在眾多網(wǎng)站上線后出現(xiàn)的安全漏洞問題非常明顯,作為網(wǎng)站安全公司的主管我想給大家分享下在日常網(wǎng)站維護(hù)中碰到的一些防護(hù)黑客攻擊的建議,希望大家的網(wǎng)站都能正常穩(wěn)定運(yùn)行免遭黑客攻擊。
1.對(duì)上傳文件的目錄設(shè)定為腳本不能執(zhí)行的權(quán)限
要是Web服務(wù)器沒法解析該文件目錄下的腳本文檔,即便黑客攻擊發(fā)送了腳本制作文檔,網(wǎng)站服務(wù)器自身也不容易受到損害。許多商業(yè)網(wǎng)站的發(fā)送運(yùn)用,上傳文件之后放進(jìn)單獨(dú)的儲(chǔ)存上,做靜態(tài)數(shù)據(jù)文檔解決,一方面使用緩存文件加快,減少服務(wù)器硬件耗損;另一方面也避免了腳本木馬實(shí)行的可能。
2分辨擴(kuò)展名,對(duì)發(fā)送的擴(kuò)展名進(jìn)行辨別
分辨擴(kuò)展名時(shí),結(jié)合使用MIMEType措施,文件后綴名查驗(yàn)等措施。在擴(kuò)展名查驗(yàn)中,極力推薦使用白名單機(jī)制,而并不是使用黑名單的措施。除此之外針對(duì)上傳照片的解決,使用縮小函數(shù)或是resize涵數(shù),在處理照片的同時(shí)也將毀壞照片中將會(huì)包括的HTML編碼。
3.對(duì)發(fā)送路徑獨(dú)立設(shè)定網(wǎng)站域名去訪問
因?yàn)榫W(wǎng)站服務(wù)器都在同一服務(wù)器上,而且域名都不相同,一系列客戶端攻擊將無效,例如發(fā)送了包含JS代碼的XSS跨站腳本指令攻擊實(shí)行等問題將得到解決。是否可以這樣設(shè)置,必須看實(shí)際的業(yè)務(wù)流程的具體環(huán)境。此外,上傳文件作用,也要充分考慮病毒感染,木馬病毒,SE圖片視頻,違規(guī)文檔等與實(shí)際網(wǎng)絡(luò)安全防護(hù)結(jié)合更密不可分的難題,則必須做的工作中就大量了。持續(xù)的發(fā)覺難題,結(jié)合業(yè)務(wù)流程要求,才可以設(shè)計(jì)構(gòu)思出有效的,安全性的上傳作用。
SQL注入的防御
解決構(gòu)思:
-尋找全部的SQL注入系統(tǒng)漏洞語句
-修復(fù)這種系統(tǒng)漏洞
1.使用預(yù)編查詢語句
防護(hù)SQL注入攻擊的好措施,就是使用預(yù)編譯查詢語句,關(guān)連變量,然后對(duì)變量進(jìn)行類型定義,比如對(duì)某函數(shù)進(jìn)行數(shù)字類型定義只能輸入數(shù)字。
2.使用存儲(chǔ)過程
實(shí)際效果與預(yù)編語句相近,差別取決于存儲(chǔ)過程必須先將SQL語句界定在數(shù)據(jù)庫查詢中。也肯定存在注入難題,防止在存儲(chǔ)過程中,使用動(dòng)態(tài)性的SQL語句。
3.查驗(yàn)基本數(shù)據(jù)類型
4.使用安全性函數(shù)
各種各樣Web代碼都保持了一些編號(hào)函數(shù),能夠協(xié)助抵抗SQL注入。
5.其他建議
數(shù)據(jù)庫查詢本身視角而言,應(yīng)當(dāng)使用少管理權(quán)限標(biāo)準(zhǔn),防止Web運(yùn)用立即使用root,dbowner等高線管理權(quán)限帳戶直接連接數(shù)據(jù)庫查詢。為每一運(yùn)用獨(dú)立分派不一樣的帳戶。Web運(yùn)用使用的數(shù)據(jù)庫查詢帳戶,不應(yīng)當(dāng)有建立自定函數(shù)和實(shí)際操作本地文檔的管理權(quán)限,說了那么多可能大家對(duì)程序代碼不熟悉,那么建議大家可以咨詢專業(yè)的網(wǎng)站安全公司去幫你做好網(wǎng)站安全防護(hù),推薦晉城龍鼎絡(luò)服務(wù)有限公司是很不錯(cuò)的。晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司提供安全的網(wǎng)站服務(wù)環(huán)境,為企業(yè)提供網(wǎng)站建設(shè)與制作開發(fā),小程序制作與開發(fā),網(wǎng)站運(yùn)營(yíng),網(wǎng)站安全防護(hù),APP制作與開發(fā),淘寶運(yùn)營(yíng)等服務(wù)有任何的網(wǎng)站問題都可以找晉城市龍鼎網(wǎng)絡(luò)服務(wù)有限公司!