Web服务器的安全和攻击防范(3)
用nslookup输出网络域信息 运行nmap搜索整个网络可以列出域之内所有已知服务器。另外，你还可以查看DNS，看看服务器管理员为这个域所设置的内容。 再使用前面的example.server域： # nslookup set type=ns www.example.server.Server: ns.provider.netAddress: 10.4.3.1exam...
Web服务器的安全和攻击防范(5)
私有数据的安全性 我们要讨论的第二类安全问题涉及到服务器公用目录下的私有数据。许多Web空间提供商提供的只有“Web空间”，它们会把用户FTP目录的根映射到Web服务器的根。也就是说，用户可以通过FTP以“/”访问服务器目录“/home/www/servers/www.customer.com/”，同时任...
Web服务器的安全和攻击防范(2)
用nmap扫描服务器 nmap可以从http://www.insecure.org/nmap/获得。 # nmap -sS -T Agressive -p 1-10000 www.example.server | grep openPort State Protocol Service21 open tcp ftp22 open tcp ssh25 open tcp smtp80 open tcp http111 open tcp sunrpc119 open tcp nntp33...
Web服务器的安全和攻击防范(1)
分析一下最近几个月信用卡号码被盗和网站被黑所显示的种种安全问题，可以很清楚地看出，许多Web应用都是凑合着运行，很少有人关注其安全问题或作出安全规划。那么，造成服务器缺乏安全保障的常见原因有哪些？如何防范这些不安全因素？作为客户或者最终用户，如何才能信任某...
构建安全的e-commerce服务器(4)
最后的文件检查： 1. SSL证书和公钥不能存放在DocumentRoot下； 2. SSL 证书和公钥必须被root所拥有，chmod 400 *.crt； 3. 移去/htdocs和/cgi-bin中的所有示例文件； 4. /htdocs下的所有文件被nobody所拥有。 如果你不怕配置麻烦，最好把Apache放到一个chroot的环境中运行...
构建安全的e-commerce服务器(3)
面是一些要检查的安全设置： SSL： 在httpd.conf中打开SSL Port 80 Listen 80 Listen 443 SSLSessionCache dbm:/usr/local/apache/ logs/ssl_scache SSLSessionCacheTimeout 1200 # For increased performance use "SSLMutex sem" instead of the line below SSLMutex file:...
构建安全的e-commerce服务器(2)
三．SSL Internet是一个开放的系统。大部分的网络通信都是不安全的，就好比传统邮政中的明信片邮寄，恶意用户可以偷看明信片内容、篡改和伪造身份发送。 SSL，即Secure Socket Layer，是工作在网络层与会话层之间的协议，它在TCP/IP和HTTP之间增加了一个加密层，主要是使用...
构建安全的e-commerce服务器(1)
一．Background 基于Internet的网络经济一直吸引着人们的眼球，随着门户网站的局势已定，现在又涌现出一批以“电子商务”命名的网络公司。相比之下，他们比较冷静和谨慎。在企业级应用上，他们不仅仅满足于协助中小企业上网，更多的是想提供一些电子商务的主打产品：CRM、ER...
面向对象的Web 服务器Zope (2)
三、内容管理 Zope 的心脏就是 DTML (文档模板标记语言)，这个功能强大的变量插入和表达语言，提供对 Zope 对象的安全脚本和动态内容产生。 DTML 采用了服务器端包含脚本的语法，对很多 Web 开发人员来说很容易上手，而且和Zope 的安全模型高度集成。对安全的集成，可以让用...
面向对象的Web 服务器Zope (4)
六、数据共享 Zope 的强大功能之一就是它简单而成熟的数据共享模型，这个模型叫做“获...
IIS使用十大原则 下
6. 站点内容压缩 IIS 5有一个内置的压缩功能，可说实在话，它简直就糟透了，使用pipeboost吧。 7. Web应用程序缓存 你可以把不同的文件或目录设置过期时间，打开IIS信息服务器，右击站点内容，单击属性，在跳出来的窗体中你就可以进行相应的设置了。如果你想让开发者自己设...
IIS使用十大原则 上
1. 自定义错误页 虽然自定义错误页很简单，但只有少数管理员有效地利用了它。管理员可以在MMC中将HTTP错误信息映像到服务器上的绝对URL或是某个文件，更为详细的信息可以在这里找到。如果你嫌这太麻烦，想要更简单的方法，或者你希望开发者自己定义错误页，同时又不想让他们...