立起一套完整的攻防試驗環境，可以及時發現潛在Web安全漏洞。同時還在繼續跟蹤最新的Web攻擊技術和工具，及時更新Web攻擊的特徵庫，第一時間發布最新的Web漏洞應對措施，確保用戶的網路不受到攻擊。

4) 保證正常業務的高效運行

檢測引擎是IPS整個設備運行的關鍵，該引擎使用了高效、准確的檢測演算法，對通過設備的流量進行深層次的分析，並通過和攻擊特徵進行匹配，檢測流量是否存在異常。如果流量沒有匹配到攻擊特徵，則允許流量通過，不會妨礙正常的網路業務，在准確防禦的同時保證了正常業務的高效運行。

結束語

互聯網和Web技術廣泛使用，使Web應用安全所面臨的挑戰日益嚴峻，Web系統時時刻刻都在遭受各種攻擊的威脅，在這種情況下，需要制定一個完整的Web攻擊防禦解決方案，通過安全的Web應用程序、Web伺服器軟體、Web防攻擊設備共同配合，確保整個網站的安全。任何一個簡單的漏洞、疏忽都會造成整個網站受到攻擊，造成巨大損失。此外 ，Web攻擊防禦是一個長期持續的工作，隨著Web技術的發展和更新，Web攻擊手段也不斷發展，針對這些最新的安全威脅，需要及時調整Web安全防護策略，確保Web攻擊防禦的主動性，使Web網站在一個安全的環境中為企業和客戶服務。

原文鏈接：

Ⅳ 常見的網路安全問題有哪些

網路安全問題分為很多類，比如說系統安全，web安全，無線安全，物聯網安全等等。就我個人學習而言，我是學習web安全的，所謂的web安全也就是我們常見的網站安全。

web安全：當網站源碼的程序員對源碼編寫的時候，沒有給賦值的參數進行過濾，那麼會產生很多安全漏洞，比較常見的漏洞就是SQL注入漏洞，XSS漏洞，文件包含漏洞，越權漏洞，等等。其實這些漏洞很容易杜絕，但是程序員因為懶惰所以鑄成大錯，當然，在伺服器配置方面也會出現漏洞，比如說常見的，目錄遍歷，敏感下載，文件上傳，解析漏洞等等。都是因為伺服器的配置不當而產生的，產生這些漏洞非常容易讓攻擊者獲得想要的數據，比如說網站管理員的賬號密碼，如果漏洞嚴重，可以直接提權伺服器，拿到伺服器的shell許可權。

系統安全：系統安全的漏洞一般都是許可權類漏洞，用戶沒有及時更新補丁，或者開放了敏感埠，敏感服務，等等，都可以被黑客利用，詳細的可以看看緩沖區溢出漏洞原理。

無線安全和物聯網安全，這些的話，我也沒有深究過，我們說的無線常用的就是wifl，或者說是無線設備，攻擊者可以偽造頁面，植入木馬等等獲取到連入惡意wifl的主機許可權，物聯網我們最常見的就是自動販賣機或者是一些智能設備了，那麼就自動販賣機來說，自動販賣機是一個沙盒系統，說到底他還是個系統，當用戶通過某種方式獲取到可以對系統進行操作的時候，那豈不是可以任意的買東西，等等。

當然。網路安全不是一兩句話就可以說完的，這里只是舉幾個常見的例子，具體不懂得可以追問，手工打字，望樓主採納。

Ⅳ 網路安全的目錄是什麼

網路安全的目錄是保護網路系統和網路資源的安全，關鍵是保護數據資源的安全。

Ⅵ 網路安全問題有哪些

（1）操作系統沒有進行相關的安全配置

不管使用的是哪一種操作系統，安裝不完全的情況下都會存在一些安全問題，只有專門針對操作系統安全性進行相關的和嚴格的安全配置，才能達到一定的安全程度。千萬不要以為操作系統預設安裝後，只要自己設置的密碼很強就沒有問題。網路軟體的漏洞和「後門」是進行網路攻擊的首選目標。

（2）沒有進行CGI程序代碼審計

如果是通用的CGI問題，防範起來還稍微容易一些，但是對於網站或軟體供應商專門開發的一些CGI程序，很多存在嚴重的CGI問題，對於電子商務站點來說，會出現惡意攻擊者冒用他人賬號進行網上購物等嚴重後果。

（3）拒絕服務（DoS，DenialofService）攻擊

現在的網站對於實時性的要求是越來越高，DoS或DDoS對網站的威脅越來越大。如果一個網路攻擊是以網路癱瘓為目標的，那麼它的襲擊效果是很強烈的，破壞性很大，造成危害的速度和范圍也是我們預料不到的，而襲擊者本身的風險卻非常小，甚至可以在襲擊開始前就已經消失得無影無蹤。

（4）安全產品使用不當

雖然很多網站都採用了基本的網路安全設備，但由於安全產品本身的問題或使用問題，這些產品並沒有發揮到應有的作用。很多安全廠商的產品對配置人員的技術要求很高，就算是廠家在最初給用戶做了正確的安裝、配置，但一旦系統改動，需要改動相關安全產品的設置時，很容易產生許多安全問題。

（5）缺少嚴格的網路安全管理制度

網路安全最重要的還是要有相應的制度去保障，建立和實施嚴密的計算機網路安全制度與策略是真正實現網路安全的基礎。

Ⅶ 網路安全攻擊方法分為

1、跨站腳本-XSS
相關研究表明，跨站腳本攻擊大約占據了所有攻擊的40%，是最為常見的一類網路攻擊。但盡管最為常見，大部分跨站腳本攻擊卻不是特別高端，多為業余網路罪犯使用別人編寫的腳本發起的。
跨站腳本針對的是網站的用戶，而不是Web應用本身。惡意黑客在有漏洞的網站里注入一段代碼，然後網站訪客執行這段代碼。此類代碼可以入侵用戶賬戶，激活木馬程序，或者修改網站內容，誘騙用戶給出私人信息。
防禦方法：設置Web應用防火牆可以保護網站不受跨站腳本攻擊危害。WAF就像個過濾器，能夠識別並阻止對網站的惡意請求。購買網站託管服務的時候，Web託管公司通常已經為你的網站部署了WAF，但你自己仍然可以再設一個。
2、注入攻擊
開放Web應用安全項目新出爐的十大應用安全風險研究中，注入漏洞被列為網站最高風險因素。SQL注入方法是網路罪犯最常見的注入方法。
注入攻擊方法直接針對網站和伺服器的資料庫。執行時，攻擊者注入一段能夠揭示隱藏數據和用戶輸入的代碼，獲得數據修改許可權，全面俘獲應用。
防禦方法：保護網站不受注入攻擊危害，主要落實到代碼庫構建上。比如說：緩解SQL注入風險的首選方法就是始終盡量採用參數化語句。更進一步，可以考慮使用第三方身份驗證工作流來外包你的資料庫防護。
3、模糊測試
開發人員使用模糊測試來查找軟體、操作系統或網路中的編程錯誤和安全漏洞。然而，攻擊者可以使用同樣的技術來尋找你網站或伺服器上的漏洞。
採用模糊測試方法，攻擊者首先向應用輸入大量隨機數據讓應用崩潰。下一步就是用模糊測試工具發現應用的弱點，如果目標應用中存在漏洞，攻擊者即可展開進一步漏洞利用。
防禦方法：對抗模糊攻擊的最佳方法就是保持更新安全設置和其他應用，尤其是在安全補丁發布後不更新就會遭遇惡意黑客利用漏洞的情況下。
4、零日攻擊
零日攻擊是模糊攻擊的擴展，但不要求識別漏洞本身。此類攻擊最近的案例是谷歌發現的，在Windows和chrome軟體中發現了潛在的零日攻擊。
在兩種情況下，惡意黑客能夠從零日攻擊中獲利。第一種情況是：如果能夠獲得關於即將到來的安全更新的信息，攻擊者就可以在更新上線前分析出漏洞的位置。第二種情況是：網路罪犯獲取補丁信息，然後攻擊尚未更新系統的用戶。這兩種情況，系統安全都會遭到破壞，至於後續影響程度，就取決於黑客的技術了。
防禦方法：保護自己和自身網站不受零日攻擊影響最簡便的方法，就是在新版本發布後及時更新你的軟體。
5、路徑(目錄)遍歷
路徑遍歷攻擊針對Web
root文件夾，訪問目標文件夾外部的未授權文件或目錄。攻擊者試圖將移動模式注入伺服器目錄，以便向上爬升。成功的路徑遍歷攻擊能夠獲得網站訪問權，染指配置文件、資料庫和同一實體伺服器上的其他網站和文件。
防禦方法：網站能否抵禦路徑遍歷攻擊取決於你的輸入凈化程度。這意味著保證用戶輸入安全，並且不能從你的伺服器恢復出用戶輸入內容。最直觀的建議就是打造你的代碼庫，這樣用戶的任何信息都不會傳輸到文件系統API。即使這條路走不通，也有其他技術解決方案可用。
6、分布式拒絕服務-DDOS
DDoS攻擊本身不能使惡意黑客突破安全措施，但會令網站暫時或永久掉線。相關數據顯示：單次DDOS攻擊可令小企業平均損失12.3萬美元，大型企業的損失水平在230萬美元左右。
DDoS旨在用請求洪水壓垮目標Web伺服器，讓其他訪客無法訪問網站。僵屍網路通常能夠利用之前感染的計算機從全球各地協同發送大量請求。而且，DDoS攻擊常與其他攻擊方法搭配使用;攻擊者利用DDOS攻擊吸引安全系統火力，從而暗中利用漏洞入侵系統。
防禦方法：保護網站免遭DDOS攻擊侵害一般要從幾個方面著手：首先，需通過內容分發網路、負載均衡器和可擴展資源緩解高峰流量。其次，需部署Web應用防火牆，防止DDOS攻擊隱蔽注入攻擊或跨站腳本等其他網路攻擊方法。
7、中間人攻擊
中間人攻擊常見於用戶與伺服器間傳輸數據不加密的網站。作為用戶，只要看看網站的URL是不是以https開頭就能發現這一潛在風險了，因為HTTPS中的s指的就是數據是加密的，缺了S就是未加密。
攻擊者利用中間人類型的攻擊收集信息，通常是敏感信息。數據在雙方之間傳輸時可能遭到惡意黑客攔截，如果數據未加密，攻擊者就能輕易讀取個人信息、登錄信息或其他敏感信息。
防禦方法：在網站上安裝安全套接字層就能緩解中間人攻擊風險。SSL證書加密各方間傳輸的信息，攻擊者即使攔截到了也無法輕易破解。現代託管提供商通常已經在託管服務包中配置了SSL證書。
8、暴力破解攻擊
暴力破解攻擊是獲取Web應用登錄信息相當直接的一種方式。但同時也是非常容易緩解的攻擊方式之一，尤其是從用戶側加以緩解最為方便。
暴力破解攻擊中，攻擊者試圖猜解用戶名和密碼對，以便登錄用戶賬戶。當然，即使採用多台計算機，除非密碼相當簡單且明顯，否則破解過程可能需耗費幾年時間。
防禦方法：保護登錄信息的最佳辦法，是創建強密碼，或者使用雙因子身份驗證。作為網站擁有者，你可以要求用戶同時設置強密碼和2FA，以便緩解網路罪犯猜出密碼的風險。
9、使用未知代碼或第三方代碼
盡管不是對網站的直接攻擊，使用由第三方創建的未經驗證代碼，也可能導致嚴重的安全漏洞。
代碼或應用的原始創建者可能會在代碼中隱藏惡意字元串，或者無意中留下後門。一旦將受感染的代碼引入網站，那就會面臨惡意字元串執行或後門遭利用的風險。其後果可以從單純的數據傳輸直到網站管理許可權陷落。
防禦方法：想要避免圍繞潛在數據泄露的風險，讓你的開發人員分析並審計代碼的有效性。
10、網路釣魚
網路釣魚是另一種沒有直接針對網站的攻擊方法，但我們不能將它除在名單之外，因為網路釣魚也會破壞你系統的完整性。
網路釣魚攻擊用到的標准工具就是電子郵件。攻擊者通常會偽裝成其他人，誘騙受害者給出敏感信息或者執行銀行轉賬。此類攻擊可以是古怪的419騙局，或者涉及假冒電子郵件地址、貌似真實的網站和極具說服力用語的高端攻擊。
防禦方法：緩解網路釣魚騙局風險最有效的方法，是培訓員工和自身，增強對此類欺詐的辨識能力。保持警惕，總是檢查發送者電子郵件地址是否合法，郵件內容是否古怪，請求是否不合常理。

Ⅷ 如何用Java遍歷一個網路目錄下的所有文件

java中可以通過遞歸的方式獲取指定路徑下的所有文件並將其放入List集合中。 假設指定路徑為path，目標集合為fileList，遍歷指定路徑下的所有文件，如果是目錄文件則遞歸調用

Ⅸ 計算機網路安全的目錄

出版說明
前言
第1章 計算機網路安全概述 1
1.1 計算機網路安全的基本概念 1
1.1.1 網路安全的定義 1
1.1.2 網路安全的特性 2
1.2 計算機網路安全的威脅 3
1.2.1 網路安全威脅的分類 3
1.2.2 計算機病毒的威脅 3
1.2.3 木馬程序的威脅 4
1.2.4 網路監聽 4
1.2.5 黑客攻擊 4
1.2.6 惡意程序攻擊 4
1.3 網路安全威脅產生的根源 5
1.3.1 系統及程序漏洞 5
1.3.2 網路安全防護所需設施
存在的問題 8
1.3.3 安全防護知識方面存在的問題 9
1.4 網路安全策略 9
1.4.1 網路安全策略設計的原則 9
1.4.2 幾種網路安全策略 10
1.5 計算機網路安全的現狀與發展 11
1.5.1 計算機網路安全的現狀 11
1.5.2 計算機網路安全的發展方向 12
1.6 小結與練習 13
1.6.1 小結 13
1.6.2 練習 13
第2章 網路安全體系結構及協議 14
2.1 計算機網路協議概述 14
2.1.1 網路協議 14
2.1.2 協議簇和行業標准 14
2.1.3 協議的交互 15
2.1.4 技術無關協議 15
2.2 OSI參考模型及其安全體系 16
2.2.1 計算機網路體系結構 16
2.2.2 OSI參考模型簡介 16
2.2.3 ISO/OSI安全體系 17
2.3 TCP/IP參考模型及其安全體系 20
2.3.1 TCP/IP參考模型 20
2.3.2 TCP/IP參考模型的安全體系 21
2.4 常用網路協議和服務 24
2.4.1 常用網路協議 24
2.4.2 常用網路服務 27
2.5 Windows常用的網路命令 28
2.5.1 ping命令 28
2.5.2 at命令 30
2.5.3 netstat命令 31
2.5.4 tracert命令 32
2.5.5 net命令 32
2.5.6 ftp命令 34
2.5.7 nbtstat命令 35
2.5.8 telnet命令 36
2.6 協議分析工具—Sniffer的應用 36
2.6.1 Sniffer的啟動和設置 37
2.6.2 解碼分析 40
2.7 實訓項目 42
2.8 小結與練習 43
2.8.1 小結 43
2.8.2 練習 43
第3章 計算機病毒與木馬 44
3.1 計算機病毒概述 44
3.1.1 計算機病毒的定義 44
3.1.2 計算機病毒的演變史 44
3.1.3 計算機病毒的特性 46
3.2 計算機病毒及其分類、
傳播途徑 46
3.2.1 常見計算機病毒 46
3.2.2 計算機病毒的分類 47
3.2.3 計算機病毒的傳播途徑 48
3.3 計算機病毒的檢測和防禦 49
3.3.1 普通計算機病毒的檢測與防禦 49
3.3.2 U盤病毒的檢測與防禦 54
3.3.3 ARP病毒的檢測與防禦 57
3.3.4 蠕蟲病毒的檢測與防禦 59
3.4 計算機木馬概述 64
3.4.1 計算機木馬的定義 65
3.4.2 計算機木馬的類型及基本功能 65
3.4.3 計算機木馬的工作原理 66
3.5 計算機木馬的檢測與防禦 66
3.5.1 普通計算機木馬的檢測與防禦 66
3.5.2 典型計算機木馬的手動清除 70
3.6 實訓項目 74
3.7 小結與練習 74
3.7.1 小結 74
3.7.2 練習 75
第4章 加密與數字簽名 76
4.1 加密技術 76
4.1.1 加密技術概述 76
4.1.2 數據加密常見方式 77
4.2 加密演算法 80
4.2.1 古典加密演算法 80
4.2.2 現代加密演算法 82
4.3 數字簽名技術 84
4.3.1 數字簽名技術概述 84
4.3.2 數字簽名技術的工作原理 85
4.3.3 數字簽名技術的演算法 86
4.4 PKI技術 86
4.4.1 PKI概述 86
4.4.2 PKI技術原理 86
4.4.3 證書頒發機構 87
4.4.4 數字證書 88
4.5 PGP原理及應用 89
4.5.1 PGP概述 89
4.5.2 PGP密鑰的創建 89
4.5.3 PGP文件加密和解密 93
4.5.4 PGP密鑰導出與導入 94
4.5.5 PGP電子郵件加、解密和
簽名驗證 95
4.5.6 PGP數字簽名 97
4.6 EFS原理及應用 98
4.6.1 EFS概述 98
4.6.2 EFS的加密和解密 98
4.6.3 EFS的其他應用 101
4.7 SSL安全傳輸及應用 104
4.7.1 SSL概述 104
4.7.2 SSL的工作原理 105
4.7.3 安裝證書服務 105
4.7.4 申請證書 107
4.7.5 頒發Web伺服器證書 110
4.7.6 安裝伺服器證書 111
4.7.7 Web伺服器的SSL設置 112
4.7.8 瀏覽器的SSL設置 113
4.7.9 訪問SSL站點 115
4.8 實訓項目 115
4.9 小結與練習 118
4.9.1 小結 118
4.9.2 練習 118
第5章 防火牆技術 119
5.1 防火牆概述 119
5.1.1 防火牆的基本准則 119
5.1.2 防火牆的主要功能特性 120
5.1.3 防火牆的局限性 120
5.2 防火牆的實現技術 120
5.2.1 數據包過濾 120
5.2.2 應用層代理 121
5.2.3 狀態檢測技術 122
5.3 防火牆的體系結構 122
5.3.1 雙宿/多宿主機模式 122
5.3.2 屏蔽主機模式 123
5.3.3 屏蔽子網模式 123
5.4 防火牆的工作模式 124
5.5 防火牆的實施方式 126
5.5.1 基於單個主機的防火牆 126
5.5.2 基於網路主機的防火牆 126
5.5.3 硬體防火牆 126
5.6 瑞星個人防火牆的應用 127
5.6.1 界面與功能布局 127
5.6.2 常用功能 128
5.6.3 網路監控 130
5.6.4 訪問控制 134
5.6.5 高級設置 137
5.7 ISA Server 2004配置 138
5.7.1 ISA Server 2004概述 138
5.7.2 ISA Server 2004的安裝 139
5.7.3 ISA Server 2004防火牆策略 142
5.7.4 發布內部網路中的伺服器 147
5.7.5 ISA Server 2004的系統和
網路監控及報告 152
5.8 iptables防火牆 155
5.8.1 iptables中的規則表 156
5.8.2 iptables命令簡介 156
5.8.3 Linux防火牆配置 158
5.9 PIX防火牆配置 161
5.9.1 PIX的基本配置命令 162
5.9.2 PIX防火牆配置實例 166
5.10 實訓項目 167
5.11 小結與練習 170
5.11.1 小結 170
5.11.2 練習 170
第6章 Windows Server 2003的
網路安全 171
6.1 Windows Server 2003的
安全簡介 171
6.1.1 用戶身份驗證 171
6.1.2 基於對象的訪問控制 172
6.2 Windows Server 2003系統安全
配置的常用方法 172
6.2.1 安裝過程 172
6.2.2 正確設置和管理賬戶 172
6.2.3 正確設置目錄和文件許可權 173
6.2.4 網路服務安全管理 173
6.2.5 關閉無用埠 174
6.2.6 本地安全策略 175
6.2.7 審核策略 179
6.2.8 Windows日誌文件的保護 180
6.3 Windows Server 2003訪問
控制技術 181
6.3.1 訪問控制技術簡介 181
6.3.2 Windows Server 2003訪問
控制的使用 181
6.4 賬戶策略 187
6.4.1 賬戶策略的配置 187
6.4.2 Kerberos策略 190
6.5 啟用安全模板 190
6.5.1 安全模板的簡介 190
6.5.2 啟用安全模板的方法 191
6.6 實訓項目 193
6.7 小結與練習 196
6.7.1 小結 196
6.7.2 練習 196
第7章 埠掃描技術 197
7.1 埠概述 197
7.1.1 TCP/IP工作原理 197
7.1.2 埠的定義 199
7.1.3 埠的分類 199
7.2 埠掃描技術 200
7.2.1 埠掃描概述 200
7.2.2 常見的埠掃描技術 201
7.3 常見掃描軟體及其應用 202
7.3.1 掃描軟體概述 202
7.3.2 SuperScan掃描工具及應用 202
7.4 埠掃描防禦技術應用 204
7.4.1 查看埠的狀態 204
7.4.2 關閉閑置和危險的埠 207
7.4.3 隱藏操作系統類型 209
7.5 實訓項目 211
7.6 小結與練習 215
7.6.1 小結 215
7.6.2 練習 215
第8章 入侵檢測系統 216
8.1 入侵檢測概述 216
8.1.1 入侵檢測的概念及功能 216
8.1.2 入侵檢測系統模型 216
8.1.3 入侵檢測工作過程 217
8.2 入侵檢測系統的分類 217
8.2.1 根據檢測對象劃分 217
8.2.2 根據檢測技術劃分 218
8.2.3 根據工作方式劃分 219
8.3 入侵檢測系統部署 219
8.3.1 基於主機的入侵
檢測系統部署 219
8.3.2 基於網路的入侵
檢測系統部署 219
8.3.3 常見入侵檢測工具及其應用 221
8.4 入侵防護系統 225
8.4.1 入侵防護系統的工作原理 226
8.4.2 入侵防護系統的優點 227
8.4.3 入侵防護系統的主要應用 228
8.5 小結與練習 228
8.5.1 小結 228
8.5.2 練習 229
第9章 無線網路安全 230
9.1 無線區域網介紹 230
9.1.1 無線區域網常用術語 230
9.1.2 無線區域網組件 231
9.1.3 無線區域網的訪問模式 232
9.1.4 覆蓋區域 233
9.2 無線網路常用標准 233
9.2.1 IEEE 802.11b 234
9.2.2 IEEE 802.11a 234
9.2.3 IEEE 802.11g 235
9.2.4 IEEE 802.11n 235
9.3 無線網路安全解決方案 236
9.3.1 無線網路訪問原理 236
9.3.2 認證 237
9.3.3 加密 238
9.3.4 入侵檢測系統 240
9.4 小結與練習 241
9.4.1 小結 241
9.4.2 練習 241
參考文獻 242