ASP.NET安全问题--创建安全的Web应用程序

2009-05-12 22:46:30来源:未知 阅读 ()

把一个问题说清楚,是要有前提的,也要大家有一些通过的词汇,就像大家谈OO,就知道谈的面向对象,以及面向对象的一些特征;懂设计模式的,一听到"观察者",就立马知道什么意思。

一.下面看看安全的一些概念:

首先,我们来看看什么是安全性?

我们常常提起“实现安全性”“创建安全的系统”。所以安全性一般是定义很多,如:安全性就是保证系统可以完全按照我们想要的方式运行;安全性就是防止以我们不希望的方式运行系统...定义很多,但是不知道大家有没有发现,我们理解的安全的定义很狭窄的。怎么说?我们一般认为安全就是这样的:采取一定的措施(主要是编程代码的措施)处理程序运行时的意外,或者防止意外发生。但是安全的问题不仅仅只是代码的问题,所以在安全编程方面,我们要考虑的更多。

什么是安全

我们不能保证一个系统绝对的安全,不可能做到100%的安全。安全的定义的受到很多的限制,首先我们来看看一个例子。

我们都用过银行的ATM机,如果有人捡到了我们的卡想要盗取我们的钱,那么他只有猜我们的密码。如果密码的长度只有一位数,那么捡卡人第一次猜对的概率就是1/10,他只要十次就可以盗取我们的钱(假设可以不限次数的猜),那么系统的安全行很差;如果密码是2位,那么密码就有100中可能,那么捡卡人第一次才对的几率就是1/100,第二次就是1/99,第三次1/98...系统的安全行也很差.

如果把密码的尝试限制在3次,如果密码为2位数,那么密码被猜出的几率就大大的减小了:

第一次猜中的几率就是1/100

第二次猜中(第一次没有中)的几率就是(99/100) * (1/99)=0.01

第三次猜中(前两次不中)的几率就是(99/100)*(98/99)*(1/98)=0.01

三次之内猜中的几率就是:0.01+1.01+0.01=0.03

所以,当我们限制了尝试的次数的时候,系统就比之前安全了一些,但是系统还并不是很安全,只能说比之前稍微的好了点,但是风险依然很大。

为了使得系统更加的安全,就要减小系统的密码被猜出的可能行,我们可以从两个方面着手:

1.使得密码尝试的次数减小,如用户只能输入一次密码;

2.加大密码的位数,如6位。这样密码被猜出的几率就更加的小了,风险也小了很多,系统的安全行就又提高了。所以,我们常说安全不安全的,都只是一个相对的概念。说了这么多,就是要说一点:不要把安全看死了,安全不安全要看我们的环境。

在谈后面的话题之前,让我们来共享一些术语:

脆弱性是系统的一个特征,它可能会使得应用系统不安全按照我们预想的方式运行。一般表示系统不好的特征。

威胁就是指利用错人性破环系统安全的可能行。

利用就是利用脆弱行的方法。

总结一句话就是:脆弱行导致了威胁,利用则实现了威胁,简言之,攻击。

二、Web应用中的安全问题

首先我们就看看对Web的攻击。攻击有很多种的,其中一部分可以使用ASP.NET代码进行防范的,但是其他的攻击方式还是可以产生破坏的,如直接攻击服务器。下面就来看典型的例子。

我们之前说过,攻击就是利用系统的脆弱性以实现一定的威胁。攻击的结果也很多,如:

未经授权的访问--用户获取了更多的权限,从而可以将应用程序用于其他的途径,如果获取了网站的管理员的密码,散布政治言论。

代码执行--在目标系统上运行恶意代码,而且还会导致其他的威胁,如木马。

拒绝服务--合法用户被禁止访问应用程序

信息失窃--机密的信息被盗取

破坏信息--信息遭到修改。如,站点被涂改,发布攻击性的消息和政治言论。

下面我们就来看看常见的一些脆弱性,以及对它们的利用,以及引起的威胁。

缓冲区溢出

标签:

版权申明:本站文章均来自网络,如有侵权,请联系028-62778877-8200 邮箱: abuse@west.cn
特别注意:本站所有转载文章言论不代表本站观点,本站所提供的摄影照片,插画,设计作品,如需使用,请与原作者联系,版权归原作者所有

上一篇:ASP.NET安全问题--ASP.NET安全架构

下一篇:反思软件系统与软件系统之间的集成交互问题