---安徽警官職業(yè)學(xué)院所屬系別 信息管理系 所屬專業(yè) 計(jì)算機(jī)網(wǎng)絡(luò)技術(shù) __班級(jí) 計(jì)算機(jī)五班 學(xué)號(hào) 14525526 姓名 李超 指導(dǎo)教師 張宇國 完成日期 __2017年4月20日 摘要： 錯(cuò) 誤！未定義書簽。關(guān)鍵詞 錯(cuò) 誤！未定義書簽。前言 錯(cuò) 誤！未定義書簽。一、網(wǎng)絡(luò)安全問題 錯(cuò) 誤！未定義書簽。二、web的系統(tǒng)安全 錯(cuò) 誤！未定義書簽。三、文件上傳漏洞 錯(cuò) 誤！未定義書簽。一、網(wǎng)絡(luò)安全問題 錯(cuò) 誤！未定義書簽。1、計(jì)算機(jī)病毒的影響 錯(cuò) 誤！未定義書簽。2、計(jì)算機(jī)網(wǎng)絡(luò)存在著系統(tǒng)內(nèi)部的安全威脅 錯(cuò) 誤！未定義書簽。3、缺少嚴(yán)格的網(wǎng)絡(luò)安全管理制度 錯(cuò) 誤！未定義書簽。二web的系統(tǒng)安全 錯(cuò) 誤！未定義書簽。web的幾個(gè)特點(diǎn) 錯(cuò) 誤！未定義書簽。web對(duì)保密性的威脅及對(duì)策 錯(cuò) 誤！未定義書簽。（1）網(wǎng)絡(luò)竊聽 錯(cuò) 誤！未定義書簽。（2） 竊取網(wǎng)絡(luò)配置信息 錯(cuò) 誤！未定義書簽。（3） 竊取主機(jī)數(shù)據(jù) 錯(cuò) 誤！未定義書簽。（4） 竊取用戶連接信息 錯(cuò) 誤！未定義書簽。三文件上傳漏洞 錯(cuò) 誤！未定義書簽。（一）、文件上傳漏洞概述 錯(cuò) 誤！未定義書簽。（二）、防范文件上傳漏洞常見的幾種方法。 錯(cuò) 誤！未定義書簽。（1）文件上傳的目錄設(shè)置為不可執(zhí)行 錯(cuò) 誤！未定義書簽。（2）判斷文件類型 錯(cuò) 誤！未定義書簽。（3）使用隨機(jī)數(shù)改寫文件名和文件路徑 錯(cuò) 誤！未定義書簽。（4）單獨(dú)設(shè)置文件服務(wù)器的域名 錯(cuò) 誤！未定義書簽。四、 Web滲透技術(shù) 錯(cuò) 誤！未定義書簽。（一）、 Web應(yīng)用滲透性測(cè)試框架 錯(cuò)誤！未定義書簽。結(jié)束語： 錯(cuò) 誤！未定義書簽。致謝 錯(cuò) 誤！未定義書簽。參考文獻(xiàn)： 錯(cuò) 誤！未定義書簽?；谖募蟼髀┒?web滲透技術(shù)摘要：Web滲透技術(shù)也成為黑盒或正派黑客技術(shù)，它是一種專業(yè)的信息安全服務(wù)，是經(jīng)過用戶授權(quán)批準(zhǔn)后， 由信息安全專業(yè)人員采用攻擊者的視角、 使用同攻擊者相同的技術(shù)和工具來嘗試攻入信息系統(tǒng)的一種評(píng)測(cè)服務(wù)， 他攻擊來發(fā)現(xiàn)目標(biāo)網(wǎng)絡(luò)、 系統(tǒng)、主機(jī)和應(yīng)用系統(tǒng)所存在的漏洞。關(guān)鍵詞:滲透，安全，漏洞前言：Web應(yīng)用以及普及到全世界每一個(gè)角落，甚至可以說 web已經(jīng)成為了互聯(lián)網(wǎng)的代名詞?；诨ヂ?lián)網(wǎng)的 web應(yīng)用如火如荼，迅速發(fā)展，各類網(wǎng)站數(shù)量也迅速增長，隨之而來的，是日益突出的安全問題。不斷被發(fā)現(xiàn)的漏洞、 黑客的惡意攻擊、 在網(wǎng)絡(luò)上瘋狂爬行的蠕蟲、迅速擴(kuò)散的病毒、盜取虛擬財(cái)務(wù)的木馬，所有這一切都令人不安。一、網(wǎng)絡(luò)安全問題由于人類認(rèn)識(shí)能力和技術(shù)發(fā)展的局限性，計(jì)算機(jī)專家在設(shè)計(jì)硬件和軟件的過程中，難免會(huì)留下種種技術(shù)缺陷，由此造成信息安全隱患，如 Internet作為全球使用范圍最廣的信息網(wǎng)， 自身協(xié)議的開放性雖極大地方便了各種計(jì)算機(jī)入網(wǎng)， 拓寬了共享資源。但 TCP／IP協(xié)議在開始制定時(shí)沒有考慮通信路徑的安全性，缺乏通信協(xié)議的基本安全機(jī)制， 沒有加密、 身份認(rèn)證等功能； 在發(fā)送信息時(shí)常包含源地址、目標(biāo)地址和端口號(hào)等信息。 由此導(dǎo)致了網(wǎng)絡(luò)上的遠(yuǎn)程用戶讀寫系統(tǒng)文件、 執(zhí)行根和非根擁有的文件通過網(wǎng)絡(luò)進(jìn)行傳送時(shí)產(chǎn)生了安全漏洞。二、web的系統(tǒng)安全Web應(yīng)用以及普及到全世界每一個(gè)角落，甚至可以說 web已經(jīng)成為了互聯(lián)網(wǎng)的代名詞。基于互聯(lián)網(wǎng)的 web應(yīng)用如火如荼，迅速發(fā)展，各類網(wǎng)站數(shù)量也迅速增長，隨之而來的， 是日益突出的安全問題。 不斷被發(fā)現(xiàn)的漏洞、 黑客的惡意攻擊、在網(wǎng)絡(luò)上瘋狂爬行的蠕蟲、 迅速擴(kuò)散的病毒、 盜取虛擬財(cái)務(wù)的木馬， 所有這一切都令人不安。三、文件上傳漏洞文件上傳漏洞是指用戶上傳了一個(gè)可執(zhí)行的腳本文件， 并通過此腳本文件獲得了執(zhí)行服務(wù)器端命令的能力。 這種攻擊方式是最為直接和有效的， 有時(shí)候幾乎沒有什么技術(shù)門檻。“文件上傳”本身沒有問題，有問題的是文件上傳后，服務(wù)器怎么處理、解釋文件。如果服務(wù)器的處理邏輯做的不夠安全，則會(huì)導(dǎo)致嚴(yán)重的后果。四、Web滲透技術(shù)基于全面化、系統(tǒng)化設(shè)計(jì) web系統(tǒng)測(cè)評(píng)規(guī)范的目標(biāo)，我們?nèi)婵紤]了 web應(yīng)用的標(biāo)準(zhǔn)架構(gòu)所包含的各種安全滲透測(cè)試組件。 Web應(yīng)用的標(biāo)準(zhǔn)架構(gòu)包含九項(xiàng)主要測(cè)試分類，它們分別對(duì)應(yīng)到用戶、通信數(shù)據(jù)、 web應(yīng)用、支撐技術(shù)、服務(wù)器等中間件和計(jì)算資源 6個(gè)領(lǐng)域上。一、網(wǎng)絡(luò)安全問題1、計(jì)算機(jī)病毒的影響計(jì)算機(jī)病毒利用網(wǎng)絡(luò)作為自己繁殖和傳播的載體及工具，造成的危害越來越大。Internet帶來的安全威脅來自文件下載及電子郵件，郵件病毒憑借其危害性強(qiáng)、變形種類繁多、傳播速度快、可跨平臺(tái)發(fā)作、影響范圍廣等特點(diǎn)，利用用戶的通訊簿散發(fā)病毒， 通過用戶文件泄密信息， 郵件病毒已成為目前病毒防治的重中之重。2、計(jì)算機(jī)網(wǎng)絡(luò)存在著系統(tǒng)內(nèi)部的安全威脅計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)內(nèi)部的安全威脅包括以下幾個(gè)方面： ①計(jì)算機(jī)系統(tǒng)及通信線路和脆弱性（自然和人為破壞）。②系統(tǒng)軟硬件設(shè)計(jì)、配置及使用不當(dāng)。③人為因素造成的安全泄漏， 如網(wǎng)絡(luò)機(jī)房的管理人員不慎將操作口令泄漏， 有意或無意的泄密、更改網(wǎng)絡(luò)配置和記錄信息， 磁盤上的機(jī)密文件被人利用， 臨時(shí)文件未及時(shí)刪除而被竊取。3、缺少嚴(yán)格的網(wǎng)絡(luò)安全管理制度網(wǎng)絡(luò)內(nèi)部的安全需要用完備的安全制度來保障， 管理的失敗是網(wǎng)絡(luò)系統(tǒng)安全體系失敗的非常重要的原因。 網(wǎng)絡(luò)管理員配置不當(dāng)或者網(wǎng)絡(luò)應(yīng)用升級(jí)不及時(shí)造成的安全漏洞、使用脆弱的用戶口令、 隨意使用普通網(wǎng)絡(luò)站點(diǎn)下載的軟件、 在防火墻內(nèi)部架設(shè)撥號(hào)服務(wù)器卻沒有對(duì)賬號(hào)認(rèn)證等嚴(yán)格限制、 用戶安全意識(shí)不強(qiáng)、 將自己的賬號(hào)隨意轉(zhuǎn)借他人或與別人共享等，都會(huì)使網(wǎng)絡(luò)處于危險(xiǎn)之中。二web的系統(tǒng)安全1、web的幾個(gè)特點(diǎn)（1）互聯(lián)網(wǎng)都是雙向的。與傳統(tǒng)的發(fā)布環(huán)境，諸如電報(bào)、電話、傳真相比， web系統(tǒng)暴露在互聯(lián)網(wǎng)上的服務(wù)器是攻擊者能夠容易地達(dá)到，這使得 web對(duì)于基于互聯(lián)網(wǎng)的攻擊非常脆弱。（2）隨著 web越來越成為信息發(fā)布、整合以及完成商業(yè)交易的平臺(tái)，一旦 web服務(wù)器受到攻擊而失效，造成的物質(zhì)損失和對(duì)企業(yè)聲譽(yù)的損失是巨大的。（3）盡管 web瀏覽器用起來很簡單， web服務(wù)器的配置和維護(hù)也不復(fù)雜， web內(nèi)容的開發(fā)也相對(duì)容易， 但在這些之下的一整套軟件系統(tǒng)卻極端復(fù)雜的。 這種復(fù)雜性意味著系統(tǒng)中可能存在各種安全漏洞。（4）Web應(yīng)用的用戶大多是沒有受過安全方面專業(yè)培訓(xùn)的普通用戶，他們往往對(duì)于web安全并沒有足夠的認(rèn)識(shí)，不了解自己的行為將造成的后果以及應(yīng)當(dāng)才去的應(yīng)對(duì)措施。（5）一旦 web服務(wù)器被攻破，攻擊者將利用其作為跳板，侵入企業(yè)、組織的內(nèi)部網(wǎng)絡(luò)系統(tǒng)。攻擊者能夠獲得的將不只是對(duì) web系統(tǒng)和數(shù)據(jù)的訪問權(quán)限，而可能是整個(gè)網(wǎng)絡(luò)中的各種資源。這種潛在威脅是相當(dāng)可怕的。2、web對(duì)保密性的威脅及對(duì)策保密性是指網(wǎng)絡(luò)信息不被泄露給非授權(quán)的用戶、 實(shí)體或過程， 即信息只為授權(quán)用戶使用，保密性是可靠性和可用性基礎(chǔ)上之上，保障網(wǎng)絡(luò)信息安全的重要手段。一旦保密性遭到破壞，將造成信息的泄露以及網(wǎng)上隱私的泄露。Web中對(duì)信息保密的威脅分以下幾種（1）網(wǎng)絡(luò)竊聽網(wǎng)絡(luò)竊聽是目前對(duì)計(jì)算機(jī)網(wǎng)絡(luò)攻擊的主要方法之一， 是通過觀察、 監(jiān)聽、分析數(shù)據(jù)流和數(shù)據(jù)流模式， 竊取敏感信息的一種手段， 其方法主要有搭線監(jiān)聽和無線截獲兩種。 搭線監(jiān)聽是將導(dǎo)線搭到無人值守的傳輸線上進(jìn)行監(jiān)聽， 只要所搭載的監(jiān)聽設(shè)備不影響網(wǎng)絡(luò)負(fù)載平衡，就難以被發(fā)現(xiàn)。通過調(diào)解和正確的協(xié)議分析，可以完全掌握通信的全部內(nèi)容； 無線截獲是通過高靈敏接收網(wǎng)絡(luò)站點(diǎn)或網(wǎng)絡(luò)連接設(shè)備輻射的電磁波， 通過對(duì)電磁波信號(hào)的分析， 恢復(fù)原數(shù)據(jù)信號(hào)， 從而獲得網(wǎng)絡(luò)信息。盡管有時(shí)數(shù)據(jù)不能全部恢復(fù)，但有可能從中得到極有價(jià)值的情報(bào)。2）竊取網(wǎng)絡(luò)配置信息攻擊者通過某種方式， 竊取主機(jī)的網(wǎng)絡(luò)配置信息， 以便為發(fā)起攻擊做準(zhǔn)備。 這是一種對(duì)主機(jī)自身信息的竊取。Web代理對(duì)這種攻擊有一定的防御能力，通過將內(nèi)外網(wǎng)絡(luò)隔離，使得攻擊者無法或很難獲得關(guān)于內(nèi)部網(wǎng)絡(luò)及主機(jī)的信息。3）竊取主機(jī)數(shù)據(jù)這可能是 web上威脅最大、發(fā)生最頻繁的一種攻擊。攻擊者通過各種手段，獲得服務(wù)器或客戶端的訪問權(quán)限， 侵入相應(yīng)主機(jī)， 從中竊取各種數(shù)據(jù)。 竊取數(shù)據(jù)的目標(biāo)各異， 從數(shù)據(jù)庫到網(wǎng)絡(luò)賬號(hào)， 從公司服務(wù)器上的報(bào)表到客戶端主機(jī)上的個(gè)人信息。竊取手段多種多樣，很難完全防范。數(shù)據(jù)被竊取造成的后果難以估量，如沒有良好的對(duì)應(yīng)措施，容易產(chǎn)生巨大損失。4）竊取用戶連接信息攻擊服務(wù)器上保存的用戶連接信息，從而了解攻擊服務(wù)器 以及其用戶的情況。 這既是一種對(duì)機(jī)密性和隱私的破壞， 同時(shí)也為進(jìn)一步的攻擊做了鋪墊。三文件上傳漏洞（一）、文件上傳漏洞概述文件上傳漏洞是指用戶上傳了一個(gè)可執(zhí)行的腳本文件， 并通過此腳本文件獲得了執(zhí)行服務(wù)器端命令的能力。 這種攻擊方式是最為直接和有效的， 有時(shí)候幾乎沒有什么技術(shù)門檻。“文件上傳”本身沒有問題，有問題的是文件上傳后，服務(wù)器怎么處理、解釋文件。如果服務(wù)器的處理邏輯做的不夠安全，則會(huì)導(dǎo)致嚴(yán)重的后果。文件上傳后導(dǎo)致的常見安全問題一般有 :上傳文件是 Web腳本語言， 服務(wù)器的 Web容器解釋并執(zhí)行了用戶上傳的腳本，導(dǎo)致代碼執(zhí)行。上傳文件是 Flash的策略文件 crossdomain.xml，黑客用以控制 Flash在該域下的行為其他通過類似方式控制策略文件的情況類似 ）;上傳文件是病毒、木馬文件，黑客用以誘騙用戶或者管理員下載執(zhí)行。上傳文件是釣魚圖片或?yàn)榘四_本的圖片， 在某些版本的瀏覽器中會(huì)被作為腳本執(zhí)行，被用于釣魚和欺詐。除此之外， 還有一些不常見的利用方法， 比如將上傳文件作為一個(gè)入口， 溢出服務(wù)器的后臺(tái)處理程序， 如圖片解析模塊； 或者上傳一個(gè)合法的文本文件， 其內(nèi)容包含了 PHP腳本，再通過”本地文件包含漏洞 （LocalFileInclude）”執(zhí)行此腳本；等等。此類問題不再細(xì)述。在大多數(shù)情況下，文件上傳漏洞一般都是指“上傳 Web腳本能夠被服務(wù)器解析”的問題，也就是通常說的 webshell的問題。要完成這個(gè)攻擊，要滿足以下幾個(gè)條件:首先，上傳的文件能夠被 Web容器解釋執(zhí)行。所以文件上傳后所在的目錄要是Web容器所覆蓋到的路徑。其次，用戶能夠從 Web上訪問這個(gè)文件。如果文件上傳了，但用戶無法通過 Web訪問，或者無法得到 Web容器解釋這個(gè)腳本，那么也不能稱之為漏洞。最后，用戶上傳的文件若被安全檢查、格式化、圖片壓縮等功能改變了內(nèi)容，則也可能導(dǎo)致攻擊不成功。（二）、防范文件上傳漏洞常見的幾種方法。1）文件上傳的目錄設(shè)置為不可執(zhí)行只要 web容器無法解析該目錄下面的文件， 即使攻擊者上傳了腳本文件， 服務(wù)器本身也不會(huì)受到影響，因此這一點(diǎn)至關(guān)重要。2）判斷文件類型在判斷文件類型時(shí)，可以結(jié)合使用 MIMEType、后綴檢查等方式。在文件類型檢查中，強(qiáng)烈推薦白名單方式，黑名單的方式已經(jīng)無數(shù)次被證明是不可靠的。此外，對(duì)于圖片的處理，可以使用壓縮函數(shù)或者 resize函數(shù)，在處理圖片的同時(shí)破壞圖片中可能包含的 HTML代碼。3）使用隨機(jī)數(shù)改寫文件名和文件路徑文件上傳如果要執(zhí)行代碼， 則需要用戶能夠訪問到這個(gè)文件。 在某些環(huán)境中，用戶能上傳， 但不能訪問。 如果應(yīng)用了隨機(jī)數(shù)改寫了文件名和路徑， 將極大地增加攻擊的成本。再來就是像 shell.php.rar.rar和crossdomain.xml這種文件，都將因?yàn)橹孛鵁o法攻擊。4）單獨(dú)設(shè)置文件服務(wù)器的域名由于瀏覽器同源策略的關(guān)系，一系列客戶端攻擊將失效，比如上傳crossdomain.xml、上傳包含 Javascript的XSS利用等問題將得到解決。文件上傳問題，看似簡單，但要實(shí)現(xiàn)一個(gè)安全的上傳功能，殊為不易。如果還要考慮到病毒、 木馬、色情圖片等與具體業(yè)務(wù)緊密結(jié)合的問題， 則需要做的工作就更多了，不斷發(fā)現(xiàn)問題，結(jié)合業(yè)務(wù)需求，才能設(shè)計(jì)出最合理、最安全的上傳功能。四、Web滲透技術(shù)（一）、Web應(yīng)用滲透性測(cè)試框架基于全面化、系統(tǒng)化設(shè)計(jì) web系統(tǒng)測(cè)評(píng)規(guī)范的目標(biāo)，我們?nèi)婵紤]了 web應(yīng)用的標(biāo)準(zhǔn)架構(gòu)所包含的各種安全滲透測(cè)試組件。 Web應(yīng)用的標(biāo)準(zhǔn)架構(gòu)包含九項(xiàng)主要測(cè)試分類，它們分別對(duì)應(yīng)到用戶、通信數(shù)據(jù)、 web應(yīng)用、支撐技術(shù)、服務(wù)器等中間件和計(jì)算資源 6個(gè)領(lǐng)域上。為了指導(dǎo)讀者更明確地定義出 web系統(tǒng)的滲透性測(cè)試過程， 我以測(cè)試過程為線索，對(duì)測(cè)試分類進(jìn)行了有序組織 （如圖4-1所示）首先，進(jìn)行偵查分析， 然后，基于偵查到信息分析出的結(jié)果， 進(jìn)行輸入處理、 訪問處理和應(yīng)用邏輯的滲透性測(cè)試。后3者之間無固定順序， 也不一定都有執(zhí)行， 根據(jù)第1步偵查分析的結(jié)果而定。（二）、 偵查分析安全評(píng)估第一階段的主要工作是盡可能多地收集有關(guān)目標(biāo)應(yīng)用程序信息。 信息收集滲透性測(cè)試必要步驟。 該任務(wù)可以通過很多不同的方式來實(shí)現(xiàn)。 使用公共工具、掃描器、發(fā)送簡單的 HTTP請(qǐng)求或精心設(shè)計(jì)一些情求，這些都可能迫使應(yīng)用程序通過回送錯(cuò)誤消息、 暴露版本信息或者采用的技術(shù)等方式泄露信息。 通常，可以通過接收來自應(yīng)用程序的響應(yīng)來收集信息， 這些信息可能會(huì)暴露不良配置或不良服務(wù)器管理中的漏洞。（1）針對(duì)web應(yīng)用標(biāo)志的測(cè)試獲取應(yīng)用程序標(biāo)識(shí)是信息收集中的第一步： 了解一個(gè)運(yùn)行 web服務(wù)器的版本和類型可以是測(cè)試者在測(cè)試過程中確定已知的漏洞和適當(dāng)?shù)墓羰侄?。?）應(yīng)用發(fā)現(xiàn)應(yīng)用發(fā)現(xiàn)是一種用于識(shí)別一個(gè) web服務(wù)器/應(yīng)用程序服務(wù)器中的某個(gè) web應(yīng)用程序活動(dòng)。（3）使用收索引擎和網(wǎng)絡(luò)爬蟲信息收集階段的工作主要是瀏覽和捕獲與被測(cè)試應(yīng)用程序相關(guān)的資源。（4）錯(cuò)誤代碼分析Web應(yīng)用程序可能會(huì)在滲透性測(cè)試過程中泄露一些不希望被終端用戶看到的信息?；A(chǔ)設(shè)施配置管理測(cè)試通常，對(duì)基礎(chǔ)設(shè)施和拓?fù)浣Y(jié)構(gòu)的分析可以揭示大量有關(guān) web應(yīng)用程序的信息SSL/TLS測(cè)試SSL/TLS是提供密碼技術(shù)支持和安全通道的兩種協(xié)議， 其目的是保護(hù)、 加密和驗(yàn)證傳輸?shù)闹匾畔?。?shù)據(jù)庫監(jiān)聽測(cè)試在配置數(shù)據(jù)庫服務(wù)器的過程中， 許多數(shù)據(jù)庫管理員沒有充分考慮數(shù)據(jù)庫監(jiān)聽器組件的安全。用程序配置管理測(cè)試Web應(yīng)用程序通常隱藏一些在應(yīng)用程序本身的開發(fā)或配置過程中不被考慮的信息。件擴(kuò)展名處理測(cè)試存在于web服務(wù)器或 web應(yīng)用程序中的文件擴(kuò)展名有助于攻擊者識(shí)別目標(biāo)應(yīng)用程序采用哪些技術(shù)，例如， jsp和asp文件擴(kuò)展名。（10）過時(shí)的、備份的及未用到的文件在web服務(wù)器中，一些多余的、可讀可下載的文件，如過時(shí)的、備份的和重命名的文件是信息泄露的重大源頭。結(jié)束語：Web應(yīng)用以及普及到全世界每一個(gè)角落，甚至可以說 web已經(jīng)成為了互聯(lián)網(wǎng)的代名詞?；诨ヂ?lián)網(wǎng)的 web應(yīng)用如火如荼， 迅速發(fā)展， 各類網(wǎng)站數(shù)量也迅速增長，隨之而來的，是日益突出的安全問題。不斷被發(fā)現(xiàn)的漏洞、黑客的惡意攻擊、在網(wǎng)絡(luò)上瘋狂爬行的蠕蟲、 迅速擴(kuò)散的病毒、 盜取虛擬財(cái)務(wù)的木馬， 所有這一切都令人不安。通過研究和分析已知基于存在的安全漏洞的攻擊入侵行為，了解其攻擊的技巧、思路和攻擊方法， 進(jìn)而針對(duì)一些典型的攻擊提