1. 网站建设的通信协议安全:(1)要用到ssl来保障通信传输不被窃听(1)ssl要用最新的版本，避免心脏滴血漏洞的影响(3)证书要加密传输
2. 服务器建设安全:【1】如果选用windows:(1)最好用windows2008 r2版本(2)网站的权限要适当降低，不要用管理员权限搭建网站(3)网站上传文件后，存放文件的地方要禁止脚本的执行，上传要严格检查上传的后缀名(可用文件头加文件后缀的形式检测文件类型,要用白名单加黑名单的形式检测文件的合法性，如黑名单为jsp,class等文件，白名单为:jpg,png,pdf,rar等) (4)网站上传文件后一定要重命名(5)要用正版软件，不要用盗版软件或者绿色版软件，服务器上禁止用qq，搜狗拼音，迅雷下载等软件(6)如果开启ftp，远程桌面连接，则密码一定要设置的很复杂(7)开启网站防火墙，禁止一些端口随便开放【2】如果选用linux:(1)最好用比较新并且比较稳定的版本，服务器安全补丁要打好(尤其是ssl的补丁，bash漏洞的补丁等重要的安全补丁)(2)网站不能用root权限搭建，要分配比较低的权限账号(3)网站上传文件后，存放文件的地方要禁止脚本的执行，上传要严格检查上传的后缀名(可用文件头加文件后缀的形式检测文件类型,要用白名单加黑名单的形式检测文件的合法性，如黑名单为jsp,class等文件，白名单为:jpg,png,pdf,rar等)(4)网站上传文件后一定要重命名(5) 如果开启ftp，ssh连接，则密码一定要设置的很复杂(6)开启网站防火墙，禁止一些端口随便开放(7)有条件的话要架设硬件防火墙，没有的话安装一个waf(例如安全狗，云锁)并设置好规则
3. 网站的安全：(1)url和post的数据库查询要用到参数化查询，要过滤一些危险的查询语句，这样防止sql注入(2)网站传入的参数要进行检测，要把< > / “ ‘ # & 转换成对应的html编码(强烈注意：留言板，查询，上传文件的链接，说明等地方) 这样防止xss或者csrf攻击(3)ajax要注意以上以外，要严格检测输出，不要把javasprict的关键函数输出例如evel()等，这样防止xss或者csrf攻击(4)如果网站调用操作系统命令，则一定要严格检测参数，不要动态调用操作系统命令，例如备份这样的操作(5)网站后台要要限制ip访问，网站管理员密码要复杂(7)用户和用户之间要禁止越权访问，例如禁止甲利用改变参数的方式访问到乙的各种资料(6)cookie和session要严格加密，加密算法不能公开，且cookie和session要设置成httponly，且cookie与session要有时效，一旦过期就要重新登陆(7)结账和交付款时要核对商品编号还有对应的商品的上架价格是否和数据库的信息一致，虽然这样很耗费资源，但是要避免一分钱买的一百块的东西这样的违法操作(8)网站进行下载文件读取文件的操作时要过滤../../这样的参数，防止读取到网站源文件与配置文件(9)网站的错误信息要隐藏，不要在错误的时候暴露调试信息(100用户或者管理员退出时，一定要销毁客户端的cookie和服务器的session
4. 网站容器与框架安全:(1) apache，iis,nginx要修补全部安全漏洞(2)操作配置文件，不要让web容器的版本号泄露(3)不要用struts2这个漏洞很多的框架，也要谨慎用jboss这个框架(配置不好容易出现安全事故)(4) 所有应用的WEB-INF文件夹是不能通过页面直接访问(5)配置文件不要被读取(5)网站目录要禁止浏览
5. 数据库：(1)web网站和数据库最好分离，如果有条件架设网络，那么数据库要处于一个内网环境中，且通过一根网线与web服务器相连(2)连接数据库的配置文件的字段要加密处理(3)不要给网站的数据库最高权限，要分配一个比较低的权限账户给网站，尤其不要给数据库一些危险函数的使用权限(5)数据库要经常备份到不同的物理磁盘，且要有多处冗余备份(6)用户资料以及密码要进行加密存储(密码推荐des+md5的加密方式)(7)如果数据库服务器暴露给了外网，那么数据库的连接ip设置成只能web服务器的ip连接(7)数据库的登陆名密码一定要复杂，且最高权限账户不能以远程的方式进行登陆
6. 物理安全:存放服务器的地方要用好锁，门窗要加固(2)门前窗前要有监视器(3)存放服务器的地方地面要铺防尘防静电地板，且地板与地面距离有十公分的间距(5)房间内要有防火的设备(6)房间内要放置防虫和鼠装置和药物(7)房间内温度要控制好，不要过热，也不要过冷(最好维持在20到23度之间)
7. 运维： (1) 服务器的访问日志要经常看，网站容器的错误日志要经常看 (2) 如果发布安全问题或者安全补丁要及时修复 (3) 对异常文件要及时处理
545
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
