文/诸葛建伟

高校网站安全的“矛”与“盾”(二)

文/诸葛建伟

COST论坛由CCERT、《中国教育网络》杂志于2008年共同发起，采取会员制，面向个人，完全免费，以开放、平等、自由的互联网精神运作。如需获取COST技术论坛视频、录音等资料，请登录：http://www.cost.edu.cn/。

Web应用安全威胁和设防措施

在网站系统的各个软件层次上，目前最薄弱的安全环节在于Web应用程序。相比较于底层操作系统、网络服务和常用应用软件，Web应用程序可能是开发过程最快、编码质量和测试水平最低的，这也造成了Web应用程序安全性最为薄弱的现状。同时，Web应用程序的复杂性和灵活性又进一步恶化了它们的安全性。

国际上著名的信息安全研究组织OWASP在2007年首次公布之后，2010年又发布了Web应用程序所面临的最新十大安全威胁（如表1所示）。从中我们可以看到，代码注入攻击和XSS跨站脚本一直以来占据着前两位的位置，也是目前高校网站所面临的最普遍的Web应用攻击方式。

代码注入攻击有多种类型，但SQL注入攻击是其中最为常见和简单易懂的技术类型，我们以它为例，来介绍高校网站Web应用程序的主要安全威胁状况。

SQL注入是利用Web应用程序数据层存在的输入验证不完善型安全漏洞实施的一类代码注入攻击技术，能够通过恶意读取、修改与操纵数据库，来窃取网站敏感信息，进而攻陷网站获得控制权。目前在网络骇客社群中流传着各种自动化的SQL注入攻击工具，如CSC、NBSI、HDSI、阿D注入工具、WED、Domain等。

而高校网站中，大量涉及数据库查询操……