高校二级网站安全问题及防护策略研究

2019-12-25◆柳强

网络安全技术与应用 2019年12期

关键词：安全漏洞攻击者漏洞

◆柳强

高校二级网站安全问题及防护策略研究

◆柳强

（湖北大学外国语学院湖北 430062）

日益复杂的网络环境使高校二级网站面临着各种安全危害，网站的安全问题不容忽视。本文分析了高校二级网站存在的各种安全问题及其产生的原因，从技术层面和管理层面提出了高校二级网站的安全防护策略。

高校二级网站；安全问题；Web应用防护系统；策略

随着计算机网络技术的发展，教育信息化水平的不断提高，高校网站建设作为教育信息化环境建设的重要组成部分也得到了快速发展。各个高校都建立了校园门户网站以及由二级学院网站、职能部门网站、各类业务系统等组成的二级网站。高校二级网站是高校网站的主体，其建设水平在很大程度上反映了高校信息化建设的水平。同时，高校二级网站作为学校形象宣传、网络教学和教育管理的窗口，已成为教学、科研、管理和公共服务的重要平台[1]。然而，由于高校二级网站在建设过程中存在着缺乏统一标准、网站开发和管理人员的技术水平参差不齐，网络安全意识薄弱等问题，导致不少二级网站存在很多安全隐患，为黑客入侵提供了机会。一旦网站被攻击者非法入侵，可能会造成网页信息被篡改、个人隐私数据被窃取、甚至可能被挂马、成为傀儡主机，从而造成不良社会影响。

1 高校二级网站安全现状

近年来各高校通过信息系统安全等级保护合规建设，加强了校园网的基础安全防范能力。然而，由于不同高校之间网络安全技术能力的不平衡，面向互联网提供服务的网站系统在安全性上还存在不少缺陷。根据赛尔绿盟安全云平台发布的2016 年第四季度高校网站安全脆弱性白皮书，对103所样本高校的101个高校门户网站和79个下属二级网站等180个样本站点进行安全检测，共发现64792个漏洞，其中中高危漏洞占28.7%。从180个样本网站的安全评分统计结果看，一级网站平均分为52.23，二级网站的平均分为22.86[2]。这说明，高校下属的二级网站存在更多安全漏洞，面临更高的安全风险级别。

高校二级网站安全面临的主要安全危害有以下几种：

（1）网站被篡改劫持

近年来黑客入侵高校网站，篡改在校大学生的学习成绩进行非法牟利的事件时有发生。另外，由于高校二级网站存在安全漏洞，经常发生网站首页被攻击者劫持跳转到黄赌毒等违法内容，造成不良社会影响的安全事件。

（2）网站被挂马，成为傀儡主机

有些高校二级网站的Web应用程序和服务器操作系统没有进行严格的安全配置，导致存在大量安全漏洞。一旦网站被黑客入侵植入木马，它就成了木马病毒传播的源头，对网站访问用户的信息安全造成严重威胁，更有甚者还会被黑客控制成为僵尸网络中的傀儡主机，被利用攻击其他站点。而网站因为挂马被安全软件屏蔽，也会对网站的公众信誉度造成损害。

（3）网站用户数据被泄露

高校网站掌握着大量集中性人群的教学、科研和管理信息。很多高校二级网站存在着诸如SQL注入漏洞、XSS跨站脚本漏洞等各种形式的安全漏洞，一旦被攻击者利用这些漏洞，就可以入侵网站数据库，窃取师生的个人隐私信息，造成极大的社会危害性。媒体曝光的黑客利用网站的安全漏洞入侵高考网上报名系统，窃取高考考生个人信息，并打包出售给诈骗团伙，导致徐玉玉被电信诈骗的案件，引起了全社会对高校网站和个人信息安全的广泛关注。

2 高校二级网站安全问题原因分析

2.1 网站程序存在安全漏洞

高校二级网站在开发过程中，往往只强调网站功能的实现和界面的美观，而忽略了网站程序的安全设计。攻击者很容易利用程序控制不严产生的安全漏洞对网站进行Web脚本攻击，导致网站数据库被SQL注入、挂马和暴库。这些网站应用程序存在身份验证和访问控制方面的缺陷，是导致SQL注入漏洞、XSS跨站脚本漏洞等应用层威胁的直接原因。

（1）SQL注入漏洞

SQL注入漏洞产生的主要原因是网站开发人员在编写程序过程中没有规范书写SQL语句，对用户输入的数据没有进行过滤和转换，导致攻击者可以通过精心构造的输入参数传入Web应用程序去非法获取数据库中的数据，造成网站数据库中存储的大量个人隐私信息泄露。此外，攻击者还能侵入网站数据库篡改网页内容和网站后台管理账户，在数据库的某些字段信息里插入木马链接，进行网页挂马攻击等。

（2）XSS跨站脚本漏洞

XSS跨站脚本漏洞形成的原因和SQL注入漏洞类似，也是网站开发人员在编写程序过程中对输入输出的控制不够严格，没有对用户提交的数据进行过滤和转换就直接输出到页面。恶意攻击者利用此安全漏洞将精心构造的脚本插入到网页的某个特定位置，当用户访问该页面时，嵌入其中的恶意脚本会被解析执行从而产生危害。虽然XSS跨站脚本攻击对网站不会造成直接影响，但它可以利用网站中的漏洞攻击其他用户实现恶意目的，如网络钓鱼诈骗，敏感信息窃取，恶意代码传输和感染等。

2.2 网站服务器操作系统和应用软件的漏洞

服务器是提供Web服务运行的环境基础，一旦服务器被攻击者侵入，服务器上部署的所有网站系统都会受到威胁。目前高校Web服务器常用的操作系统主要有Windows Server和Linux。由于软件在逻辑设计和编码时存在缺陷，操作系统不可避免会存在安全漏洞。如果不及时更新操作系统的安全补丁，服务器将会面临感染病毒、系统崩溃、隐私泄露等安全风险。另外用于构建网站运行环境的Web服务器软件（如IIS、Apache、Nginx）也存在安全漏洞，例如IIS中存在的IIS远程代码执行漏洞和IIS写权限漏洞（HTTP PUT方法利用）。此外，服务器在配置管理上也存在不少安全漏洞，例如系统启用和打开了一些不必要的服务和端口、使用默认用户名和密码等[3]。这些服务器安全策略配置的不完善是导致信息泄露型漏洞、拒绝服务型漏洞的直接原因。

（1）信息泄露型漏洞

信息泄露型漏洞主要包括Web服务器文件夹安全权限设置不严、IIS短文件名枚举漏洞、服务器启用TRACE Method等。恶意攻击者能够利用此类漏洞，获取网站诸如用户名和密码等重要信息数据。

（2）拒绝服务型漏洞

拒绝服务型漏洞主要指Web 服务器的安全配置策略不严格，导致遭受HTTP缓慢拒绝服务攻击，造成服务器的系统资源和可用连接被非法消耗，影响Web服务器的正常工作。

2.3 网站安全保护设备缺失

通常高校在校园网的出口都设置了防火墙，但各个单位建立的二级网站普遍缺少基于Web应用层的安全防护设备。目前超过80%的Web攻击都发生在应用层，形式多样的攻击手段仅靠传统的防病毒、防火墙措施是无法防御的。由于传统防火墙无法检测和拦截Web服务请求，这些针对高校二级网站的攻击可以绕过防火墙的检测，对Web应用层进行渗透，从而获取网站敏感信息，进行脚本攻击[3]。

2.4 网站日常管理维护不到位

在网站的日常管理中，有些管理员的安全意识薄弱，对服务器操作系统超级管理员密码、网站后台管理员密码的设置过于简单，容易被破解。网站管理员没有定期检查网站系统软硬件运行环境，网站程序和数据没有定期进行备份。

3 高校二级网站安全防护策略

高校二级网站的安全防护单靠技术或单靠管理都是无法实现的，必须综合考虑。针对高校二级网站存在的各种安全问题，本文从技术层面和管理层面提出以下防护对策。

3.1 规范网站安全编码原则，提高开发人员安全编码技能

网站程序漏洞是Web应用系统中被攻击者利用最多的漏洞类型。要避免Web应用程序安全性问题，就应该在网站程序开发过程中执行安全编码规范，包括：用户输入输出的统一验证、过滤和编码；使用安全身份验证，包括采取验证码、连续多次登录失败强制锁定账户以阻止黑客暴力攻击等措施；对网站账户密码等敏感数据采取哈希加密方式进行存储；建立访问控制策略，防止未授权用户的访问；保证文件上传和下载安全，包括对上传文件的格式进行检查、对上传和下载路径进行过滤限制等[4]。

3.2 网站服务器安全加固

为了有效保障网站服务器的安全稳定运行，应定期对网站系统进行安全扫描，并对在扫描中发现的服务器操作系统、数据库系统和Web应用系统的安全漏洞进行加固配置。

（1）操作系统安全加固

操作系统的安全加固措施包括更新系统安全补丁、关闭不需要的端口和服务、配置防火墙并开启防火墙策略、加强权限管理，对系统重要文件进行访问控制，限制用户的访问权限、修改系统安全配置策略，检查用户账号和密码安全、开启审核策略等。

（2）数据库系统安全加固

网站数据库系统的安全加固包括使用安全的账号和密码策略、使用加密通讯协议、修改并加固默认端口、限制可以访问数据库的IP、加强数据库日志的记录和管理，防止非授权用户对日志文件进行访问等。

（3）Web应用系统安全加固

Web应用系统的安全加固包括对要进行网站数据库访问的程序进行安全检查，防止攻击者构造恶意脚本、合理配置用户权限和安全策略等。

3.3 安装Web应用防护系统

由于传统的网络防火墙无法有效地防御攻击者对Web应用层的攻击，高校二级网站需要部署Web应用防护系统拦截来自应用层的非法请求，全面防御网站被非法攻击与入侵，Web应用防护系统具有以下功能。

（1）防止攻击者控制网站服务器，降低信息泄露风险。Web应用防护系统能对HTTP请求进行安全检测，通过精练的正则表达规则对攻击脚本实施过滤，加上HTTP状态码拦截等机制，降低网站数据库数据泄露风险。

（2）保障网站服务的可用性。Web应用防护系统集成DDOS（包括CC）攻击防护功能，提供SYN Flood、ICMP Flood、UDP Flood等多层次攻击过滤，保障网站的可用性。

（3）对网站进行访问控制。Web应用防护系统支持多种Web访问控制，包括IP白名单和黑名单、URL访问控制、Cookie过滤、控制文件非法上传和下载、阻止网站图片文件等资源被非法盗链和限制搜索引擎爬虫等。

（4）保护Web客户端。Web服务的提供者有责任对Web客户端进行安全保护，Web应用防护系统通过实施CSRF跨站请求伪造防御、XSS跨站脚本防御、Cookie防篡改（包括对Cookie进行加密和添加签名）等多种安全保护策略，对Web客户端进行安全保护[5]。

3.4 增强网络安全意识

高校二级网站必须要确保其数据的安全性才能发挥其应有的作用。因此高校二级网站的安全管理问题应该受到单位领导和网站管理员的高度重视。增强网站管理员的网络安全意识是保证网站信息安全的前提[6]。高校每个单位都可以通过参加网络安全、网络技术、网络管理等方式对网站管理员进行培训，提高网站工作人员的安全意识，丰富安全知识。高校可将网站安全责任明确划分、落实到人，将网站建设管理情况纳入考核指标，增强网站管理员在工作中的主观能动性。

3.5 完善网站安全管理制度

网站的安全运行离不开高效的维护和管理，高校要从多个方面建立完善的网站管理制度，以保障安全技术措施的有效性，并在网站的日常管理维护中严格执行。网站安全管理制度主要包括：服务器机房管理制度、网站用户信息安全管理制度、网站信息发布和审核制度、信息系统密码管理制度、计算机病毒防范制度、网站数据信息备份管理制度和网络安全教育培训制度等[7]。高校通过建立健全二级网站的各项安全管理规章制度，使网站信息发布、数据备份、人员培训等各项管理工作做到有章可循。