济南网站建设,网站运营维护,网站优化
网站维护您当前的位置:智达维网络科技 > 网站维护 >

高职院校网站服务器安全防范策略

更新时间:2018-06-13 22:26:56 作者:千寻建站 访问量:71

高职院校网站服务器安全防范策略
高职院校网站服务器安全防范策略
1 IIS 安全
    IIS 安全主要是设置各种帐户对网站的访问权限,防止黑客上传木马程序至网站服务器。IIS7 或IIS7.5 涉及两个帐户,一个为匿名帐户IUSR,另一个为应用程序池帐户(此帐户可在文件夹或文件属性中的“安全”选项卡中单击“编辑”,再单击“添加”,接着输入“IIS APPPOOL\ 应用程序池名”,最后单击“确定”,将应用程序池帐户添加到权限管理中)。在NTFS 文件系统权限设置中,匿名帐户只需要拥有对网站文件夹的读取权限即可,应用程序池帐户需要根据实际情况给予相应的权限,如果需要上传文件,则需要给予写入权限,如果需要去调用一个程序,则需要给予执行权限。为此,IIS 安全通常做如下设置。匿名帐户使用默认的“应用程序用户”即IUSR,应用程序池帐户使用默认的应用程序池名。删除everyone、users在所有磁盘上的权限,删除users 在system32 上的所有权限(需要先修改所有者为administrator),在网站文件夹下给予IUSR 读取权限,在网站文件夹下给予应用程序池名称读取权限,在网站的上传文件夹给予应用程序池名称写入权限,但是不给予执行权限。在IIS 中取消上传文件夹的脚本执行权限(在“处理程序映射”中,单击“编辑功能权限”,取消“脚本”权限)。
2 网站安全
    网站安全主要由于网站漏洞的存在而导致的,网站漏洞会对网站内容的安全和网站服务器的安全构成威胁,网站漏洞主要有弱口令漏洞、SQL 注入漏洞、文件上传漏洞。
2.1 弱口令漏洞
    弱口令是指容易被别人猜测到或被破解工具破解的口令。在网站的后台登录或各种其他登录的地方,容易因弱口令漏洞,被别人登录,从而对网站安全构成威胁。防范弱口令漏洞,通常要对口令的设置进行严格要求。口令应该设置为大写字母、小写字母、数字和特殊字符的组合,口令长度不小于8 个字符,口令中不应包含本人姓名、出生日期、E-mail 地址等与本人有关的信息,至少在90 天内更换一次口令。
2.2 SQL 注入漏洞
    SQL 注入是指通过把SQL 命令插入到Web 表单提交或输入域名或页面请求的查询字符串,达到欺骗服务器执行恶意的SQL 命令。造成SQL 注入漏洞的原因是在网站程序设计时忽略了对输入字符串中夹带SQL 指令的检查,从而被数据库误认为是正常的SQL 指令,导致数据库遭受攻击。防范SQL 注入漏洞,通常要对所有的查询语句都使用数据库提供的参数化查询接口,对进入数据库的特殊字符进行转义处理或编码转换,确认每种数据的类型,严格限制数据长度,严格限制网站用户对数据库的操作权限,避免网站显示SQL 错误信息,在网站发布之前使用SQL 注入检测工具进行检测,以便发现SQL 注入漏洞并进行及时修补。
2.3 文件上传漏洞
    文件上传漏洞是指网络攻击者上传了一个可执行的文件到网站服务器并执行。网络攻击者上传的文件可能是木马、病毒、恶意脚本、WebShell 等,从而对网站服务器安全构成威胁。防范文件上传漏洞,通常要对用户上传的文件后缀名以及文件类型进行严格的限制,对已上传的文件禁止用户修改文件后缀名,对网站中存储上传文件的文件夹禁止用户的执行权限。
3 数据库安全
    数据库安全主要是保障数据库的正常运行,防止黑客对数据库入侵,防止数据库数据被盗取、修改、删除。数据库安全防范的主要策略,一是将数据库文件与网站程序文件分开存放,如将数据库文件存放在E 盘,而将网站程序文件存放在F 盘,对数据库文件设置合理的磁盘权限。二是对于每一个网站单独建立一个登录用户,设置强密码,给予服务器角色为public,给予对应的数据库角色为db_owner。三是做好网站数据库的备份,对于网站数据库应该做到定期的完全备份和每天的增量备份,若条件允许,应实现异地备份,重要的网站数据可以选择安装双机热备份服务器。

    文章说明:本站发布的所有文章,版权均属于智达维网络科技。如需转载、摘编或其它方式使用上述作品,请注明“转载自:智达维网络科技”,谢谢您的浏览!本站专注:网站维护网站建设
相关推荐

热线:0531-87583458 电话:0531-66812586 QQ:2676834962
Copyright 智达维网络科技 版权所有
ICP备案编号:鲁ICP备11034527号-1 鲁公网安备 37010402000703号

扫二维码加微信咨询

拨打客服热线

0531-87583458

在线客服