安全篇 ━━ 整改mysql数据库及windows服务器（根据安全等级保护评估、渗透测试报告）

已于 2023-03-21 01:19:04 修改
阅读量3.2k 收藏 25
点赞数 4
分类专栏： 服务器 数据库 安全 文章标签： 服务器 mysql windows
于 2020-12-04 01:14:36 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/snans/article/details/110550456
版权
服务器 同时被 3 个专栏收录
25 篇文章 10 订阅
订阅专栏
数据库
20 篇文章 2 订阅
订阅专栏
安全
19 篇文章 2 订阅
订阅专栏

安全计算环境-服务器

操作系统当前密码为弱口令，且密码未定期更换

解决参考：https://jingyan.baidu.com/article/219f4bf7d56880de442d38b9.html

位置 ：控制面板 - 管理工具 - 本地安全策略 - 账户策略 - 密码策略
配置 ：密码必须符合复杂性要求、密码长度最小值、密码最长使用期限
在这里插入图片描述

操作系统未配置密码复杂度策略、登录失败处理策略、超时策略

解决参考：https://www.cnblogs.com/XiaoZhou-cn/p/11385940.html

位置1 ：控制面板 - 管理工具 - 本地安全策略 - 账户策略 - 账户锁定策略（密码策略）
配置1 ：密码必须符合复杂性要求、密码长度最小值、密码最长使用期限、账户锁定时间、账户锁定阈值

可能存在账户策略-账户锁定策略下的锁定阈值和锁定时间无法修改的问题

位置2 ：控制面板 - 管理工具 - 本地安全策略 - 本地策略 - 安全选项
配置2 ：交互式登录：计算机不活动限制；交互式登录：计算机账户锁定阈值
在这里插入图片描述

Windows操作系统未重命名administrator账号

解决参考：https://jingyan.baidu.com/article/2c8c281d7f82610008252a8d.html

位置 ：计算机管理 - 本地用户和组 - 用户
配置 ：选中administrator，右键重命名，左上角菜单：文件 - 退出，最后重新登录

虚拟机可能更名用户需要授权才能使用。

Windows操作系统统一通过administrator进行管理，未建立其他账户进行分权管理

位置 ：计算机管理 - 本地用户和组 - 用户
配置 ：右键新增用户，设置账号、密码，创建后选择用户右键-属性，将隶属于改为 administrators

虚拟机可能新用户需要授权才能使用。

Windows操作系统审计内容不完善未启用关键审核策略

解决参考：
http://www.360doc.com/content/18/0602/00/27086148_758884085.shtml
https://jingyan.baidu.com/article/86112f13b8fbe827379787cc.html

位置 ：控制面板 - 管理工具 - 本地安全策略 - 本地策略 - 审核策略
配置 ：各项策略依次在成功、失败上打勾确定
在这里插入图片描述

未对操作系统日志进行集中收集和保存

定期每天将本地操作系统及iis的日志文件上传到到异地备份

@echo off
title copy backup
net use * /del /y
net use \\10.44.47.21\sjj-gcsj$ "qwert123" /user:"zhao.jb"
echo start
xcopy /s /d /e /y "C:\Windows\System32\winevt\Logs\*.*" "\\10.0.0.3\temp\log\win\"
echo copy success
echo end
xcopy /s /d /e /y "C:\inetpub\logs\*.*" "\\10.0.0.3\temp\log\iis\"
echo copy success
echo end
pause
Windows操作系统存在不必要的服务（print spooler、server）和端口（135、445等）

解决参考： https://www.cnblogs.com/su-root/p/10988875.html

位置 ：控制面板 - 检查防火墙状态 - 高级设置 - 入站规则
配置 ：新建规则 - 端口 - [TCP - 特定本地端口：135,139,445]、[UDP - 特定本地端口：137,138] - 阻止连接 - 名称自定义 - 完成
在这里插入图片描述

操作系统未限制远程登录服务器的地址

解决参考： https://www.cnblogs.com/su-root/p/9656252.html

位置 ：控制面板 - 管理工具 - 本地安全策略 - IP安全策略 - 创建IP安全策略
配置 ：创建允许通过的ip地址

Windows操作系统未安装杀毒软件

免费的有 安全狗 小红伞
服务器安全狗或者网站安全狗安装后可以修复很多内容，比如不常用端口

无可信验证设备对操作系统进行可信验证

？？？

未对虚拟机操作系统采取备份措施
未提供虚拟机异地数据定时批量备份功能
Windows操作系统未配置启用“开机不显示上次用户名”功能

解决参考： https://pfyxex.30edu.com.cn/article/0031ea5f-f0c2-4187-ba7c-bb57a9de2436.shtml

位置 ：控制面板 - 管理工具 - 本地安全策略 - 本地策略 - 安全选项 - 交互式登录：不显示上次的用户名
配置 ：选择“已启用”，确定完成。
在这里插入图片描述

SSL/TLS协议信息泄露漏洞

  • SSL/TLS协议信息泄露漏洞(CVE-2016-2183)
    TLS是安全传输层协议，用于在两个通信应用程序之间提供保密性和数据完整性。
    TLS, SSH, IPSec协商及其他产品中使用的IDEA、DES及Triple DES密码或者3DES及Triple 3DES存在大约四十亿块的生日界，这可使远程攻击者通过Sweet32攻击，获取纯文本数据。

  • SSL/TLS 受诫礼(BAR-MITZVAH)攻击漏洞(CVE-2015-2808)
    SSL/TLS协议是一个被广泛使用的加密协议,Bar Mitzvah攻击实际上是利用了"不变性漏洞"，这是RC4算法中的一个缺陷，它能够在某些情况下泄露SSL/TLS加密流量中的密文，从而将账户用户名密码，信用卡数据和其他敏感信息泄露给黑客。

  • SSL/TLS RC4 信息泄露漏洞(CVE-2013-2566)
    安全套接层（Secure Sockets Layer，SSL），一种安全协议，是网景公司（Netscape）在推出Web浏览器首版的同时提出的，目的是为网络通信提供安全及数据完整性。SSL在传输层对网络连接进行加密。传输层安全（Transport Layer Security），IETF对SSL协议标准化（RFC 2246）后的产物，与SSL 3.0差异很小。
    SSL/TLS内使用的RC4算法存在单字节偏差安全漏洞，可允许远程攻击者通过分析统计使用的大量相同的明文会话，利用此漏洞恢复纯文本信息。

  • SSL/TLS 服务器瞬时 Diffie-Hellman 公共密钥过弱
    安全套接层（Secure Sockets Layer，SSL），一种安全协议，是网景公司（Netscape）在推出Web浏览器首版的同时提出的，目的是为网络通信提供安全及数据完整性。SSL在传输层对网络连接进行加密。传输层安全TLS（Transport Layer Security），IETF对SSL协议标准化（RFC 2246）后的产物，与SSL 3.0差异很小。
    当服务器SSL/TLS的瞬时Diffie-Hellman公共密钥小于等于1024位时，存在可以恢复纯文本信息的风险。
    DHE man-in-the-middle protection (Logjam)

上面三个漏洞用一个方法解决：
解决参考：https://blog.csdn.net/kang0x0/article/details/114631551
解决参考：https://blog.csdn.net/vectorJ/article/details/116482613

位置 ：输入gpedit.msc - 本地组策略编辑器 - 计算机配置 - 管理模板 - 网络 - SSL 配置设置 - SSL 密码套件顺序
配置 ：默认情况下为未配置，选择已启动，并修改原字符串为下面提供的字符串

  1. 输入gpedit.msc打开本地组策略编辑器
    在这里插入图片描述

  2. 打开计算机配置 - 管理模板 - 网络 - SSL 配置设置 - SSL 密码套件顺序
    在这里插入图片描述

  3. 默认情况下未配置
    在这里插入图片描述

  4. 选择已启用，并将ssl密码套件中的内容进行更换

在这里插入图片描述

原字符串：

***win2008***
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_3DES_EDE_CBC_SHA,TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA,TLS_RSA_WITH_RC4_128_SHA,TLS_RSA_WITH_RC4_128_MD5,TLS_RSA_WITH_NULL_SHA256,TLS_RSA_WITH_NULL_SHA,SSL_CK_RC4_128_WITH_MD5,SSL_CK_DES_192_EDE3_CBC_WITH_MD5

***win2022***
TLS_AES_256_GCM_SHA384、TLS_AES_128_GCM_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256、TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384、TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256、TLS_DHE_RSA_WITH_AES_256_GCM_SHA384、TLS_DHE_RSA_WITH_AES_128_GCM_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256、TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384、TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256、TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA、TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA、TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA、TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_AES_256_GCM_SHA384、TLS_RSA_WITH_AES_128_GCM_SHA256、TLS_RSA_WITH_AES_256_CBC_SHA256、TLS_RSA_WITH_AES_128_CBC_SHA256、TLS_RSA_WITH_AES_256_CBC_SHA、TLS_RSA_WITH_AES_128_CBC_SHA、TLS_RSA_WITH_3DES_EDE_CBC_SHA、TLS_RSA_WITH_NULL_SHA256、TLS_RSA_WITH_NULL_SHA、TLS_PSK_WITH_AES_256_GCM_SHA384、TLS_PSK_WITH_AES_128_GCM_SHA256、TLS_PSK_WITH_AES_256_CBC_SHA384、TLS_PSK_WITH_AES_128_CBC_SHA256、TLS_PSK_WITH_NULL_SHA384、TLS_PSK_WITH_NULL_SHA256

修改为

本字符串只解决前三个问题

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,TLS_ECDHE_ECDSA,WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_NULL_SHA,TLS_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_DSS_WITH_AES_128_CBC_SHA

本字符串解决第四个问题

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_NULL_SHA256

为解决四个问题，经比较是否只留下以下部分（需网友测试）：

TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P521,WITH_AES_256_GCM_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384_P521,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P256,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P521,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P384,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P521,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P384,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384_P521,TLS_DHE_DSS_WITH_AES_128_CBC_SHA256,TLS_DHE_DSS_WITH_AES_256_CBC_SHA256
  1. 确定提交并重启服务器

安全计算环境-数据库

MySQL数据库密码未定期更换

解决参考： https://www.jb51.net/article/79347.htm

可以在MySQL的配置文件中设置一个默认值，这会使得所有MySQL用户的密码过期时间都为90天，MySQL会从启动时开始计算时间。my.cnf配置如下：

[mysqld]
default_password_lifetime=90

如果要设置密码永不过期的全局策略，可以这样：（注意这是默认值，配置文件中可以不声明）

[mysqld]
default_password_lifetime=0

在MySQL运行时可以使用超级权限修改此配置：

mysql> SET GLOBAL default_password_lifetime = 90;
//Query OK, 0 rows affected (0.00 sec)

还可以使用ALTER USER命令为每个具体的用户账户单独设置特定的值，它会自动覆盖密码过期的全局策略。要注意ALTER USER语句的

//INTERVAL的单位是“天”。
ALTER USER 'testuser'@'localhost' PASSWORD EXPIRE INTERVAL 30 DAY;

禁用密码过期：

ALTER USER 'testuser'@'localhost' PASSWORD EXPIRE NEVER;

让用户使用默认的密码过期全局策略：

ALTER USER 'testuser'@'localhost' PASSWORD EXPIRE DEFAULT;

从MySQL 5.7.6版开始，还可以使用ALTER USER语句修改用户的密码：

mysql> ALTER USER USER() IDENTIFIED BY '637h1m27h36r33K';
//Query OK, 0 rows affected (0.00 sec)

在这里插入图片描述

MySQL数据库未启用登录失败处理策略

解决参考：
https://blog.csdn.net/ywd1992/article/details/83865537
https://blog.csdn.net/kaikai0720/article/details/108374538

安装插件（ CONNECTION_CONTROL 和 CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS ）
按需修改配置文件（ /etc/my.cnf ），并重新登录数据库，查看配置是否生效

connection-control-failed-connections-threshold=5   #登陆失败次数限制
connection-control-min-connection-delay=1800000    #限制重试时间，此处为毫秒，注意按需求换算

或者打命令

mysql> INSTALL PLUGIN CONNECTION_CONTROL SONAME 'connection_control.dll';
mysql> install plugin CONNECTION_CONTROL_FAILED_LOGIN_ATTEMPTS soname 'connection_control.dll';
mysql> show plugins;
mysql> show variables like '%connection_control%';

mysql8的插件是connection_control.dll，而以前的版本插件名是connection_control.so
在这里插入图片描述

MySQL未开启general_log日志功能，且数据库日志都未通过数据库审计系统集中收集存放

解决参考：
https://blog.csdn.net/Abysscarry/article/details/79949480
https://blog.csdn.net/Abysscarry/article/details/79949480

// 先执行sql指令：
show variables like '%log%';
// 如果发现genery_log为off，则使用下一句
set global general_log = ON;
// 永久修改需要在my.cnf的【mysqld】中添加：general_log = 1

顺便写一下如何开启binlog
windows打开my.ini，找到 server_id 一行，增加：

server_id=1
log_bin=mysql-bin
binlog_format=ROW
#expire_logs_days自动过期清理binlog
expire_logs_days=7

在这里插入图片描述

  • 无可信验证设备对数据库进行可信验证

???

数据库未采取措施对重要数据在传输过程中的完整性进行监控

解决参考：
https://blog.csdn.net/snans/article/details/110622549
https://www.cnblogs.com/maggieq8324/p/11414889.html
https://jingyan.baidu.com/article/ca41422f36b35b1eae99edc3.html

查看是否已开启ssl，然后再配置mysql为ssl，同时修改程序连接方式

show global variables like '%ssl%';
未提供数据库异地数据定时批量备份功能

解决参考：https://www.cnblogs.com/gguozhenqian/p/11641191.html

位置 ：计算机管理 - 任务计划程序
配置 ：每天计划执行navicat批量备份，文件存储在指定目录，然后再利用计划执行一个bat文件，定期拷贝指定目录下所有文件到客户提供的共享目录。

@echo off 
title copy backup
net use  \\10.0.0.3\Downloads\temp\2\ "password" /user:"admin"
echo start
xcopy /s /y "F:\Downloads\temp\1\*.*" "\\10.0.0.3\Downloads\temp\2\" 
echo copy success
del F:\Downloads\temp\1\*.* /q
echo end
pause

实际使用删除最后一句，如果需要账号密码，则password是密码位置，admin是账号位置。
任务计划如果选择无论是否登录都执行bat复制拷贝文件，很可能会失败，但如果选择登录后方可执行成功。

数据库未采取相关技术对用户鉴别信息所在的存储空间进行剩余信息保护管理

解决参考：
http://www.fx361.com/page/2019/0613/5198954.shtml
https://www.freebuf.com/articles/database/227336.html
https://cloud.tencent.com/developer/article/1600502

剩余信息（Residual Information）是说用户使用过的信息，当该用户不再使用或不再存在时。
在GB/T 22239-2008 《信息技术信息系统安全等级保护基本要求》中，剩余信息保护是对三级以上的系统的要求，
在GB/T 22239-2008的修订版本中，即《信息安全技术网络安全等级保护基本要求》（征求意见稿）（20170813版）中，剩余信息保护变为对二级以上的系统的要求，可见剩余信息保护的重要性逐渐被得到重视。

剩余信息中的保护对象有很多种，其中一种叫鉴别信息

鉴别信息 ：操作系统用户的鉴别信息主要指用户名和密码。
Windows操作系统通常保存在 C:\WINDOWS\system32\config 目录下的 sam 文件中；
Linux操作系统一般保存在 /etc/passwd（或者 /etc/shadow ）;
AIX系统保存在 /etc/security/passwd ；
HP-UX保存在 /etc/passwd（或者 /etc/shadow）。

在数据库系统层面，用户信息主要包括：鉴别信息、数据表、数据文件等。

Oracle数据库，鉴别信息存放于 DBA_USERS 视图的 Password列 中。如果采用口令文件验证，对于Oracle 10.2.0.1，鉴别信息保存在 /oracle/app/product/10.2.0.1/dbs 目录下的 Orapwsid 文件（或者 ORACLE_HOME/dbs/PWDsid.ora ）中。数据文件保存在 /oracle/app/oradata/ 目录下，每个实例都有自己的数据文件，属于 dbf文件类型 。

在这里插入图片描述

总结

近年来，Web应用得到了飞速发展，但绝大部分Web应用存在安全漏洞。攻击者出于经济、政治等目的，利用RCE、SQL注入、网站挂马、跨站脚本、弱口令等漏洞对Web站点实施篡改、挂马、攻击、数据窃取等恶意行为，严重威胁着网站管理者和网络用户的数据安全。针对应用系统的整体安全建设，提出以下安全建议，仅供参考：

  1. 请专业的安全研究人员或安全公司对架构平台的程序和代码做全面的代码审计，修补所有发现的安全漏洞，这种白盒安全测试比较深入全面。
  2. 对平台的开发人员进行安全编码方面的培训，在开发过程避免漏洞的引入能起到事半功倍的效果。
  3. 采用专业的Web安全防火墙产品和主机安全产品，可以在不修改网站本身的情况下对大多数的Web攻击起到有效的阻断作用。
  4. 建议网络管理员、系统管理员、安全管理员关注安全信息、安全动态及最新的严重漏洞，特别是影响到Web站点所使用的系统和软件的漏洞，应该在事前设计好应对规划，一旦发现系统受漏洞影响及时采取措施。

参考：
安全篇 ━━ 根据安全评估报告整改php和IIS
安全篇 ━━ windows2008自建证书、IIS配置https服务器及浏览器报错处理
PHP开发日志 ━━ jsrsasign、jsencrypt、php实现前后端数据的RSA加密和解密
Xcopy使用详解

暂时先用这个名字
关注
专栏目录
等保2.0 MySQL数据库测评
2201_75571291的博客
07-24 1506
后，及时修补漏洞访谈MySQL补丁升级机制，查看补丁安装情况:1)执行如下命令查看当前补于版本:[外链图片转存中…(img-f4MnkHDM-1690167722785)]2)访谈数据库是否为企业版，是否定期进行漏洞扫描，针对高风险漏洞是否评估补丁并经测试后再进行安装。
2022网络安全技术自学路线图及职业选择方向
欢迎来到技术宅的博客
03-18 1万+
每天都有新闻报道描述着新技术对人们的生活和工作方式带来的巨大乃至压倒性影响。与此同时有关网络攻击和数据泄露的头条新闻也是日益频繁。 攻击者可谓无处不在：企业外部充斥着黑客、有组织的犯罪团体以及民族国家网络间谍，他们的能力和蛮横程度正日渐增长；企业内部是员工和承包商，无论有意与否，他们都可能是造成恶意或意外事件的罪魁祸首。 那作为一个零基础的小白，此时适合进入网络安全行业吗，它的就业前景怎么样，应该怎么选择适合自己的岗位？ 本文将针对这几个问题，逐一进行解答，希望能够对大家有帮助。 （友情提示，全文五
等保测评-MySQL数据库整改
m0_54146694的博客
09-13 1341
锁定时间（毫秒）：set global connection_control_min_connection_delay=1800000;4、授予用户权限：GRANT ALL PRIVILEGES ON database_name.* TO '用户名'@'连接方式';修改用户密码：ALTER USER '用户名'@'登录方式' IDENTIFIED BY '用户新密码';2、新建用户：CREATE USER '用户名'@'连接方式' IDENTIFIED BY '用户密码';查看SSL状态，已关闭。
MySQL等保测评整改：连接控制插件connection_control安装及策略配置
最新发布
听雪楼主
09-28 522
在平台的运行环境中，会根据等保测评要求，进行登录失败采取必要的措施，如：登录失败5次锁定帐户等，配置登录连接超时处理功能。本文将介绍如何安装连接控制插件以及设置相应的策略。
mysql 基线加固/等保整改
weixin_53801131的博客
05-09 902
PS：高版本的mysql可能不适用本文。
等保要求mysql整改项
x10n9的博客
04-17 2091
等保测评mysql整改项 1.配置密码复杂度 看当前复杂度配置 show variables like ‘validate_password%’; 安装插件 install plugin validate_password SONAME ‘validate_password.so’; 创建简单密码测试 2.应启用登录失败处理功能 install plugin CONNECTION_CON...
等保三级整改建议——mysql5.6.51
m0_64546445的博客
03-18 1175
a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。由于mysql5.6.51没有default_password_lifetime 函数所以我们可以使用脚本来实现密码更换日期b) 应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；设置连接超时设置登录次数限制c) 当进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；我们需要使用openssl生成证书和秘钥然后将配置文件修改为启用ssl；
MySQL数据库安全：防范攻击、保护数据，守护数据库安全
![MySQL数据库安全：防范攻击、保护数据，守护数据库安全]...# 1. MySQL数据库安全概述** MySQL数据库安全至关重要，因为它存储着敏感数据，如客户信息、财务记录和业务机密。数据库安全漏洞可能导致数据泄露
渗透测试入门—— 常见术语概述
weixin_46694260的博客
12-26 9194
00x1 前言 刚入门小白，收集了一些渗透术语，废话不多说。 00x2 渗透术语 1.脚本 动态网站(如：asp，php，jsp)， linux， python 2.网站 2.1静态网站：与后台交互比较少，如html) 2.2动态网站：使用动态脚本编写 如：asp，php，jsp，交互方便但是安全性不高，如果代码过滤不严格可能会导致漏洞最终导致后台linux被别人随意操作 3.http协议 http（HyperText Transfer Protocol），超文本传输协议。是因特网上应用最为广泛的一种网络传
渗透测试工程师(NISP-PT)
liuruo11000的博客
11-30 1473
具备渗透测试安全工程师技能，熟练掌握渗透测试核心思路和测试方法，能独立完成协议、Web中间件、内网渗透测试及PHP代码审计，能独立完成大型企业渗透测试并能进行漏洞修复，同时能对渗透测试结果输出报告。6 掌握 数据库基础知识能对MySQL/Oracle创建、查看、修改、增加、调整等字段顺序、排序、删除、用户管理、索引、权限等，着重于MySQL/Oracle的基线检查和安全加固，具备规范化、审计、测评工程师技能，熟练掌握等级保护全流程操作技能和方法，能独立完成定级备案、差距评估、规化设计、安全整改、测评验收。
2021年下半年软考信息安全工程师下午案例题及解析
qq_68147327的博客
09-20 1万+
2021年下半年软考信息安全工程师下午案例题
等保测评之MySQL测评指导PPT
01-28
等保测评之MySQL测评指导
MySQL学习之三级等保整改
CharlesYan的博客
10-30 5670
简述MySQL三级等保实现方案
等保测评-MySQL数据库
mashiro_hibiki的博客
03-26 1240
授权主体为root用户，该用户根据用户工作范围授予权限，其余用户不能有越权操作。核查用户登录数据库外是否还需要动态令牌等另一种验证，MySQL一般默认不符合。MySQL的root账户可以被重命名，不过不建议重命名，此处一般部分符合。询问是否有数据库审计设备，并将该数据库资产加入进去，或其他备份方式。核查非审计管理员用户能否中断审计进程，若未进行三权分立，则为超管。可信验证需要从芯片等硬件层面进行，在金融行业少数能实现，默认不符合。Mysql 用户口令默认以密文形式存储，此项默认符合。
Mysql的数据库优化，改进
K宝的博客
03-30 424
只接触了一些小的项目，优化谈不上，个人感受；望指正！优化思路我这个项目由于上线之前比较赶，所以前期并没有管数据库设计方面的一些问题，如今随着游戏接入，请求量剧增才暴露出来。这个问题，并不需要增加数据库硬件配置和增加读写分离这种高端手段就能解决。详细的MySQL优化步骤如下：检查数据表结构，改善不完善设计跑一遍主要业务，收集常用的数据库查询SQL分析查询SQL，适当拆分，添加索引等优化查询优化SQL...
mysql安装connection_control限制登录次数插件
热门推荐
sumengnan的博客
02-26 1万+
Connection-Control插件用来控制客户端在登录操作连续失败一定次数后的响应的延迟。可防止客户端暴力破解。 一、查询插件是否安装 如果有connection_control则已安装，没有则继续下一步。 二、安装插件 在mysql5.7后mysql/data/lib/plugin目录默认增加了connection_control.so插件,安装即可： install plugin connection_control soname "connection_control..
等保测评-Mysql数据库基线核查及加固
security_dog的博客
12-20 2025
等保测评数据库基线核查及加固
MySQL等保：MySQL8部分整改（密码复杂度）
weixin_44021888的博客
07-27 500
MySQL等保：MySQL部分整改（密码复杂度） 原链接： https://blog.csdn.net/weixin_44158749/article/details/109636813 其中安装mysql复杂度插件的时候，一直报错126； 用另外一个语句是可以的： install plugin validate_password soname 'validate_password.dll'; 首先登陆mysql： mysql -u root -p ...
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值