TP10 安全优化 ACCP 6.0 Y2-JAVA-3使用Java企业级技术开发大型系统 PPT课件.ppt

1、安全优化安全优化第十章第十章回顾与作业点评回顾与作业点评Spring如何与如何与Struts 2集成？集成？Spring如何与如何与Hibernate集成？集成？为什么使用为什么使用Web服务？服务？使用使用JQuery的好处？的好处？预习检查预习检查DDoS攻击的主要攻击方式包括？攻击的主要攻击方式包括？对表单输入的数据应该作哪些验证？对表单输入的数据应该作哪些验证？防止防止SQL 注入有哪些方法？注入有哪些方法？在在IIS 上配置上配置 https 协议有哪些主要的步骤？协议有哪些主要的步骤？本章任务本章任务使用使用MD5加密密码字段加密密码字段防止防止SQL注入注入防范防范XSS攻击攻击

2、配置数据库备份配置数据库备份配置配置Tomcat支持支持HTTPS协议协议本章目标本章目标网站面临的安全风险网站面临的安全风险安全优化方案安全优化方案强化程序安全强化程序安全强化数据安全强化数据安全网站面临的安全风险网站面临的安全风险SQL注入注入网络监听网络监听字典攻击字典攻击系统漏洞扫描系统漏洞扫描DDoS攻击攻击知己知彼，百战不殆，使用常见的网络攻击知己知彼，百战不殆，使用常见的网络攻击方法是了解网站是否安全的途径方法是了解网站是否安全的途径SQL注入注入SQL注入是通过修改注入是通过修改URL参数或提交特殊的表参数或提交特殊的表单信息等方式将恶意的单信息等方式将恶意的SQL命令注入到后

3、台数命令注入到后台数据库引擎执行的能力据库引擎执行的能力SQL注入注入通过通过“用户登录用户登录”功能注入功能注入String Sql=select ID,Name,Phone from Users where username=+username+ and password=+password+String Sql = select ID,Name,Phone from Users where username= or 1=1- and LoginPwd=username 为为 or 1=1- password 为空为空网络监听网络监听利用网络监听可以拦截网络传输过程中的数据利用网络监听可以

4、拦截网络传输过程中的数据字典攻击字典攻击字典攻击也叫暴力破解，其原理就是将可能包字典攻击也叫暴力破解，其原理就是将可能包含有字符串的多个密码组合，逐个验证含有字符串的多个密码组合，逐个验证系统漏洞扫描系统漏洞扫描利用服务器漏洞也是网站遭受攻击常见的攻击利用服务器漏洞也是网站遭受攻击常见的攻击方式方式IIS漏洞漏洞应用软件的漏洞应用软件的漏洞利用服务器漏洞扫描软件利用服务器漏洞扫描软件X-Scan发现系统漏洞发现系统漏洞配置扫描参数配置扫描参数开始扫描，根据设置的开始扫描，根据设置的IP范围和扫描模块逐项扫描范围和扫描模块逐项扫描扫描结束，得到扫描报告，分析扫描报告，查看扫扫描结束，得到扫描报告

5、，分析扫描报告，查看扫描报告中提示的安全漏洞解决方案描报告中提示的安全漏洞解决方案系统漏洞扫描系统漏洞扫描X-Scan系统漏洞检测报告系统漏洞检测报告扫描时间扫描时间检测结果检测结果主机列表主机列表主机分析主机分析安全漏洞及解决方案安全漏洞及解决方案DDoS攻击攻击DDoS攻击也叫拒绝服务式攻击，它是利用合理攻击也叫拒绝服务式攻击，它是利用合理的服务请求来占用过多的服务器资源，从而让的服务请求来占用过多的服务器资源，从而让服务器无法正常提供服务服务器无法正常提供服务DDoS攻击攻击DDoS攻击主要的两种攻击方式攻击主要的两种攻击方式流量攻击，致使正常的网络请求的数据包无法达到流量攻击，致使正常

6、的网络请求的数据包无法达到主机主机资源耗尽攻击，导致主机的内存、资源耗尽攻击，导致主机的内存、CPU被耗尽而无被耗尽而无法提供服务法提供服务从理论上讲从理论上讲DDoS攻击是不可避免的攻击是不可避免的服务器遭遇服务器遭遇DDoS攻击的常见现象攻击的常见现象大量等待处理的大量等待处理的TCP连接连接大量的无用的数据包，源地址为假大量的无用的数据包，源地址为假突然增加的大量的访问请求，造成网络堵塞突然增加的大量的访问请求，造成网络堵塞大量占用资源较多的访问请求造成服务器过载，甚大量占用资源较多的访问请求造成服务器过载，甚至死机至死机网站安全优化方案网站安全优化方案保障网站物理安全保障网站物理安全强

7、化网站程序安全强化网站程序安全强化网站数据安全强化网站数据安全强化网站服务器安全强化网站服务器安全共性问题讲解共性问题讲解n常见调试问题及解决办法常见调试问题及解决办法n代码规范问题代码规范问题共性问题集中讲解共性问题集中讲解强化程序安全控制输入强化程序安全控制输入程序对获取的数据缺乏校验是网站被攻击的原程序对获取的数据缺乏校验是网站被攻击的原因之一因之一例如利用例如利用URL传递参数传递参数http:/localhost/BookDetail.aspx?bid=4943控制输入就是在验证数据的有效性、完整性之控制输入就是在验证数据的有效性、完整性之后，实现数据的安全性后，实现数据的安全性输入

8、包括：用户输入的表单数据和应用程序的往返输入包括：用户输入的表单数据和应用程序的往返数据数据如：如：ViewState、Cookie、查询字符串参数等、查询字符串参数等强化程序安全控制输入强化程序安全控制输入验证输入表单数据包括：验证输入表单数据包括：验证必填项不为空验证必填项不为空验证数据的类型：如手机，必须是数字组合验证数据的类型：如手机，必须是数字组合验证数据的长度：如用户名、密码，必须是验证数据的长度：如用户名、密码，必须是420位位验证数据的有效性：如验证数据的有效性：如Email，必须含，必须含“”符号符号保证保证URL输入参数有效输入参数有效使用系统类型转换函数使用系统类型转换函

9、数 ToNumber()、ToValidId()、ToInt ()等等强化程序安全防止强化程序安全防止SQL注入注入防止防止SQL注入的方法注入的方法对于拼接的对于拼接的SQL 语句要过滤语句要过滤SQL 关键字关键字对于数据库类型的查询参数，最好使用系统类型转换函数对于数据库类型的查询参数，最好使用系统类型转换函数进行强制转换进行强制转换使用参数化查询使用参数化查询参数化查询是最有效防止参数化查询是最有效防止SQL注入的方法注入的方法 string sql = SELECT * FROM Books WHERE Id = Id; SqlDataReader reader = DBHelper

10、.GetReader(sql, new SqlParameter(Id, id);强化程序安全保护关键数据强化程序安全保护关键数据关键数据一般是指对网站系统能产生重大影响关键数据一般是指对网站系统能产生重大影响的数据的数据管理员账号和密码管理员账号和密码用户账号和密码用户账号和密码信用卡的卡号和密码信用卡的卡号和密码用户的隐私信息用户的隐私信息使用使用MD5加密加密使用使用MD5加密管理员密码和用户密码加密管理员密码和用户密码修改管理员和用户登录代码，使用修改管理员和用户登录代码，使用MD5验证密码验证密码MD5是一种广泛使用的加密算法，具备不可逆性是一种广泛使用的加密算法，具备不可逆性练习练

11、习使用使用MD5加密登录密码加密登录密码需求说明需求说明添加用户信息，使用添加用户信息，使用MD5加密用户密码；用户登录，加密用户密码；用户登录，验证登录是否成功验证登录是否成功实现思路实现思路添加用户，输入用户名和密码信息，使用添加用户，输入用户名和密码信息，使用MD5加密用加密用户密码户密码用户登录，分别输入正确、错误的密码，验证登录是用户登录，分别输入正确、错误的密码，验证登录是否成功否成功完成时间：完成时间：15分钟分钟共性问题集中讲解共性问题集中讲解n常见调试问题及解决办法常见调试问题及解决办法n代码规范问题代码规范问题共性问题集中讲解共性问题集中讲解详细的错误页面提详细的错误页面提

12、示导致信息泄露示导致信息泄露强化程序安全模糊错误提示强化程序安全模糊错误提示发生错误或者异常时，返回自定义错误信息发生错误或者异常时，返回自定义错误信息给用户模糊的错误提示给用户模糊的错误提示比如不论用户名错误、密码错误或认证码错误，统比如不论用户名错误、密码错误或认证码错误，统一提示一提示“登录信息错误，请重新登录登录信息错误，请重新登录” java.lang.NullPointerException /error.jsp 配置配置web.config自定自定义错误页面义错误页面 强化程序安全记录系统日志强化程序安全记录系统日志记录系统日志记录系统日志记录的信息包括记录的信息包括管理员登录信

13、息管理员登录信息管理员所有操作信息管理员所有操作信息会员购物信息会员购物信息程序错误和异常信息程序错误和异常信息日志要真实，只能查看，不能修改和删除日志要真实，只能查看，不能修改和删除强化程序安全防止跨站脚本攻击强化程序安全防止跨站脚本攻击跨站脚本攻击跨站脚本攻击(XSS)指攻击者利用网站程序对用户输入过滤不足，输入指攻击者利用网站程序对用户输入过滤不足，输入可以显示在页面上对其他用户造成影响的可以显示在页面上对其他用户造成影响的HTML代码代码案例：案例： QQ邮箱中的挂马漏洞邮箱中的挂马漏洞跨站脚本攻击的两种方式跨站脚本攻击的两种方式调用远程文件，一般使用调用远程文件，一般使用 ifram

14、e 实现实现读取本地用户隐私文件（如读取本地用户隐私文件（如Cookie），然后将用户），然后将用户隐私文件上传到远程服务器隐私文件上传到远程服务器img src=javascript:document.write() width=1 height=1调用远程木马的调用远程木马的URL地址地址强化程序安全防止跨站脚本攻击强化程序安全防止跨站脚本攻击防止跨站脚本攻击的方式防止跨站脚本攻击的方式为所有的为所有的iframe增加增加Security属性，设置值为属性，设置值为restricted设置设置Cookie的的HttpOnly属性，可有效防止属性，可有效防止Cookie通通过脚本泄密过脚本泄

15、密构造过滤构造过滤XSS的方法的方法 FilterXSS( )过滤标签过滤标签xml、link、style、embed、iframe、frame等等过滤过滤DOM事件（比如事件（比如onload）、）、Style中的中的expression等等强化数据安全强化数据安全服务器磁盘阵列服务器磁盘阵列使用使用 RAID 磁盘阵列可以有效的防止因硬盘损坏磁盘阵列可以有效的防止因硬盘损坏导致数据的丢失导致数据的丢失RAID是是独立冗余磁盘阵列。它不是一个磁盘，是是独立冗余磁盘阵列。它不是一个磁盘，而是一组磁盘，利用冗余的磁盘来处理数据而是一组磁盘，利用冗余的磁盘来处理数据 RAID类型类型RAID 0R

16、AID 1RAID 10强化数据安全强化数据安全服务器磁盘阵列服务器磁盘阵列RAID 0不具有冗余，并行不具有冗余，并行I/O，速度最快，速度最快RAID 1速度没有提高，可靠性最高速度没有提高，可靠性最高RAID 5一种存储性能、数据安全和存储成本兼顾的方案一种存储性能、数据安全和存储成本兼顾的方案强化数据安全强化数据安全服务器磁盘阵列服务器磁盘阵列RAID 10RAID01是先条带化再镜像，是先条带化再镜像，RAID10是先镜像再条是先镜像再条带化带化性能和安全性均高于性能和安全性均高于RAID5，但是磁盘利用率低于，但是磁盘利用率低于RAID5强化数据安全强化数据安全备份网站和数据库备份

17、网站和数据库备份网站的程序文件备份网站的程序文件防止网站出现各种意外情况，如服务器零件损坏、防止网站出现各种意外情况，如服务器零件损坏、断线或者被黑客攻击等能及时恢复断线或者被黑客攻击等能及时恢复“绿环绿环FTP数据备份数据备份”，是一款专门用于，是一款专门用于FTP数据备数据备份的绿色软件，并且还是免费版本，解压后无须安份的绿色软件，并且还是免费版本，解压后无须安装即可使用装即可使用强化数据安全强化数据安全备份网站和数据库备份网站和数据库网站数据库的备份网站数据库的备份以以Oracle 10g为例为例通过批处理文件通过批处理文件+任务计划的形式实现任务计划的形式实现set backfile=

18、d:bak%date:0,4%date:5,2%date:8,2% exp jbit/bdqnorcl file=% backfile %.dmp log= % backfile %.lograr a % backfile %.rar % backfile %.dmp % backfile %.log del % backfile %.dmp del % backfile %.log练习练习备份网站程序和数据备份网站程序和数据需求说明需求说明使用使用“绿环绿环FTP数据备份数据备份” 备份网站程序文件备份网站程序文件通过批处理文件通过批处理文件+任务计划的形式实现网站数据库文任务计划的形式实现

19、网站数据库文件的每日的自动备份件的每日的自动备份实现思路实现思路参考学生用书部分参考学生用书部分完成时间：完成时间：15分钟分钟强化数据安全强化数据安全配置配置HTTPS协议协议配置配置Tomcat支持支持HTTPS协议的步骤：协议的步骤：使用使用JAVA_HOME/bin目录下目录下keytool命令生成数字命令生成数字证书证书配置配置Tomcat目录下的目录下的server.xml文件文件重启重启Tomcat强制客户端采用强制客户端采用HTTPS访问，修改访问，修改tomcatconfweb.xml指定证书位置指定证书位置证书密码证书密码 CLIENT-CERT ClientCertUse

20、rs-onlyArea SSL /* CONFIDENTIAL 练习练习配置配置HTTPS协议协议需求说明需求说明配置配置Tomcat支持支持HTTPS协议，强制客户端采用协议，强制客户端采用HTTPS访问访问实现思路实现思路使用使用keytool命令生成数字证书命令生成数字证书修改修改server.xml文件中关于文件中关于SSL的相关段的相关段重启重启Tomcat，尝试使用，尝试使用HTTPS和和HTTP访问程序访问程序强制客户端采用强制客户端采用HTTPS访问访问 重启重启Tomcat，尝试使用，尝试使用HTTPS和和HTTP访问程序访问程序完成时间：完成时间：15分钟分钟共性问题集中讲解共性问题集中讲解n常见调试问题及解决办法常见调试问题及解决办法n代码规范问题代码规范问题共性问题集中讲解共性问题集中讲解总结总结常用的网络攻击方式有哪些？常用的网络攻击方式有哪些？网站安全优化方案有哪些？网站安全优化方案有哪些？如何强化程序安全？如何强化程序安全？如何强化数据安全？如何强化数据安全？作业作业课后作业课后作业必做必做教员备课时在此添加内容教员备课时在此添加内容选做选做教员备课时在此添加内容教员备课时在此添加内容提交时间：提交时间：xxx提交形式：提交形式：xxx预习作业预习作业背诵英文单词背诵英文单词教员备课时在此添加内容教员备课时在此添加内容