以Windows 2000(2003) ＋ IIS ＋ ASP 平臺建設的Web 服務器是常用的一種建站方式。Windows 2000(2003)操作系統的一個主要特色就是將IIS 融入其內核之中，并提供一些用來配置和維護軟件的向導工具，使構建一個Internet 網站輕而易舉。但微軟操作系統的漏洞卻是不容忽視的，它給網站安全埋下了一顆無形的定時炸彈。不過，如果能夠在建站之初就對網站安全的細微之處加以注意和防范，就能使網站安全事半功倍。
本文結合筆者親歷實踐，詳細分析了使用這種模式建站所面臨的各個層次的安全問題，并給出了相應的解決方法，特別是一些細節性的問題。
系統安全
微軟的操作系統以功能強大著稱，但其漏洞也層出不窮。因此，如果采用Windows 平臺作為Web 服務器，在安裝和配置時就要注意以下幾點：
(1)系統安裝完畢，應該及時給系統打上各種補丁�？梢栽诜⻊掌魃习惭b360 安全衛士，通過該軟件自動掃描系統漏洞，并下載安裝相應的補丁。
(2)不要安裝多余的服務和協議。因為有的服務本身就存在漏洞，多余的協議也會占用系統資源，所以不妨把無用的服務和協議停止或關閉(例如FTP、STMP 等)。
(3)安裝專業的防病毒軟件和防火墻軟件。
網站配置安全
優化可靠的IIS 配置是網站安全成功的基礎，不妨從以下幾方面做好安全配置：
(1)盡量不要把網站安裝在默認的C:\Inetpub\wwwroot\目錄下。
主要原因有兩個：一是C 盤是系統盤，很多因素都可能破壞系統，導致數據丟失等意外情況發生；二是如果選擇默認安裝，黑客很容易就能猜出安裝的位置，并對網站實施攻擊。可以安裝在除系統盤外的其他分區，并刪除默認建立的站點的虛擬目錄，停止默認Web 站點，即刪除對應的文件目錄C:\Inetpub，配置所有站點的公共設置，設置好相關的連接數限制。
(2)在配置網站安全策略時，在IIS 站點配置時如果沒有特殊要求，不要勾選“腳本資源訪問”、“寫入”、“目錄瀏覽”這3 個選項。
不選“腳本資源訪問”，能有效阻止客戶端運行一些服務器端的程序；不選“寫入”，可防止客戶上傳一些可執行文件；不選“目錄瀏覽”，就能使客戶端猜不出網站的路徑結構。
同時，還要刪除所有不必要的應用程序擴展，只保留如asp、aspx 等有用的應用程序擴展。
(3)對上傳文件進行嚴格的控制，一般不允許可執行文件如exe、bat 等文件的上傳。
程序代碼安全
很多網站已經部署了足夠的安全設備，但還是經常遭遇黑客攻擊或病毒入侵，這就要考慮一下問題是否出在程序代碼不安全或屬性設置不當之上。
例如下面的案例。
案例：整個網站看起來很正常，但在打開首頁或其他某一頁面時出現空白，或彈出其他頁面。如果不安裝個人防火墻，不知道問題出在哪里；如果安裝了個人防火墻，則會彈出諸如“攔截到一個木馬或惡意廣告頁面URL:http://ff1114.2288.org”的提示信息。
這時，如果您打開網站首頁文件或數據庫連接文件index.asp 或者default.asp、conn.asp 等，就會發現文件最后一行寫入了一句掛馬代碼，如或
因此，網站配置好后，在應用程序開發與管理中要做好程序代碼的安全工作。
1. 將網站的程序文件改為“只讀”屬性
一般寫入掛馬代碼的多是index.asp、default.asp、conn.asp、top.asp 等文件，從安全角度考慮，建議將網站中的文件除必要數據庫文件和JS 刷新文件外，均設置為“只讀”，防止黑客在程序中寫入語句。
2. 防止SQL 注入
許多網站程序在編寫時，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段數據庫查詢代碼(在瀏覽器地址欄中，通過正常的WWW 端口訪問)，根據程序返回的結果獲得某些想要知道的數據，這就是所謂的SQL 注入。
對于這種情況， 如果程序是自行開發的， 一般的HTTP 請求不外乎GET 和POST，所以只要在文件中過濾所有POST 或者GET 請求中的參數信息中的非法字符即可。如果是采用動易等免費代碼的，一般都有防SQL 注入功能，只要將該保護功能開啟即可。
3. 關閉不必要的“注冊”和“忘記密碼”等功能
很多網站采用的都是網上免費的源碼，如動易、風訊等，但這些程序中也會有一些漏洞，如動易中的“忘記密碼”很容易被人猜出用戶的問題答案，并最終修改密碼，獲得一定的權限。因此，如果沒特別需要，建議關掉“注冊”和“忘記密碼”這兩個功能。
數據庫安全
數據庫是一個網站的核心，如果數據庫出現安全問題，輕則數據泄密，重則數據全毀，很可能會造成無法挽回的損失。因此，加強數據庫安全是每位網管工作者必須考慮的內容。
(1)如果數據庫采用Access，由于服務器端的mdb 文件可以被用戶下載，數據庫將變得很危險。
一般情況下，Access 數據庫文件存放在相應的Web 目錄中，很多黑客就是利用這種規律來查找并下載數據庫文件的，進而竊取重要的數據。因此，如果采用Access 數據庫，就要將數據庫文件的后綴名由mdb 改為asp 或asa，還要更改數據庫文件夾的習慣名稱data 或database 等，并轉移數據庫的位置。特別是對于下載的模板，一般數據庫存放
在特定的位置，很容易被人猜出。因此，可以采用改變數據庫文件存儲位置的方法，將數據庫文件存放在Web 目錄以外的某個文件夾中，讓黑客難以猜測存儲位置。同時，修改好數據庫連接文件(如conn.asp)中的數據庫文件相應信息。這樣Access 數據庫文件就安全多了。
(2)對于專用的MSSQL 數據庫服務器，可以設置TCP/IP 篩選和IP 策略，對外只開放1433。
由于SQL Server 不能更改或刪除sa 用戶，因此必須為這個賬號設置一個非常強壯的密碼。當然，最好不要在數據庫應用中使用sa 賬號，只有當沒有其他方法登錄到SQL Server(例如，當其他系統管理員不可用或忘記了密碼)時才使用sa。
建議數據庫管理員新建立個擁有與sa 一樣權限的超級用戶來管理數據庫。使用混合身份驗證, 加強數據庫日志的記錄, 審核數據庫登錄事件的“成功和失敗”, 刪除一些不需要的和危險的OLE 自動存儲過程等。
總之，沒有絕對安全的方法，只有從細小處著手，加強安全意識，注意安全防范，才可能打造一個相對安全可靠的網站。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：網站安全從小處著手
本文網址：http://www.guhuozai8.cn/html/consultation/1083946845.html
相關文章
