1. 白帽子講Web安全的前言
在2010年年中的時候，博文視點的張春雨先生找到我，希望我可以寫一本關於雲計算安全的書。當時雲計算的概念正如日中天，但市面上關於雲計算安全應該怎麼做卻缺乏足夠的資料。我由於工作的關系接觸這方面比較多，但考慮到雲計算的未來尚未清晰，以及其他的種種原因，婉拒了張春雨先生的要求，轉而決定寫一本關於Web安全的書。 我對安全的興趣起源於中學時期。當時在盜版市場買到了一本沒有書號的黑客手冊，其中coolfire 的黑客教程令我印象深刻。此後在有限的能接觸到互聯網的機會里，我總會想方設法地尋找一些黑客教程，並以實踐其中記載的方法為樂。
在2000年的時候，我進入了西安交通大學學習。在大學期間，最大的收獲，是學校的計算機實驗室平時會對學生開放。當時上網的資費仍然較貴，父母給我的生活費里，除了留下必要的生活所需費用之外，幾乎全部投入在這里。也是在學校的計算機實驗室里，讓我迅速在這個領域中成長起來。
大學期間，在父母的資助下，我擁有了自己的第一台個人電腦，這加快了我成長的步伐。與此同時，我和一些互聯網上志同道合的朋友，一起建立了一個技術型的安全組織，名字來源於我當時最喜愛的一部動漫：「幻影旅團」。歷經十餘載，「幻影」由於種種原因未能得以延續，但它卻曾以論壇的形式培養出了當今安全行業中非常多的頂尖人才。這也是我在這短短二十餘載人生中的最大成就與自豪。
得益於互聯網的開放性，以及我親手締造的良好技術交流氛圍，我幾乎見證了全部互聯網安全技術的發展過程。在前5年，我投入了大量精力研究滲透測試技術、緩沖區溢出技術、網路攻擊技術等；而在後5年，出於工作需要，我把主要精力放在了對Web安全的研究上。 發生這種專業方向的轉變，是因為在2005年，我在一位摯友的推薦下，加入了阿里巴巴。加入的過程頗具傳奇色彩，在面試的過程中主管要求我展示自己的能力，於是我遠程關閉了阿里巴巴內網上游運營商的一台路由設備，導致阿里巴巴內部網路中斷。事後主管立即要求與運營商重新簽訂可用性協議。
大學時期的興趣愛好，居然可以變成一份正經的職業（當時很多大學都尚未開設網路安全的課程與專業），這使得我的父母很震驚，同時也更堅定了我自己以此作為事業的想法。
在阿里巴巴我很快就嶄露頭角，曾經在內網中通過網路嗅探捕獲到了開發總監的郵箱密碼；也曾經在壓力測試中一瞬間癱瘓了公司的網路；還有好幾次，成功獲取到了域控伺服器的許可權，從而可以以管理員的身份進入任何一位員工的電腦。
但這些工作成果，都遠遠比不上那厚厚的一摞網站安全評估報告讓我更有成就感，因為我知道，網站上的每一個漏洞，都在影響著成千上萬的用戶。能夠為百萬、千萬的互聯網用戶服務，讓我倍感自豪。當時，Web正在逐漸成為互聯網的核心，Web安全技術也正在興起，於是我義無返顧地投入到對Web安全的研究中。
我於2007年以23歲之齡成為了阿里巴巴集團最年輕的技術專家。雖未有官方統計，但可能也是全集團里最年輕的高級技術專家，我於2010年獲此殊榮。在阿里巴巴，我有幸見證了安全部門從無到有的建設過程。同時由於淘寶、支付寶草創，尚未建立自己的安全團隊，因此我有幸參與了淘寶、支付寶的安全建設，為他們奠定了安全開發框架、安全開發流程的基礎。 當時，我隱隱地感覺到了互聯網公司安全，與傳統的網路安全、信息安全技術的區別。就如同開發者會遇到的挑戰一樣，有很多問題，不放到一個海量用戶的環境下，是難以暴露出來的。由於量變引起質變，所以管理10台伺服器，和管理1萬台伺服器的方法肯定會有所區別；同樣的，評估10名工程師的代碼安全，和評估1000名工程師的代碼安全，方法肯定也要有所不同。
互聯網公司安全還有一些鮮明的特色，比如注重用戶體驗、注重性能、注重產品發布時間，因此傳統的安全方案在這樣的環境下可能完全行不通。這對安全工作提出了更高的要求和更大的挑戰。
這些問題，使我感覺到，互聯網公司安全可能會成為一門新的學科，或者說應該把安全技術變得更加工業化。可是我在書店中，卻發現安全類目的書，要麼是極為學術化的（一般人看不懂）教科書，要麼就是極為娛樂化的（比如一些「黑客工具說明書」類型的書）說明書。極少數能夠深入剖析安全技術原理的書，以我的經驗看來，在工業化的環境中也會存在各種各樣的問題。
這些問題，也就促使我萌發了一種寫一本自己的書，分享多年來工作心得的想法。它將是一本闡述安全技術在企業級應用中實踐的書，是一本大型互聯網公司的工程師能夠真正用得上的安全參考書。因此張春雨先生一提到邀請我寫書的想法時，我沒有做過多的思考，就答應了。
Web是互聯網的核心，是未來雲計算和移動互聯網的最佳載體，因此Web安全也是互聯網公司安全業務中最重要的組成部分。我近年來的研究重心也在於此，因此將選題范圍定在了Web安全。但其實本書的很多思路並不局限於Web安全，而是可以放寬到整個互聯網安全的方方面面之中。
掌握了以正確的思路去看待安全問題，在解決它們時，都將無往而不利。我在2007年的時候，意識到了掌握這種正確思維方式的重要性，因此我告知好友：安全工程師的核心競爭力不在於他能擁有多少個0day，掌握多少種安全技術，而是在於他對安全理解的深度，以及由此引申的看待安全問題的角度和高度。我是如此想的，也是如此做的。
因此在本書中，我認為最可貴的不是那一個個工業化的解決方案，而是在解決這些問題時，背後的思考過程。我們不是要做一個能夠解決問題的方案，而是要做一個能夠「漂亮地」解決問題的方案。這是每一名優秀的安全工程師所應有的追求。 然而在當今的互聯網行業中，對安全的重視程度普遍不高。有統計顯示，互聯網公司對安全的投入不足收入的百分之一。
在2011年歲末之際，中國互聯網突然捲入了一場有史以來最大的安全危機。12月21日，國內最大的開發者社區CSDN被黑客在互聯網上公布了600萬注冊用戶的數據。更糟糕的是，CSDN在資料庫中明文保存了用戶的密碼。接下來如同一場盛大的交響樂，黑客隨後陸續公布了網易、人人、天涯、貓撲、多玩等多家大型網站的資料庫，一時間風聲鶴唳，草木皆兵。
這些數據其實在黑客的地下世界中已經輾轉流傳了多年，牽扯到了一條巨大的黑色產業鏈。這次的偶然事件使之浮出水面，公之於眾，也讓用戶清醒地認識到中國互聯網的安全現狀有多麼糟糕。
以往類似的事件我都會在博客上說點什麼，但這次我保持了沉默。因為一來知道此種狀況已經多年，網站只是在為以前的不作為而買單；二來要解決「拖庫」的問題，其實是要解決整個互聯網公司的安全問題，遠非保證一個資料庫的安全這么簡單。這不是通過一段文字、一篇文章就能夠講清楚的。但我想最好的答案，可以在本書中找到。
經歷這場危機之後，希望整個中國互聯網，在安全問題的認識上，能夠有一個新的高度。那這場危機也就物有所值，或許還能藉此契機成就中國互聯網的一場安全啟蒙運動。
這是我的第一本書，也是我堅持自己一個人寫完的書，因此可以在書中盡情地闡述自己的安全世界觀，且對書中的任何錯漏之處以及不成熟的觀點都沒有可以推卸責任的借口。
由於工作繁忙，寫此書只能利用業余時間，交稿時間多次推遲，深感寫書的不易。但最終能成書，則有賴於各位親朋的支持，以及編輯的鼓勵，在此深表感謝。本書中很多地方未能寫得更為深入細致，實乃精力有限所致，尚請多多包涵。 在安全圈子裡，素有「白帽」、「黑帽」一說。
黑帽子是指那些造成破壞的黑客，而白帽子則是研究安全，但不造成破壞的黑客。白帽子均以建設更安全的互聯網為己任。
我於2008年開始在國內互聯網行業中倡導白帽子的理念，並聯合了一些主要互聯網公司的安全工程師，建立了白帽子社區，旨在交流工作中遇到的各種問題，以及經驗心得。
本書名為《白帽子講Web安全》，即是站在白帽子的視角，講述Web安全的方方面面。雖然也剖析攻擊原理，但更重要的是如何防範這些問題。同時也希望「白帽子」這一理念，能夠更加的廣為人知，為中國互聯網所接受。 全書分為4大篇共18章，讀者可以通過瀏覽目錄以進一步了解各篇章的內容。在有的章節末尾，還附上了筆者曾經寫過的一些博客文章，可以作為延伸閱讀以及本書正文的補充。
第一篇 我的安全世界觀是全書的綱領。在此篇中先回顧了安全的歷史，然後闡述了筆者對安全的看法與態度，並提出了一些思考問題的方式以及做事的方法。理解了本篇，就能明白全書中所涉及的解決方案在抉擇時的取捨。
第二篇 客戶端腳本安全就當前比較流行的客戶端腳本攻擊進行了深入闡述。當網站的安全做到一定程度後，黑客可能難以再找到類似注入攻擊、腳本執行等高風險的漏洞，從而可能將注意力轉移到客戶端腳本攻擊上。
客戶端腳本安全與瀏覽器的特性息息相關，因此對瀏覽器的深入理解將有助於做好客戶端腳本安全的解決方案。
如果讀者所要解決的問題比較嚴峻，比如網站的安全是從零開始，則建議跳過此篇，先閱讀下一篇「伺服器端應用安全」，解決優先順序更高的安全問題。
第三篇 伺服器端應用安全就常見的伺服器端應用安全問題進行了闡述。這些問題往往能引起非常嚴重的後果，在網站的安全建設之初需要優先解決這些問題，避免留下任何隱患。
第四篇 互聯網公司安全運營提出了一個大安全運營的思想。安全是一個持續的過程，最終仍然要由安全工程師來保證結果。
在本篇中，首先就互聯網業務安全問題進行了一些討論，這些問題對於互聯網公司來說有時候會比漏洞更為重要。
在接下來的兩章中，首先闡述了安全開發流程的實施過程，以及筆者積累的一些經驗。然後談到了公司安全團隊的職責，以及如何建立一個健康完善的安全體系。
本書也可以當做一本安全參考書，讀者在遇到問題時，可以挑選任何所需要的章節進行閱讀。 感謝我的妻子，她的支持是對我最大的鼓勵。本書最後的成書時日，是陪伴在她的病床邊完成的，我將銘記一生。
感謝我的父母，是他們養育了我，並一直在背後默默地支持我的事業，使我最終能有機會在這里寫下這些話。
感謝我的公司阿里巴巴集團，它營造了良好的技術與實踐氛圍，使我能夠有今天的積累。同時也感謝在工作中一直給予我幫助和鼓勵的同事、上司，他們包括但不限於：魏興國、湯城、劉志生、侯欣傑、林松英、聶萬全、謝雄欽、徐敏、劉坤、李澤洋、肖力、葉怡愷。
感謝季昕華先生為本書作序，他一直是所有安全工作者的楷模與學習的對象。
也感謝博文視點的張春雨先生以及他的團隊，是他們的努力使本書最終能與廣大讀者見面。他們的專業意見給了我很多的幫助。
最後特別感謝我的同事周拓，他對本書提出了很多有建設性的意見。
吳翰清
2012年1月於杭州
2. Tosec信息安全團隊,誰知道這個組織呀 這幾天爆出好多0day
國內某信息安全組織，專注於web安全
具體可以參考Tosec.CN網站資料
3. 白帽子講Web安全的作者簡介
簡介：吳翰清，人稱道哥，中國年輕一代頂級黑客，阿里雲首席安全科學家。
吳翰清於 2005 年加入阿里，參與創建了阿里巴巴、淘寶、支付寶、阿里雲的應用安全體系。23 歲成為阿里巴巴最年輕的高級技術專家，是阿里安全從無到有、從有到強的親歷者。 安全寶副總裁，前阿里巴巴集團高級安全專家、資深總監。
畢業於西安交通大學少年班，從2000年開始研究網路攻防技術。在大學期間創立了在中國安全圈內極具影響力的組織「幻影」。2005年加入阿里巴巴，負責網路安全。工作期間，對阿里巴巴的安全開發流程、應用安全建設做出了傑出的貢獻，並多次獲得公司的表彰。
曾先後幫助淘寶、支付寶建立了應用安全體系，保障公司業務得以快速而安全地發展。2009年起，加入阿里巴巴雲計算有限公司，負責雲計算安全、反網路欺詐等工作，是阿里巴巴集團最具價值的安全專家。
(3)web安全組織擴展閱讀
《白帽子講Web安全》
內容簡介：在互聯網時代，數據安全與個人隱私受到了前所未有的挑戰，各種新奇的攻擊技術層出不窮。如何才能更好地保護我們的數據？本書將帶你走進Web安全的世界，讓你了解Web安全的方方面面。黑客不再變得神秘，攻擊技術原來我也可以會，小網站主自己也能找到正確的安全道路。大公司是怎麼做安全的，為什麼要選擇這樣的方案呢？你能在本書中找到答案。詳細的剖析，讓你不僅能「知其然」，更能「知其所以然」。
4. 白帽子講Web安全的序言
2012年農歷春節，我回到了浙西的老家，外面白雪皚皚。在這與網路隔離的小鄉村裡，在這可以夜不閉戶的小鄉村裡，過著與網路無關、與安全無關的生活，而我終於可以有時間安安靜靜拜讀吳翰清先生的這本大作了。
認識吳翰清先生源於網路、源於安全，並從網路走向生活，成為朋友。他對於安全技術孜孜不倦的研究，使得他年紀輕輕便成為系統、網路、Web等多方面安全的專家；他對於安全技術的分享，創建了「幻影旅團」組織，培養了一批安全方面的技術人才，並帶動了整個行業的交流氛圍；他和同事在大型互聯網公司對安全方面的不斷實踐，全面保護著阿里巴巴集團的安全；他對於安全的反思和總結並發布在他的博客上，使得我們能夠更為深入地理解安全的意義，處理安全問題的方法論。而今天，很幸運，我們能系統的地看到吳翰清先生多年在大型互聯網公司工作實踐、總結反思所積累的安全觀和Web安全技術。
中國人自己編寫的安全專著不多，而在這為數不多的書中，絕大部分也都是「黑客攻擊」速成手冊。這些書除了在技術上僅立足於零碎的技術點、工具使用手冊、攻擊過程演示，不系統之外，更為關鍵的是，它們不是以建設者的角度去解決安全問題。吳翰清先生是我非常佩服的「白帽子」，他和一群志同道合的朋友，一直以建設更安全的互聯網為己任，系統地研究安全，積極分享知識，為中國的互聯網安全添磚加瓦。而這本書也正是站在白帽子的視角，講述Web安全的方方面面，它剖析攻擊原理，目的是讓互聯網開發者、技術人員了解原理，並通過自身的實踐，告訴大家分析這些問題的方法論、思想以及對應的防範方案。
最讓我共鳴的是「安全運營」的思路，我相信這也是吳翰清先生這么多年在互聯網公司工作的最大收獲之一，因為運營是互聯網公司的最大特色和法寶。安全是一個動態的過程，因為敵方攻擊手段在變，攻擊方法在變，漏洞不斷出現；我方業務在變，軟體在變，人員在變，妄圖通過一個系統、一個方案解決所有的問題是不現實的，也是不可能的，安全需要不斷地運營、持續地優化。
瑞雪兆豐年，一直在下的雪預示著今年的豐收。我想在經歷了2011年中國互聯網最大安全危機之後，如白雪一樣純潔的《白帽子講Web安全》應該會給廣大的從事互聯網技術人員帶來更多的幫助，保障中國互聯網的安全，迎來互聯網的又一個春天。
季昕華 Benjurry
5. 基於web的安全防範措施的研究與應用
一、計算機網路攻擊的常見手法
互聯網發展至今，除了它表面的繁榮外，也出現了一些不良現象，其中黑客攻擊是最令廣大網民頭痛的事情，它是計算機網路安全的主要威脅。下面著重分析黑客進行網路攻擊的幾種常見手法及其防範措施。
（一）利用網路系統漏洞進行攻擊
許多網路系統都存在著這樣那樣的漏洞，這些漏洞有可能是系統本身所有的，如WindowsNT、UNIX等都有數量不等的漏洞，也有可能是由於網管的疏忽而造成的。黑客利用這些漏洞就能完成密碼探測、系統入侵等攻擊。
對於系統本身的漏洞，可以安裝軟體補丁；另外網管也需要仔細工作，盡量避免因疏忽而使他人有機可乘。
（二）通過電子郵件進行攻擊
電子郵件是互聯網上運用得十分廣泛的一種通訊方式。黑客可以使用一些郵件炸彈軟體或CGI程序向目的郵箱發送大量內容重復、無用的垃圾郵件，從而使目的郵箱被撐爆而無法使用。當垃圾郵件的發送流量特別大時，還有可能造成郵件系統對於正常的工作反映緩慢，甚至癱瘓，這一點和後面要講到的「拒絕服務攻擊（DDoS）比較相似。
對於遭受此類攻擊的郵箱，可以使用一些垃圾郵件清除軟體來解決，其中常見的有SpamEater、Spamkiller等，Outlook等收信軟體同樣也能達到此目的。
（三）解密攻擊
在互聯網上，使用密碼是最常見並且最重要的安全保護方法，用戶時時刻刻都需要輸入密碼進行身份校驗。而現在的密碼保護手段大都認密碼不認人，只要有密碼，系統就會認為你是經過授權的正常用戶，因此，取得密碼也是黑客進行攻擊的一重要手法。取得密碼也還有好幾種方法，一種是對網路上的數據進行監聽。因為系統在進行密碼校驗時，用戶輸入的密碼需要從用戶端傳送到伺服器端，而黑客就能在兩端之間進行數據監聽。但一般系統在傳送密碼時都進行了加密處理，即黑客所得到的數據中不會存在明文的密碼，這給黑客進行破解又提了一道難題。這種手法一般運用於區域網，一旦成功攻擊者將會得到很大的操作權益。另一種解密方法就是使用窮舉法對已知用戶名的密碼進行暴力解密。這種解密軟體對嘗試所有可能字元所組成的密碼，但這項工作十分地費時，不過如果用戶的密碼設置得比較簡單，如「12345」、「ABC」等那有可能只需一眨眼的功夫就可搞定。
為了防止受到這種攻擊的危害，用戶在進行密碼設置時一定要將其設置得復雜，也可使用多層密碼，或者變換思路使用中文密碼，並且不要以自己的生日和電話甚至用戶名作為密碼，因為一些密碼破解軟體可以讓破解者輸入與被破解用戶相關的信息，如生日等，然後對這些數據構成的密碼進行優先嘗試。另外應該經常更換密碼，這樣使其被破解的可能性又下降了不少。
（四）後門軟體攻擊
後門軟體攻擊是互聯網上比較多的一種攻擊手法。Back Orifice2000、冰河等都是比較著名的特洛伊木馬，它們可以非法地取得用戶電腦的超級用戶級權利，可以對其進行完全的控制，除了可以進行文件操作外，同時也可以進行對方桌面抓圖、取得密碼等操作。這些後門軟體分為伺服器端和用戶端，當黑客進行攻擊時，會使用用戶端程序登陸上已安裝好伺服器端程序的電腦，這些伺服器端程序都比較小，一般會隨附帶於某些軟體上。有可能當用戶下載了一個小游戲並運行時，後門軟體的伺服器端就安裝完成了，而且大部分後門軟體的重生能力比較強，給用戶進行清除造成一定的麻煩。
當在網上下載數據時，一定要在其運行之前進行病毒掃描，並使用一定的反編譯軟體，查看來源數據是否有其他可疑的應用程序，從而杜絕這些後門軟體。
（五）拒絕服務攻擊
互聯網上許多大網站都遭受過此類攻擊。實施拒絕服務攻擊（DDoS）的難度比較小，但它的破壞性卻很大。它的具體手法就是向目的伺服器發送大量的數據包，幾乎佔取該伺服器所有的網路寬頻，從而使其無法對正常的服務請求進行處理，而導致網站無法進入、網站響應速度大大降低或伺服器癱瘓。現在常見的蠕蟲病毒或與其同類的病毒都可以對伺服器進行拒絕服務攻擊的進攻。它們的繁殖能力極強，一般通過Microsoft的Outlook軟體向眾多郵箱發出帶有病毒的郵件，而使郵件伺服器無法承擔如此龐大的數據處理量而癱瘓。
對於個人上網用戶而言，也有可能遭到大量數據包的攻擊使其無法進行正常的網路操作，所以大家在上網時一定要安裝好防火牆軟體，同時也可以安裝一些可以隱藏IP地址的程序，怎樣能大大降低受到攻擊的可能性。
二、計算機網路安全的防火牆技術
計算機網路安全是指利用網路管理控制和技術措施，保證在一個網路環境里，信息數據的保密性、完整性和可使用性受到保護。網路安全防護的根本目的，就是防止計算機網路存儲、傳輸的信息被非法使用、破壞和篡改。防火牆技術正是實現上述目的一種常用的計算機網路安全技術。
（一）防火牆的含義
所謂「防火牆」，是指一種將內部網和公眾訪問網(如Internet)分開的方法，它實際上是一種隔離技術。防火牆是在兩個網路通訊時執行的一種訪問控制尺度，它能允許你「同意」的人和數據進入你的網路，同時將你「不同意」的人和數據拒之門外，最大限度地阻止網路中的黑客來訪問你的網路，防止他們更改、拷貝、毀壞你的重要信息。
（二）防火牆的安全性分析
防火牆對網路的安全起到了一定的保護作用，但並非萬無一失。通過對防火牆的基本原理和實現方式進行分析和研究，作者對防火牆的安全性有如下幾點認識：
1．只有正確選用、合理配置防火牆，才能有效發揮其安全防護作用
防火牆作為網路安全的一種防護手段，有多種實現方式。建立合理的防護系統，配置有效的防火牆應遵循這樣四個基本步驟：
a.風險分析；
b.需求分析；
c.確立安全政策；
d.選擇准確的防護手段，並使之與安全政策保持一致。
然而，多數防火牆的設立沒有或很少進行充分的風險分析和需求分析，而只是根據不很完備的安全政策選擇了一種似乎能「滿足」需要的防火牆，這樣的防火牆能否「防火」還是個問題。
2．應正確評估防火牆的失效狀態
評價防火牆性能如何，及能否起到安全防護作用，不僅要看它工作是否正常，能否阻擋或捕捉到惡意攻擊和非法訪問的蛛絲馬跡，而且要看到一旦防火牆被攻破，它的狀態如何? 按級別來分，它應有這樣四種狀態：
a.未受傷害能夠繼續正常工作；
b.關閉並重新啟動，同時恢復到正常工作狀態；
c.關閉並禁止所有的數據通行；
d. 關閉並允許所有的數據通行。
前兩種狀態比較理想，而第四種最不安全。但是許多防火牆由於沒有條件進行失效狀態測試和驗證，無法確定其失效狀態等級，因此網路必然存在安全隱患。
3.防火牆必須進行動態維護
防火牆安裝和投入使用後，並非萬事大吉。要想充分發揮它的安全防護作用，必須對它進行跟蹤和維護，要與商家保持密切的聯系，時刻注視商家的動態。因為商家一旦發現其產品存在安全漏洞，就會盡快發布補救(Patch) 產品，此時應盡快確認真偽(防止特洛伊木馬等病毒)，並對防火牆軟體進行更新。
4.目前很難對防火牆進行測試驗證
防火牆能否起到防護作用，最根本、最有效的證明方法是對其進行測試，甚至站在「黑客」的角度採用各種手段對防火牆進行攻擊。然而具體執行時難度較大，主要原因是：
a.防火牆性能測試目前還是一種很新的技術，尚無正式出版刊物，可用的工具和軟體更是寥寥無幾。據了解目前只有美國ISS公司提供有防火牆性能測試的工具軟體。
b.防火牆測試技術尚不先進，與防火牆設計並非完全吻合，使得測試工作難以達到既定的效果。
c.選擇「誰」進行公正的測試也是一個問題。
可見，防火牆的性能測試決不是一件簡單的事情，但這種測試又相當必要，進而提出這樣一個問題：不進行測試，何以證明防火牆安全？
5.非法攻擊防火牆的基本「招數」
a. IP地址欺騙攻擊。許多防火牆軟體無法識別數據包到底來自哪個網路介面，因此攻擊者無需表明進攻數據包的真正來源，只需偽裝IP地址，取得目標的信任，使其認為來自網路內部即可。IP地址欺騙攻擊正是基於這類防火牆對IP地址缺乏識別和驗證的機制而得成的。
b.破壞防火牆的另一種方式是攻擊與干擾相結合。也就是在攻擊期間使防火牆始終處於繁忙的狀態。防火牆過分的繁忙有時會導致它忘記履行安全防護的職能，處於失效狀態。
c.防火牆也可能被內部攻擊。因為安裝了防火牆後，隨意訪問被嚴格禁止了， 這樣內部人員無法在閑暇的時間通過Telnet瀏覽郵件或使用FTP向外發送信息，個別人會對防火牆不滿進而可能攻擊它、破壞它，期望回到從前的狀態。這里，攻擊的目標常常是防火牆或防火牆運行的操作系統，因此不僅涉及網路安全，還涉及主機安全問題。
（三）防火牆的基本類型
實現防火牆的技術包括四大類：網路級防火牆（也叫包過濾型防火牆）、應用級網關、電路級網關和規則檢查防火牆。
1.網路級防火牆
一般是基於源地址和目的地址、應用或協議以及每個IP包的埠來作出通過與否的判斷。一個路由器便是一個「傳統」的網路級防火牆，大多數的路由器都能通過檢查這些信息來決定是否將所收到的包轉發，但它不能判斷出一個IP包來自何方，去向何處。
先進的網路級防火牆可以判斷這一點，它可以提供內部信息以說明所通過的連接狀態和一些數據流的內容，把判斷的信息同規則表進行比較，在規則表中定義了各種規則來表明是否同意或拒絕包的通過。包過濾防火牆檢查每一條規則直至發現包中的信息與某規則相符。如果沒有一條規則能符合，防火牆就會使用默認規則，一般情況下，默認規則就是要求防火牆丟棄該包。其次，通過定義基於TCP或UDP數據包的埠號，防火牆能夠判斷是否允許建立特定的連接，如Telnet、FTP連接。
下面是某一網路級防火牆的訪問控制規則：
(1)允許網路123.1.0使用FTP(21口)訪問主機150.0.0.1；
(2)允許IP地址為202.103.1.18和202.103.1.14的用戶Telnet (23口)到主機150.0.0.2上；
(3)允許任何地址的E-mail(25口)進入主機150.0.0.3；
(4)允許任何WWW數據（80口）通過；
(5)不允許其他數據包進入。
網路級防火牆簡潔、速度快、費用低，並且對用戶透明，但是對網路的保護很有限，因為它只檢查地址和埠，對網路更高協議層的信息無理解能力。
2.規則檢查防火牆
該防火牆結合了包過濾防火牆、電路級網關和應用級網關的特點。它同包過濾防火牆一樣， 規則檢查防火牆能夠在OSI網路層上通過IP地址和埠號，過濾進出的數據包。它也象電路級網關一樣，能夠檢查SYN和ACK標記和序列數字是否邏輯有序。當然它也象應用級網關一樣， 可以在OSI應用層上檢查數據包的內容，查看這些內容是否能符合公司網路的安全規則。規則檢查防火牆雖然集成前三者的特點，但是不同於一個應用級網關的是，它並不打破客戶機/服務機模式來分析應用層的數據， 它允許受信任的客戶機和不受信任的主機建立直接連接。規則檢查防火牆不依靠與應用層有關的代理，而是依靠某種演算法來識別進出的應用層數據，這些演算法通過已知合法數據包的模式來比較進出數據包，這樣從理論上就能比應用級代理在過濾數據包上更有效。
目前在市場上流行的防火牆大多屬於規則檢查防火牆，因為該防火牆對於用戶透明，在OSI最高層上加密數據，不需要你去修改客戶端的程序，也不需對每個需要在防火牆上運行的服務額外增加一個代理。如現在最流行的防火牆之一OnTechnology軟體公司生產的OnGuard和CheckPoint軟體公司生產的FireWall-1防火牆都是一種規則檢查防火牆。
從趨勢上看，未來的防火牆將位於網路級防火牆和應用級防火牆之間，也就是說，網路級防火牆將變得更加能夠識別通過的信息，而應用級防火牆在目前的功能上則向「透明」、「低級」方面發展。最終防火牆將成為一個快速注冊稽查系統，可保護數據以加密方式通過，使所有組織可以放心地在節點間傳送數據。
（四）防火牆的配置
防火牆配置有三種：Dual-homed方式、Screened-host方式和Screened-subnet方式。Dual-homed方式最簡單。 Dual-homedGateway放置在兩個網路之間，這個Dual-omedGateway又稱為bastionhost。 這種結構成本低，但是它有單點失敗的問題。這種結構沒有增加網路安全的自我防衛能力，而它往往是受「黑客」攻擊的首選目標，它自己一旦被攻破，整個網路也就暴露了。Screened-host方式中的Screeningrouter為保護Bastionhost的安全建立了一道屏障。它將所有進入的信息先送往Bastionhost，並且只接受來自Bastionhost的數據作為出去的數據。這種結構依賴Screeningrouter和Bastionhost，只要有一個失敗，整個網路就暴露了。Screened-subnet包含兩個Screeningrouter和兩個Bastionhost。 在公共網路和私有網路之間構成了一個隔離網，稱之為"停火區"（DMZ，即DemilitarizedZone）,Bastionhost放置在"停火區"內。這種結構安全性好，只有當兩個安全單元被破壞後，網路才被暴露，但是成本也很昂貴。
（五）防火牆的安全措施
各種防火牆的安全性能不盡相同。這里僅介紹一些一般防火牆的常用安全措施：
1.防電子欺騙術
防電子欺騙術功能是保證數據包的IP地址與網關介面相符，防止通過修改IP地址的方法進行非授權訪問。還應對可疑信息進行鑒別，並向網路管理員報警。
2.網路地址轉移
地址轉移是對Internet隱藏內部地址，防止內部地址公開。這一功能可以克服IP定址方式的諸多限制，完善內部定址模式。把未注冊IP地址映射成合法地址，就可以對Internet進行訪問。
3.開放式結構設計
開放式結構設計使得防火牆與相關應用程序和外部用戶資料庫的連接相當容易，典型的應用程序連接如財務軟體包、病毒掃描、登錄分析等。
4.路由器安全管理程序
它為Bay和Cisco的路由器提供集中管理和訪問列表控制。
（六）傳統防火牆的五大不足
1．無法檢測加密的Web流量
如果你正在部署一個光鍵的門戶網站，希望所有的網路層和應用層的漏洞都被屏蔽在應用程序之外。這個需求，對於傳統的網路防火牆而言，是個大問題。
由於網路防火牆對於加密的SSL流中的數據是不可見的，防火牆無法迅速截獲SSL數據流並對其解密，因此無法阻止應用程序的攻擊，甚至有些網路防火牆，根本就不提供數據解密的功能。
2、普通應用程序加密後，也能輕易躲過防火牆的檢測
網路防火牆無法看到的，不僅僅是SSL加密的數據。對於應用程序加密的數據，同樣也不可見。在如今大多數網路防火牆中，依賴的是靜態的特徵庫，與入侵監測系統（IDS，Intrusion Detect System）的原理類似。只有當應用層攻擊行為的特徵與防火牆中的資料庫中已有的特徵完全匹配時，防火牆才能識別和截獲攻擊數據。
但如今，採用常見的編碼技術，就能夠地將惡意代碼和其他攻擊命令隱藏起來，轉換成某種形式，既能欺騙前端的網路安全系統，又能夠在後台伺服器中執行。這種加密後的攻擊代碼，只要與防火牆規則庫中的規則不一樣，就能夠躲過網路防火牆，成功避開特徵匹配。
3、對於Web應用程序，防範能力不足
網路防火牆於1990年發明，而商用的Web伺服器，則在一年以後才面世。基於狀態檢測的防火牆，其設計原理，是基於網路層TCP和IP地址，來設置與加強狀態訪問控制列表（ACLs，Access Control Lists）。在這一方面，網路防火牆表現確實十分出色。
近年來，實際應用過程中，HTTP是主要的傳輸協議。主流的平台供應商和大的應用程序供應商，均已轉移到基於Web的體系結構，安全防護的目標，不再只是重要的業務數據。網路防火牆的防護范圍，發生了變化。
對於常規的企業區域網的防範，通用的網路防火牆仍佔有很高的市場份額，繼續發揮重要作用，但對於新近出現的上層協議，如XML和SOAP等應用的防範，網路防火牆就顯得有些力不從心。
由於體系結構的原因，即使是最先進的網路防火牆，在防範Web應用程序時，由於無法全面控制網路、應用程序和數據流，也無法截獲應用層的攻擊。由於對於整體的應用數據流，缺乏完整的、基於會話（Session）級別的監控能力，因此很難預防新的未知的攻擊。
4、應用防護特性，只適用於簡單情況
目前的數據中心伺服器，時常會發生變動，比如：
★ 定期需要部署新的應用程序；
★ 經常需要增加或更新軟體模塊；
★ QA們經常會發現代碼中的bug，已部署的系統需要定期打補丁。
在這樣動態復雜的環境中，安全專家們需要採用靈活的、粗粒度的方法，實施有效的防護策略。
雖然一些先進的網路防火牆供應商，提出了應用防護的特性，但只適用於簡單的環境中。細看就會發現，對於實際的企業應用來說，這些特徵存在著局限性。在多數情況下，彈性概念（proof-of-concept）的特徵無法應用於現實生活中的數據中心上。
比如，有些防火牆供應商，曾經聲稱能夠阻止緩存溢出：當黑客在瀏覽器的URL中輸入太長數據，試圖使後台服務崩潰或使試圖非法訪問的時候，網路防火牆能夠檢測並制止這種情況。
細看就會發現，這些供應商採用對80埠數據流中，針對URL長度進行控制的方法，來實現這個功能的。
如果使用這個規則，將對所有的應用程序生效。如果一個程序或者是一個簡單的Web網頁，確實需要涉及到很長的URL時，就要屏蔽該規則。
網路防火牆的體系結構，決定了網路防火牆是針對網路埠和網路層進行操作的，因此很難對應用層進行防護，除非是一些很簡單的應用程序。
5、無法擴展帶深度檢測功能
基於狀態檢測的網路防火牆，如果希望只擴展深度檢測（deep inspection）功能，而沒有相應增加網路性能，這是不行的。
真正的針對所有網路和應用程序流量的深度檢測功能，需要空前的處理能力，來完成大量的計算任務，包括以下幾個方面：
★ SSL加密/解密功能；
★ 完全的雙向有效負載檢測；
★ 確保所有合法流量的正常化；
★ 廣泛的協議性能；
這些任務，在基於標准PC硬體上，是無法高效運行的，雖然一些網路防火牆供應商採用的是基於ASIC的平台，但進一步研究，就能發現：舊的基於網路的ASIC平台對於新的深度檢測功能是無法支持的。
三、結束語
由於互聯網路的開放性和通信協議的安全缺陷，以及在網路環境中數據信息存儲和對其訪問與處理的分布性特點，網上傳輸的數據信息很容易泄露和被破壞，網路受到的安全攻擊非常嚴重，因此建立有效的網路安全防範體系就更為迫切。實際上，保障網路安全不但需要參考網路安全的各項標准以形成合理的評估准則，更重要的是必須明確網路安全的框架體系、安全防範的層次結構和系統設計的基本原則，分析網路系統的各個不安全環節，找到安全漏洞，做到有的放矢。
6. security
諾頓網路安全特警2008簡體中文版
http://119.147.41.16/down?cid=&t=2&fmt=
注冊器：http://119.147.41.16/down?cid=&t=2&fmt=
用BT或者迅雷下。
7. 基於Web的MES系統安全架構設計及分析(2)
基於Web的MES系統安全架構設計及分析
3.2.2基於角色的訪問控制
在對MES系統業務功能、業務流程及其干係人分析整理的基礎上，能夠抽象出系統的各種用戶角色，每種角色通過一組系統功能完成一定的業務處理，需要將這一組系統功能賦予該角色，使其具有完成這一業務的能力，也就形成了允許訪問控製表，包括菜單的允許訪問列表和功能的允許操作列表。
為了構成系統的完全訪問邊界，需要明確禁止某類操作。因此設計了禁止訪問控製表，包括：菜單的禁止訪問列表和功能的禁止操作列表。
3.2.3用戶及許可權管理
構建了角色的訪問控制，將角色賦予用戶，用戶即具備了相應的訪問許可權。在企業的MES應用中，每個企業用戶都具有一個系統訪問賬號，這個賬號是用戶身份的唯一標識。為保證系統賬號的合法性，所有用戶的賬號只能由系統的賬號管理員進行分配和管理。同時，每個用戶在企業承擔著某個崗位的職責，對應於MES系統來說，這個用戶就具備著一個或者多個系統角色，通過角色許可權的控制形成用戶的許可權控制。本著最小許可權的原則，應當合理分配和控制角色許可權，並通過禁止訪問控製表限制用戶的`訪問范圍，構成系統的安全訪問邊界。
3.3 安全運行管理
多數MES系統都採用單一管理員(甚至是超級用戶)對系統進行管理。雖然簡單易行，但卻存在巨大安全隱患。一旦管理員賬號信息泄露，其他安全措施將形同虛設。因此必須進行系統許可權的分割，使其相互制約，避免許可權過分集中。本架構的劃分策略：首先是用戶管理員，只負責企業用戶賬號的分配、鎖定和吊銷，用戶崗位角色的分配，以及用戶密碼的復位操作;其次是安全管理員，負責菜單與功能矩陣的維護，以及角色訪問控制列表的制定。
用戶管理員和安全管理員相互制約，只有協調一致才能夠完成用戶的許可權分配。同時又可以分級管理，按照分廠、車間等組織架構，或者依據業務范圍，劃分出不同層級、不同范圍的用戶管理員和安全管理員，他們只能在自己的許可權范圍內行使權力。由此形成了可集中管理也可分化管理的技術模型，企業可以依據自身規模和管理模式靈活組織設計。
3.4 系統安全審計
本架構設計了完備的行為捕獲和記錄系統，對系統關鍵執行動作留有記錄，對用戶的操作和行蹤留有日誌，同時記錄了非法用戶的入侵嘗試，且滿足不可抵賴性，形成可靠證據。尤其是用戶和安全管理員的所有操作，是系統監控的重點。企業安全審計人員可以隨時調取這些記錄，進行審計，一旦發現有違反安全策略的行為，即可對行為後果進行調查，採取相應處理措施。
3.5 會話安全策略
HTTP是一個無狀態的協議，此協議無法維護兩個事務之間的聯系，而MES系統的大量應用需要與用戶進行交互操作，並且記錄這些交互，這就需要保持會話狀態。會話狀態通常需要在客戶端cookie中記錄用戶信息，或者是在伺服器端session中記錄，但也需要在用戶請求與伺服器應用程序間傳遞一個會話ID，這些信息都會成為攻擊的對象，一旦被竊取，會話就可能被冒用，成為會話劫持，造成超越許可權的訪問和數據操作。為防範此類攻擊，一方面對用戶信息、會話ID等薄弱環節採取加密措施，增加截獲難度。另一方面制定安全策略監視會話狀態，進行會話鎖定和異常保護及報警。
會話鎖定：提供互動式會話的鎖定和解鎖能力及終止會話能力。在會話進入非活動周期後對終端進行鎖定或結束會話。在用戶的靜止期超過規定的值時，通過以下方式鎖定該用戶的互動式會話：(1)在顯示設備上清除或塗抹，使當前的內容不可讀;(2)取消會話解鎖之外的所有用戶數據的存取/顯示的任何活動;(3)在會話解鎖之前再次進行身份鑒別。
異常保護及報警：在會話期間通過用戶請求進行監視分析用戶操作行為，對異常行為採取操作保護動作，並產生記錄和報警，如頻繁、重復的數據操作，或者同一用戶在不同地點創建多個會話的請求等等。
3.6 Web安全防護策略
基於Web的MES系統遭受的典型網路攻擊事件包括SQL注入、cookie破壞、會話劫持、目錄遍歷以及緩沖區溢出等，只有建立涵蓋事前、事中、事後的綜合防控體系，事前及時識別隱患和漏洞並採取修補措施，事中實時監測，積極防禦，早發現，早處置，才能將風險和損失降到最小。
本架構針對Web設計了安全防護策略，實現自動化的Web漏洞檢測，以及對網頁被掛馬、網頁被篡改、網頁出現敏感信息、系統被拒絕服務等攻擊事件的一體化監測預警。從而幫助企業構建自動化的系統安全監測系統，第一時間掌握MES應用的安全狀況，降低系統安全風險，增強安全防護等級。
4 MES系統運行安全的防護措施
MES系統的運行安全不能僅僅依靠MES自身的安全設計，需要根據企業對MES的技術經濟要求，綜合考慮信息安全技術和安全管理與防護措施。
在物理安全層面，建立MES系統安全運行相適應的安全環境，包括機房安全防護、設備安全可用、存儲介質安全等。
資料庫系統的安全至關重要，需要對數據依據其敏感性進行分類進行不同強度的加密，防止敏感信息泄露。同時資料庫要制定有備份和容災措施，資料庫管理人員定時對系統進行備份，防止系統數據損壞和丟失。一旦在系統崩潰或癱瘓的情況下，可利用備份數據迅速將系統恢復起來。
在運行安全方面，通過安全風險分析與評估，制定系統安全運行策略，建立安全檢測與監控機制，加強安全審計和系統邊界安全防護，採用防火牆、安全認證、入侵檢測等措施來阻止攻擊，綜合運用數據加密和VPN等技術，對包括計算機病毒在內的惡意代碼進行必要的安全防護，確保網路傳輸的安全要求。運用入侵檢測技術，主動保護MES系統免受攻擊，為MES系統提供了實時保護，是防火牆之後的第二道安全閘門。
依據國家計算機應急響應中心發布的數據，信息系統安全問題中的95%是可以通過科學的信息安全管理措施來避免。因此，加強信息安全意識，制定有效的安全運維策略是保障信息安全的重要基礎，已經成為企業管理的一個重要組成部分。
;8. web網站安全策略 如何寫
第一部分 web的安全需求
1.1 Web安全的體系結構，包括主機安全，網路安全和應用安全;
1.2 Web瀏覽器和伺服器的安全需求;
在已知的web伺服器(包括軟硬體)漏洞中，針對該類型web伺服器的攻擊最少;
對伺服器的管理操作只能由授權用戶執行;
拒絕通過web訪問web伺服器上不公開發布的內容;
禁止內嵌在OS或者 web server軟體中的不必要的網路服務;
有能力控制對各種形式的.exe程序的訪問;
能夠對web操作進行日誌記錄，以便於進行入侵檢測和入侵企圖分析;
具有適當的容錯功能;
1.3 Web傳輸的安全需求
Web伺服器必須和內部網路隔離：
有四種實現方式，應選擇使用高性能的cisco防火牆實現隔離
Web伺服器必須和資料庫隔離;
維護一份web站點的安全拷貝：來自開發人員最終發布的版本(內容安全);
其次，存儲的地點是安全的(另一台獨立的位於防火牆之後的內網的主機);
還有，定期備份應該使用磁帶，可擦寫光碟等媒介;
1.4 Web面臨的威脅：信息泄露，拒絕服務，系統崩潰，跳板。
第二部分 web伺服器的安全策略
主機操作系統是web的直接支撐著，必須合理配置主機系統，為WEB 伺服器提供安全支持：
只提供必要的服務;
某種服務被攻擊不影響其它服務;
使用運行在其它主機上的輔助工具並啟動安全日誌;
設置web伺服器訪問控制規則：
通過IP,子網，域名來控制;
通過口令控制;
使用公用密鑰加密演算法;
設置web伺服器目錄許可權;
關閉安全性脆弱的web伺服器功能例如：自動目錄列表功能;符號連接等
謹慎組織web伺服器的內容：
鏈接檢查;
CGI程序檢測(如果採用此技術);
定期對web伺服器進行安全檢查;
輔助工具：SSH;
文件系統完整性檢測工具;
入侵檢測工具;
日誌審計工具;
第三部分 web攻擊與反攻擊
入侵檢測方法：
物理檢查;
緊急檢查;
追捕入侵者;
攻擊的類型：
拒絕服務;
第四部分 源代碼的安全及約束規則
不能留有後門程序和漏洞，包括系統架構是否合理，是否符合安全需求匯編反匯編、病毒反病毒。
最後，至於 cookies的安全、加密技術、web瀏覽器的安全、web伺服器的安全每個公司設置的規則都不一樣，因人而異。
9. hstsbl中文意思
HSTS（HTTP Strict Transport Security）國際互聯網工程組織IETF正在推行一種新的Web安全協議
HSTS的作用是強制客戶端（如瀏覽器）使用HTTPS與伺服器創建連接。