网站安全分析

1. 登录页面必须加密在登录之后实施加密有可能有用，这就像把大门关上以防止马儿跑出去一样，不过他们并没有对登录会话加密，这就有点儿像在你锁上大门时却将钥匙放在了锁眼里一样。即使你的登录会话被传输到了一个加密的资源，在许多情况下，这仍有可能被一个恶意的黑客攻克，他会精心地伪造一个登录表单，藉以访问同样的资源，并访问敏感数据。
2. 採取专业工具辅助 在市面目前有许多针对于网站安全的检测平台，不过这些大多数是收费的，而目前标榜免费就只有亿思网站安全检测平台（iiscan）。通过这些网站安全检测平台能够迅速找到网站的安全隐患，而且这些平台都会提供针对其隐患做出相应措施。
3. 通过加密连线管理你的站点 使用不加密的连线(或仅使用轻度加密的连线)，如使用不加密的FTP或HTTP用于Web站点或Web伺服器的管理，就会将自己的大门向“中间人”攻击和登录/口令的嗅探等手段敞开大门。因此请务必使用加密的协定，如SSH等来访问安全资源，要使用经证实的一些安全工具如OpenSSH等。否则，一旦某人截获了你的登录和口令信息，他就可以执行你可做的一切操作。
4. 使用强健的、跨平台的兼容性加密 根据目前的发展情况，SSL已经不再是Web网站加密的最先进技术。可以考虑TLS，即传输层安全，它是安全套接字层加密的继承者。要保证你所选择的任何加密方案不会限制你的用户基础。同样的原则也适用于后端的管理，在这里SSH等跨平台的强加密方案要比微软的Windows远程桌面等较弱的加密工具要更可取、更有优越性。
5. 从一个安全有保障的网路连线 避免从安全特性不可知或不确定的网路连线，也不要从安全性差劲的一些网路连线，如一些开放的无线访问点等。无论何时，只要你必须登录到伺服器或Web站点实施管理，或访问其它的安全资源时，这一点尤其重要。如果你连线到一个没有安全保障的网路时，还必须访问Web站点或Web伺服器，就必须使用一个安全代理，这样你到安全资源的连线就会来自于一个有安全保障的网路代理。
6. 不要共享登录的机要信息 共享登录机要信息会引起诸多安全问题。这不但适用于网站管理员或Web伺服器管理员，还适用于在网站拥有登录凭证的人员，客户也不应当共享其登录凭证。登录凭证共享得越多，就越可能更公开地共享，甚至对不应当访问系统的人员也是如此;登录机要信息共享得越多，要建立一个跟蹤索引藉以跟蹤、追查问题的源头就越困难，而且如果安全性受到损害或威胁因而需要改变登录信息时，就会有更多的人受到影响。
7. 採用基于密钥的认证而不是口令认证 口令认证要比基于密钥的认证更容易被攻破。设定口令的目的是在需要访问一个安全的资源时能够更容易地记住登录信息。不过如果使用基于密钥的认证，并仅将密钥複製到预定义的、授权的系统(或複製到一个与授权的系统相分离的独立介质中，直接需要它时才取回。)，你将会得到并使用一个更强健的难于破解的认证凭证。
8. 维护一个安全的工作站 如果你从一个客户端系统连线到一个安全的资源站点，而你又不能完全保证其安全性，你就不能保证某人并没有在监听你所做的一切。因此键盘记录器、受到恶意损害的网路加密客户以及黑客们的其它一些破坏安全性的伎俩都会準许某个未得到授权的个人访问敏感数据，而不管网路是否有安全措施，是否採用加密通信，也不管你是否部署了其它的网路保护。因此保障工作站的安全性是至关重要的。
9. 运用冗余性保护网站 备份和伺服器的失效转移可有助于维持最长的正常运行时间。虽然失效转移可以极大地减少伺服器的宕机时间，但这并不是冗余性的唯一价值。用于失效转移计画中的备份伺服器可以保持伺服器配置的最新，这样在发生灾难时你就不必从头开始重新构建你的伺服器。备份可以确保客户端数据不会丢失，而且如果你担心受到损害系统上的数据落于不法之徒手中，就会毫不犹豫地删除这种数据。当然，你还必须保障失效转移和备份方案的安全，并定期地检查以确保在需要这些方案时不至于使你无所适从。
10. 确保对所有的系统都实施强健的安全措施，而不仅运用特定的Web安全措施 在这方面，可以採用一些通用的手段，如採用强口令，採用强健的外围防御系统，及时更新软体和为系统打补丁，关闭不使用的服务，使用数据加密等手段保证系统的安全等。

安全隐患分析

1. 大多数网站设计，只考虑正常用户稳定使用 但在黑客对漏洞敏锐的发觉和充分利用的动力下，网站存在的这些漏洞就被挖掘出来，且成为黑客们直接或间接获取利益的机会。对于Web应用程式的SQL注入漏洞，有试验表明，通过搜寻1000个网站取样测试，检测到有11.3%存在SQL注入漏洞。
2. 网站防御措施过于落后，甚至没有真正的防御 大多数防御传统的基于特徵识别的入侵防御技术或内容过滤技术，对保护网站抵御黑客攻击的效果不佳。比如对SQL注入、跨站脚本这种特徵不唯一的网站攻击，基于特徵匹配技术防御攻击，不能精确阻断攻击。因为黑客们可以通过构建任意表达式来绕过防御设备固化的特徵库，比如：and1=1和and2=2是一类资料库语句，但可以人为任意构造数字构成同类语句的不同特徵。而and、=等这些标识在WEB提交资料库套用中又是普遍存在的表达符号，不能作为攻击的唯一特徵。因此，这就很难基于特徵标识来构建一个精确阻断SQL注入攻击的防御系统。导致目前有很多黑客将SQL注入成为入侵网站的首选攻击技术之一。基于套用层构建的攻击，防火墙更是束手无策。网站防御不佳还有另一个原因，有很多网站管理员对网站的价值认识仅仅是一台伺服器或者是网站的建设成本，为了这个伺服器而增加超出其成本的安全防护措施认为得不偿失。而实际网站遭受攻击之后，带来的间接损失往往不能用一个伺服器或者是网站建设成本来衡量，很多信息资产在遭受攻击之后造成无形价值的流失。不幸的是，很多网站负责的单位、人员，只有在网站遭受攻击后，造成的损失远超过网站本身造价之后才意识就这一点。
3. 黑客入侵后，未被及时发现 有些黑客通过篡改网页来传播一些非法信息或炫耀自己的水平，但篡改网页之前，黑客肯定基于对漏洞的利用，获得了网站控制许可权。这不是最可怕的，因为黑客在获取许可权后没有想要隐蔽自己，反而是通过篡改网页暴露自己，这虽然对网站造成很多负面影响，但黑客本身未获得直接利益。更可怕的是，黑客在获取网站的控制许可权之后，并不暴露自己，而是利用所控制网站产生直接利益;网页挂马就是一种利用网站，将浏览网站的人种植其木马的一种非常隐蔽且直接获取利益的主要方式之一。访问网站而被种植木马的人通常也不知情，导致一些用户的机密信被窃取。网站成了黑客散布木马的一个渠道。网站本身虽然能够提供正常服务，但访问网站的人却遭受着木马程式的危害。这种方式下，黑客们通常不会暴露自己，反而会儘量隐蔽，正好比暗箭难防，所以很多网站被挂木马数月仍然未被察觉。由于挂马原理是木马本身并非在网站本地，而是通过网页中载入一个能够让浏览者自动建立另外的下载连线完成木马下载，而这一切动作是可以很隐蔽的完成，各个用户不可见，因此这种情况下网站本地的病毒软体也无法发现这个挂马实体。
4. 发现安全问题不能彻底解决 网站技术发展较快、安全问题日益突出，但由于关注重点不同，绝大多数的网站开发与设计公司，网站安全代码设计方面了解甚少，发现网站安全存在问题和漏洞，其修补方式只能停留在页面修复，很难针对网站具体的漏洞原理对原始码进行改造。这些也是为什幺有些网站安装网页放篡改、网站恢复软体后仍然遭受攻击。我们在一次网站安全检查过程中，曾经戏剧化的发现，网站的网页放篡改系统将早期植入的恶意代码也保护了起来。这说明很少有人能够準确的了解网站安全漏洞解决的问题是否彻底。

具体检测方法

常见模式介绍