傳誠(chéng)信-網(wǎng)站安全性解決方案
常見(jiàn)攻擊類(lèi)型
1、緩沖區(qū)溢出
攻擊者利用超出緩沖區(qū)大小的請(qǐng)求和構(gòu)造的二進(jìn)制代碼讓服務(wù)器執(zhí)行溢出堆棧中的惡意指令。?
2、Cookie假冒
精心修改cookie數(shù)據(jù)進(jìn)行用戶(hù)假冒。
3、認(rèn)證逃避
攻擊者利用不安全的證書(shū)和身份管理。?
4、非法輸入
在動(dòng)態(tài)網(wǎng)頁(yè)的輸入中使用各種非法數(shù)據(jù)，獲取服務(wù)器敏感數(shù)據(jù)。
5、強(qiáng)制訪(fǎng)問(wèn)
訪(fǎng)問(wèn)未授權(quán)的網(wǎng)頁(yè)。
6、隱藏變量篡改
對(duì)網(wǎng)頁(yè)中的隱藏變量進(jìn)行修改，欺騙服務(wù)器程序。?
7、拒絕服務(wù)攻擊
構(gòu)造大量的非法請(qǐng)求，使Web服務(wù)器不能響應(yīng)正常用戶(hù)的訪(fǎng)問(wèn)。
8、跨站腳本攻擊
提交非法腳本，其他用戶(hù)瀏覽時(shí)盜取用戶(hù)帳號(hào)等信息。
傳誠(chéng)信提供的解決方案
WEB程序的安全性
.NET應(yīng)用程序的安全性
Microsoft.NET框架實(shí)現(xiàn)了一個(gè)包含兩層防護(hù)的安全性體系，來(lái)防范惡意攻擊。
第一層稱(chēng)為基于角色的安全性，該層控制用戶(hù)對(duì)應(yīng)用程序資源操作的訪(fǎng)問(wèn)；
第二層稱(chēng)為代碼訪(fǎng)問(wèn)的安全性，這層不僅控制代碼對(duì)資源的訪(fǎng)問(wèn)，還將控制代碼執(zhí)行特權(quán)操作的權(quán)限。
?
代碼訪(fǎng)問(wèn)安全性
代碼訪(fǎng)問(wèn)安全性（Code?Access?Secutity,簡(jiǎn)稱(chēng)CAS）,能夠最大限度地防止用戶(hù)無(wú)意識(shí)執(zhí)行不安全的代碼。
通過(guò)使用CAS,能夠限制代碼對(duì)資源的訪(fǎng)問(wèn)。
使用權(quán)限和權(quán)限集，并提供代碼產(chǎn)地的證據(jù)，然后應(yīng)用安全策略，就能實(shí)現(xiàn)CAS.
?
防止SQL注入式攻擊是指攻擊者能夠在發(fā)送給數(shù)據(jù)庫(kù)服務(wù)器的命令中插入其他SQL語(yǔ)句，所插入的命令將破壞、修改、獲取私有數(shù)據(jù)。
?
使用加密
使用名稱(chēng)空間
Sytem.Security.Cryptography.
該命名空間提供加密服務(wù)，包括安全的數(shù)據(jù)編碼和解碼，以及許多其他操作，例如散列法、隨機(jī)數(shù)字生成和消息身份驗(yàn)證。
加密法：
.NET的加密法主要基于CryptoAPI?和相關(guān)擴(kuò)展。大多數(shù)有關(guān)加密的類(lèi)都在System.security.Cryptography,?X509Centificates?和XML中。.NET利用基于流的模型來(lái)完成加密傳輸，所有的算法都被默認(rèn)為最高的安全級(jí)別。.NET也允許用戶(hù)自己在?machine.config?中定義自己的算法。??
框架安全性
框架在系統(tǒng)層面提供了眾多的安全特性，確保你的網(wǎng)站和產(chǎn)品安全無(wú)憂(yōu)。
這些特性包括：
XSS安全防護(hù)
表單自動(dòng)驗(yàn)證
強(qiáng)制數(shù)據(jù)類(lèi)型轉(zhuǎn)換
輸入數(shù)據(jù)過(guò)濾
表單令牌驗(yàn)證
防SQL注入
圖像上傳檢測(cè)
主動(dòng)式的檢測(cè)機(jī)制
Web應(yīng)用攻擊成功的根本原因是Web程序存在安全漏洞，預(yù)防的一個(gè)有效途徑是：在網(wǎng)站遭到持續(xù)危害之前，主動(dòng)識(shí)別Web漏洞以及網(wǎng)頁(yè)木馬，并實(shí)施補(bǔ)救措施來(lái)避免攻擊，減少損失。?
Web漏洞不可能在開(kāi)發(fā)的時(shí)候就被完全發(fā)現(xiàn)并修復(fù)，因此在網(wǎng)站提供服務(wù)的過(guò)程中，會(huì)被黑客不斷挖掘，造成攻擊。?
傳誠(chéng)信通過(guò)整合多種專(zhuān)業(yè)檢查工具的自動(dòng)化檢測(cè)平臺(tái)和專(zhuān)業(yè)安全服務(wù)團(tuán)隊(duì)提供網(wǎng)站安全檢查服務(wù)，每次檢查都先由自動(dòng)化檢測(cè)平臺(tái)進(jìn)行初篩，確保檢查盡可能高效且沒(méi)有遺漏；然后再由專(zhuān)業(yè)安全服務(wù)專(zhuān)家對(duì)初篩結(jié)果進(jìn)行逐一審核和修訂，確保最終結(jié)果的準(zhǔn)確性。傳誠(chéng)信通過(guò)完善的流程有效的將工具的效率和專(zhuān)家的質(zhì)量很好的結(jié)合起來(lái)，確保服務(wù)的連續(xù)性和質(zhì)量穩(wěn)定性。?
強(qiáng)大的工具庫(kù)將支持我們的工作
IBM?Rational?AppScan?正是應(yīng)對(duì)這一挑戰(zhàn)的利器。?
AppScan?擁有龐大完整的攻擊特征庫(kù)，通過(guò)在?http?request?中插入測(cè)試用例的方法實(shí)現(xiàn)幾百中應(yīng)用攻擊，再通過(guò)分析?http?response?判斷該應(yīng)用是否存在相應(yīng)的漏洞。?測(cè)試人員可以快速的定位漏洞所在的位置，同時(shí)?AppScan?可以詳細(xì)指出該漏洞的原理以及解決該漏洞的方法，幫助開(kāi)發(fā)人員迅速修復(fù)程序安全隱患。?
網(wǎng)站安全聯(lián)盟、eesafe網(wǎng)站工具、360安全檢測(cè)等安全工具的檢測(cè)。
Rational?AppScan?工作示意圖?
定義掃描
結(jié)果分析
