西安嘉瑞德网络公司
当前位置:网站首页 > 建站百科 > 中小型网站制作时安全性分析与研究详解 返回列表

中小型网站制作时安全性分析与研究详解

发布时间:2022-04-02来源:admin
中小型网站制作时安全性分析与研究详解,小型公司的宣传网站也是的当下网站制作公司制作最多的一种网站了,由于这种网站是好多的公司都能使用得到的,并且方便与用户通过网站将自己公司的产品或者服务上传到网络公司,方便与公司的产品或者宣传和推广了,但是这种方面最多,由于这种小网站基本上很简单,没有什么技术门槛,只要是个懂技术的人都是能制作的出来,但是问题是即使你能制作出来这样的网站,但是网站的安全性以及稳定性如何,是需要时间的验证的,往往用户在日常找<a href="http://www.jiaruide.net" target="_blank"><strong>网站制作公司</strong></a>的时候,也很少去关注这些网站的安全和稳定的,接下来我们来听一下<a href="http://www.jiaruide.net" target="_blank"><strong>西安网页制作</strong></a>公司的技术是怎么说的。<br /> 1 网页防篡改的意义和应对措施&nbsp;<br /> &emsp;&emsp;目前,企事业单位网站一般搭建在Windows或Linux服务器上,对web服务器来说,包含的风险不仅是服务器宕机或者网站瘫痪,更严重的是被黑客入侵后上传了木马文件,由于木马文件是可执行文件或具有可执行脚本,能够篡改网站文件使其链接到广告、游戏甚至国外政治敏感站点,所以危害极大。对网站管理者来说,防止木马文件上传和网页被篡改非常重要!网页防篡改的基本要求是:及时发现和处理上传的木马和被篡改的正常文件。常见的防护措施包括:&nbsp;<br /> &emsp;&emsp;(1) 加固服务器安全设置,包括禁止远程操作注册表、禁用CMD命令、开启防火墙等。&nbsp;<br /> &emsp;&emsp;(2) 安装安全狗、云盾、防篡改等商业软件或者购买硬件防护设备(WAF)。&nbsp;<br /> &emsp;&emsp;两类措施各有不足,第一类措施强化了服务器的安全,但是对HTTP的80端口攻击无能为力,例如SQL注入、XSS攻击等。第二类措施需要购买昂贵的商业产品,不适于资金紧张的中小型网站。&nbsp;<br /> &emsp;&emsp;2 本文的防篡改系统设计思路&nbsp;<br /> &emsp;&emsp;中小网站管理者缺少足够的资金,无法将安全工作外包或购买安全设备,却往往具有一定的编程能力或者丰富的网站安全经验,本文根据这一情况设计了适合于中小型网站的防篡改系统,根据此设计开发的软件可以24小时运行在Windows或Linux服务器上,以后台服务方式保护网站,设计思路包含两类防护措施。&nbsp;<br /> &emsp;&emsp;(1) 文件监听和合法性检查&nbsp;<br /> &emsp;&emsp;Windows和Linux系统都提供了文件系统的事件触发机制,当操作系统监听到文件被创建、修改和重命名时,会触发相应事件并调用对应的方法,在方法中执行文件合法性检查,就能实时监测网站文件的变化,实现被动防护[1][2]。&nbsp;<br /> &emsp;&emsp;(2) 设计蜜罐页面和入侵痕迹检索&nbsp;<br /> &emsp;&emsp;为了进一步提高防护能力,增加了主动防护措施,在网站目录中设计蜜罐页面,“引诱”入侵者访问此页面,从而在日志文件中留下痕迹,通过分析日志检索并屏蔽非法IP。&nbsp;<br /> &emsp;&emsp;3 文件监听和合法性检查&nbsp;<br /> &emsp;&emsp;3.1 业务逻辑&nbsp;<br /> &emsp;&emsp;(1) 对网站文件进行监听&nbsp;<br /> &emsp;&emsp;Windows平台可以使用FileSystemWatcher类对指定的文件夹进行监听,也可以使用JNotify包进行监听,由于后者兼容Linux平台,所以建议使用后者,两种监听技术都对文件的内容修改、创建、重命名、删除等事件提供了触发机制,重点监听创建、修改和重命名事件的发生,以下是事件的触发条件、参数和处理方法。&nbsp;<br /> &emsp;&emsp;(2) 文件合法性检查&nbsp;<br /> &emsp;&emsp;以Create事件为例,检查参数文件是否为木马依赖于网站的配置、运行特征和管理员的安全经验,不同的网站需要设置不同的检查规则,以某中学网站为例,总结并形成如表2所示的几条规则。&nbsp;<br /> &emsp;&emsp;规则等级的数值越大表示检验优先级越高,最先检查的是文件上传(创建)时间,因为网站编辑一般在每天6:30~23:00内工作,所以此时间段之外上传的文件违规;其次检查上传文件是否位于UploadFile目录下,位于此目录之外违规;接下来检查上传文件类型是否为动态脚本或可执行文件,若是则违规;最后以文本形式打开文件,检查内容是否含有暗链或非法关键词,若存在则违规。所有规则检查结果为真表示上传文件合法,可以保留在网站上,违反任意一条就视为非法文件进行处理。&nbsp;<br /> &emsp;&emsp;(3) 非法文件处理&nbsp;<br /> &emsp;&emsp;由于非法文件可能是入侵者上传的,这说明此时的网站很可能已经被黑客攻破,服务器肯定存在漏洞,需要执行以下操作:&nbsp;<br /> &emsp;&emsp;1) 加密非法文件并备份到某个隐藏位置后删除此文件。&nbsp;<br /> &emsp;&emsp;2) 根据非法文件名称和上传时间,在网站日志中查找来源IP,发现后屏蔽。&nbsp;<br /> &emsp;&emsp;3) 发送手机短信给管理员。&nbsp;<br /> &emsp;&emsp;4) 将非法文件信息写入自定义日志,以备日后分析服务器漏洞。&nbsp;<br /> &emsp;&emsp;3.2 开发实现&nbsp;<br /> &emsp;&emsp;上述设计思路已经使用Java语言实现,主要包含以下几个技术要点。&nbsp;<br /> &emsp;&emsp;(1) 读取XML配置文件&nbsp;<br /> &emsp;&emsp;由于不同网站的配置、运行情况很不相同,所以监听网站前先要读取XML文件初始化参数,包括监听的网站目录、禁止上传的文件类型、日志位置、上传文件所在目录、发送短信参数等。&nbsp;<br /> &emsp;&emsp;(2) 监听工具&nbsp;<br /> &emsp;&emsp;服务程序使用Java的JNotify组件进行监控,程序运行后调用监控类,监控类继承于JNotifyListener接口,需要开发者重写fileRenamed、fileModified、fileCreated等方法,发生了某个事件就执行对应方法。&nbsp;<br /> &emsp;&emsp;(3) 使用Drools引擎实现业务逻辑规则化&nbsp;<br /> &emsp;&emsp;文件合法性检查归结为一组业务规则的执行,建议使用Drools引擎来实现业务逻辑的规则化[3][4],开发者可以针对各类触发事件,分别编写出每组业务规则并形成DRL文件,Drools引擎解析、执行文件包含的所有规则,这大大简化了传统的高级语言编程,以表2的时间限制规则为例,只要将它的Salience属性定义为四个规则中的最大值,就可以最先执行,参数6:30和23:00可以在规则中直接修改且不需要重新编译,此规则调用外部java类静态方法检测时间的合法性,这样就将业务逻辑和类库代码分离开了。 (4) IP屏蔽技术&nbsp;<br /> &emsp;&emsp;若发现网站被上传了非法文件,可以根据文件上传时间或者事件触发时间在网站日志中查找入侵IP,重点查找POST操作,发现后使用Java语句调用IPTABLES命令实现IP屏蔽。在Windows系统中可以调用IPSEC安全策略中的netsh命令实现IP屏蔽。&nbsp;<br /> &emsp;&emsp;(5) 手机短信通知&nbsp;<br /> &emsp;&emsp;使用订购的中国移动云MAS服务,可以使用MAS服务提供的接口编写Java短信类,将非法文件的文件名、处理方式和违反的规则名称等参数写入预定义模板发送给网站管理员,实现24小时短信通知。&nbsp;<br /> &emsp;&emsp;4 设计蜜罐页面和入侵痕迹检索&nbsp;<br /> &emsp;&emsp;4.1 设计蜜罐页面&nbsp;<br /> &emsp;&emsp;入侵者为了找到网站漏洞,总是先用工具软件扫描网站,尤其是最常见的登录和管理页面,例如login.asp、index.asp等,这为网站防御提供了一个蜜罐“诱骗”思路[5][6]:将正常使用的后台登录和管理页面重命名隐藏起来,然后在网站根目录下添加login或index等蜜罐页面,这些页面不提供任何服务功能,正常用户应该访问不到,只是是为了引诱入侵者访问。&nbsp;<br /> &emsp;&emsp;服务程序定时读取日志文件,每次读取从上次日志结尾开始,利用正则表达式检索访问了蜜罐页面的IP,这些IP一定是尝试入侵者,由于入侵者找到漏洞并成功入侵总是需要时间的,在不严重增加服务器负担的情况下,采用较小时间间隔定时检索日志,可以及时发现大多数入侵企图。&nbsp;<br /> &emsp;&emsp;4.2 入侵痕迹的扩展检索&nbsp;<br /> &emsp;&emsp;除了发现蜜罐页面的来访IP之外,还可以同时检索SQL注入和XSS入侵痕迹,它们的表现是在GET或POST请求的URL字符串中含有非法字符和单词,包括:&nbsp;<br /> &emsp;&emsp;(1) 西文的单引号、双引号、中括号和星号等,重点检查单引号。<br /> 来访的URL字符串都记录在网站日志文件中,为了尽可能发现攻击性URL,建议管理员将待检索的非法字符和单词写成正则表达式去匹配URL,若匹配则说明此URL含有攻击,例如“.*select.*or”表示在URL查找select和or,匹配成功表明此URL存在SQL攻击。&nbsp;<br /> &emsp;&emsp;由于SQL的攻击URL复杂多变,管理员需要不断更新,而Drools规则的修改不需要重新编译程序源代码,所以建议将待检索的正则表达式串编入Drools规则,在规则中调用外部类静态方法验证来访URL是否与之匹配。&nbsp;<br /> &emsp;&emsp;5 运维和管理&nbsp;<br /> &emsp;&emsp;建议以命令行方式在服务器上安装程序和所需的Drools开发包,以后台服务形式24小时伴随网站运行,为了保证服务在线运行,将程序设置为开机启动并定时检查进程是否存在,在Window Server中使用计划任务和PowerShell实现,在Linux系统中使用Crond和Shell实现。&nbsp;<br /> &emsp;&emsp;为了有效管理服务器的防篡改系统运行,开发Android手机端App,APP能够基于SSH协议向服务器发送指令,实现以下功能。&nbsp;<br /> &emsp;&emsp;(1) 请求并接收服务器端认定的非法文件信息,以供管理员浏览、分析。&nbsp;<br /> &emsp;&emsp;(2) 发送文件恢复指令,将误删除的文件恢复到原位置。&nbsp;<br /> &emsp;&emsp;(3) 发送IP操作指令,解除误屏蔽的IP。&nbsp;<br /> &emsp;&emsp;(4) 定时发送HTTP请求,检查网站是否可以正常访问。&nbsp;<br /> &emsp;&emsp;(5) 发送重启网站、重启和关闭服务器的指令。&nbsp;<br />
联系方式:18066528545   029-89298792

阅读过此文章的读者,还阅读过下面的文章

  • 网站经常性打不开什么原因呢?
    网站经常性打不开什么原因呢?其实网站建设制作之后,后期出现频繁的打不开好多用户就很纳闷了,面对这样的情况,作为西安<a href="http://www.jiaruide.net" target="_blank"><strong>网站制作公司</strong></a>今天就来给大家分析一下,究竟网站出现打不开的原因有那些方面呢,有经验的站长的知道,网站突然打不开的原因一般是服务器出现了某些原因,可能是因为域名或者是空间,还有可能是网站设计时内部存在问题。很多企业想要进行网站建设的时候,因为要考虑成本的问题,一般情况下都是将网站建设工作外包给专业的建站公司。建设网站的公司都会有自己的服务器,如果建站公司的服务器运行的时间很长,而且建站公司的服务器会对网站的数据进行备份以及维护的,这是一个合格服务商必须做到的。所以在服务器维护的时候,网站就显示出打不开的状态。另外一个原因是服务器遭到黑客入侵导致网站打不开,或者是服务器被植入木马病毒,造成同一服务器所有的网站就运行部了,所以打不开。<br /> 如果发现服务器正常运行就要考虑网站的程序方面。可以从网站的绑定以及域名方面入手,或者被人恶意入侵,修改了服务器线路。因为有些网站使用的服务器是外国的或者是选择香港的,如果是这种情况,在内地访问网站的时候要经过很多线路,一旦出现线路不支持就会造成线路问题而不能正常访问网站。也有可能是网站自身的保护不够强大,被黑了,所以打不开。还有一个原因是因为浏览器的问题,浏览器本身出现了漏洞不能打开网站。<br /> 还有一个方面需要注意的,网站内容上违反了规定,所以不被通过,自然打不开。如果你的网站选择的是国内的服务器商,网站要经过工信部的备案才可以上线。如果备案不通过或者是没有通过服务器商对网站解析,所以不能发布。如果一开始是能够打开的,后来就不行了,可能是网站备案没有通过,所以强制性关闭了。<br />
  • 如何制作公司网站呢,请看下面网站如何制作的
    <p> 如何制作公司网站呢,请看下面网站如何制作的,不管是公司还是企业,现在都会拥有自己公司的宣传网站了,毕竟互联网时代了,你不制作公司网站,不对公司信息化进行建设的话,那可以是一件非常可怕的事情的,不仅你的公司要上网,通过网站宣传,通过网络让更多的用户了解你的产品和使用,也需要对你的公司产品进行定位宣传,精准化宣传,只有这样才能做到进准把握你公司的用户对产品的需求动向的,接下来我们来看看具体<a href="http://www.jiaruide.net" target="_blank"><strong>公司宣传网站</strong></a>究竟是如何制作的呢? </p> <p> 第一、了解需求<br /> 制作网站的第一步就是要了解好客户对网站的制作需求,首先让客户把他们想要的效果、风格、开设的栏目等说明清楚,然后再根据他们提供县官的资料,比如单位的简介,联系方式,网站框架的设计要求,对产品和项目的描述等。<br /> 第二、制定<a href="http://www.jiaruide.net" target="_blank"><strong>西安网站制作</strong></a>方案<br /> 工作人员与客户双方要协商好关于网站的制作的内容、细节和风格等问题,达成共识后才能开始制作,如果制作之前没有商量好,那么制作的结果会使得客户不满意,矛盾就会产成了。<br /> 第三、网站的定位很关键<br /> 网站的制作应该明显的体现出相关单位的一个核心理念,因为我们要做的就是在短的时间内、有限的空间里将自己的核心思想通过相应的介质传播给用户,我们可以选择通过图片、文字、音频等途经进行传播。<br /> 第四、验收<br /> 就是网站制作完成后应该多次进行审核、修改和通过客户的验收,这样一个网站才能算是建好了。 </p>
  • 西安网站建设的过程中遇到这些问题怎么解决
    <p> 西安网站建设的过程中遇到这些问题怎么解决,其实作为网站制作公司是很清楚的,不同的用户对网站的要求是不一样的,从而对网站制作建设的价格也是不一样的,有的用户对网站制作的要求比较低,这个时候,网站建设制作的报价就低一些,而又些客户对网站建设的质量,网站设计的要求都是比较高的,从而,网站制作公司对与这些用户报价就高了,不同的要求,不同的价格,其实网站制作建设的市场都是这样的,这部分客户通常要求的是定制型的网站,作为定制型的网站是没有一个规格型的要求的,都是客户用户的喜好,用户的要求来做的,从而也是最容易出问题的一块了,接下来我们来详细的看看<a href="http://www.jiaruide.net" target="_blank"><strong>西安网站建设</strong></a>制作公司是如何看到这个问题的,遇到用户不满意的情况是怎么处理的呢? </p> <p> 你们设计的不满意怎么办?<br /> 首先我们会根据客户要求出设计稿,初稿出来后如果不满意,我们可以根据客户的要求进行修改,修改之后会再次给到客户查看,未确认前,设计稿修改是...<br /> &nbsp;可以先设计,设计满意后再付钱嘛?<br /> 很抱歉,我司不接受口头设计单。合作之初,双方就需要建立平等互信的原则,如果您担心我们的水平,可以查看我们以往的作品,也可以直接来...<br /> &nbsp;你们一般出多少张设计图?<br /> 这个是根据您的需求来的,看具体做多少个栏目,如您公司栏目有首页、公司简介、产品中心、案例中心、新闻动态、联系我们总共6个栏目,那么我们会...<br /> &nbsp;首页设计稿要多长时间?<br /> 一般我们签订合同,收到网站预付定金后,3天内出首页设计稿,个别加急的客户根据实际订单情况尽快出稿。<br /> &nbsp;设计稿确认是确认哪些东西?<br /> 主要是确认网站框架,主体颜色,口号标语等,设计稿中的文字图片可以更改,随时替换。<br /> &nbsp;我们自己有美工可以自己设计嘛?<br /> 可以自己设计的,我们光写前端与后台。也可以指导贵司设计,需要注意的是在确定合作的情况下才可以指导设计,请理解。 </p>
  • 西安网站建设全流程详解
    <p> 西安网站建设全流程详解,不同的公司对于网站制作建设的过程是不一样的,但是整体上变化不是很大,一般都是从前期的网站建设需求沟通,网站制作费用的沟通,以及网站前端界面设计,网站制作,上线,测试等等,这些大的环节都是没有多大的变化,唯独变化的是,不同的公司在与客户沟通的过程中,这个顺便估计有变化,从而导致了整个网站制作环节也是有相应的调整和变化了,接下来我们来看看具体都有那些流程和变化呢? </p> <p> 1、分析策划<br /> 结合西安碑林客户品牌理念及品牌诉求,专业编撰合适的网站策划提案<br /> 2、页面设计<br /> 依据西安碑林各个行业特点,为客户定制设计开发贴合发展所需的网站和系统需求页面<br /> 3、前端制作<br /> 采用HTML5+CSS3技术,将效果图制作成响应式或自适应面页,根据客户需求而定制<br /> 4、功能开发<br /> 购物车,订单系统,积分系统,会员系统,在线支付,手机短信等功能开发<br /> 5、采用技术<br /> PHP、MySQL、Html5、CSS、JavaScript等技术开发,西安碑林专业开发技术。<br /> 西安建站相关服务,建设高端网站,开发云网站,WAP网站设计等百分百定制开发,一对一的专业设计,全程项目跟踪,西安用专业和态度为您提供优质的网站建设服务!<br /> 建立营销型网页,开发响应式网站,设计Wap网页,商城网站制作,高端网页搭建等网站是企业转型互联网的基础,企业也都知道需要搭建一个好网站,想要建好一个网站,定位、设计和推广这三个核心要素一个也不能少。<br /> 1、网站定位<br /> 西安碑林企业网站定位最基本的要素是要和企业原有定位相呼应。西安碑林企业需要清醒的认识到,网站的美观固然重要,但其核心还是卖自己的产品,精准的定位公司产品。<br /> 2、网站设计<br /> H5的出现让网页的动画效果炫丽多样。西安碑林企业网站的设计浏览起来就让人感到惬意,有着良好的视觉浏览体验,要把网站中重要部分,和用户关心的内容,添加到网站导航栏中,这样网站西安碑林用户体验就会加倍提升。<br /> 3、网站推广优化<br /> 网站优化对于企业来说是至关重要的一步,根据西安碑林企业的实际情况和消费群体有针对性的投入推广计划。<br /> </p>
  • 西安网站制作好后来年到期了该怎么办
    <p> 西安网站制作好后来年到期了该怎么办,不管是个人还是公司,要想制作好一个网站真的不容易,不仅仅需要做网站前期的规划和策划工作,还需要对网站建设的栏目,内容进行填充和建设,面对这一堆的要求和东西,整体还是比较麻烦和费事的,所以,网站建设制作好之后,一定要注意来年的续费问题,好多公司不注意这个问题,造成了网站后期打不开了,不能正常方面了,出现了问题才想起来网站没有续费,接下来我们来看看西安网络公司是如何建议的。 </p> <p> 1.域名到期的影响<br /> &nbsp;一般情况下,网站域名需要一年进行一次续费,也可以一次购买多年,如果域名到期没有及时续费,网站就会打不开,域名续费期一般是一个月,过了这个时间就会进入赎回期,这时候就不能续费了。<br /> &nbsp;2.服务器到期的影响<br /> &nbsp;服务器到期与域名一样,到期后网站同样不能打开,如果之前网站在做推广,会直接影响展现效果,长时间不续费的话,网站数据就会全部删除了,之前的努力就全白做了。<br /> &nbsp;3.网站维护服务到期<br /> &nbsp;有些网络公司服务商会有网站维护费用,一般都是一年为一个期限,如果到期后您没有及时维护,网站出现问题后就不会有人给您维护,就会造成影响。影响最大的就是网站展现的效果。<br /> </p>
  • 西安做网站公司做网站时要明白这些
    <p> 西安做网站公司做网站时要明白这些。其实做网站有的时候不仅仅是在做网站,更多的是在帮助其他公司在做网络宣传门户,站在这个角度上你就知道你所承担的责任了,作为现在公司网站建设不仅要符合时代潮流,更多的需要紧扣时代网页设计特色和要求,只有这样制作设计出来的网站才能更好的满足现在人们的使用要求和观念的,不管是在网站设计理念,网站布局规划,以及网站内容建设等等,这些方面都需要进口时代主题和要求的,接下来我们来看看西安网站制作公司是如何做的,需要做好那些方面的要求和规范呢? </p> <p> 审美在变,网站设计要紧跟潮流<br /> 也许用户访问时,不会逐一阅读网站内容,但首先映入眼帘的一定是设计。也许网站在几年前设计制作的确实很漂亮,但是我们无法否认的事实是,用户对网站设计的审美一直在不断改变。这个比较容易对比,随便找一个行业,然后通过百度搜索到十家网站,分别对应年份和网站的网址,让一个不知情的人去逐一打开并评判感受。大体趋势是越是新近设计制作的网站,越容易赢得用户的接受承认。其实这就是用户的真实感受,每年快速改版重做对于很多公司来说有些压力,但是笔者认为一般而言网站2-3年是需要重新设计制作快速的。一个通过网站寻找供应商的用户,其浏览网站一般也就几十秒到几分钟时间,先进的网站设计效果是吸引其深入了解进而咨询的较好方法。<br /> 技术在变,网站制作要贴合需求<br /> 周围的一切都在发生着巨变,网站技术也是如此,此前被很多网站公司采用的ASP网站开发语言几乎已经没人使用,相对于传统的PC端网站,现在更多看重的是移动端,公司设计制作的网站现在多为自适应PC端、PAD端以及手持移动终端的响应式网站。谁也不知道网站技术会走向哪个方向,但是对于普通的企业而言,我们可以把握趋势,至少每隔两三年对网站重新快速设计制作。<br /> 企业在变,网站建设要适应发展<br /> 网站总是为企业服务的,换句话说就是网站的设计制作需要跟上企业的发展步伐。现在急剧变化的市场面前,如果想立于不败之地,企业的经营策略一定在不断调整优化。作为给企业发展提供服务的网站,其理应不断调整不断优化以适应公司需求。现在是互联网时代,用户了解公司更多的也是通过网络,网站不仅是营销的工具,更是企业品牌形象的展示窗口。由于人力成本的不断升高,而网站设计更多的需要技术人员手工完成,所以真正定制开发的网站都价格不菲。但是同样是网站建设公司网站改版也不一定就选择定制,如果有合适的模板网站,也是不做的选择。我们需要的是一个紧跟时代和用户需求的网站,而非一定采用哪种方式实现它。 </p>

Copyright © 2015 西安嘉瑞德网络科技有限公司 陕ICP备17015187号-1