淺析動態(tài)網(wǎng)頁設計技術的安全漏洞及解決辦法

哈爾濱工業(yè)大學交通學院 屈子傲

前言

隨著網(wǎng)絡規(guī)模的擴大化及電子商務的發(fā)展，促使企業(yè)注重其內(nèi)部商務網(wǎng)站的建立，在構建網(wǎng)站系統(tǒng)時，需要加大對安全問題的重視，以便確保企業(yè)經(jīng)濟活動在安全的網(wǎng)絡環(huán)境下進行。雖然入侵檢測、防火墻等安全防護技術已經(jīng)被大量應用在網(wǎng)站建設中，但是由于動態(tài)網(wǎng)頁設計的復雜性，可能導致網(wǎng)頁設計過程中存在較多程序漏洞，從而不利于網(wǎng)站正常運營，因此，有必要加大對網(wǎng)業(yè)設計技術安全隱患解決措施的研究。

1.動態(tài)網(wǎng)頁設計安全漏洞的形成

在進行動態(tài)網(wǎng)頁設計時，通常會運用到PHP、ASP或JSP等語言，在這些腳本語言作用下，能為動態(tài)網(wǎng)頁設計提供應用性較強的設計工具，并能起到簡化程序開發(fā)流程的作用。在實際設計中，應用上述腳本語言進行程序編程能提高網(wǎng)站管理水平，加強瀏覽界面與用戶間的交互作用[1]。例如，企業(yè)在建立網(wǎng)站系統(tǒng)時，將在其中設置產(chǎn)品管理系統(tǒng)、信息發(fā)布系統(tǒng)、論壇交流系統(tǒng)等多個功能模塊。這些功能模塊的共同點在用戶將大量信息導入系統(tǒng)中，以便借助系統(tǒng)信息傳播作用，使得用戶與用戶間、用戶與網(wǎng)站管理者間能進行實時溝通互動，確保在信息有效共享的條件下，為用戶提供針對性服務。但是由于網(wǎng)站的交互特點，將導致系統(tǒng)可能存在安全漏洞，由于用戶數(shù)據(jù)信息是不可預測的，如果程序不能對相關信息作出適當反應，則用戶輸入信息可能對網(wǎng)站安全性造成危害。為了解決上述問題，要求網(wǎng)頁設計人員能從保障網(wǎng)站信息安全性這一角度出發(fā)，以便取得較好的動態(tài)網(wǎng)頁設計效果。

2.動態(tài)網(wǎng)頁設計安全漏洞的分類

網(wǎng)頁設計安全漏洞通常包括登陸驗證界面漏洞和直接進入界面漏洞等。當網(wǎng)頁設計人員在登錄界面設計時，忽視對系統(tǒng)安全性的保護，在實際設計階段沒有做到對登錄界面的嚴格限制，將對系統(tǒng)安全性造成不利影響。而從直接進入界面這一漏洞角度出發(fā)，部分界面可直接根據(jù)數(shù)據(jù)庫中已有信息登錄系統(tǒng)中，部分界面的登錄不需要用戶輸入賬號密碼，是網(wǎng)頁設計漏洞的體現(xiàn)。

3.動態(tài)網(wǎng)頁設計安全漏洞及解決對策

3.1 登陸驗證漏洞

登陸驗證是各類網(wǎng)站系統(tǒng)應具備的基礎功能之一，如聊天室、網(wǎng)上影院以及論壇等網(wǎng)站，由于這些網(wǎng)站具有交互性特點，因此在用戶進入網(wǎng)站前，需要進行登陸驗證?？梢哉f登陸驗證環(huán)節(jié)是網(wǎng)站系統(tǒng)的主要構成部分，同時是保障網(wǎng)站安全運營的重要關口。為了做到對網(wǎng)站信息的保護，需要充分發(fā)揮登陸驗證的安全防護作用。但是部分網(wǎng)頁設計者容易忽視這一設計環(huán)節(jié)，在驗證程序關口上的處理還有所不足，這就將導致非法用戶入侵到網(wǎng)站中，將對網(wǎng)站用戶帶來經(jīng)濟損失。造成登陸驗證存在漏洞的原因主要為，大部分網(wǎng)站在進行登陸驗證相關程序的編寫時，在驗證賬號身份程序方面不夠嚴謹。例如，在進行網(wǎng)站會員區(qū)程序設計時，一般將用戶賬號和密碼儲存在一個獨立的數(shù)據(jù)庫中，并利用相應字段來表達用戶賬戶名稱和密碼。在登錄驗證過程中，將檢查用戶導入的相關參數(shù)是否與數(shù)據(jù)庫中信息相一致，如果信息一致，則說明用戶合法。對于登陸驗證界面設計來講，如果驗證代碼編寫不當，將產(chǎn)生安全漏洞[2]。

為了解決這個安全漏洞問題，要求設計者在進行各網(wǎng)站交互性動態(tài)網(wǎng)頁設計時，應確保用戶登錄系統(tǒng)時的有關驗證工作能合理開展，使得登陸驗證程序在進行SQL查詢后，能對用戶身份加以驗證，或者在用戶進入系統(tǒng)對登陸賬號進行嚴格審查，從而增強登錄信息的安全性，是解決登陸驗證安全缺陷的有效途徑。另外，對于一些敏感網(wǎng)頁來講，當用戶需要登陸瀏覽這類網(wǎng)頁時，系統(tǒng)可要求用戶進行二次登錄驗證，這一功能可通過網(wǎng)頁設計來實現(xiàn)，進一步加大網(wǎng)頁安全性。

3.2 文件上傳安全性漏洞

大部分網(wǎng)站包括郵件服務系統(tǒng)、論壇等都能實現(xiàn)文件上傳這一功能，但是設計者在進行用戶上傳參數(shù)設計方面缺少有效過濾，將造成遠程違法分子利用設計漏洞向網(wǎng)站傳輸惡意文件，將對數(shù)據(jù)庫造成嚴重危害。例如，iXmail中的腳本語言在對用戶上傳的文件缺乏信息過濾環(huán)節(jié)，將為攻擊者創(chuàng)造上傳惡意文件的機會，對服務器正常運作有不利影響。例如，設計者在進行文件上傳有關網(wǎng)頁的設計時，會選擇將系統(tǒng)內(nèi)文件儲存在/tmp目錄中，這種情況下，同戶可針對文件信息進行遠程訪問，但是同樣使得攻擊者能借助Web登錄權限在網(wǎng)站內(nèi)部執(zhí)行任意指令，是網(wǎng)頁設計存在安全缺陷的主要原因。為了解決這一問題，在進行文件上傳功能界面設計時，應能在文件上傳前，設計文件類型識別模塊，使得用戶能通過界面提示進行相關操作，能在該模塊作用下完成文件信息過濾過程。

例如，在用戶上傳圖片類型的文件時，則系統(tǒng)規(guī)定只有GIF、JPG等格式的文件能上傳，可有效限制惡意文件進入系統(tǒng)中。具體來說，文件上傳功能是大多數(shù)網(wǎng)站重點設計功能之一，能為用戶進行文件傳輸及儲存等操作提供實施途徑，并且部分郵箱和論壇等網(wǎng)站具有圖片共享功能，以便滿足用戶需求。而對于用戶量較大的網(wǎng)站來講，用戶在文件共享過程中可能夾帶病毒文件，如果在網(wǎng)站設計階段不能對這一問題加以防范，則會對網(wǎng)站安全性造成威脅。因此，要求網(wǎng)頁設計者注重在文件數(shù)據(jù)過濾功能上的設計，從而去除病毒文件，為用戶提供良好的網(wǎng)頁瀏覽環(huán)境。

3.3 桌面數(shù)據(jù)庫安全漏洞

在網(wǎng)站應用系統(tǒng)中，如果用戶獲取某一數(shù)據(jù)庫的數(shù)據(jù)庫名及儲存路徑，則能將這一數(shù)據(jù)庫下載至本地。以網(wǎng)上圖書館為例，這類網(wǎng)站對應的數(shù)據(jù)庫，通常將其命名成iLbrayr.mdb等，儲存路徑一般選擇放在根目錄下，在掌握上述信息后，可將圖書館網(wǎng)站的數(shù)據(jù)庫下載到本地中[3]。由于部分數(shù)據(jù)庫的名稱及儲存路徑容易被他人掌握，這就將對數(shù)據(jù)庫安全帶來不利影響，無法實現(xiàn)數(shù)據(jù)庫信息的安全。當存在數(shù)據(jù)庫安全漏洞時，將造成網(wǎng)站數(shù)據(jù)流失，因此，要求設計人員在網(wǎng)站開發(fā)階段，能采取適當?shù)陌踩雷o措施。如采用ASP程序來盡可能減少ODBC數(shù)據(jù)的運用，利用上述做法能有效避免數(shù)據(jù)庫名稱存在運行程序中，從而提高數(shù)據(jù)庫安全性，保證其中數(shù)據(jù)信息不會被惡意破壞。

3.4 逃避驗證漏洞

在進行動態(tài)網(wǎng)頁設計技術安全漏洞分析時，還應注意到逃避驗漏洞對網(wǎng)站信息安全造成的不良影響，并能通過采取相應的解決措施，來做到對安全問題的有效防范。逃避驗證漏洞指的是存在部分用戶在瀏覽網(wǎng)頁過程中，已經(jīng)對網(wǎng)站登錄驗證程序的文件名及界面信息等有所了解，這種情況下，登錄界面無法發(fā)揮其驗證用戶身份的作用，用戶能在不登錄系統(tǒng)的情況下進入網(wǎng)站，并通過界面操作來查詢和利用網(wǎng)站內(nèi)信息。上述網(wǎng)頁設計安全漏洞現(xiàn)象主要是由于網(wǎng)頁設計不嚴謹造成的，為了解決這一問題，需要設計人員在進行登陸網(wǎng)頁界面設計時，增加身份限制這一功能，使得用戶只能通過賬號登錄進行系統(tǒng)，能極大程度增強網(wǎng)站安全性。

3.5 源代碼安全漏洞

源代碼安全同樣是進行動態(tài)網(wǎng)頁設計時需要注重的問題，為了加大對源代碼安全性的保護，在實際設計過程中，通常采取在網(wǎng)頁代碼上增設加密程序的設計方法，在加密技術作用下，能有效增強網(wǎng)站系統(tǒng)內(nèi)部信息的安全。在源代碼安全漏洞問題解決對策的選擇上，一般采用以下兩種方法：一是利用DLL文件作用，將邏輯語言進行封裝處理，以免由于信息被竊取而造成嚴重的網(wǎng)絡安全問題；二是在微軟Script Encoder作用下，做到對頁面的加密處理。上述做法主要目的在于加大對系統(tǒng)源代碼的保護，是較為常見的網(wǎng)頁設計安全漏洞解決措施，其中DLL文件能通過封裝語言信息來對系統(tǒng)進行保護，有利于提高網(wǎng)站系統(tǒng)的安全系數(shù)，是動態(tài)網(wǎng)頁設計主要目標。

4.結論

綜上所述，在信息化時代下，計算機技術取得了創(chuàng)新發(fā)展，在網(wǎng)絡技術不斷普及的情況下，對網(wǎng)站建立嚴謹性提出了更高要求。在進行動態(tài)網(wǎng)頁設計過程中，通常需要運用到多種程序設計方法，在程序交錯作用下，容易造成系統(tǒng)產(chǎn)生漏洞問題。為了加強網(wǎng)站信息安全性，需要完善動態(tài)網(wǎng)頁設計，并能在有效規(guī)避網(wǎng)頁安全漏洞的基礎上，確保網(wǎng)站性能的有效發(fā)揮，為用戶提供安全的信息查詢環(huán)境，是提高動態(tài)網(wǎng)頁設計質(zhì)量的關鍵。