如何保證服務器的安全？

如何保證服務器安全？

筆者以前作一個項目時，思考了這個問題。汽車維修公開信息項目大致上就是一個文檔有償下載打印的資源類信息網站。此類網站的價值就在於資源，因此保證資源的安全性即是重中之重了。

筆者認爲，最好的防護就是進攻，Web服務器安全更是如此。整體來講，從如下兩個方面來敘述。

應用層面的預防

開發過程當中，規範Web開發的安全標準。

1. 防止sql注入

   採用預處理進行sql操做，絕對不能使用sql語句的拼接。

2. 用戶密碼驗證

   密碼驗證是必須的，儲存密碼不能使明文，最好多重加密驗證。

3. 文件上傳限制

   文件上傳必定要類型限制，上傳後把文件名格式化。

4. 過濾可執行腳本

   對用戶提交的數據進行轉義，防止用戶提交含有js腳本的信息輸出到頁面上直接被瀏覽器執行。

5. 日誌系統

   增長服務的訪問日誌，記錄ip，參數等， 對後臺操做記錄日誌。

6. WEB容器配置

   web容器存在一些配置漏洞。如tomcat後臺管理，默認用戶及密碼登陸後直接獲取war文件。

7. 數據庫設置

   針對先後臺操做創建不一樣的數據庫操做用戶，切不可用root級別連接數據庫。

服務器層面的監控

運維過程當中，對Web服務器進行持續的監控。

1. 控制服務器的訪問端口

2. 設置「僚機服務器」，故意開後門讓攻擊者來攻擊僚機服務器， 管理着我就能獲取攻擊者的攻擊手段，並在真正服務器上作相應的安全措施應對。

3. 設置「蜜罐服務器」，讓攻擊者真假難以區分，這個上面敘述十分類似。