㈠ 针对web应用存在哪些安全威胁提出相应的安全防护措施
应用安全防护解决思路：应用安全问题本质上源于软件质量问题。但应用相较传统的软件，具有其独特性。应用往往是某个机构所独有的应用，对其存在的漏洞，已知的通用漏洞签名缺乏有效性；需要频繁地变更以满足业务目标，从而使得很难维持有序的开发周期；需要全面考虑客户端与服务端的复杂交互场景，而往往很多开发者没有很好地理解业务流程；人们通常认为开发比较简单，缺乏经验的开发者也可以胜任。针对应用安全，理想情况下应该在软件开发生命周期遵循安全编码原则，并在各阶段采取相应的安全措施。然而，多数网站的实际情况是：大量早期开发的应用，由于历史原因，都存在不同程度的安全问题。对于这些已上线、正提供生产的应用，由于其定制化特点决定了没有通用补丁可用，而整改代码因代价过大变得较难施行或者需要较长的整改周期。针对这种现状，专业的安全防护工具是一种合理的选择。应用防火墙（以下简称）正是这类专业工具，提供了一种安全运维控制手段：基于对流量的双向分析，为应用提供实时的防护。与传统防火墙设备相比较，最显着的技术差异性体现在：对有本质的理解：能完整地解析，包括报文头部、参数及载荷。支持各种编码（如、压缩）；提供严格的协议验证；提供限制；支持各类字符集编码；具备过滤能力。提供应用层规则：应用通常是定制化的，传统的针对已知漏洞的规则往往不够有效。提供专用的应用层规则，且具备检测变形攻击的能力，如检测加密流量中混杂的攻击。提供正向安全模型（白名单）：仅允许已知有效的输入通过，为应用提供了一个外部的输入验证机制，安全性更为可靠。提供会话防护机制：协议最大的弊端在于缺乏一个可靠的会话管理机制。为此进行有效补充，防护基于会话的攻击类型，如篡改及会话劫持攻击。如何正确选择并非对服务器提供保护的“盒子”都是。事实上，一个真正满足需求的应该具有二维的防护体系：纵向提供纵深防御：通过建立协议层次、信息流向等纵向结构层次，构筑多种有效防御措施阻止攻击并发出告警。横向：满足合规要求；缓解各类安全威胁（包括网络层面、基础架构及应用层面）；降低服务响应时间、显着改善终端用户体验，优化业务资源和提高应用系统敏捷性。在选择产品时，建议参考以下步骤：结合业务需求明确安全策略目标，从而定义清楚产品必须具备的控制能力评估每一家厂商产品可以覆盖的风险类型测试产品功能、性能及可伸缩性评估厂商的技术支持能力评估内部维护团队是否具备维护、管理产品的必需技能权衡安全、产出以及总成本。“成本”不仅仅意味着购买安全产品服务产生的直接支出，还需要考虑是否影响组织的正常业务、是否给维护人员带来较大的管理开销
㈡ web漏洞攻击有哪些
一、SQL注入漏洞
SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。
通常情况下，SQL注入的位置包括：
（1）表单提交，主要是POST请求，也包括GET请求；
（2）URL参数提交，主要为GET请求参数；
（3）Cookie参数提交；
（4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等；
（5）一些边缘的输入点，比如.mp3文件的一些文件信息等。
常见的防范方法
（1）所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口，使用此接口可以非常有效的防止SQL注入攻击。
（2）对进入数据库的特殊字符（’”<>&*;等）进行转义处理，或编码转换。
（3）确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。
（4）数据长度应该严格规定，能在一定程度上防止比较长的SQL注入语句无法正确执行。
（5）网站每个数据层的编码统一，建议全部使用UTF-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。
（6）严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。
（7）避免网站显示SQL错误信息，比如类型错误、字段不匹配等，防止攻击者利用这些错误信息进行一些判断。
（8）在网站发布之前建议使用一些专业的SQL注入检测工具进行检测，及时修补这些SQL注入漏洞。
二、跨站脚本漏洞
跨站脚本攻击（Cross-site scripting，通常简称为XSS）发生在客户端，可被用于进行窃取隐私、钓鱼欺骗、窃取密码、传播恶意代码等攻击。
XSS攻击使用到的技术主要为HTML和Javascript，也包括VBScript和ActionScript等。XSS攻击对WEB服务器虽无直接危害，但是它借助网站进行传播，使网站的使用用户受到攻击，导致网站用户帐号被窃取，从而对网站也产生了较严重的危害。
XSS类型包括：
（1）非持久型跨站：即反射型跨站脚本漏洞，是目前最普遍的跨站类型。跨站代码一般存在于链接中，请求这样的链接时，跨站代码经过服务端反射回来，这类跨站的代码不存储到服务端（比如数据库中）。上面章节所举的例子就是这类情况。
（2）持久型跨站：这是危害最直接的跨站类型，跨站代码存储于服务端（比如数据库中）。常见情况是某用户在论坛发贴，如果论坛没有过滤用户输入的Javascript代码数据，就会导致其他浏览此贴的用户的浏览器会执行发贴人所嵌入的Javascript代码。
（3）DOM跨站（DOM XSS）：是一种发生在客户端DOM（Document Object Model文档对象模型）中的跨站漏洞，很大原因是因为客户端脚本处理逻辑导致的安全问题。
常用的防止XSS技术包括：
（1）与SQL注入防护的建议一样，假定所有输入都是可疑的，必须对所有输入中的script、iframe等字样进行严格的检查。这里的输入不仅仅是用户可以直接交互的输入接口，也包括HTTP请求中的Cookie中的变量，HTTP请求头部中的变量等。
（2）不仅要验证数据的类型，还要验证其格式、长度、范围和内容。
（3）不要仅仅在客户端做数据的验证与过滤，关键的过滤步骤在服务端进行。
（4）对输出的数据也要检查，数据库里的值有可能会在一个大网站的多处都有输出，即使在输入做了编码等操作，在各处的输出点时也要进行安全检查。
（5）在发布应用程序之前测试所有已知的威胁。
三、弱口令漏洞
弱口令(weak password) 没有严格和准确的定义，通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。设置密码通常遵循以下原则：
（1）不使用空口令或系统缺省的口令，这些口令众所周之，为典型的弱口令。
（2）口令长度不小于8个字符。
（3）口令不应该为连续的某个字符（例如：AAAAAAAA）或重复某些字符的组合（例如：tzf.tzf.）。
（4）口令应该为以下四类字符的组合，大写字母(A-Z)、小写字母(a-z)、数字(0-9)和特殊字符。每类字符至少包含一个。如果某类字符只包含一个，那么该字符不应为首字符或尾字符。
（5）口令中不应包含本人、父母、子女和配偶的姓名和出生日期、纪念日期、登录名、E-mail地址等等与本人有关的信息，以及字典中的单词。
（6）口令不应该为用数字或符号代替某些字母的单词。
（7）口令应该易记且可以快速输入，防止他人从你身后很容易看到你的输入。
（8）至少90天内更换一次口令，防止未被发现的入侵者继续使用该口令。
四、HTTP报头追踪漏洞
HTTP/1.1（RFC2616）规范定义了HTTP TRACE方法，主要是用于客户端通过向Web服务器提交TRACE请求来进行测试或获得诊断信息。当Web服务器启用TRACE时，提交的请求头会在服务器响应的内容（Body）中完整的返回，其中HTTP头很可能包括Session Token、Cookies或其它认证信息。攻击者可以利用此漏洞来欺骗合法用户并得到他们的私人信息。该漏洞往往与其它方式配合来进行有效攻击，由于HTTP TRACE请求可以通过客户浏览器脚本发起（如XMLHttpRequest），并可以通过DOM接口来访问，因此很容易被攻击者利用。
防御HTTP报头追踪漏洞的方法通常禁用HTTP TRACE方法。
五、Struts2远程命令执行漏洞
ApacheStruts是一款建立Java web应用程序的开放源代码架构。Apache Struts存在一个输入过滤错误，如果遇到转换错误可被利用注入和执行任意Java代码。
网站存在远程代码执行漏洞的大部分原因是由于网站采用了Apache Struts Xwork作为网站应用框架，由于该软件存在远程代码执高危漏洞，导致网站面临安全风险。CNVD处置过诸多此类漏洞，例如：“GPS车载卫星定位系统”网站存在远程命令执行漏洞(CNVD-2012-13934)；Aspcms留言本远程代码执行漏洞（CNVD-2012-11590）等。
修复此类漏洞，只需到Apache官网升级Apache Struts到最新版本：http://struts.apache.org
六、文件上传漏洞
文件上传漏洞通常由于网页代码中的文件上传路径变量过滤不严造成的，如果文件上传功能实现代码没有严格限制用户上传的文件后缀以及文件类型，攻击者可通过 Web 访问的目录上传任意文件，包括网站后门文件（webshell），进而远程控制网站服务器。
因此，在开发网站及应用程序过程中，需严格限制和校验上传的文件，禁止上传恶意代码的文件。同时限制相关目录的执行权限，防范webshell攻击。
七、私有IP地址泄露漏洞
IP地址是网络用户的重要标示，是攻击者进行攻击前需要了解的。获取的方法较多，攻击者也会因不同的网络情况采取不同的方法，如：在局域网内使用Ping指令，Ping对方在网络中的名称而获得IP；在Internet上使用IP版的QQ直接显示。最有效的办法是截获并分析对方的网络数据包。攻击者可以找到并直接通过软件解析截获后的数据包的IP包头信息，再根据这些信息了解具体的IP。
针对最有效的“数据包分析方法”而言，就可以安装能够自动去掉发送数据包包头IP信息的一些软件。不过使用这些软件有些缺点，譬如：耗费资源严重，降低计算机性能；访问一些论坛或者网站时会受影响；不适合网吧用户使用等等。现在的个人用户采用最普及隐藏IP的方法应该是使用代理，由于使用代理服务器后，“转址服务”会对发送出去的数据包有所修改，致使“数据包分析”的方法失效。一些容易泄漏用户IP的网络软件(QQ、MSN、IE等)都支持使用代理方式连接Internet，特别是QQ使用“ezProxy”等代理软件连接后，IP版的QQ都无法显示该IP地址。虽然代理可以有效地隐藏用户IP，但攻击者亦可以绕过代理，查找到对方的真实IP地址，用户在何种情况下使用何种方法隐藏IP，也要因情况而论。
八、未加密登录请求
由于Web配置不安全，登陆请求把诸如用户名和密码等敏感字段未加密进行传输，攻击者可以窃听网络以劫获这些敏感信息。建议进行例如SSH等的加密后再传输。
九、敏感信息泄露漏洞
SQL注入、XSS、目录遍历、弱口令等均可导致敏感信息泄露，攻击者可以通过漏洞获得敏感信息。针对不同成因，防御方式不同
十、CSRF
http://www.cnblogs.com/hyddd/archive/2009/04/09/1432744.html
Web应用是指采用B/S架构、通过HTTP/HTTPS协议提供服务的统称。随着互联网的广泛使用，Web应用已经融入到日常生活中的各个方面：网上购物、网络银行应用、证券股票交易、政府行政审批等等。在这些Web访问中，大多数应用不是静态的网页浏览，而是涉及到服务器侧的动态处理。此时，如果Java、PHP、ASP等程序语言的编程人员的安全意识不足，对程序参数输入等检查不严格等，会导致Web应用安全问题层出不穷。
本文根据当前Web应用的安全情况，列举了Web应用程序常见的攻击原理及危害，并给出如何避免遭受Web攻击的建议。
Web应用漏洞原理
Web应用攻击是攻击者通过浏览器或攻击工具，在URL或者其它输入区域（如表单等），向Web服务器发送特殊请求，从中发现Web应用程序存在的漏洞，从而进一步操纵和控制网站，查看、修改未授权的信息。
1.1 Web应用的漏洞分类
1、信息泄露漏洞
信息泄露漏洞是由于Web服务器或应用程序没有正确处理一些特殊请求，泄露Web服务器的一些敏感信息，如用户名、密码、源代码、服务器信息、配置信息等。
造成信息泄露主要有以下三种原因：
–Web服务器配置存在问题，导致一些系统文件或者配置文件暴露在互联网中；
–Web服务器本身存在漏洞，在浏览器中输入一些特殊的字符，可以访问未授权的文件或者动态脚本文件源码；
–Web网站的程序编写存在问题，对用户提交请求没有进行适当的过滤，直接使用用户提交上来的数据。
2、目录遍历漏洞
目录遍历漏洞是攻击者向Web服务器发送请求，通过在URL中或在有特殊意义的目录中附加“../”、或者附加“../”的一些变形（如“..\”或“..//”甚至其编码），导致攻击者能够访问未授权的目录，以及在Web服务器的根目录以外执行命令。
3、命令执行漏洞
命令执行漏洞是通过URL发起请求，在Web服务器端执行未授权的命令，获取系统信息，篡改系统配置，控制整个系统，使系统瘫痪等。
命令执行漏洞主要有两种情况：
–通过目录遍历漏洞，访问系统文件夹，执行指定的系统命令；
–攻击者提交特殊的字符或者命令，Web程序没有进行检测或者绕过Web应用程序过滤，把用户提交的请求作为指令进行解析，导致执行任意命令。
4、文件包含漏洞
文件包含漏洞是由攻击者向Web服务器发送请求时，在URL添加非法参数，Web服务器端程序变量过滤不严，把非法的文件名作为参数处理。这些非法的文件名可以是服务器本地的某个文件，也可以是远端的某个恶意文件。由于这种漏洞是由PHP变量过滤不严导致的，所以只有基于PHP开发的Web应用程序才有可能存在文件包含漏洞。
5、SQL注入漏洞
SQL注入漏洞是由于Web应用程序没有对用户输入数据的合法性进行判断，攻击者通过Web页面的输入区域(如URL、表单等) ，用精心构造的SQL语句插入特殊字符和指令，通过和数据库交互获得私密信息或者篡改数据库信息。SQL注入攻击在Web攻击中非常流行，攻击者可以利用SQL注入漏洞获得管理员权限，在网页上加挂木马和各种恶意程序，盗取企业和用户敏感信息。
6、跨站脚本漏洞
跨站脚本漏洞是因为Web应用程序时没有对用户提交的语句和变量进行过滤或限制，攻击者通过Web页面的输入区域向数据库或HTML页面中提交恶意代码，当用户打开有恶意代码的链接或页面时，恶意代码通过浏览器自动执行，从而达到攻击的目的。跨站脚本漏洞危害很大，尤其是目前被广泛使用的网络银行，通过跨站脚本漏洞攻击者可以冒充受害者访问用户重要账户，盗窃企业重要信息。
根据前期各个漏洞研究机构的调查显示，SQL注入漏洞和跨站脚本漏洞的普遍程度排名前两位，造成的危害也更加巨大。
1.2 SQL注入攻击原理
SQL注入攻击是通过构造巧妙的SQL语句，同网页提交的内容结合起来进行注入攻击。比较常用的手段有使用注释符号、恒等式（如1＝1）、使用union语句进行联合查询、使用insert或update语句插入或修改数据等，此外还可以利用一些内置函数辅助攻击。
通过SQL注入漏洞攻击网站的步骤一般如下：
第一步：探测网站是否存在SQL注入漏洞。
第二步：探测后台数据库的类型。
第三步：根据后台数据库的类型，探测系统表的信息。
第四步：探测存在的表信息。
第五步：探测表中存在的列信息。
第六步：探测表中的数据信息。
1.3 跨站脚本攻击原理
跨站脚本攻击的目的是盗走客户端敏感信息,冒充受害者访问用户的重要账户。跨站脚本攻击主要有以下三种形式：
1、本地跨站脚本攻击
B给A发送一个恶意构造的Web URL，A点击查看了这个URL，并将该页面保存到本地硬盘（或B构造的网页中存在这样的功能）。A在本地运行该网页，网页中嵌入的恶意脚本可以A电脑上执行A持有的权限下的所有命令。
2、反射跨站脚本攻击
A经常浏览某个网站，此网站为B所拥有。A使用用户名/密码登录B网站，B网站存储下A的敏感信息（如银行帐户信息等）。C发现B的站点包含反射跨站脚本漏洞，编写一个利用漏洞的URL，域名为B网站，在URL后面嵌入了恶意脚本（如获取A的cookie文件），并通过邮件或社会工程学等方式欺骗A访问存在恶意的URL。当A使用C提供的URL访问B网站时，由于B网站存在反射跨站脚本漏洞，嵌入到URL中的恶意脚本通过Web服务器返回给A，并在A浏览器中执行，A的敏感信息在完全不知情的情况下将发送给了C。
3、持久跨站脚本攻击
B拥有一个Web站点，该站点允许用户发布和浏览已发布的信息。C注意到B的站点具有持久跨站脚本漏洞，C发布一个热点信息，吸引用户阅读。A一旦浏览该信息，其会话cookies或者其它信息将被C盗走。持久性跨站脚本攻击一般出现在论坛、留言簿等网页，攻击者通过留言，将攻击数据写入服务器数据库中，浏览该留言的用户的信息都会被泄漏。
Web应用漏洞的防御实现
对于以上常见的Web应用漏洞漏洞，可以从如下几个方面入手进行防御：
1)对 Web应用开发者而言
大部分Web应用常见漏洞，都是在Web应用开发中，开发者没有对用户输入的参数进行检测或者检测不严格造成的。所以，Web应用开发者应该树立很强的安全意识，开发中编写安全代码；对用户提交的URL、查询关键字、HTTP头、POST数据等进行严格的检测和限制，只接受一定长度范围内、采用适当格式及编码的字符，阻塞、过滤或者忽略其它的任何字符。通过编写安全的Web应用代码，可以消除绝大部分的Web应用安全问题。
2) 对Web网站管理员而言
作为负责网站日常维护管理工作Web管理员，应该及时跟踪并安装最新的、支撑Web网站运行的各种软件的安全补丁，确保攻击者无法通过软件漏洞对网站进行攻击。
除了软件本身的漏洞外，Web服务器、数据库等不正确的配置也可能导致Web应用安全问题。Web网站管理员应该对网站各种软件配置进行仔细检测，降低安全问题的出现可能。
此外，Web管理员还应该定期审计Web服务器日志，检测是否存在异常访问，及早发现潜在的安全问题。
3）使用网络防攻击设备
前两种为事前预防方式，是比较理想化的情况。然而在现实中，Web应用系统的漏洞还是不可避免的存在：部分Web网站已经存在大量的安全漏洞，而Web开发者和网站管理员并没有意识到或发现这些安全漏洞。由于Web应用是采用HTTP协议，普通的防火墙设备无法对Web类攻击进行防御，因此可以使用IPS入侵防御设备来实现安全防护。
H3C IPS Web攻击防御
H3C IPS入侵防御设备有一套完整的Web攻击防御框架，能够及时发现各种已经暴露的和潜在的Web攻击。下图为对于Web攻击的总体防御框架。
图1：Web攻击防御框架，参见：http://blog.csdn.net/moshenglv/article/details/53439579
H3C IPS采用基于特征识别的方式识别并阻断各种攻击。IPS设备有一个完整的特征库，并可定期以手工与自动的方式对特征库进行升级。当网络流量进入IPS后，IPS首先对报文进行预处理，检测报文是否正确，即满足协议定义要求，没有错误字段；如果报文正确，则进入深度检测引擎。该引擎是IPS检测的核心模块，对通过IPS设备的Web流量进行深层次的分析，并与IPS攻击库中的特征进行匹配，检测Web流量是否存在异常；如果发现流量匹配了攻击特征，IPS则阻断网络流量并上报日志；否则，网络流量顺利通过。
此Web攻击防御框架有如下几个特点：
1) 构造完整的Web攻击检测模型，准确识别各种Web攻击
针对Web攻击的特点，考虑到各种Web攻击的原理和形态，在不同漏洞模型之上开发出通用的、层次化的Web攻击检测模型，并融合到特征库中。这些模型抽象出Web攻击的一般形态，对主流的攻击能够准确识别，使得模型通用化。
2) 检测方式灵活，可以准确识别变形的Web攻击
在实际攻击中，攻击者为了逃避防攻击设备的检测，经常对Web攻击进行变形，如采用URL编码技术、修改参数等。H3C根据Web应用漏洞发生的原理、攻击方式和攻击目标，对攻击特征进行了扩展。即使攻击者修改攻击参数、格式、语句等内容，相同漏洞原理下各种变形的攻击同样能够被有效阻断。这使得IPS的防御范围扩大，防御的灵活性也显着增强，极大的减少了漏报情况的出现。
3) 确保对最新漏洞及技术的跟踪，有效阻止最新的攻击
随着Web攻击出现的频率日益增高，其危害有逐步扩展的趋势。这对IPS设备在防御的深度和广度上提出了更高的要求，不仅要能够防御已有的Web攻击，更要有效的阻止最新出现的、未公布的攻击。目前，H3C已经建立起一套完整的攻防试验环境，可以及时发现潜在Web安全漏洞。同时还在继续跟踪最新的Web攻击技术和工具，及时更新Web攻击的特征库，第一时间发布最新的Web漏洞应对措施，确保用户的网络不受到攻击。
4) 保证正常业务的高效运行
检测引擎是IPS整个设备运行的关键，该引擎使用了高效、准确的检测算法，对通过设备的流量进行深层次的分析，并通过和攻击特征进行匹配，检测流量是否存在异常。如果流量没有匹配到攻击特征，则允许流量通过，不会妨碍正常的网络业务，在准确防御的同时保证了正常业务的高效运行。
结束语
互联网和Web技术广泛使用，使Web应用安全所面临的挑战日益严峻，Web系统时时刻刻都在遭受各种攻击的威胁，在这种情况下，需要制定一个完整的Web攻击防御解决方案，通过安全的Web应用程序、Web服务器软件、Web防攻击设备共同配合，确保整个网站的安全。任何一个简单的漏洞、疏忽都会造成整个网站受到攻击，造成巨大损失。此外 ，Web攻击防御是一个长期持续的工作，随着Web技术的发展和更新，Web攻击手段也不断发展，针对这些最新的安全威胁，需要及时调整Web安全防护策略，确保Web攻击防御的主动性，使Web网站在一个安全的环境中为企业和客户服务。
原文链接：
㈢ Web浏览器存在哪些安全隐患如何保证Web浏览器的安全
1、IE的自动登录
拨号上网用户使用IE时，连接对话框有个“保存密码”选项，在Web页面直接登录邮箱时也有“保存密码”选项。看“*”号工具软件可以轻易将密码翻译出来。建议你尽量不要使用该选项。
2、IE的颜色足迹
IE以及Web页面设计者一般都将页面上未访问的和已访问过的链接设置成不同的颜色，虽说方便了用户浏览，但不经意间会泄露了你的浏览足迹。在IE的菜单栏点击［工具］→［Internet选项］→［常规］→［辅助功能］，在随后的对话框内勾选格式区域的“不使用Web页中指定的颜色”项，确定之后，点击［颜色］按钮，在“颜色”区域勾选“使用Windows颜色”，在“链接”区域通过色板将未访问的和访问过的链接的颜色设置成相同，别人就看不到你的浏览足迹了。
3、IE的Cookie
Cookie，我们已经介绍过多次了，它可不仅仅是小甜饼哦！可以通过设置不同的安全级别来限制Cookie的使用。如果要彻底删除Cookie，可将目录“Windowscookies”下的所有文件全部删除，这样就可有效保护你的个人隐私了。当然使用个人防火墙也可以对Cookie的允许、提示、禁止等功能的进行使用限制。
4、IE的自动完成
IE的自动完成功能给用户填写表单和输入Web地址带来一定的便利，但同时也给用户带来了潜在的危险，尤其是对于在网吧或公共场所上网的网民。若需禁止该功能，只需点击［工具］ →［Internet选项］→［内容］，在“个人信息”区域单击［自动完成］按钮，在随后的对话框内清除Web地址、表单及表单的用户名和密码项的选择。
5、IE的历史记录以及临时文件夹
我们在上网浏览信息时，浏览器会把我们在上网过程中浏览的信息保存在历史记录以及临时文件夹（WindowsTemporary Internet Files）中，这样下次再访问同样信息时可以很快地达到目的地，从而提高了我们的浏览效率，但是通过IE的脱机浏览，其他用户能够轻松地翻阅你浏览的内容。如何保护个人信息资料的安全呢？方法如下：点击［工具］→［Internet选项］→［常规］→［删除文件］，在“删除文件”对话框中勾选“删除所有脱机内容”，［确定］即可。另外，也可以设置成自动删除临时文件，切换至“高级”选项卡，在安全区域勾选“关闭浏览器时清空Internet临时文件夹”。这样在关闭IE时就会自动删除临时文件夹中的内容了；然后在同样的对话框中单击［清除历史记录］按钮来删除浏览器中的历史记录中的内容。
6、屏蔽ActiveX控件
由于ActiveX控件可以被嵌入到HTML页面中，并下载到浏览器端执行，因此会给浏览器端造成一定程度的安全威胁。同时，其他一些技术，如内嵌于IE的VB Script语言，还有一些新技术，如ASP(Active server Pages)技术同样也都存在着一定的安全隐患。所以我们要屏蔽掉这些可能对计算机安全构成威胁的ActiveX控件，方法如下：点击［工具］→［Internet选项］→［安全］→ ［自定义级别］，在打开的“安全设置”对话框中找到关于ActiveX控件的设置，就选择“禁用”好了。
7、IE的安全区域设置
IE的安全区设置可以让你对被访问的网站设置信任程度。我们在上网浏览信息时，应经常通过一些报刊杂志来搜集一些黑客站点或其他一些破坏站点的相关信息，并时时注意哪些站点会恶意窃取别人的个人信息，通过一些相关设置来拒绝这些站点对你的信息的访问，从而使浏览器能够自动拒绝这些网站发出的某些对自己有安全威胁的指令。方法是：点击［工具］→［Internet选项］→［安全］，单击“受限站点”右边的［站点］按钮，将需要限制的站点的地址添加进去，完成站点地址的添加工作以后，单击［确定］按钮，浏览器将对上述的受限站点起作用。
转自电脑之家网
㈣ web服务系统在应用代码层有哪些安全风险
SQL 注入、跨站脚本攻击，HTTP头拆分等安全风险
㈤ 私密浏览模式是否真的安全识别Web浏览器存在的风险
本文分析了私密浏览模式是否真的安全，保密。 Cookies的功能可以用来帮助用户，比如记录你购物车中的物品，并且有利于网站运营者进行市场和网络活动的监测。你不需要对互联网非常敏感就可以注意到：在访问一个在线商场后，你之前正在寻找的商品开始出现在其它网页的横幅广告和推荐链接上。 理论上讲，私密浏览可以使得个人上网的时候并不存储关于他们活动的本地信息。这个选项的预期目的是使用户的浏览历史对分享或使用同一台机器的其他人保密的。为了实现这一点，浏览器必须禁止创建或者清除历史项、cookies文件和缓存项目。 浏览器把它称为“隐身模式”或“隐形模式”，它通过编造一个身着风衣、聪明的间谍形象来进行私密浏览。排除炒作的因素，私密浏览在对需要与其他人共享计算机，或者使用公共计算机时是十分有效和有益的。通过禁止记录浏览历史和不记录在一个会话中使用的搜索内容和密码，私密浏览模式可以阻止后来的机器使用者看到可能的敏感信息。 诸如“私密”、“隐身”和“隐形”等词语具有误导性，会给用户错误的安全意识。虽然私密浏览能够从所访问的站点删除cookies和浏览历史，但信息仍然会留在隐藏的缓存中，这些缓存是用于保存频繁使用数据的临时存储空间。同样地，数据仍然会留在DNS日志，插件和闪存cookies中，以上问题私密浏览都不能解决。也许更令人不安的是，浏览器并不保护用户在私密浏览和非私密浏览会话中被跟踪，因为它们未能隔离这两者。大多数浏览器都有插件，而这些插件又有它们自己的跟踪系统。因此，即使浏览器不泄露cookies，但并不意味着浏览器插件不这样做。另外，如果浏览器没有禁用浏览器扩展(用于扩展浏览器功能的计算机程序，比如自动翻译所有页面成一个特定的语言)，当切换回非私密浏览模式时，私密浏览信息会被泄露。 启用私密浏览模式也不能保证数据不被盗。一个用户可以直接从一个安全站点到一个恶意站点而没有任何警告。一旦出现这种情况，一个脚本将会在浏览器会话时加载到机器上，无论其是否被保存在cookies文件中，这将允许攻击者获得用户的个人数据。如果这个脚本在用户登录一个可信任站点时运行，那么黑客可以获得登录凭证和其他身份验证数据。 然而，许多用户相信诸如Firefox浏览器的无脚本插件等附加组件可以为他们提供额外的安全，实际上，这些附加组件可使会话更易受威胁影响，从而增加浏览器风险。首先，大多数Firefox的插件是未经认证的或者未经Mozilla进行合适的检查。事实上，在它的法律声明和限制页上，Firefox声明说：因为没有检查包含在这些插件里的所有内容，它不能对这些内容或它们可能会引起的危害负责。这就意味着，虽然保护你，但是这些方便的小的安全脚本可能会收集你的数据。另外，由于是开源的，许多这些附加组件的编码可能很糟糕，这也是另一个潜在的安全风险。 通过这些误导性的术语，终端用户相信他们能够保护自己，因此实际中可能会更加不注意。虽然印刷精美，尽管有时很难找到，但是大多数人完全不会花时间去阅读它(术语)。当与一些其它的Web安全网络浏览措施一起使用时，比如禁用Java小程序，保持系统的补丁修复以及使用良好的反病毒程序，私密浏览可以提供一些安全措施，而所有上述的措施都应该成为大多数企业的强制性安全规程。如果依次实施，这些手段可以用来支持一个有效的企业纵深防御策略。
㈥ HTML5培训：HTML5应用程序的安全风险是什么
运用HTML5构建的应用程序与任何根据web的应用程序相同，开发商应采取恰当的网络侵犯安全措施，以保护任何存储的数据和通讯安全。想学习HTML5构建应用程序的更多知识和技术，无妨报名参加HTML5训练学习，能在短时间内学到有用的东西，比自学更快速，更有用。
㈦ 什么是WEB安全是网络安全么
§1、网站安全概述
一、 常见的网站提供的服务：DNS SERVER，WEB SERVER，E-MAIL SERVER，FTP SERVER，此外网站还需要有个主服务器（最好不要把网站的操作系统服务器与上述的SERVER 放在一起）（不一定全对互联网开放）
1、 这些常见的服务属于TCP/IP协议栈，如果低层安全性被攻击了，则高层安全成了空中楼阁。所以要进行安全分析（安全只是个动态的状态）
2、 TCP/IP协议栈各层常见的攻击（回忆TCP/IP各层结构图）
（1）物理层：数据通过线传输是特点
威胁：监听网线，sniffer软件进行抓包，拓朴结构被电磁扫描攻破
保护：加密，流量填充等
（2）internet层：提供寻址功能是其特点-----路由，IP,ICMP,ARP,RARP
威胁：IP欺骗(工具完成将数据包源地址IP改变)
保护：补丁、防火墙、边界路由器设定
（3）传输层：控制主机间的信息流量-----TCP,UDP
威胁：DOS(图)，DDOS，会话劫持等
保护：补丁、防火墙、开启操作系统抗DDOS攻击特性
㈧ 常见的网络安全风险有哪些
网络安全可以从狭义及广义两个定位进行分析。狭义方面，网络安全主要可以分为软硬件安全及数据安全，网络安全指的是网络信息安全，需对其中数据进行保护，保证相关程序不会被恶意攻击，以免出现不能正常运行的情况；广义方面，会直接涉及到网络信息的保密性及安全完整性，会随重视角度变化而变化。
1、计算机技术方面
网络设备及系统安全是网络系统中安全问题的潜在问题，计算机系统实际运行中会因为自身设备因素，导致相应安全问题的出现。除此之外，网络信息技术相关优势一般会体现在信息资源共享及资源开放上，所以更容易被侵袭，计算机网络协议在整体安全方面也存在潜在问题。
2、由于病毒引起的安全风险
计算机网络安全中最常出现的问题为病毒，病毒是由黑客进行编写的计算机代码或计算机指令，可以对计算机中相关数据造成严重破坏。按照数据实际摧毁力度分析，可以分为良性及恶性，这两种病毒都能够进行迅速传播，具有较强的摧毁性能力，病毒可进行自行复制。现代社会计算机网络逐渐普及，病毒在网络上的传播也更加迅速，通过网页浏览或邮件传播等，都可以受到病毒影响，使得计算机系统内部收到计算机病毒攻击而瘫痪。
3、用户问题
目前我国网络用户对安全问题没有较为清晰的认识及正确的态度，使用非法网站、下载安全风险较大的文件、不经常清除病毒、为设置安全保护软件及防火墙等问题，用户的不重视很容易让黑客对网络安全进行攻击。互联网用户使用网络时，并不能看到病毒，所以对病毒问题没有足够的重视，也缺乏相关防范意识。用户一般情况下只能看到网络带来的便利，忽视安全问题，部分用户不注重隐私保护，随意泄露隐私，所以近年来网络欺诈事件层出不穷。