說到web業務系統，很多人會下意識的認為web業務系統 = **，但實際上，我們通常所說的web業務系統指的是利用各種動態web技術開發的基於b/s(瀏覽器伺服器)模式的事務處理系統。比如：erp系統、crm系統以及常見的**系統(如電子政務**、企業**等)都是web業務系統。這些web業務系統，都會遭受web威脅的影響。
安全隱患有很多，常見的不外乎這幾種，熟悉了解了就知道怎麼規避風險。web伺服器存在的主要漏洞包括物理路徑洩露，cgi源**洩露，目錄遍歷，執行任意命令，緩衝區溢位，拒絕服務，sql注入，條件競爭和跨站指令碼執行漏洞，和cgi漏洞有些相似的地方，但是更多的地方還是有著本質的不同。不過無論是什麼漏洞，都體現著安全是乙個整體的真理，考慮web伺服器的安全性，必須要考慮到與之相配合的作業系統。
物理路徑洩露
物理路徑洩露一般是由於web伺服器處理使用者請求出錯導致的，如通過提交乙個超長的請求，或者是某個精心構造的特殊請求，或是請求乙個web伺服器上不存在的檔案。這些請求都有乙個共同特點，那就是被請求的檔案肯定屬於cgi指令碼，而不是靜態html頁面。
還有一種情況，就是web伺服器的某些顯示環境變數的程式錯誤的輸出了web伺服器的物理路徑，這應該算是設計上的問題。
目錄遍歷
目錄遍歷對於web伺服器來說並不多見，通過對任意目錄附加「../」，或者是在有特殊意義的目錄附加「../」，或者是附加「../」的一些變形， 如「..\\」或「..//」甚至其編碼，都可能導致目錄遍歷。前一種情況並不多見，但是後面的幾種情況就常見得多，以前非常流行的iis二次解碼漏洞和unicode解碼漏洞都可以看作是變形後的編碼。
執行任意命令
執行任意命令即執行任意作業系統命令，主要包括兩種情況。一是通過遍歷目錄，如前面提到的二次解碼和unicode解碼漏洞，來執行系統命令。另外一種就是web伺服器把使用者提交的請求作為ssi指令解析，因此導致執行任意命令。
緩衝區溢位
緩衝區溢位漏洞想必大家都很熟悉，無非是web伺服器沒有對使用者提交的超長請求沒有進行合適的處理，這種請求可能包括超長url，超長http header域，或者是其它超長的資料。這種漏洞可能導致執行任意命令或者是拒絕服務，這一般取決於構造的資料。
拒絕服務
拒絕服務產生的原因多種多樣，主要包括超長url，特殊目錄，超長http header域，畸形http header域或者是dos裝置檔案等。由於web伺服器在處理這些特殊請求時不知所措或者是處理方式不當，因此出錯終止或掛起。
sql注入
簡介sql注入，就是通過把sql命令插入到web表單提交或輸入網域名稱或頁面請求的查詢字串，最終達到欺騙伺服器執行惡意的sql命令，比如很多影視**洩露vip會員密碼大多就是通過web表單遞交查詢字元暴出的，這類表單特別容易受到sql注入式攻擊。sql注入攻擊是黑客對資料庫進行攻擊的常用手段之一。
原理sql注入攻擊指的是通過構建特殊的輸入作為引數傳入web應用程式，而這些輸入大都是sql語法裡的一些組合，通過執行sql語句進而執行攻擊者所要的操作，其主要原因是程式沒有細緻地過濾使用者輸入的資料，致使非法資料侵入系統。
根據相關技術原理，sql注入可以分為平台層注入和**層注入。前者由不安全的資料庫配置或資料庫平台的漏洞所致；後者主要是由於程式設計師對輸入未進行細緻地過濾，從而執行了非法的資料查詢。基於此，sql注入的產生原因通常表現在以下幾方面：①不當的型別處理；②不安全的資料庫配置；③不合理的查詢集處理；④不當的錯誤處理；⑤轉義字元處理不合適；⑥多個提交處理不當。
sql注入的漏洞在程式設計過程造成的。後台資料庫允許動態sql語句的執行。前台應用程式沒有對使用者輸入的資料或者頁面提交的資訊(如post， get)進行必要的安全檢查。資料庫自身的特性造成的，與web程式的程式語言的無關。幾乎所有的關係資料庫系統和相應的sql語言都面臨sql注入的潛在威脅 。
條件競爭
這裡的條件競爭主要針對一些管理伺服器而言，這類伺服器一般是以system或root身份執行的。當它們需要使用一些臨時檔案，而在對這些檔案進行寫操作之前，卻沒有對檔案的屬性進行檢查，一般可能導致重要系統檔案被重寫，甚至獲得系統控制權。
cgi漏洞
通過cgi指令碼存在的安全漏洞，比如暴露敏感資訊、預設提供的某些正常服務未關閉、利用某些服務漏洞執行命令、應用程式存在遠端溢位、非通用cgi程式的程式設計漏洞。
而會威脅到web業務安全的因素又包括哪些方面呢？在日常工作中，我們會遇到哪些web安全隱患呢？
第乙個方面：作業系統和後台資料庫可能會存在漏洞或配置不當，如弱口令等等，導致駭客、病毒可以利用這些缺陷進行攻擊。
第二個方面：web業務常用的發布系統，如iis、apache等，這些系統存在的安全漏洞，給入侵者可乘之機。
第三個方面：主要指web應用程式的編寫人員，在程式設計的過程中沒有考慮到安全的問題，使得駭客能夠利用這些漏洞發起攻擊，比如sql注入、跨站指令碼攻擊等等。
第四個方面：web應用系統伺服器所處的網路安全狀況也影響著web應用系統的安全，比如網路中存在的dos攻擊等，也會影響到這些web應用系統的正常運營。
上述文章內容概要地對web應用系統存在的安全風險進行分析，當然還有更多的其它安全漏洞。基於web應用交易的企業使用者，建議尋求專業的安全服務團隊或機構對web應用的站點進行風險評估，以減少web應用系統的風險。
Web伺服器需要警惕的安全隱患是什麼？
說到web業務系統，很多人會下意識的認為web業務系統 但實際上，我們通常所說的web業務系統指的是利用各種動態web技術開發的基於b s 瀏覽器伺服器 模式的事務處理系統。比如 erp系統 crm系統以及常見的 系統 如電子政務 企業 等 都是web業務系統。這些web業務系統，都會遭受web威脅...
保護web伺服器的安全 保護Web伺服器
保護web伺服器的安全 存檔日期 2019年5月14日 首次發布 2009年4月21日 web伺服器是組織的眾多公共角色之一，因此很容易成為目標。作為一種公共資源，web伺服器對於某些人來說就像是 鯊魚餌 但這不必一定是 了解如何同時公開和安全地使用web伺服器。此內容不再被更新或維護。全文以pdf...
如何保證Web伺服器安全
不但企業的門戶 被篡改 資料被竊取，而且還成為了病毒與木馬的傳播者。有些web管理員採取了一些措施，雖然可以保證門戶 的主頁不被篡改，但是卻很難避免自己的 被當作肉雞，來傳播病毒 惡意外掛程式 木馬等等。筆者認為，這很大一部分原因是管理員在web安全防護上太被動。他們只是被動的防禦。為了徹底提高we...