网站安全分析
| 安全威胁 | 核心原理 | 典型攻击 / 危害 |
|---|---|---|
| 非授权访问 | 网站身份认证存在缺陷，攻击者拿到合法账号权限 | 口令猜测、撞库；非法访问网站业务与后台信息 |
| 网页篡改 | 网站组件存在漏洞，攻击者入侵后修改页面内容 | 文件上传漏洞、服务器系统漏洞；替换网页，发布虚假信息 |
| 数据泄露 | 访问控制不足，Web 应用漏洞可直接读取后台数据库 | SQL 注入，下载、窃取数据库内敏感业务数据 |
| 恶意代码（网站挂马） | 植入网页木马，访问者浏览页面时自动下载执行木马 | 访客终端被控制，账号、隐私信息被盗 |
| 网站假冒（钓鱼） | 域名欺骗、域名劫持、中间人攻击，伪造仿冒站点 | 诱骗用户输入账号密码，窃取用户敏感信息 |
| 拒绝服务 DoS/DDoS | 消耗网站带宽、服务器资源，利用 TCP/IP 协议缺陷 | UDP 洪水、ICMP 洪水、SYN 洪水、HTTP 洪水；网站无法对外提供访问 |
| 网站后台管理安全威胁 | 后台管控薄弱，管理员账号、程序、权限设计存在缺陷 | 1. 管理员账号密码被暴力猜测窃取2. 后台页面存在 SQL 注入、认证绕过3. 权限未做角色划分，管理员权限过大，内部风险高 |
Apache Web 安全分析
| 威胁类别 | 核心说明 | 典型攻击 / 风险点 |
|---|---|---|
| 软件程序威胁 | Apache 软件本身代码存在漏洞，底层程序缺陷 | 缓冲区溢出漏洞；成功利用可远程执行恶意指令，接管服务 |
| 软件配置威胁 | 管理员不合理配置，泄露敏感资源 | 目录索引（目录浏览）、可预测资源路径、服务器信息泄露 |
| 安全机制威胁 | 身份认证、授权机制存在缺陷 | 口令暴力破解、授权不足、弱密码找回验证缺陷，造成非授权访问 |
| 应用程序威胁 | 部署在 Apache 上的 Web 应用代码漏洞，不是 Apache 本体漏洞 | SQL 注入、输入验证错误，执行恶意指令，入侵网站 |
| 服务通信威胁 | HTTP 明文传输，通信内容可被嗅探抓包 | 中间人监听，窃取传输的账号、会话、敏感业务数据；可部署 HTTPS 解决 |
| 服务内容威胁 | 网站页面内容被篡改、伪造 | 网页篡改、网络钓鱼，发布虚假信息欺骗访问用户 |
| 拒绝服务威胁 | 消耗服务器 CPU、内存资源，耗尽系统资源 | DoS 攻击，Apache 无法响应 HTTP 请求，网站瘫痪不可访问 |
Apache Web 安全机制
| 安全机制 | 核心说明 | 关键配置 / 考点 |
|---|---|---|
| 本地文件安全 | 控制 Apache 相关文件的属主与权限，保护服务器本地文件 | chown -R root.root；httpd 权限511；日志文件600，限制日志只读权限 |
| 模块管理机制 | 模块化架构，按需启用 / 禁用模块，缩减攻击面 | --disable-module关闭不需要模块；例如 autoindex（目录浏览）、userdir 等，不需要就禁用 |
| 认证机制 | 支持目录身份认证，基于 htpasswd 创建账号，.htaccess 配置 | AuthName、AuthType Basic、AuthUserFile、Require valid-userhtpasswd -c：新建密码文件；不加 - c 追加用户 |
| 连接耗尽应对机制 | 对抗慢速连接类 DoS（大量 408 请求超时） | 1. 调小 Timeout，合理设置 MaxClients2. 限制单 IP 最大连接数，防火墙封禁攻击源 IP3. 识别并拦截多线程下载工具（User-Agent） |
| IP / 域名访问控制 | 基于 IP、域名做访问授权，白名单思路最佳 | order deny,allow；先deny from all，再 allow 放行可信网段 |
| 审计与日志机制 | 两类日志记录访问与错误行为 | access.log：全部访问请求error.log：错误请求（如 408 超时） |
| DoS 防护模块 | Apache DoS Evasive Maneuvers Module | 快速拒绝同一 IP 重复请求，依靠 Hash 表统计请求 |
Apache Web 安全增强
| 安全增强措施 | 核心说明 | 关键配置 / 考点 |
|---|---|---|
| 1. 及时安装补丁 / 升级版本 | 关注官方安全公告，更新到最新稳定版本，修复已知程序漏洞 | 定期查看 Apache 官网安全预警 |
| 2. 启用.htaccess 保护网页 | 目录级独立配置文件，可设置密码认证、自定义错误页、URL 重定向、关闭目录浏览等 | AllowOverride控制是否允许读取.htaccess；不需要时设为AllowOverride None |
| 3. 独立专用用户 / 组运行 Apache | 遵循最小特权原则，单独账号启动服务，不要使用 nobody/nogroup | 限制进程权限，入侵后降低横向渗透风险 |
| 4. 隐藏版本信息 | 防止攻击者依据版本查找对应 CVE 漏洞 | ServerSignature Off；ServerTokens Prod，隐藏版本、模块信息 |
| 5. 目录访问安全增强 | 关闭目录索引，限制目录访问，禁止重载 htaccess | Options -Indexes FollowSymLinks关闭目录浏览Order deny,allow；AllowOverride None |
| 6. 文件目录权限加固 | 利用操作系统权限，区分 ServerRoot、DocumentRoot、cgi-bin、bin、logs 目录 | conf 目录 600；htdocs 网页 664；cgi-bin 555；bin 目录 550 |
| 7. 删除默认无用文件 | 清理自带样例，减少暴露信息 | 删除源码、默认 html、CGI 样例、默认用户文件 |
| 8. 第三方工具增强安全 | ①chroot 沙箱：将 Apache 限制在指定根目录，限制逃逸②OpenSSL：部署 SSL/TLS，加密 HTTP 通信③TCP Wrappers：hosts.allow/hosts.deny，IP 访问控制 | chroot/jail 构建沙箱；HTTPS 加密传输；TCP Wrappers 做 IP 黑白名单 |
IIS 安全分析
| 安全威胁 | 核心说明 | 典型案例 / 考点 |
|---|---|---|
| 非授权访问 | IIS 配置错误、弱口令等漏洞，攻击者非法访问资源，获取系统控制权 | 账号弱口令、配置疏漏，越权读取网站与服务器资源 |
| 网络蠕虫 | 利用 IIS 程序缓冲区溢出漏洞，自动传播蠕虫病毒 | 红色代码 (Code Red)，经典 IIS 蠕虫攻击 |
| 网页篡改 | 利用网站漏洞入侵服务器，恶意修改网页内容 | 篡改页面、发布虚假信息，损害网站公信力 |
| 拒绝服务 DoS/DDoS | 消耗服务器系统资源，IIS 无法响应 HTTP 请求，服务瘫痪 | 分布式拒绝服务 DDoS 攻击 |
| IIS 软件漏洞 | IIS 自身程序缺陷，漏洞类型丰富 | DoS、远程代码执行、缓冲区溢出、提权、认证旁路、XSS、内存破坏、信息泄露 |
IIS 安全机制
| 安全机制 | 核心说明 | 关键考点 |
|---|---|---|
| 认证机制 | IIS 提供多种身份认证方式 | 匿名认证、基本验证、摘要 (Digest) 认证、证书映射认证、IIS 证书认证、Windows 集成认证（NTLM）匿名认证：无其他认证策略时默认启用 |
| 访问控制 | 多重访问控制组合校验：请求过滤、URL 授权、IP 地址限制、文件授权 | 访问控制流程顺序：IP 限制校验 → 用户身份认证 → Web 站点权限 → NTFS 文件权限，任意一步不通过直接拒绝访问IP 限制：拉黑攻击源 IP，仅放行可信 IP；请求过滤可拦截恶意 URL 字符串 |
| 日志审计 | 记录 Web 访问行为；可联动操作系统、数据库、应用日志做综合审计 | 用于安全事件追溯、攻击行为分析 |
IIS 安全增强
| 项目 | 安全增强措施 | 核心说明 & 考点 |
|---|---|---|
| IIS 安全增强 | 1. 及时安装 IIS 补丁 | 关注微软安全响应中心 MSRC发布漏洞公告，修复系统漏洞 |
| 2. 动态 IP 限制 Dynamic IP Restrictions | 抵御 DoS、暴力破解；基于并发请求数 / 一段时间内请求总量自动封禁 IP | |
| 3. URLScan | 过滤、拦截危险 HTTP 请求，阻断恶意访问 | |
| 4. IIS WAF（ThreatSentry 4） | 防护 SQL 注入、XSS、CSRF、DoS；基于行为检测，识别零日攻击 | |
| 5. 启用 SSL/TLS | 加密传输，解决 HTTP 明文传输造成的数据窃听风险 | |
| Web 应用安全概述 | 技术安全漏洞 | 代码处理缺陷：SQL 注入、XSS 跨站脚本、恶意文件执行、不安全的直接对象引用 |
| 业务逻辑漏洞 | 业务流程设计缺陷：密码重置漏洞、短信轰炸、登录凭证绕过、交易未校验 |
Web 应用漏洞防护
| 漏洞类型 | 攻击原理 | 防护措施 | 考点要点 |
|---|---|---|---|
| SQL 注入 | Web 应用未对用户输入做过滤，把用户构造的恶意 SQL 拼入语句，后台数据库直接执行，可查询、篡改数据库数据 | 1. 输入过滤验证：黑名单拦截关键字；白名单优先只允许合法输入 2. 数据库账号最小权限，禁止使用 DBA 账号连接数据库 3. 屏蔽详细数据库错误提示，防止泄露库、表结构 4. 开源 Web 程序进行安全改造 | 核心根源：字符串拼接 SQL 语句 ；推荐使用预编译 / 参数化查询（教材此处写黑白名单，考试优先按教材） |
| 文件上传漏洞 | 代码未严格校验上传文件，攻击者上传 WebShell，获取服务器控制权限 | 1. 上传目录设置为不可执行 2. 校验上传文件，拦截恶意脚本文件 | 关键点：即使上传成功，如果目录不可执行，webshell 无法运行 |
| 跨站脚本 XSS | 向网页注入恶意 JS 脚本，在受害者浏览器中执行，控制浏览器页面，实施钓鱼、窃取 Cookie | 攻击模式：HTML 内容替换、嵌入脚本、加载外部恶意 JS | XSS 攻击对象：访问网站的用户浏览器，不是 Web 服务器本身 |
网站安全保护机制
| 保护类别 | 核心目标 | 技术 / 管理措施 | 考点摘要 |
|---|---|---|---|
| 身份鉴别 | 防止非授权用户访问网站重要资源 | 账号口令、U 盾、人脸识别、证书统一身份管理 | 对访问用户做身份核验 |
| 访问控制 | 阻止非授权用户访问网站资源 | 防火墙黑白名单、数据加密；OS / 数据库 / Web 服务 / Web 应用内置访问控制 | 多层访问控制叠加，IP 黑名单阻断攻击源 |
| 网站内容安全 | 内容合规，防止网站被恶意利用 | 文字内容检测、网页防篡改、敏感词过滤 | 保障网页内容不被篡改、符合法规 |
| 网站数据安全 | 保护网站数据，防泄露、破坏、隐私外泄 | 数据隔离、数据加密、SSL、数据备份、隐私保护 | 保护静态业务数据与用户隐私 |
| 网站安全防护 | 识别并阻断 Web 攻击，抵御 DDoS | 防暴力破解、Webshell 拦截、目录遍历防护、SQL 注入防护；DDoS 流量清洗，抵御 SYN/ACK/ICMP/UDP/HTTP/DNS Flood、CC 攻击 | Web 攻击防护 + DDoS 清洗两大能力 |
| 安全审计与监控 | 掌握站点运行状态，留存日志用于取证 | Syslog、Web 流量捕获、网页篡改 / 挂马巡检、Web 入侵检测、电子取证 | 日志留存，用于事后追溯取证 |
| 应急响应 | 处置安全事故，保障业务持续运行 | 网页防篡改、域名灾备、流量清洗、灾备中心、攻击取证 | 事件发生后的处置与业务恢复 |
| 合规管理 | 满足法律法规要求 | 网站备案、网站防伪标识、等级保护测评 | 等保、备案属于合规层面要求 |
| 网站安全测评 | 发现安全隐患，指导整改 | 漏洞扫描、渗透测试、代码审核、风险分析 | 事前安全检测，发现隐患 |
| 网站安全管理机制 | 落实安全责任，持续改进安全体系 | 安全方针策略；网站建设、运维、内容、域名、应急预案等管理制度，制度持续修订执行 | 管理制度、责任落实（管理层面） |
网站攻击防护及安全监测
| 防护 / 监测手段 | 核心说明 | 关键考点 |
|---|---|---|
| 防火墙 | 网站第一道屏障1. 包过滤防火墙：IP 层数据包过滤2.WAF（Web 应用防火墙）：针对 80/443 端口，防护 Web 应用攻击开源 WAF：ModSecurity；厂商：安恒、天融信、华为 | WAF 工作在应用层，专门防护 Web 攻击；包过滤防火墙仅网络层 |
| 漏洞扫描 | 定期扫描服务器，发现漏洞并输出报告，指导整改扫描类型：端口扫描、Web 漏洞扫描、WebShell 检测开源工具：Nikto、Httprint、WebScarab、Wireshark商业工具：AIScanner、明鉴系列、IBM AppScan | 明鉴 WebShellScanner 专门检测网页木马；AppScan 是经典商业 Web 扫描器 |
| 网站防篡改 | 两类实现技术：①操作系统文件事件监控，检测文件完整性变化②单向哈希函数（密码学）校验文件发现篡改后，自动恢复原始网页 | 核心：校验页面完整性，检测到改动自动还原页面 |
| 网络流量清洗 | 识别并滤除 DoS/DDoS 恶意流量，放行正常业务流量，转发至目标站点 | 主要对抗 DDoS 洪水攻击，部署在互联网入口处 |
| 网站安全监测 | 持续监控网站整体安全状态，及时告警处置事件监测项目：1. 漏洞监测；2. 挂马监测（WebShell、恶意 URL）；3.ICP 备案监测4. 网站合规、敏感词监测；5. 网站性能监测6.DNS 监测；7.IDS/IPS 入侵检测，捕获攻击行为 | IDS/IPS 用于实时发现正在发生的入侵行为 |