企業(yè)網(wǎng)站設(shè)計(jì)中常見的安全缺陷有哪些？

發(fā)布：2019-01-24 08:26:47 瀏覽：4673

登錄驗(yàn)證漏洞

①登錄驗(yàn)證漏洞指的是攻擊者繞過登錄時(shí)的驗(yàn)證系統(tǒng)直接進(jìn)入到其他頁面的漏洞。例如有些網(wǎng)站的頁面沒有做用戶登錄驗(yàn)證系統(tǒng)功能設(shè)計(jì)。那么，攻擊者在收集到網(wǎng)站的頁面完整路徑和文件名后，在瀏覽器的地址欄中直接輸入完整URL路徑，就可以不進(jìn)行驗(yàn)證而進(jìn)入指定頁面。

②登錄驗(yàn)證漏洞的另一種是登錄驗(yàn)證頁面漏洞。多數(shù)網(wǎng)站都有登錄頁面，要求用戶輸入正確的用戶名和密碼后才可以進(jìn)入頁面，而驗(yàn)證系統(tǒng)都是通過判定用戶輸入的用戶名和密碼是否存在于數(shù)據(jù)庫中來進(jìn)行。但是，如果程序設(shè)計(jì)的不夠嚴(yán)謹(jǐn)，則會(huì)出現(xiàn)這種漏洞。

SQL注入漏洞

在網(wǎng)頁設(shè)計(jì)中，多數(shù)人機(jī)交互操作都是利用表單來實(shí)現(xiàn)的，如果在設(shè)計(jì)過程中沒有對(duì)用戶輸入數(shù)據(jù)的正當(dāng)性進(jìn)行判定的話，攻擊者可以在文本框中提交一段SL查詢代碼，根據(jù)程序返回的結(jié)果，獲得某些他想得知的數(shù)據(jù)，這就是SL注入。

文件上傳的漏洞

文件上傳漏洞指的是網(wǎng)絡(luò)攻擊者上傳了一個(gè)可執(zhí)行的惡意代碼到服務(wù)器并被執(zhí)行。在我們平時(shí)常用的很多網(wǎng)站中，例如電子郵件網(wǎng)站、論壇等很多網(wǎng)站中，都允許用戶上傳文件、圖片、視頻等內(nèi)容到網(wǎng)站服務(wù)器中。如果網(wǎng)站的開發(fā)人員沒有做好身份的認(rèn)證和數(shù)據(jù)的過濾排查，很有可能被黑客利用。黑客可以利用如Telnet服務(wù)等功能對(duì)網(wǎng)站內(nèi)容和數(shù)據(jù)進(jìn)行修改和破壞。這里上傳的惡意文件可以是木馬程序、病毒，Welsher或者惡意腳本等。這種攻擊方式直接、簡(jiǎn)單又有效。

網(wǎng)站缺乏授權(quán)?

有些網(wǎng)站在進(jìn)行網(wǎng)頁編程設(shè)計(jì)時(shí)，程序設(shè)計(jì)人員往往會(huì)使用比較繁瑣的網(wǎng)絡(luò)安全配置，使得網(wǎng)站往往缺乏授權(quán)，這就造成了網(wǎng)絡(luò)服務(wù)在其應(yīng)用運(yùn)行中出現(xiàn)非常巨大的網(wǎng)絡(luò)運(yùn)行安全缺陷。利用這些安全缺陷，網(wǎng)絡(luò)黑客們可以很容易地對(duì)網(wǎng)站的網(wǎng)絡(luò)服務(wù)器進(jìn)行遠(yuǎn)程的入侵和破壞，給網(wǎng)站的安全和企業(yè)的經(jīng)濟(jì)利益帶來了巨大的威脅和危害。再加上軟件設(shè)置的密碼簡(jiǎn)單或是網(wǎng)絡(luò)入口的防火墻性能設(shè)置過低等安全缺陷，也可以讓網(wǎng)絡(luò)黑客和網(wǎng)絡(luò)病毒能夠非常容易的對(duì)網(wǎng)站造成侵入和破壞。

網(wǎng)頁病毒的傳播

網(wǎng)頁病毒是現(xiàn)今最常見的安全攻擊。病毒具有寄生性、傳染性、可觸發(fā)性等特點(diǎn)。這些計(jì)算機(jī)病毒都是攻擊者事先設(shè)計(jì)好的可執(zhí)行文件。例如在網(wǎng)站設(shè)計(jì)文件中嵌入 Script語言編寫的惡意代碼，這種 Script 1代碼可以利用瀏覽器的漏洞來實(shí)現(xiàn)病毒植入。當(dāng)用戶登錄這些網(wǎng)站時(shí)，編寫好的Scip代碼會(huì)被執(zhí)行，網(wǎng)頁病毒一旦被觸發(fā)，就可以對(duì)網(wǎng)頁服務(wù)器資源進(jìn)行簒改。例如，我們?cè)谏暇W(wǎng)時(shí)經(jīng)常會(huì)發(fā)現(xiàn)打開某個(gè)頁面后，360安全衛(wèi)士會(huì)提醒有程序正在修改瀏覽器首頁。這就是網(wǎng)頁病毒的一種現(xiàn)象。病毒和木馬程序也有可能會(huì)關(guān)閉網(wǎng)頁中的部分功能，使得用戶無法正常使用網(wǎng)站系統(tǒng)等。最簡(jiǎn)單的方式就是網(wǎng)頁自動(dòng)跳轉(zhuǎn)程序，而這種網(wǎng)頁病毒編寫起來比較容易，而且攻擊也很直接。