《Web站点安全技术》

第1章 为什么要保护Web站点1

1.1 保护的对象及原因4

1.1.1 保护信息和资源4

1.1.2 保护客户和用户5

1.1.3 保证私有性5

1.2 威胁的表现形式7

1.2.1 欺骗（Spoofing）8

1.2.2 E-mail欺骗及其风险10

1.2.3 Web客户机威胁11

1.2.4 Web服务器威胁11

1.2.5 客户与服务器间的交易安全11

1.2.6 错误与疏漏12

1.2.7 欺诈与盗取12

1.2.8 心怀不满的员工12

1.2.9 工业间谍12

1.2.10 恶意代码12

1.3 保护Web站点13

1.2.11 破坏保密性13

1.3.1 其他选择15

1.3.2 验证机制（Authentication）16

1.3.3 防火墙的作用18

1.3.4 代理（Proxies）18

第2章 Web安全需求21

2.1 Web需求21

2.2 保密性23

2.3 管理者的责任24

2.4 完整性25

2.4.1 数据安全26

2.5 集成28

2.5.1 防火墙与代理的支持28

2.5.2 网关支持30

2.6 通信流量31

2.6.1 监控请求31

2.6.2 估计站点受访次数33

2.7 传输33

2.7.2 提供优质服务34

2.7.1 传输活力34

第3章 金融问题36

3.1 防止入侵损失36

3.2 保护金融事务处理43

3.2.1 SSL协议43

3.2.2 F-SSH协议44

3.3 保护用户／客户金融信息45

3.3.1 安全电子交易（SET）45

3.3.2 提供“电子货币”46

3.4 维护站点安全：深入核心47

第4章 保护Web站点战略49

4.1 是否阻挡一切49

4.2 何时过分了50

4.3 识别站点的弱点50

4.3.1 选择Web服务器软件50

4.3.2 安全选项56

4.3.3 简单为本57

4.4 “applet”的风险（包括Java）59

第5章 电子会议61

5.1 About服务器62

5.2 WebBoard63

5.3 Agora65

5.4 Internet Phone68

5.5 DigiPhone69

5.6 WebTalk70

5.7 PGPfone71

5.8 多目广播干线（MBONE）74

5.9 配置清单78

5.10 安全清单79

第6章 Web上的电子邮件80

6.1 CGI脚本——Cgimail80

6.2 ANSI C脚本——简单的CGI E-mail处理程序81

6.3 Perl脚本——Web Mailto Gateway81

6.4 HTML表格处理模块（HFPM）90

6.5 Tcl脚本93

6.6 CGI-uniform96

6.7 安全问题96

6.9.1 Cgimail安全考虑97

6.9 安全清单97

6.8 配置清单97

6.9.2 E-mail的威胁形式之一——E-mail假冒98

6.9.3 E-mail的威胁形式之二——E-mail炸弹98

6.9.4 保护E-mail信息99

第7章 文件传输协议100

7.1 文件传输协议（FTP）100

7.1.1 对FTP服务器和用户访问进行控制101

7.2.2 FTP服务器配置是否正确103

7.2.1 FTP服务器运行是否正确103

7.2 配置清单103

7.2.3 匿名FTP配置是否安全104

7.3 安全清单105

7.3.1 谨防黑客107

第8章 网络新闻传输协议（NNTP）108

8.1 News网关108

8.2 News-WWW网关109

8.3 Usenet-Web归档程序110

8.5.1 防火墙环境中设置News网关111

8.4 配置清单111

8.5 安全清单111

第9章 Web与HTTP协议112

9.1 Web安全问题113

9.2 HTTP安全考虑115

9.3 安全超文本传输协议（S-HTTP）116

9.4 安全套接层（SSL）116

9.5 缓存：安全考虑117

9.6 配置清单117

9.7.2 大多数典型UNIX Web服务器的安全问题118

9.7 安全清单118

9.7.1 Novell的HTTP安全漏洞118

第10章 防火墙的设计与实现120

10.1 防火墙的概念121

10.2 防火墙的作用122

10.3 利用防火墙增强Web安全性122

10.4 主要防火墙类型123

10.4.1 网络层防火墙124

10.4.3 常用的Web站点防火墙类型125

10.4.2 应用层防火墙125

10.4.4 动态防火墙技术和Web安全性126

10.5 HTTP和防火墙、Proxy服务器和SOCKS127

10.5.1 Proxy服务器128

10.6 高级Proxy配置的一个实例129

10.6.1 网络设置130

10.6.2 proxy设置131

10.7 FTP和Telnet131

10.8 安全清单132

第11章 处乱不惊136

11.1 处理意外事件137

11.1.1 网络信息服务作为作案工具137

11.1.2 远程登录／远程Shell服务作为作案工具138

11.1.3 网络文件系统做为作案工具138

11.1.4 文件传输协议服务作为作案工具138

11.2 应变措施139

11.2.2 断掉链接140

11.2.3 分析问题140

11.2.1 处境评估140

11.2.4 采取行动141

11.3 抓捕入侵者141

11.4 安全回顾141

第12章 追捕入侵者：法律透视143

12.1 法律系统的责任145

12.1.1 目前的管制环境146

12.2 保护Web站点148

12.2.1 防止Web入侵者148

12.3 最后的考虑149

附录A 防火墙相关的资源、代理商及防火墙工具150

附录B 防火墙产品162

附录C Web服务器产品178

附录D 内部安全弱点扫描工具186

附录E 修补及替代程序189

附录F 高级验证及密码增强工具193

附录G 审计及入侵检测工具195

附录H 密码破译工具203

附录I 访问控制工具204

参考文献206