“網(wǎng)絡(luò)黑客”、“奧運(yùn)黑客”，似乎成了最近互聯(lián)網(wǎng)安全方面的一個(gè)熱門話題，Google搜索“奧運(yùn)黑客”一詞，竟達(dá)449,000多項(xiàng)，可見所受的關(guān)注度之高，而普通網(wǎng)站也在最近頻頻傳出被黑客攻擊的消息，據(jù)有關(guān)數(shù)據(jù)顯示：今年1到5月,全國有3萬多個(gè)網(wǎng)站遭到“黑客”入侵！

中小型網(wǎng)站安全防范問題

專家支招一：構(gòu)建安全服務(wù)器環(huán)境，嚴(yán)防第一道鎖

構(gòu)建安全服務(wù)器環(huán)境，構(gòu)筑黑客攻擊第一鏈條。但構(gòu)建安全的服務(wù)器環(huán)境來抵御“黑客”攻擊，其涉及面相當(dāng)廣，但就中小型網(wǎng)站而言，大致可從三個(gè)方面來進(jìn)行

（一）：技術(shù)層面：采用軟硬件防火墻、殺毒軟件、頁面防篡改系統(tǒng)來建立一個(gè)結(jié)構(gòu)上較完善的Web服務(wù)器環(huán)境；

（二）：服務(wù)方面，進(jìn)行網(wǎng)絡(luò)拓?fù)浞治觥⒔⒅行臋C(jī)房管理制度、建立操作系統(tǒng)以及防病毒軟件定期升級(jí)機(jī)制、對(duì)重要服務(wù)器的訪問日志進(jìn)行備份，通過這些服務(wù)，增強(qiáng)網(wǎng)絡(luò)的抗干擾性；

（三）：支持方面，要求服務(wù)商提供故障排除服務(wù)，以提高網(wǎng)絡(luò)的可靠性。

但目前大多數(shù)中小型網(wǎng)站都是以虛擬主機(jī)的形式托管的，要提高網(wǎng)站安全性，降低黑客攻擊風(fēng)險(xiǎn)，網(wǎng)站管理員就應(yīng)及時(shí)給自己的網(wǎng)站程序打上最新的補(bǔ)丁，在開發(fā)的時(shí)候應(yīng)加強(qiáng)安全意識(shí)，注意防止注入漏洞、上傳漏洞等問題，同時(shí)把網(wǎng)站托管在技術(shù)實(shí)力強(qiáng)、安全系數(shù)高、能主動(dòng)幫客戶解決安全的服務(wù)商處，以確保網(wǎng)站安全運(yùn)行環(huán)境的安全。

專家支招二：重視網(wǎng)站系統(tǒng)安全，布控第二把鎖

構(gòu)建安全服務(wù)器的環(huán)境，只是從外圍進(jìn)行阻擊“黑客”的攻擊，但更重要的還是要保障網(wǎng)站系統(tǒng)安全，防止黑客利用系統(tǒng)漏洞進(jìn)行攻擊，從而威脅網(wǎng)站安全。

據(jù)動(dòng)易公司網(wǎng)絡(luò)安全專家介紹：根據(jù)2007年 OWASP 組織發(fā)布的 Web 應(yīng)用程序脆弱性10大排名的統(tǒng)計(jì)結(jié)果表明，跨站腳本、注入漏洞、跨站請(qǐng)求偽造、信息泄露等方面的問題仍然是目前黑客流行的攻擊方式，而其中尤以SQL注入攻擊和跨站腳本攻擊為重，所謂的SQL注入攻擊就是利用程序員在編寫代碼時(shí)沒有對(duì)用戶輸入數(shù)據(jù)的合法性進(jìn)行判斷，導(dǎo)致入侵者可以通過插入并執(zhí)行惡意SQL命令，獲得數(shù)據(jù)讀取和修改的權(quán)限；而跨站腳本攻擊則是通過在網(wǎng)頁中加入惡意代碼，當(dāng)訪問者瀏覽網(wǎng)頁時(shí)，惡意代碼會(huì)被執(zhí)行或者通過給管理員發(fā)信息的方式誘使管理員瀏覽，從而獲得管理員權(quán)限，控制整個(gè)網(wǎng)站。

那么，對(duì)這種黑客攻擊方式有沒有有效的安全手段進(jìn)行阻擊呢？據(jù)悉，在SiteFactory? 內(nèi)容管理系統(tǒng)開發(fā)中，針對(duì)各種攻擊方式都制定了相應(yīng)完整的防御方案，并且借助 ASP.NET 的特性和功能，可以有效的抵制惡意用戶對(duì)網(wǎng)站進(jìn)行的攻擊，提高網(wǎng)站的安全性，但就針對(duì)目前SQL注入攻擊和跨站腳本攻擊，其更加有效的阻擊手段是什么呢？為此，我們向動(dòng)易網(wǎng)絡(luò)安全專家了解，他向我們介紹了一些安全手段：

（一）對(duì)于SQL注入攻擊：動(dòng)易系統(tǒng)采用對(duì)SQL查詢語句中的查詢參數(shù)進(jìn)行過濾；使用類型安全的SQL參數(shù)化查詢方式，從根本上解決SQL注入的問題；URL參數(shù)類型、數(shù)量、范圍限制功能，解決惡意用戶通過地址欄惡意攻擊的問題等，這些手段是控制SQL注入的，還包括其它的一些過濾處理，和其它的對(duì)用戶輸入數(shù)據(jù)的驗(yàn)證來防止SQL注入攻擊。

（二）：對(duì)于跨站腳本攻擊：在對(duì)于不支持HTML的內(nèi)容直接實(shí)行編碼處理的辦法，來從根本上解決跨站問題。而對(duì)于支持Html的內(nèi)容，我們有專門的過濾函數(shù)，會(huì)對(duì)數(shù)據(jù)進(jìn)行安全處理（依據(jù)XSS攻擊庫的攻擊實(shí)例），雖然這種方式目前是安全的，但不代表以后也一定是安全的，因?yàn)楣羰侄螘?huì)不斷翻新，我們的過濾函數(shù)庫也會(huì)不斷更新。

另外對(duì)于外站訪問和直接訪問我們也做了判斷，從一定程度上也可以避免跨站攻擊。即使出現(xiàn)了了跨站攻擊，我們也會(huì)將攻擊的影響減到最小：

一、對(duì)于后臺(tái)一些會(huì)顯示HTML內(nèi)容的地方，通過frame的安全屬性security="restricted"來阻止腳本的運(yùn)行（IE有效）；

二、使用Cookie的HttpOnly屬性來防止Cookie通過腳本泄密（IE6 SP1以上、Firefox 3）；

三、身份驗(yàn)證票據(jù)都是加密過的；

四、推薦使用更高版本的IE或者FF。

網(wǎng)友支招三：呼吁站長(zhǎng)和政府關(guān)注網(wǎng)站安全，動(dòng)員第三把鎖

2008年4月29日，國務(wù)院辦公廳發(fā)布了“國務(wù)院辦公廳關(guān)于施行《中華人民共和國政府信息公開條例》若干問題的意見”(國辦發(fā)(2008〕36號(hào))，)，文中充分體現(xiàn)了政務(wù)公開的決心，而政務(wù)公開的組要信息渠道是傳統(tǒng)的紙媒和政府網(wǎng)站，但據(jù)CNCERT/CC監(jiān)測(cè)到中國大陸被篡改網(wǎng)站總數(shù)累積達(dá)61228個(gè)，比去年增加了1.5倍。中國大陸政府網(wǎng)站被篡改數(shù)量達(dá)3407個(gè)。而2007年中國大陸政府網(wǎng)站被篡改各月累計(jì)達(dá)4234個(gè)。

一系列的數(shù)字和事實(shí)證明，我們?cè)诰W(wǎng)站安全方面存在著重大的隱患，而其中網(wǎng)站站長(zhǎng)和政府在安全方面扮演著重要的角色，一方面我們呼吁網(wǎng)站站長(zhǎng)關(guān)注網(wǎng)站安全，構(gòu)筑網(wǎng)站安全的基本防護(hù)能力，降低被“黑客”攻擊的風(fēng)險(xiǎn)，另一方面我們呼吁政府關(guān)注，積極打擊網(wǎng)絡(luò)黑客犯罪，加強(qiáng)互聯(lián)網(wǎng)犯罪立法，從制度上保障網(wǎng)站的安全。