政府網站的安全隱患及常用攻擊手段分析

趙婉彤

（中共鞍山市委黨校，遼寧 鞍山 114000）

政府網站的安全隱患及常用攻擊手段分析

趙婉彤

（中共鞍山市委黨校，遼寧 鞍山 114000）

文章討論了在互聯網形勢下政府網站安全的重要性，并結合實際情況分析總結出我國政府網站在遭受攻擊后通常會出現的后果，即篡改頁面、信息泄漏和網站癱瘓。隨后文章還從技術方面剖析了WebShell，Cookies欺騙、緩沖區溢出、SQL注入、DDoS攻擊等網絡攻擊者常用攻擊方法的原理，并從操作和管理層面討論了防范措施并給出相關建議。

政府網站；攻擊手段；安全隱患；防御措施

隨著互聯網的發展和普及，為了政策宣傳更加快捷、民眾溝通更加順暢、政務工作更加透明，各地政府紛紛開設了官方網站。管理者對于網站入侵、攻防及相關知識的掌握水平、網絡安全防范意識、對信息的操作和管理的規范性有了更高的要求。政府網站安全這個問題十分復雜且重要。

1 政府網站安全的重要性

2015 年發生了一系列網站信息安全事件，如知名連鎖酒店房客信息泄露事件、廣東人壽10萬保單泄露事件、內蒙古19萬高考生信息泄露事件、全國超過30個省市衛生和社保系統出現大量高危漏洞事件、網易上億郵箱信息泄露事件等，使信息安全問題被推上風口浪尖。政府網站作為承載大量人員、數據、決策等重要信息的載體，其安全性更是關系到國家和人民安全的頭等大事。

2 政府網站的安全隱患

對我國近幾年遭受過攻擊的政府網站進行分析發現，目前政府網站的安全隱患主要集中為以下3種：篡改頁面、數據信息泄漏和網站癱瘓。

2.1 篡改頁面

這是政府網站最常遭遇到的攻擊，特別在某些大型事件的時間點上，黑客們通過侵入政府網站，篡改網頁信息、添加黑鏈接、置入非法信息等來達到各自的目的。這種攻擊是通過利用網站漏洞，植入木馬，非法竊取管理員賬號和密碼獲得權限來實現的。

2.2 數據信息泄漏

數據是網站信息的重要部分，特別是對于政府網站而言，這是關系到國家和人民信息安全的頭等大事。攻擊者通過暴力突破可以盜取或修改信息，給政府帶來極大的安全隱患，更有甚者會為國家帶來巨大損失。

2.3 網站癱瘓

大量的攻擊手段可以造成網站癱瘓，特別是擁有公眾服務平臺的政府網站，網站癱瘓將對政府日常辦公，群眾的服務訴求造成極大的影響。

3 常用的攻擊手段與防御措施

3.1 WebShell攻擊

所謂WebShell就是以ASP，PHP，JSP或者CGI等網頁文件形式存在的一種命令執行環境，也可以將其稱作為一種網頁后門。黑客在入侵了一個網站后，通常會將ASP或PHP后門文件與網站服務器Web目錄下正常的網頁文件混在一起，使用瀏覽器來訪問ASP或者PHP后門，得到一個命令執行環境，以達到控制網站服務器的目的[1]。

防止WebShell手段入侵，可以通過提升Web服務器安全設置、啟動防火墻并關閉不需要的端口和服務、對cmd. exe, net.exe, net1.exe, ping.exe, netstat.exe, ftp.exe, tftp.exe, telnet.exe等命令進行權限控制、保護FTP文件上載安全、不使用超級用戶運行Web服務等方式提升安全性，降低攻擊者利用WebShell的可能。

3.2 Cookies欺騙

Cookies是一個存儲于瀏覽器目錄中的文本文件，它的官方定義是：指某些網站為了辨別用戶身份、進行 session 跟蹤而儲存在用戶本地終端上的數據（通常經過加密）[2]。

在日常網絡行為中，Cookies就是被創建用于暫時存放于網絡服務器的網絡用戶計算機上的一些資料，包括IP、注冊口令、用戶名、瀏覽記錄等，且只能被創建它的站點讀回。當攻擊者獲取對方的Cookies，就可以偽裝成該用戶獲得其權限進行操作。

那么攻擊者是如何通過Cookies欺騙入侵網站的呢？假如獲取了某網站管理員的帳號和MD5（即加密后的16位密碼），攻擊者無法破解加密技術獲取密碼時，就會通過Cookies欺騙來獲取管理員權限，首先攻擊者將自己的用戶ID改寫成管理員的ID，MD5密碼也修改成管理員的，然后更改Cookies，再打開頁面的時候，攻擊者已經獲得管理員身份了。但在一般ASP系統中，后臺登陸是由session實現的，當管理員輸入帳號和密碼后，程序會提取它的用戶名和密碼去數據庫的管理員列表里比對，如果找到一致的就認同管理員身份，并且分配一個表示身份的session值，進入任何一個管理界面都需要驗證session值。攻擊者在完成Cookies欺騙之后可以通過木馬編輯器植入木馬的方式同樣欺騙session，就可以用管理員的身份登陸后臺。

在了解Cookies欺騙的原理后，不難看出若想有效地防止Cookies欺騙，首先要養成刪除Cookies記錄的習慣。其次可以采取Cookies+session混合存S儲并為Cookies文件增加驗證字段，這樣在得到Cookies數據之后，再判斷一下驗證字段就可以知道Cookies是否被篡改過。

3.3 緩沖區溢出

緩沖區是地理空間目標的一種影響范圍或服務范圍，具體指在點、線、面實體的周圍，自動建立一定寬度的多邊。在計算機中，緩沖區（buffer）這個中文譯意源自當計算機的高速部件與低速部件通訊時，必須將高速部件的輸出暫存到某處，以保證高速部件與低速部件相吻合。后來這個意思被擴展了，成為“臨時存貯區”的意思。

所謂緩沖區溢出就是將一個超過緩沖區長度的字符串置入緩沖區。通常這種過長字符串的置入會造成以下兩種后果：一是超長字符串的溢出會使得相鄰存儲單元內容被改寫，引發程序運行出現問題，甚至系統崩潰；二是可以利用漏洞執行任意指令，取得某種權限特別是系統權限以開展攻擊。

在這種攻擊方式下，攻擊者需要在程序中安插適當的指令，并且通過適當手段使程序跳轉到指令所在的地址執行指令代碼。一般情況下，攻擊者會將包含指令的字符串寫入緩沖區，利用緩沖區作為空間來存放代碼。在病毒程序安置完成后，攻擊者向程序輸入超長緩沖區，擾亂程序正常執行順序，通過溢出緩沖區改寫相，令程序空間控制程序轉移到攻擊代碼。通常情況下可以通過改寫函數返回地址、修改指針數據和利用長緩區沖跳轉如C語言中的“setjmp/longjmp”控制程序轉移。

使用嚴謹正確的代碼是防止緩沖區溢出攻擊的重要方式，此外在系統操作時禁止執行堆棧數據段、檢查指針完整性和利用編譯器進行程序邊界檢查也是有效且必要的手段，若想從根本上消除緩沖區溢出攻擊，需要對編程模式或CPU體系進行基礎性修改才能真正解決問題[3]。

3.4 SQL注入攻擊

SQL注入攻擊是攻擊者對入侵數據庫的常作手段之一，它是一種利用未過濾未審核用戶輸入的攻擊方法，讓應用運行本不應該運行的SQL代碼。在這種攻擊方式中，攻擊者會將一些惡意代碼插入到字符串中。然后會通過各種手段將該字符串傳遞到SQL Server數據庫的實例中進行分析和執行[4]。只要這個惡意代碼符合SQL語句的規則，則在代碼編譯與執行的時候，就不會被系統所發現。

SQL注入式攻擊的主要形式有兩種。一是直接將代碼與SQL命令串聯在一起并使得其以執行的用戶身份輸入變量。二是將惡意代碼注入要在表中存儲或者作為原數據存儲的字符串。在存儲的字符串中會連接到一個動態的SQL命令中，以執行一些惡意的SQL代碼。

SQL注入攻擊的危害非常大，防范這種攻擊手法可以從以下幾個方面入手：一是用戶與管理員的權限要有嚴格區分，對于終端用戶限制或不予開放對數據庫對象的建立、刪除等權限；二是加強對用戶輸入的驗證，如果拒絕一些特殊符號，如分號分隔符，那么很多惡意代碼便無用武之地了，這是最常見也最行之有效的防范措施。三是利用SQL數據庫自帶的安全參數，例如使用數據庫中提供的Parameters集合。這個集合提供了類型檢查和長度驗證的功能。如果采用了這個集合的話，則用戶輸入的內容將被視為字符值而不是可執行代碼。

4 結語

沒有絕對安全不會受到攻擊的網站，提高網絡安全意識、養成良好的操作習慣、提高操作人員的技術水平、加強網絡安全的防范措施才是應對網絡攻擊最好的辦法。

[1]鄧吉.網絡安全攻防實戰[M].北京：電子工業出版社，2008.

[2]（美）凱文·米特尼克，西蒙.反入侵的藝術[M].袁月楊，謝衡，譯.北京：清華大學出版社，2007.

[3]許曉玲.黑客攻防大全[M].北京：藝術與科學電子出版社，2013.

[4]潘志翔，岺進峰.黑客攻防編程解析[M].北京：機械工業出版社，2003.

Analysis on the security risks of the government Website and the common attack means

Zhao Wantong

（Party School of CPC Anshan Municipal Committee, Anshan 114000, China）

This paper discusses the importance of government Website Internet security, combined with the actual situation, the author summarizes the consequences of the government Websites in China after the attack, which refers to tampering page, information leakage and Website paralysis. Then the article analyzes the WebShell, Cookies spoofing, buffer overflow, SQL injection, DDoS attacks and other attacks on the principles of network attackers commonly used through the aspect of technology. And the preventive measures are discussed from the aspects of operation and management.

government Website; attack means; security risk; defense measure

趙婉彤（1982— ），女，遼寧營口，本科，教師，講師；研究方向：計算機應用。