◆柳 強(qiáng)

高校二級網(wǎng)站安全問題及防護(hù)策略研究

◆柳 強(qiáng)

（湖北大學(xué)外國語學(xué)院 湖北 430062）

日益復(fù)雜的網(wǎng)絡(luò)環(huán)境使高校二級網(wǎng)站面臨著各種安全危害，網(wǎng)站的安全問題不容忽視。本文分析了高校二級網(wǎng)站存在的各種安全問題及其產(chǎn)生的原因，從技術(shù)層面和管理層面提出了高校二級網(wǎng)站的安全防護(hù)策略。

高校二級網(wǎng)站；安全問題；Web應(yīng)用防護(hù)系統(tǒng)；策略

隨著計算機(jī)網(wǎng)絡(luò)技術(shù)的發(fā)展，教育信息化水平的不斷提高，高校網(wǎng)站建設(shè)作為教育信息化環(huán)境建設(shè)的重要組成部分也得到了快速發(fā)展。各個高校都建立了校園門戶網(wǎng)站以及由二級學(xué)院網(wǎng)站、職能部門網(wǎng)站、各類業(yè)務(wù)系統(tǒng)等組成的二級網(wǎng)站。高校二級網(wǎng)站是高校網(wǎng)站的主體，其建設(shè)水平在很大程度上反映了高校信息化建設(shè)的水平。同時，高校二級網(wǎng)站作為學(xué)校形象宣傳、網(wǎng)絡(luò)教學(xué)和教育管理的窗口，已成為教學(xué)、科研、管理和公共服務(wù)的重要平臺[1]。然而，由于高校二級網(wǎng)站在建設(shè)過程中存在著缺乏統(tǒng)一標(biāo)準(zhǔn)、網(wǎng)站開發(fā)和管理人員的技術(shù)水平參差不齊，網(wǎng)絡(luò)安全意識薄弱等問題，導(dǎo)致不少二級網(wǎng)站存在很多安全隱患，為黑客入侵提供了機(jī)會。一旦網(wǎng)站被攻擊者非法入侵，可能會造成網(wǎng)頁信息被篡改、個人隱私數(shù)據(jù)被竊取、甚至可能被掛馬、成為傀儡主機(jī)，從而造成不良社會影響。

1 高校二級網(wǎng)站安全現(xiàn)狀

近年來各高校通過信息系統(tǒng)安全等級保護(hù)合規(guī)建設(shè)，加強(qiáng)了校園網(wǎng)的基礎(chǔ)安全防范能力。然而，由于不同高校之間網(wǎng)絡(luò)安全技術(shù)能力的不平衡，面向互聯(lián)網(wǎng)提供服務(wù)的網(wǎng)站系統(tǒng)在安全性上還存在不少缺陷。根據(jù)賽爾綠盟安全云平臺發(fā)布的2016 年第四季度高校網(wǎng)站安全脆弱性白皮書，對103所樣本高校的101個高校門戶網(wǎng)站和79個下屬二級網(wǎng)站等180個樣本站點進(jìn)行安全檢測，共發(fā)現(xiàn)64792個漏洞，其中中高危漏洞占28.7%。從180個樣本網(wǎng)站的安全評分統(tǒng)計結(jié)果看，一級網(wǎng)站平均分為52.23，二級網(wǎng)站的平均分為22.86[2]。這說明，高校下屬的二級網(wǎng)站存在更多安全漏洞，面臨更高的安全風(fēng)險級別。

高校二級網(wǎng)站安全面臨的主要安全危害有以下幾種：

（1）網(wǎng)站被篡改劫持

近年來黑客入侵高校網(wǎng)站，篡改在校大學(xué)生的學(xué)習(xí)成績進(jìn)行非法牟利的事件時有發(fā)生。另外，由于高校二級網(wǎng)站存在安全漏洞，經(jīng)常發(fā)生網(wǎng)站首頁被攻擊者劫持跳轉(zhuǎn)到黃賭毒等違法內(nèi)容，造成不良社會影響的安全事件。

（2）網(wǎng)站被掛馬，成為傀儡主機(jī)

有些高校二級網(wǎng)站的Web應(yīng)用程序和服務(wù)器操作系統(tǒng)沒有進(jìn)行嚴(yán)格的安全配置，導(dǎo)致存在大量安全漏洞。一旦網(wǎng)站被黑客入侵植入木馬，它就成了木馬病毒傳播的源頭，對網(wǎng)站訪問用戶的信息安全造成嚴(yán)重威脅，更有甚者還會被黑客控制成為僵尸網(wǎng)絡(luò)中的傀儡主機(jī)，被利用攻擊其他站點。而網(wǎng)站因為掛馬被安全軟件屏蔽，也會對網(wǎng)站的公眾信譽度造成損害。

（3）網(wǎng)站用戶數(shù)據(jù)被泄露

高校網(wǎng)站掌握著大量集中性人群的教學(xué)、科研和管理信息。很多高校二級網(wǎng)站存在著諸如SQL注入漏洞、XSS跨站腳本漏洞等各種形式的安全漏洞，一旦被攻擊者利用這些漏洞，就可以入侵網(wǎng)站數(shù)據(jù)庫，竊取師生的個人隱私信息，造成極大的社會危害性。媒體曝光的黑客利用網(wǎng)站的安全漏洞入侵高考網(wǎng)上報名系統(tǒng)，竊取高考考生個人信息，并打包出售給詐騙團(tuán)伙，導(dǎo)致徐玉玉被電信詐騙的案件，引起了全社會對高校網(wǎng)站和個人信息安全的廣泛關(guān)注。

2 高校二級網(wǎng)站安全問題原因分析

2.1 網(wǎng)站程序存在安全漏洞

高校二級網(wǎng)站在開發(fā)過程中，往往只強(qiáng)調(diào)網(wǎng)站功能的實現(xiàn)和界面的美觀，而忽略了網(wǎng)站程序的安全設(shè)計。攻擊者很容易利用程序控制不嚴(yán)產(chǎn)生的安全漏洞對網(wǎng)站進(jìn)行Web腳本攻擊，導(dǎo)致網(wǎng)站數(shù)據(jù)庫被SQL注入、掛馬和暴庫。這些網(wǎng)站應(yīng)用程序存在身份驗證和訪問控制方面的缺陷，是導(dǎo)致SQL注入漏洞、XSS跨站腳本漏洞等應(yīng)用層威脅的直接原因。

（1）SQL注入漏洞

SQL注入漏洞產(chǎn)生的主要原因是網(wǎng)站開發(fā)人員在編寫程序過程中沒有規(guī)范書寫SQL語句，對用戶輸入的數(shù)據(jù)沒有進(jìn)行過濾和轉(zhuǎn)換，導(dǎo)致攻擊者可以通過精心構(gòu)造的輸入?yún)?shù)傳入Web應(yīng)用程序去非法獲取數(shù)據(jù)庫中的數(shù)據(jù)，造成網(wǎng)站數(shù)據(jù)庫中存儲的大量個人隱私信息泄露。此外，攻擊者還能侵入網(wǎng)站數(shù)據(jù)庫篡改網(wǎng)頁內(nèi)容和網(wǎng)站后臺管理賬戶，在數(shù)據(jù)庫的某些字段信息里插入木馬鏈接，進(jìn)行網(wǎng)頁掛馬攻擊等。

（2）XSS跨站腳本漏洞

XSS跨站腳本漏洞形成的原因和SQL注入漏洞類似，也是網(wǎng)站開發(fā)人員在編寫程序過程中對輸入輸出的控制不夠嚴(yán)格，沒有對用戶提交的數(shù)據(jù)進(jìn)行過濾和轉(zhuǎn)換就直接輸出到頁面。惡意攻擊者利用此安全漏洞將精心構(gòu)造的腳本插入到網(wǎng)頁的某個特定位置，當(dāng)用戶訪問該頁面時，嵌入其中的惡意腳本會被解析執(zhí)行從而產(chǎn)生危害。雖然XSS跨站腳本攻擊對網(wǎng)站不會造成直接影響，但它可以利用網(wǎng)站中的漏洞攻擊其他用戶實現(xiàn)惡意目的，如網(wǎng)絡(luò)釣魚詐騙，敏感信息竊取，惡意代碼傳輸和感染等。

2.2 網(wǎng)站服務(wù)器操作系統(tǒng)和應(yīng)用軟件的漏洞

服務(wù)器是提供Web服務(wù)運行的環(huán)境基礎(chǔ)，一旦服務(wù)器被攻擊者侵入，服務(wù)器上部署的所有網(wǎng)站系統(tǒng)都會受到威脅。目前高校Web服務(wù)器常用的操作系統(tǒng)主要有Windows Server和Linux。由于軟件在邏輯設(shè)計和編碼時存在缺陷，操作系統(tǒng)不可避免會存在安全漏洞。如果不及時更新操作系統(tǒng)的安全補丁，服務(wù)器將會面臨感染病毒、系統(tǒng)崩潰、隱私泄露等安全風(fēng)險。另外用于構(gòu)建網(wǎng)站運行環(huán)境的Web服務(wù)器軟件（如IIS、Apache、Nginx）也存在安全漏洞，例如IIS中存在的IIS遠(yuǎn)程代碼執(zhí)行漏洞和IIS寫權(quán)限漏洞（HTTP PUT方法利用）。此外，服務(wù)器在配置管理上也存在不少安全漏洞，例如系統(tǒng)啟用和打開了一些不必要的服務(wù)和端口、使用默認(rèn)用戶名和密碼等[3]。這些服務(wù)器安全策略配置的不完善是導(dǎo)致信息泄露型漏洞、拒絕服務(wù)型漏洞的直接原因。

（1）信息泄露型漏洞

信息泄露型漏洞主要包括Web服務(wù)器文件夾安全權(quán)限設(shè)置不嚴(yán)、IIS短文件名枚舉漏洞、服務(wù)器啟用TRACE Method等。惡意攻擊者能夠利用此類漏洞，獲取網(wǎng)站諸如用戶名和密碼等重要信息數(shù)據(jù)。

（2）拒絕服務(wù)型漏洞

拒絕服務(wù)型漏洞主要指Web 服務(wù)器的安全配置策略不嚴(yán)格，導(dǎo)致遭受HTTP緩慢拒絕服務(wù)攻擊，造成服務(wù)器的系統(tǒng)資源和可用連接被非法消耗，影響Web服務(wù)器的正常工作。

2.3 網(wǎng)站安全保護(hù)設(shè)備缺失

通常高校在校園網(wǎng)的出口都設(shè)置了防火墻，但各個單位建立的二級網(wǎng)站普遍缺少基于Web應(yīng)用層的安全防護(hù)設(shè)備。目前超過80%的Web攻擊都發(fā)生在應(yīng)用層，形式多樣的攻擊手段僅靠傳統(tǒng)的防病毒、防火墻措施是無法防御的。由于傳統(tǒng)防火墻無法檢測和攔截Web服務(wù)請求，這些針對高校二級網(wǎng)站的攻擊可以繞過防火墻的檢測，對Web應(yīng)用層進(jìn)行滲透，從而獲取網(wǎng)站敏感信息，進(jìn)行腳本攻擊[3]。

2.4 網(wǎng)站日常管理維護(hù)不到位

在網(wǎng)站的日常管理中，有些管理員的安全意識薄弱，對服務(wù)器操作系統(tǒng)超級管理員密碼、網(wǎng)站后臺管理員密碼的設(shè)置過于簡單，容易被破解。網(wǎng)站管理員沒有定期檢查網(wǎng)站系統(tǒng)軟硬件運行環(huán)境，網(wǎng)站程序和數(shù)據(jù)沒有定期進(jìn)行備份。

3 高校二級網(wǎng)站安全防護(hù)策略

高校二級網(wǎng)站的安全防護(hù)單靠技術(shù)或單靠管理都是無法實現(xiàn)的，必須綜合考慮。針對高校二級網(wǎng)站存在的各種安全問題，本文從技術(shù)層面和管理層面提出以下防護(hù)對策。

3.1 規(guī)范網(wǎng)站安全編碼原則，提高開發(fā)人員安全編碼技能

網(wǎng)站程序漏洞是Web應(yīng)用系統(tǒng)中被攻擊者利用最多的漏洞類型。要避免Web應(yīng)用程序安全性問題，就應(yīng)該在網(wǎng)站程序開發(fā)過程中執(zhí)行安全編碼規(guī)范，包括：用戶輸入輸出的統(tǒng)一驗證、過濾和編碼；使用安全身份驗證，包括采取驗證碼、連續(xù)多次登錄失敗強(qiáng)制鎖定賬戶以阻止黑客暴力攻擊等措施；對網(wǎng)站賬戶密碼等敏感數(shù)據(jù)采取哈希加密方式進(jìn)行存儲；建立訪問控制策略，防止未授權(quán)用戶的訪問；保證文件上傳和下載安全，包括對上傳文件的格式進(jìn)行檢查、對上傳和下載路徑進(jìn)行過濾限制等[4]。

3.2 網(wǎng)站服務(wù)器安全加固

為了有效保障網(wǎng)站服務(wù)器的安全穩(wěn)定運行，應(yīng)定期對網(wǎng)站系統(tǒng)進(jìn)行安全掃描，并對在掃描中發(fā)現(xiàn)的服務(wù)器操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)和Web應(yīng)用系統(tǒng)的安全漏洞進(jìn)行加固配置。

（1）操作系統(tǒng)安全加固

操作系統(tǒng)的安全加固措施包括更新系統(tǒng)安全補丁、關(guān)閉不需要的端口和服務(wù)、配置防火墻并開啟防火墻策略、加強(qiáng)權(quán)限管理，對系統(tǒng)重要文件進(jìn)行訪問控制，限制用戶的訪問權(quán)限、修改系統(tǒng)安全配置策略，檢查用戶賬號和密碼安全、開啟審核策略等。

（2）數(shù)據(jù)庫系統(tǒng)安全加固

網(wǎng)站數(shù)據(jù)庫系統(tǒng)的安全加固包括使用安全的賬號和密碼策略、使用加密通訊協(xié)議、修改并加固默認(rèn)端口、限制可以訪問數(shù)據(jù)庫的IP、加強(qiáng)數(shù)據(jù)庫日志的記錄和管理，防止非授權(quán)用戶對日志文件進(jìn)行訪問等。

（3）Web應(yīng)用系統(tǒng)安全加固

Web應(yīng)用系統(tǒng)的安全加固包括對要進(jìn)行網(wǎng)站數(shù)據(jù)庫訪問的程序進(jìn)行安全檢查，防止攻擊者構(gòu)造惡意腳本、合理配置用戶權(quán)限和安全策略等。

3.3 安裝Web應(yīng)用防護(hù)系統(tǒng)

由于傳統(tǒng)的網(wǎng)絡(luò)防火墻無法有效地防御攻擊者對Web應(yīng)用層的攻擊，高校二級網(wǎng)站需要部署Web應(yīng)用防護(hù)系統(tǒng)攔截來自應(yīng)用層的非法請求，全面防御網(wǎng)站被非法攻擊與入侵，Web應(yīng)用防護(hù)系統(tǒng)具有以下功能。

（1）防止攻擊者控制網(wǎng)站服務(wù)器，降低信息泄露風(fēng)險。Web應(yīng)用防護(hù)系統(tǒng)能對HTTP請求進(jìn)行安全檢測，通過精練的正則表達(dá)規(guī)則對攻擊腳本實施過濾，加上HTTP狀態(tài)碼攔截等機(jī)制，降低網(wǎng)站數(shù)據(jù)庫數(shù)據(jù)泄露風(fēng)險。

（2）保障網(wǎng)站服務(wù)的可用性。Web應(yīng)用防護(hù)系統(tǒng)集成DDOS（包括CC）攻擊防護(hù)功能，提供SYN Flood、ICMP Flood、UDP Flood等多層次攻擊過濾，保障網(wǎng)站的可用性。

（3）對網(wǎng)站進(jìn)行訪問控制。Web應(yīng)用防護(hù)系統(tǒng)支持多種Web訪問控制，包括IP白名單和黑名單、URL訪問控制、Cookie過濾、控制文件非法上傳和下載、阻止網(wǎng)站圖片文件等資源被非法盜鏈和限制搜索引擎爬蟲等。

（4）保護(hù)Web客戶端。Web服務(wù)的提供者有責(zé)任對Web客戶端進(jìn)行安全保護(hù)，Web應(yīng)用防護(hù)系統(tǒng)通過實施CSRF跨站請求偽造防御、XSS跨站腳本防御、Cookie防篡改（包括對Cookie進(jìn)行加密和添加簽名）等多種安全保護(hù)策略，對Web客戶端進(jìn)行安全保護(hù)[5]。

3.4 增強(qiáng)網(wǎng)絡(luò)安全意識

高校二級網(wǎng)站必須要確保其數(shù)據(jù)的安全性才能發(fā)揮其應(yīng)有的作用。因此高校二級網(wǎng)站的安全管理問題應(yīng)該受到單位領(lǐng)導(dǎo)和網(wǎng)站管理員的高度重視。增強(qiáng)網(wǎng)站管理員的網(wǎng)絡(luò)安全意識是保證網(wǎng)站信息安全的前提[6]。高校每個單位都可以通過參加網(wǎng)絡(luò)安全、網(wǎng)絡(luò)技術(shù)、網(wǎng)絡(luò)管理等方式對網(wǎng)站管理員進(jìn)行培訓(xùn)，提高網(wǎng)站工作人員的安全意識，豐富安全知識。高?？蓪⒕W(wǎng)站安全責(zé)任明確劃分、落實到人，將網(wǎng)站建設(shè)管理情況納入考核指標(biāo)，增強(qiáng)網(wǎng)站管理員在工作中的主觀能動性。

3.5 完善網(wǎng)站安全管理制度

網(wǎng)站的安全運行離不開高效的維護(hù)和管理，高校要從多個方面建立完善的網(wǎng)站管理制度，以保障安全技術(shù)措施的有效性，并在網(wǎng)站的日常管理維護(hù)中嚴(yán)格執(zhí)行。網(wǎng)站安全管理制度主要包括：服務(wù)器機(jī)房管理制度、網(wǎng)站用戶信息安全管理制度、網(wǎng)站信息發(fā)布和審核制度、信息系統(tǒng)密碼管理制度、計算機(jī)病毒防范制度、網(wǎng)站數(shù)據(jù)信息備份管理制度和網(wǎng)絡(luò)安全教育培訓(xùn)制度等[7]。高校通過建立健全二級網(wǎng)站的各項安全管理規(guī)章制度，使網(wǎng)站信息發(fā)布、數(shù)據(jù)備份、人員培訓(xùn)等各項管理工作做到有章可循。

4 結(jié)束語

高校二級網(wǎng)站在建設(shè)和運行中遇到的安全問題既有技術(shù)方面的，如程序代碼漏洞造成的網(wǎng)絡(luò)攻擊，也有管理方面的，如網(wǎng)站后臺管理賬戶密碼存在弱口令。為了保障網(wǎng)站應(yīng)用系統(tǒng)安全可靠地運行，需要同時從技術(shù)和管理入手，構(gòu)建全面的網(wǎng)站安全防護(hù)策略。只有這樣，才能提高二級網(wǎng)站的抗風(fēng)險能力，更好地為學(xué)校師生和社會提供服務(wù)。

[1]黃曉華.高校網(wǎng)站安全問題分析[J].軟件導(dǎo)刊，2014.

[2]《2016年第四季度高校網(wǎng)站安全脆弱性白皮書》 http：//blog.nsfocus.net/wp-content/uploads/2017/07/2016年第四季度高校網(wǎng)站安全脆弱性白皮書.pdf.

[3]樊強(qiáng).高校網(wǎng)站安全防范措施研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2016.

[4]付明騰.政府網(wǎng)站安全漏洞分析及防范措施[J].信息安全與技術(shù)，2014.

[5]趙江.高校圖書館Web應(yīng)用安全問題與對策[J].電腦知識與技術(shù)，2018.

[6]周琦.網(wǎng)站安全管理中的問題及對策[J].電子技術(shù)與軟件工程，2017.

[7]忽海娜，歐陽鋒.高校網(wǎng)站建設(shè)安全問題分析與對策[J].軟件導(dǎo)刊，2014.