终极Web安全防护解决方案（1）

Web信息系统各种安全问题潜伏在Web系统中，Web系统的时时刻刻遭受各种攻击的安全威胁。现在大多数的企业已经意识到Web信息系统的安全威胁，采取了众多安全措施，花费大量的人力物力在网络及服务器的安全上，为什么信息系统还是得不到真正的安全呢？

企业的Web安全现状

现在据调查统计75%网络攻击行为都来自于Web应用层面而非网络层面，同时调查表明国内有近大于50%的站点存在各种Web层面的安全问题。现在很多的企业给自己的网络应用了入侵检测系统、网络防火墙、科学、网络防病毒系统等，为什么还得不到真正的安全呢？

我们应用了诸多的安全设备，但是我们的Web服务还是要外开放的，也就是说80、443端口还是要开放的。80及443即是Http及Http服务的端口，只要你的Web服务开放，那么与Web服务通讯的信息，有些是正常的访问，有些是带有攻击行为的访问，Web系统无法判断那些访问是恶意的访问，所有你的Web系统就会出现诸多Web层面的安全问题。

现在企业的Web信息系统大多为新闻、留言版、邮件、Blog、论坛、OA及其它应用系统，试想一下这些多的Web信息系统没有安全漏洞的吗？目前关于Web信息系统出现的漏洞最多最严重的漏洞就是SQL Injection、XSS跨站安全漏洞。

SQL Injection漏洞

SQL Injection，中文名称为“SQL 注入”是一种数据库攻击手段，也是Web应用程序漏洞存在的一种表现形式，它的实际意义就是利用某些数据库的外部接口把用户数据插入到实际的数据库操作语言当中，从而达到入侵数据库乃至操作系统的目的。

Web程序员在编写Web系统时对Web的安全性考虑不够，对用户输入的数据没有进行有限的验证及过滤，从而会引发SQL注入漏洞。如果我们的新闻系统或者OA办公系统出现SQL注入漏洞，那么攻击者通过构造的特殊SQL语句就可以查看、插入、删除数据的的数据及可以执行主机的系统命令等具有很大的危害。

SQL注入攻击具有如下特点：

(1)sql 注入种类繁多：

按数据库分类就有：

Access、MsSql、Oracle、Informix 、DB2、Sybase 、PostgreSQL 、SQLite 数据库注入，几乎包含了所有的主流数据库。

按程序语言分类就有：

ASP、ASPX、JSP、PHP、CGI、PL注入，也几乎包含了所有Web编程语言。

按程序提交数据方式分类就有：

GET注入、POST注入、Cookies注入等。

这导致传统的特征匹配检测方法仅能识别相当少的攻击，难以防范。

(2)攻击过程简单，目前互联网上流行众多的SQL注入攻击工具，攻击者借助这些工具可很快对目标Web系统实施攻击和破坏。

(3)危害大，由于Web编程语言自身的缺陷以及具有安全编程能力的开发人员少之又少，大多数Web业务系统均具有被SQL注入攻击的可能。而攻击者一旦攻击成功，可以对控制整个Web业务系统，对数据做任意的修改数据、甚至删除整个数据库，给企事业单位带来毁灭性的灾难。

(4)SQL攻击语句多样性

就SQL注入攻击语句大小写混淆、部分攻击语句url编码性、部分攻击语句16进制编码等编码格式、就空格字符就可以用“+”“、“/**/”、“%09”、“[TAB]空格”字符来代替空格。

Web安全防护解决方案中的SQL Injection漏洞问题就为大家介绍完了，希望大家多多掌握这方面的知识。

【编辑推荐】

1. 如何确保 Web应用安全
2. Web应用与Web应用防火墙之Web应用
3. Web应用安全日趋严重我们该拿什么拯救