廣告載入中
月光論壇 跳至最下方
 XML   RSS 2.0   WAP 
您是第 7469 個閱讀者


將本文加入網路書籤 | 可列印版本 | 加為IE收藏 | 上一主題 | 下一主題
月光

終身成就獎 優秀版主獎 獅子座 2010年虎年紀念勳章
頭銜︰修生養性中不要惹我 ..修生養性中不要惹我 ..
3 該用戶目前不在線
級別: 站長
精華: 13
年齡: 32
發表文章: 780/876
回覆文章: 143/1090


只看樓主 QQ:473436576 共3人推薦本主題推薦 x3

[PHP][新聞] 應對黑客攻擊的最佳做法

原文: Best practices against hacking
發表於: 2009年2月20日星期五, 上午6:46

最近,很多網站都在建設各種網絡應用軟件,以期為用戶提供更好的服務,這其中尤以各種創建、編輯和管理內容的應用軟件為多。這些系統提供了很多基於用戶輸入信息的強大互動特性,值得注意的是,考慮安全問題,避免第三方的惡意攻擊並確保最佳的用戶體驗也變得更為重要。

黑客攻擊的類型及攔截方式:

黑客可以採取多種不同的攻擊方式部分或全部控制一個網站。一般來說,最常見和最危險的是SQL植入(injection)和跨站點(XSS,cross-site scripting ) 。

SQL植入是一種在網絡應用程序中植入惡意代碼的技術,它利用層面的安全漏洞以達到非法控制目的。這種技術非常強大,它可以操縱網址(查詢字符串)或其他任何形式(搜索,登錄,電子郵件註冊)以植入惡意代碼。您可以在網絡應用安全聯盟(英文)中找到一些關於SQL植入的例子。

為避免此類黑客攻擊的發生的確有法可循。舉例來說,在前端界面和後端之間增加一個「中間層」就是一種很好的做法。在PHP中,PDO(PHP Data Objects)擴展通常與參數(有時被稱作placeholder或綁定變量)共同發生作用,而不是直接將用戶輸入做為命令語句。另一種極為簡單的技術 是字符轉義,通過這種方式,所有可以直接影響結構的危險字符都可以被轉義。例如,參數中每出現一個單引號[ ' ]必須代之以兩個單引號[ ' ' ]來形成一個有效的SQL字符串。這只是兩種您可以採取的、最常見的用以改進網站安全並避免SQL植入的有效方式。您還可以在網上找到許多其他符合您需求的資源(編程語言,具體的Web應用程序等)。

下面我們要介紹的是跨站點( XSS )技術 。跨站點是一種通過利用網絡應用程序層面的安全漏洞,在網頁中植入惡意代碼的技術。當網絡應用程序處理通過用戶輸入獲得的,並且在返回給最終用戶前沒有任何進一步的檢查或驗證時,這種攻擊就可能發生。您可以在網絡應用安全聯盟(英文)中找到一些跨站點的例子。

有許多辦法可以確保網絡應用程序不被這種技術侵犯。一些簡便易行的方法包括:


  • 剔除可以被插入到表單中的輸入(例如,PHP中的strip tags功能);
  • 利用編碼,避免潛在惡意字符的直接植入(例如,PHP中的htmlspecialchars功能


輸入和端之間創建一個「層」,以避免應用程序代碼被直接植入惡意字符。

一些有關CMSs安全的資源

SQL植入和跨站點只不過是黑客用來攻擊和利用無辜網站的多種技術中的其中兩種。作為一般的安全準則,在網絡安全問題上特別是在使用第三方軟件時,一直保持更新以確保您安裝了最新版本的軟件是非常重要的。許多圍繞大型建站社區建設的網絡應用程序都提供持續的支持和軟件升級。

下面舉個例子,開放源碼內容管理系統的最大的四個社區——Joomla, WordPress, PHP-Nuke 和 Drupa都在他們的網站上提供關於網絡安全方面的知識並且設有大型社區驅動,用戶可以提出問題或尋求支持。例如,在Hardening WordPress,WordPress提供了如何加強CMS安全的綜合性幫助文件。 Joomla提供了許多有關網絡安全的資源,特別是其中的網絡安全檢查清單,這些操作都是網絡管理員應該採用的。

一些識別黑客攻擊您網站的方法:

如上所述,黑客可能採用很多不同方式攻擊您的網站,也採用多種方法惡意利用無辜的網站。當黑客能夠完全控制一個網站時,他們可以把主頁徹底更換掉,清除所有的內容(刪除您的表),插入惡意軟件或Cookie盜取程序。他們還可以利用您的網站製造網絡垃圾,比如在您的網站隱藏指向垃圾網頁的鏈接或建立重定向到惡意軟件網站的頁面。當變化很明顯(比如主頁被更換)時 ,您可以輕鬆地辨別出黑客攻擊,但對於其他類型的攻擊,特別是那些帶有製造網絡垃圾意圖的攻擊,就比較不易被人察覺。提供了一些產品和方法,幫助網站管理員發現自己的網站是否未經許可而被第三方攻擊或更改。例如,通過使用搜索,您可以檢查黑客是否將特定的惡意關鍵詞添加到您的網站,並能找出您網站上被攻擊的具體網頁。打開google.cn,用[site:domain name]來搜索您的網站,查看黑客是否把一些常用的網絡垃圾關鍵詞添加到了您的網站(如偉哥, 色情, MP3, 賭博等) :

[site:example.com 垃圾關鍵詞]

如果您還不熟悉 site: 搜索操作符,這是一個通過將搜索範圍限定到特定網站來使用搜索的途徑。例如,搜索site:googleblog.blogspot.com只會返回來自谷歌官方博客的搜索結果。當在這種查詢中添加一些垃圾關鍵詞時,將返回所有該網站中包含這些垃圾關鍵字的網頁,而這些網頁都很有可能已經遭受攻擊。要檢查這些可疑的網頁,只需打開網頁快照,您就能發現這些黑客行為。然後,您可以清除這些網頁被攻擊的部分,並檢查配置文件中是否有異常情況(例如Apache網絡:htaccess文件和httpd.conf文件)。

如果您的網站已不出現在的搜索結果中,這可能意味著已在您的網站上發現由黑客攻擊導致的垃圾網頁,並很可能因為這些網頁違反了我們網站管理員質量指南而已暫時將它們從我們的索引中移除。

為了不斷留意是否有可疑關鍵字在您的網站上出現,您也可以使用谷歌快訊來監測類似的搜索查詢:

site: example.com 某色情詞彙 或 某賭博詞彙 或 "手機鈴聲"等熱門詞彙

當這些關鍵詞出現在您網站內容中時,您會收到一封提醒郵件。

您還可以使用谷歌網站管理員工具來檢查您網站中的任何黑客行為。網站管理員工具為您的網站提供熱門搜索查詢的統計信息。這些將幫助您監測那些將用戶帶到您網站的熱門搜索查詢是否是那些可疑的、無關的垃圾關鍵詞。「bot看到的"的也十分有用,在這裡您可以觀察是否探查到您網站中任何異常的關鍵詞,無論這些關鍵詞是不是把用戶帶到您網站的熱門關鍵詞。

如果您有網站管理員工具賬戶,當認為您的網站已經被黑客入侵時,按被攻擊類型的不同,您會收到相應的通知:



  • 如果一個惡意的第三方正在使用您的網站製造網絡垃圾(如添加隱藏鏈接或建立垃圾網頁),並且已經被crawler偵測到,您就會在網站管理員工具的「消息中心」中收到一份詳細通知(包含受攻擊的URL樣本,或隱藏鏈接的錨文本);
  • 如果您的網站被第三方利用放置了惡意軟件,您會在網站管理員工具賬戶的「概覽」頁面中看到惡意軟件的警告。


消除黑客攻擊行為,該怎麼做?

您的網站已經被黑客入侵或被植入了惡意軟件?首先,請清理這些由黑客造成的網絡垃圾,然後執行下列操作之一:


  • 如果您的網站被黑客攻擊達到製造垃圾網頁的目的,請訪問網站管理員工具中的"請求重新審核"鏈接,申請重新審核和收錄;
  • 如果您的網站向用戶提供惡意軟件,請在網站管理員工具的「概覽」頁面提出重新評估惡意軟件的請求。


我們希望這些建議對您有所幫助,也歡迎您自己的意見或經驗,謝謝!

本文章使用了關鍵字:



將本文加入網路書籤:


※ ※ ※ 本文為 月光 與 月光論壇 共同所有,未經同意,請勿轉載 ※ ※ ※


按這裡檢視圖片,登入論壇可以直接觀看 按這裡檢視圖片,登入論壇可以直接觀看

http://attorz.com/index.php?a=月光
強力推薦『數位男女』很棒的(我的偶像)呵呵﹋!
http://bbs.mychat.to/index.php?a=月光

===================================
論壇守則 -- 常見問題 -- 管理團隊 -- 榮譽會員 -- 刊登廣告
本站宗旨: 本站一向秉持知錯能改制度,但是若無改進則禁言
不在乎會員多寡,由於會員再多倘若全都小白也是枉廢。
頂端 [樓 主] From:臺灣中華電信HiNet | Posted: 2009-4-2 14:38
jass007
默認頭像


8 該用戶目前不在線
級別: 路人甲
精華: 0
年齡: 30
發表文章: 0/0
回覆文章: 7/17
只看該作者
Re:應對黑客攻擊的最佳做法

拔網路線應該最快

頂端 [1 樓] From:臺灣中華電信股份有限公司 | Posted: 2019-1-30 21:07 | 第 1 次回覆

月光論壇

月光論壇為自由討論論壇,所有個人言論不代表本站立場。文章內容如有涉及侵權請連絡我們,將立即刪除相關文章資料


Powered by PHPWind v5.0.1
Code © 2003-05 PHPWind
Find my site on DoubleClick Ad Planner Valid XHTML 1.0 Transitional Valid CSS!
Total 0.001905(s) query 7, Gzip enabled, Now Server Load 0.08 %, Max 16.58 %
著作權侵權 | 本網站已依台灣網站內容分級規定處理 | FaceBook粉絲專頁 | 聯絡我們