跳到主要內容區塊

ntuccepaper2019

技術論壇

如何建置安全的網站
  • 卷期:v0048
  • 出版日期:2019-03-20

作者:李墨軒 / 臺灣大學計算機及資訊網路中心資訊網路組


網頁,是現代人每天都會接觸到的資訊來源。使用網頁來儲存資料、公告事項,已經是現在政府機關及企業所不可或缺的建置項目。但是,放在網頁上的東西,如何確保安全,是接下來要介紹的。

 

網頁建置

目前網頁的建置通常選用Windows server及Linux的系統。只要選擇自己習慣的系統,並把網頁的程式碼放入指定的資料夾,任何人都可以輕鬆的架設一個網站。但是網站是否安全,才是資安工作人員需要注意的重點。

 

網頁的攻擊手法

網頁中最常看見的攻擊手法,了解這些攻擊模式,才能在建置網頁時就預先防範。以下就介紹一些常見的攻擊手法。

 

1.SQL-injection
在輸入的字串之中夾帶SQL指令,在設計不良的程式當中忽略了檢查,那麼這些夾帶進去的指令就會被資料庫伺服器誤認為是正常的SQL指令而執行,因此遭到破壞或是入侵。

 

2.Local File Inclusion
使用者能控制包含文件的參數,例用網址列輸入指令,進而拿到主機上的檔案。如果駭客有心,可以拿到主機上的任何檔案,包括網頁的設定檔。

 

3.Cross Site Scripting
這個漏洞是使用Javascript,當使用者點擊帶有惡意程式碼的連結,瀏覽器會被導到駭客的指定頁面,並執行惡意程式。將使用者輸入的資訊回傳給駭客。

 

如何保護網頁

在網頁建置的時候,就要想辦法防範已知的漏洞遭到有心人士的例用。以下這幾點,可防止網頁遭到有心人士的攻擊。

 

1.更新作業系統
無論各種作業系統可能都會因程式寫法而有漏洞,這些漏洞也是駭客攻擊目標,而開發者會定時發行更新來修補已知的漏洞。定時更新就可以讓這些已知的問題不會成為網頁被攻擊的可能。

 

2.設定不同的權限
在系統上,不同的管理者或使用者應該要有不同的權限,權限的設定要嚴謹,例如,不應該讓一般的使用者能夠看到其他使用者的帳號及狀態。若沒有設定權限,駭客只要得到一位使用者的帳號密碼,便可以操作整個系統。

 

3.不用網頁直接讀取資料庫
使用者輸入的內容,可以直接接入資料庫並讀取資料,雖然這樣很方便,但容易遭有心人士利用。造成SQL-injection的攻擊。建議能夠用另外的程式介接輸入訊息的網頁及資料庫的系統。

 

4.確認使用者輸入的內容
太過於信任使用者所輸入的資料,未限制輸入的字元數,以及未對使用者輸入的資料做潛在指令的檢查。這些都是容易造成有心人士利用的地方,依照輸入的資料形態,限制使用者輸入的內容,例如:只能輸入數字或限制字元數等,可以有效的防止攻擊的發生。另外,對使用者輸入的資料做再次檢查,確認不會有潛在指令的風險,也是一個很好的方式。

 

5.不要在錯誤訊息顯示過多的資訊
很多的錯誤訊息會將資料庫或網頁的原始碼直接帶出,更甚者會將帳號密碼列於錯誤訊息上。這會使駭客有足夠的資訊了解網頁的漏洞,並從而攻擊。在建置網站時,應避免開啟詳細錯誤,以免洩漏過多的資訊,給駭客攻擊的材料。

 

結論

在網頁建置的時候,就應該要做出詳細的設定,並注意作業系統的更新。若有後台系統的網站,更要注意登入後台的權限。有了這些設定,網站才能夠有更安全的保障。