Web站點安全靠自己

現在基本上每家單位都部署有各自的Web站點，但在部署Web站點過程中，最擔心的莫過于自己的站點頻繁遭遇攻擊。這給單位的站點安全運行帶來了無法忽視的威脅。所以保護Web站點安全只能靠用戶自己；只有熟悉惡意用戶的攻擊方法，才能更好地進行安全防護。

切斷惡意程序上傳通道

現在單位站點有些使用的是IIS平臺，甚至還在采用免費源程序，存在相當多的安全威脅。如有的源程序啟用了ASP文件上傳功能，這項功能實際上就是一個安全漏洞，惡意用戶能通過該漏洞，偷偷安裝放置ASP木馬文件到Web站點服務器中，同時借助木馬程序偷偷獲得對應站點的WebShell權限。

為切斷惡意ASP文件上傳通道，首先要停用站點服務器中的無關系統組件。考慮到ASP木馬文件通過ASP上傳漏洞入侵Web站點時，會使用 WScript.Shell、FileSystemObject、Shell.Application、WScript.Network等組件文件，如果平時用不到這些組件文件時，不妨使用“RegSrv32 /u”命令來刪除掉。例如，在MSDOS窗口中，執行“RegSrv32 WScript.Network /u”命令即可將WScript.Network組件文件刪除掉了。對于必用的組件，可以嘗試編輯系統注冊表，為某個組件修改名稱，或設置用戶權限來控制Internet來賓賬戶對目標組件文件的訪問。

接著定期升級漏洞補丁程序。當特定類型的系統平臺存在安全漏洞，部署在該系統平臺中的Web站點就易受到攻擊，只有定期升級漏洞補丁程序才能保護站點安全。

圖1 默認網站屬性對話框

最后要為站點訪問嚴格授權。正常情況下，惡意用戶都是先想辦法竊得Web站點的主目錄訪問權限，來自由上傳非法文件；……