政府网站的安全隐患及常用攻击手段分析

赵婉彤

（中共鞍山市委党校，辽宁 鞍山 114000）

政府网站的安全隐患及常用攻击手段分析

赵婉彤

（中共鞍山市委党校，辽宁 鞍山 114000）

文章讨论了在互联网形势下政府网站安全的重要性，并结合实际情况分析总结出我国政府网站在遭受攻击后通常会出现的后果，即篡改页面、信息泄漏和网站瘫痪。随后文章还从技术方面剖析了WebShell，Cookies欺骗、缓冲区溢出、SQL注入、DDoS攻击等网络攻击者常用攻击方法的原理，并从操作和管理层面讨论了防范措施并给出相关建议。

政府网站；攻击手段；安全隐患；防御措施

随着互联网的发展和普及，为了政策宣传更加快捷、民众沟通更加顺畅、政务工作更加透明，各地政府纷纷开设了官方网站。管理者对于网站入侵、攻防及相关知识的掌握水平、网络安全防范意识、对信息的操作和管理的规范性有了更高的要求。政府网站安全这个问题十分复杂且重要。

1 政府网站安全的重要性

2015 年发生了一系列网站信息安全事件，如知名连锁酒店房客信息泄露事件、广东人寿10万保单泄露事件、内蒙古19万高考生信息泄露事件、全国超过30个省市卫生和社保系统出现大量高危漏洞事件、网易上亿邮箱信息泄露事件等，使信息安全问题被推上风口浪尖。政府网站作为承载大量人员、数据、决策等重要信息的载体，其安全性更是关系到国家和人民安全的头等大事。

2 政府网站的安全隐患

对我国近几年遭受过攻击的政府网站进行分析发现，目前政府网站的安全隐患主要集中为以下3种：篡改页面、数据信息泄漏和网站瘫痪。

2.1 篡改页面

这是政府网站最常遭遇到的攻击，特别在某些大型事件的时间点上，黑客们通过侵入政府网站，篡改网页信息、添加黑链接、置入非法信息等来达到各自的目的。这种攻击是通过利用网站漏洞，植入木马，非法窃取管理员账号和密码获得权限来实现的。

2.2 数据信息泄漏

数据是网站信息的重要部分，特别是对于政府网站而言，这是关系到国家和人民信息安全的头等大事。攻击者通过暴力突破可以盗取或修改信息，给政府带来极大的安全隐患，更有甚者会为国家带来巨大损失。

2.3 网站瘫痪

大量的攻击手段可以造成网站瘫痪，特别是拥有公众服务平台的政府网站，网站瘫痪将对政府日常办公，群众的服务诉求造成极大的影响。

3 常用的攻击手段与防御措施

3.1 WebShell攻击

所谓WebShell就是以ASP，PHP，JSP或者CGI等网页文件形式存在的一种命令执行环境，也可以将其称作为一种网页后门。黑客在入侵了一个网站后，通常会将ASP或PHP后门文件与网站服务器Web目录下正常的网页文件混在一起，使用浏览器来访问ASP或者PHP后门，得到一个命令执行环境，以达到控制网站服务器的目的[1]。

防止WebShell手段入侵，可以通过提升Web服务器安全设置、启动防火墙并关闭不需要的端口和服务、对cmd. exe, net.exe, net1.exe, ping.exe, netstat.exe, ftp.exe, tftp.exe, telnet.exe等命令进行权限控制、保护FTP文件上载安全、不使用超级用户运行Web服务等方式提升安全性，降低攻击者利用WebShell的可能。

3.2 Cookies欺骗

Cookies是一个存储于浏览器目录中的文本文件，它的官方定义是：指某些网站为了辨别用户身份、进行 session 跟踪而储存在用户本地终端上的数据（通常经过加密）[2]。

在日常网络行为中，Cookies就是被创建用于暂时存放于网络服务器的网络用户计算机上的一些资料，包括IP、注册口令、用户名、浏览记录等，且只能被创建它的站点读回。当攻击者获取对方的Cookies，就可以伪装成该用户获得其权限进行操作。

那么攻击者是如何通过Cookies欺骗入侵网站的呢？假如获取了某网站管理员的帐号和MD5（即加密后的16位密码），攻击者无法破解加密技术获取密码时，就会通过Cookies欺骗来获取管理员权限，首先攻击者将自己的用户ID改写成管理员的ID，MD5密码也修改成管理员的，然后更改Cookies，再打开页面的时候，攻击者已经获得管理员身份了。但在一般ASP系统中，后台登陆是由session实现的，当管理员输入帐号和密码后，程序会提取它的用户名和密码去数据库的管理员列表里比对，如果找到一致的就认同管理员身份，并且分配一个表示身份的session值，进入任何一个管理界面都需要验证session值。攻击者在完成Cookies欺骗之后可以通过木马编辑器植入木马的方式同样欺骗session，就可以用管理员的身份登陆后台。

在了解Cookies欺骗的原理后，不难看出若想有效地防止Cookies欺骗，首先要养成删除Cookies记录的习惯。其次可以采取Cookies+session混合存S储并为Cookies文件增加验证字段，这样在得到Cookies数据之后，再判断一下验证字段就可以知道Cookies是否被篡改过。

3.3 缓冲区溢出

缓冲区是地理空间目标的一种影响范围或服务范围，具体指在点、线、面实体的周围，自动建立一定宽度的多边。在计算机中，缓冲区（buffer）这个中文译意源自当计算机的高速部件与低速部件通讯时，必须将高速部件的输出暂存到某处，以保证高速部件与低速部件相吻合。后来这个意思被扩展了，成为“临时存贮区”的意思。

所谓缓冲区溢出就是将一个超过缓冲区长度的字符串置入缓冲区。通常这种过长字符串的置入会造成以下两种后果：一是超长字符串的溢出会使得相邻存储单元内容被改写，引发程序运行出现问题，甚至系统崩溃；二是可以利用漏洞执行任意指令，取得某种权限特别是系统权限以开展攻击。

在这种攻击方式下，攻击者需要在程序中安插适当的指令，并且通过适当手段使程序跳转到指令所在的地址执行指令代码。一般情况下，攻击者会将包含指令的字符串写入缓冲区，利用缓冲区作为空间来存放代码。在病毒程序安置完成后，攻击者向程序输入超长缓冲区，扰乱程序正常执行顺序，通过溢出缓冲区改写相，令程序空间控制程序转移到攻击代码。通常情况下可以通过改写函数返回地址、修改指针数据和利用长缓区冲跳转如C语言中的“setjmp/longjmp”控制程序转移。

使用严谨正确的代码是防止缓冲区溢出攻击的重要方式，此外在系统操作时禁止执行堆栈数据段、检查指针完整性和利用编译器进行程序边界检查也是有效且必要的手段，若想从根本上消除缓冲区溢出攻击，需要对编程模式或CPU体系进行基础性修改才能真正解决问题[3]。

3.4 SQL注入攻击

SQL注入攻击是攻击者对入侵数据库的常作手段之一，它是一种利用未过滤未审核用户输入的攻击方法，让应用运行本不应该运行的SQL代码。在这种攻击方式中，攻击者会将一些恶意代码插入到字符串中。然后会通过各种手段将该字符串传递到SQL Server数据库的实例中进行分析和执行[4]。只要这个恶意代码符合SQL语句的规则，则在代码编译与执行的时候，就不会被系统所发现。

SQL注入式攻击的主要形式有两种。一是直接将代码与SQL命令串联在一起并使得其以执行的用户身份输入变量。二是将恶意代码注入要在表中存储或者作为原数据存储的字符串。在存储的字符串中会连接到一个动态的SQL命令中，以执行一些恶意的SQL代码。

SQL注入攻击的危害非常大，防范这种攻击手法可以从以下几个方面入手：一是用户与管理员的权限要有严格区分，对于终端用户限制或不予开放对数据库对象的建立、删除等权限；二是加强对用户输入的验证，如果拒绝一些特殊符号，如分号分隔符，那么很多恶意代码便无用武之地了，这是最常见也最行之有效的防范措施。三是利用SQL数据库自带的安全参数，例如使用数据库中提供的Parameters集合。这个集合提供了类型检查和长度验证的功能。如果采用了这个集合的话，则用户输入的内容将被视为字符值而不是可执行代码。

4 结语

没有绝对安全不会受到攻击的网站，提高网络安全意识、养成良好的操作习惯、提高操作人员的技术水平、加强网络安全的防范措施才是应对网络攻击最好的办法。

[1]邓吉.网络安全攻防实战[M].北京：电子工业出版社，2008.

[2]（美）凯文·米特尼克，西蒙.反入侵的艺术[M].袁月杨，谢衡，译.北京：清华大学出版社，2007.

[3]许晓玲.黑客攻防大全[M].北京：艺术与科学电子出版社，2013.

[4]潘志翔，岺进峰.黑客攻防编程解析[M].北京：机械工业出版社，2003.

Analysis on the security risks of the government Website and the common attack means

Zhao Wantong

（Party School of CPC Anshan Municipal Committee, Anshan 114000, China）

This paper discusses the importance of government Website Internet security, combined with the actual situation, the author summarizes the consequences of the government Websites in China after the attack, which refers to tampering page, information leakage and Website paralysis. Then the article analyzes the WebShell, Cookies spoofing, buffer overflow, SQL injection, DDoS attacks and other attacks on the principles of network attackers commonly used through the aspect of technology. And the preventive measures are discussed from the aspects of operation and management.

government Website; attack means; security risk; defense measure

赵婉彤（1982— ），女，辽宁营口，本科，教师，讲师；研究方向：计算机应用。