Web 安全及其防护技术分析

摘要：由于Web安全问题会影响其应用效果和服务器性能，因此做好相应的防护设计必不可少。文章分析了Web安全及其防护技术的研究现状，介绍了几种常用防护技术。

关键词：防护技术;Web服务器;安全

中图法分类号：TP393文献标识码：A

Analysis of Web security and its protection technology

HU Hengbo

（Sichuan Technology and Business University，Chengdu 611745，China）

Abstract：Because Web security issues will affect its application effect and server performance， it is essential to do a good job of corresponding protection design. By analyzing the research status of Web security and its protection technology， this paper introduces several commonly used protection technologies.

Key words：protection technology， Web server，security

随着互联网技术的快速发展，Web 服务器遭受恶意攻击的情况越来越多，因此相关安全防护技术受到人们的重视。Web 平台常常会出现漏洞，给外部攻击者提供可乘之机，在开展安全防护工作时，也须基于漏洞的实际情况。

1背景

企事业单位建立内部业务系统和对外信息发布平台都要用到 Web 应用技术，该技术在为用户提供便利同时，也为信息服务商提供了构建信息系统的标准技术。随着 Web 平台的普及，针对 Web 的攻击越来越多。传统网络安全防护系统难以高效处理数据，不能有效防御 Web 应用程序的攻击，所以有必要研究 Web 安全防护技术，以保障 Web 应用程序安全[1]。

2现状与意义

采用 HTTP 协议发起的 Web 应用攻击所用到的技术是对 Web 服务器功能进行扩展，在 Web 服务器的软件内增加安全防护模块，并在 Web 服务器未处理请求数据前做好安全检查，以区分用户与攻击者，这就是 Web 服务器扩展技术。面对安全威胁，国内外科研机构开始参与 Web 安全防护技术的研究，如中创软件商用中间件股份有限公司基于“国家863技术成果”研发 Info Guard Web 防篡改中间件。随着 Web 攻击方式的演化，推出新的防护策略显得尤为重要。研究 Web 安全防护技术对保障 Web 应用平台稳定运行有着重要意义。

3综述

3.1 Web 服务器的漏洞类型

Web 安全漏洞指的是 Web 系统在设计与实现过程中存在的安全缺陷，非法用户充分利用漏洞获得高级系统权限，使自己在未经过授权的情况下登录系统，降低了 Web 的安全性与稳定性。

Web 服务器的漏洞类型包括：（1）用户访问 Web 时，出现请求遭拒的问题，此时用户接收不到 Web 服务器响应消息。（2）公共网关接口是 Web 信息服务和外部应用程序的接口，具有数据交换的作用，支持浏览器内用户交互，但该环节也容易发生安全问题。（3）用户远程向 Web 服务器发送信息时，信息被攻击者拦截，使用 simple Box 与 secret Box 工具，聯合固态加密算法，可建立安全性较高的 Web 服务。

3.2 Web 应用系统存在的漏洞

Web 应用系统的漏洞类型主要包括高危漏洞、中危漏洞以及低危漏洞。其中，高危漏洞体现于跨站点脚本，这是一种 html 注入攻击，常见的有反射型与存储型两种，恶意用户将 JavaScript，VBScript，ActiveX， HTML 或 Flash 注入应用程序，企图欺骗用户并在这些程序内采集数据，随后攻击者窃取会话 Cookie 来冒充用户完成操作，甚至接管用户的账户，修改页面内容，最终导致/nav/项目受到影响。中危漏洞一般指缺乏 CSRF 保护的 HTML 表单，这类警告有可能属于假阳性，要求用户手动确认，攻击者利用用户身份来操作对方账户，由于 Web 具有隐式身份验证机制，攻击者会采用这样的攻击方式，导致用户 Web 系统中的/message.asp 项目受到影响。

4 Web 安全及防护技术

4.1 Web 防篡改技术

外部攻击者对 Web 相关页面进行恶意篡改是比较常见的安全问题。当 Web 被攻击、篡改时，常常会导致其阅读量和点击量上升、信息传播速度加快，带来的不利影响一般难以恢复，这种攻击是不容易防范的安全问题，对 Web 的应用产生很大威胁，为此，我们需要应用 Web 防篡改技术。

在 Web 防篡改技术中，实际上是借助了信息恢复技术以及监控技术。若 Web 信息数据遭到恶意改动，或是部分内容存在异常情况，则可通过信息恢复技术恢复系统信息、数据以及内容，确保其达到良好运行状态。监控技术则负责对 Web 的实时运行动态加以监控，防范各种问题。但目前我们所应用的 Web 防篡改技术还有许多不完善之处，其也在不断更新。比如，应用某 Web 防篡改技术后，服务器的性能会发生改变，整体管理变得更加复杂，同时部分动态页面的防护仍旧存在漏洞，也须投入额外的技术成本，若负责防止篡改Web的内部系统遭到外部攻击，则其便会失去 Web 防护能力。除此之外，大部分 Web 防篡改技术具有局限性，只能够在静态页面防护中发挥良好作用，这也是需要注意的问题[2]。图1为iGuard Web 防篡改系统。

4.2密码安全防护技术

实际上，在应用 Web 服务器的过程中，其系统在安装的过程中会将部分内容默认为开启状态，其开启的账号通常无法起到直接作用，如 Guest 账号，若这些账号的安全防护不到位就会被非法人员窃取和利用。为此，我们还需应用密码安全防护技术，加强对系统账号的密码管理，提升账号安全度。比如，在设置管理员账户时，可以设置两个或两个以上的管理员账户，若其中一个管理员账户发生异常或被盗时，则剩余管理员账户也能对计算机系统进行规范操作。为了保障账号安全，还需对管理员账户加强权限控制，尽可能避免使用 Windows 默认的 administrator 账户。对于管理员账户，应当尽可能提升密码的复杂程度，不能让密码轻易被破解，设置密码设置权限时不允许只使用数字排列，应当包含字母，或者添加特殊符号来组成密码字符，以有效提升其安全性[3]。

4.3反向代理技术

反向代理技术通常是以服务器形式来应用，将反向代理的相关服务器看作是目标服务器，让访问用户能够通过该服务器获取资源。对于 Web 应用来说，反向代理还具有加速作用，同时能够降低网络服务的实际负载，提升用户访问效率。Web 服务器发挥防护作用时，会将反向代理服务器设置在目标服务器之前，用户之后，当用户发出访问请求时，反向代理服务器会进行分析并判断，避免 Web 服务器遭到攻击。简单来说，这是对外部用户的访问设置权限，便于控制和防护，确保 Web 服务器能够正常运行，其防护原理与防火墙十分相似，可有效抵抗外部非法分子的攻击，利用反向代理服务器来保护 Web 应用安全，阻拦“不友善”的访问，也能够避免 Web 内容被恶意篡改，并且该技术对于服务器系统的运行影响较小，也不会导致管理变得复杂。由于可以减少 Web 服务器的负荷，因而反向代理技术还具有优化 Web 性能的特点。与 Web 防篡改技术相比，反向代理技术更具可靠性，同时其适用性更强、应用范围更广，但其也存在投资金额较大的缺点。当前，只有一些规模较大的门户网站会应用该技术。

4.4蜜罐技术

在 Web 安全防护过程中，也常应用蜜罐技术。该技术的特点是具有欺骗性，针对攻击方设下陷阱，从而达到对系统安全的防护作用。在设置蜜罐时，其本身也应当拥有一定的漏洞，这样才能够引诱攻击。若黑客攻击计算机 Web 系统，则蜜罐技术会基于黑客信息来开展分析，反向了解入侵方攻击的主要手段，还能够获取对方 IP 来源，实时跟踪最新攻击位置、掌握其攻击手段与路径，对本服务器的漏洞加以修复，以免 Web 服务器再次遭到非法攻击。

对于 Web 安全防护来说，蜜罐技术的优点是做到了监控一切外来用户请求，同时判断用户访问是否规范且安全，且应用该技术不会对 Web 性能产生不利影响。但由于蜜罐技术具有一定的特殊性，其漏洞属于“高危”形式，管理者稍有不慎就很可能导致系统被破坏，且蜜罐也有被破坏的可能，因此使用该技术的关键在于用好设陷技术[4]。

4.5限制 IP 访问

对 Web 进行访问的所有用户端都对应着各自的 IP 地址，从 IP 着手也能够提升 Web 服务器的安全水平。比如，在 Web 服务器的过滤模块中对 IP 访问设限，对所有访问者进行控制，便于筛选出安全用户。在该技术的作用下，HTTP 会生成一个认证身份的功能，用户对 Web 服务器进行访问时，先会发出一个请求，然后服务器将身份认证信息请求发出，访问者输入用户名和密码信息，再经由服务器认证这些信息，若用户符合要求则通过认证，允许其继续对Web服务器进行访问，若不能通过认证，则不允许访问，这在很大程度上增强了 Web 安全防护能力。

4.6加强客户端管理

在分析 Web 服务器和应用系统安全时可以看出，部分漏洞通常是很难避免的，这些漏洞的存在给网络攻击提供了便利，一些黑客和木马病毒会借助漏洞攻击 Web 服务器，如散播恶性程序代码，导致其安全性下降。因此，為了保证对漏洞的有效修复，避免 Web 服务器遭受恶意攻击，还需强化客户端管理，从根本上做好 Web 安全防护。比如，将 Web 服务器中的信息加以备份，但需注意的是，备份操作也会造成一定的安全隐患，相关信息容易被黑客盗取，因此可以为备份信息设置密码并形成相应磁盘，且数据要进行加密处理，从而有效提升安全防护水平。

4.7安装杀毒软件，设置防火墙

针对计算机中的病毒或者恶意攻击，有必要安装杀毒软件以及采用防火墙技术，实现对网络的安全防护。实际上，杀毒软件可以拦截病毒，为保障计算机系统安全，用户每次使用计算机或者登陆 Web 之前都要应用软件进行杀毒，以便及时发现病毒并处理病毒，保证计算机正常运行。

防火墙技术是 Web 安全防护技术的重要组成部分，在对其进行应用时一般在 Web 系统与计算机之间的内部网络中设置防火墙，从而提升 Web 的防攻击能力。设置防火墙时一般采用信号识别控制法，以识别系统主机信号，排除潜在安全隐患，为 Web 的信息传输营造良好的环境。防火墙技术一般采用递进式信息识别机制对 IP 进行识别，同时屏蔽安全隐患信号， Web 系统管理人员需要及时升级防火墙技术，同时编写系统漏洞检测程序，以便更好地利用相应防护技术。

5结论

Web 安全防护问题一直备受关注，Web 服务器在运行的过程中常常面临多种形式的攻击（包括黑客以及木马病毒的攻击），在对其进行安全防护的过程中需要应用多种防护技术，其中包括 Web 防篡改技术、密码安全防护技术、反向代理技术、蜜罐技术等。

参考文献：

[1]韦磊，宁玉文，高东怀，等.HTTPS 协议下的高校 Web 应用防火墙部署模式研究[ J].自动化与仪器仪表，2021（12）：109?112+124.

[2]刘学章，黄庆佳，谢静，等.面向 Web 安全防护的蜜罐技术研究[J].保密科学技术，2021（2）：28?33.

[3]于金郎.计算机网络信息安全及其防护技术分析[J].数码世界，2019（11）：258.

[4]陈刚，逯柳.Web 系统安全问题与防护机制研究[ J].无线互联科技，2019，16（15）：108?109.

作者简介：

胡恒搏（2000—），本科，研究方向：物联网工程。