安全性测试修复意见总结
安全性检查工具
1 CAT.NET
2 AppScan
一 SQL注入攻击(SQL Injection)
问题1：用字符串连接组合SQL命令的方式；
修复方法：
使用参数化查询或者使用存储过程；但是如果使用了存储过程，也要避免在存储过程中使用字符串连接组合SQL命令的方式，l动态拼接sql语句，使用exce方式执行；修改通用分页存储过程；
问题2：数据库访问权限过大；
修复方法：
去除sa权限，每一个数据库设置一个数据库专用用户；
不开发权力过大的功能，如xp_cmdshell；
不要使用集成登录方式；
Web.config数据库连接字符串，使用加密方式存储；
问题3：未限制输入的字符数
解决办法：除了在客户端限制输入字符数，重要的地方还要在服务器端限制字符数；
问题4：未对用户输入的数据做潜在的指令检测
解决办法：
提供统一的帮助类库，在获取输入数据时，过滤危险字符串；
能使用值类型的不要使用String类型；
问题5：如果系统已经运行，修复工作量很大，如果防止sql注入；
解决办法：
使用微软免费提供的IIS组件UrlScan 3.1防止sql注入
二 跨站脚本（XSS）攻击
问题1：过度信任客户端数据
解决办法：
提供统一的帮助类库，在获取输入数据时，过滤危险字符串；
能使用值类型的不要使用String类型；
如果没有特殊要求，请不要禁止 Validaterequest
问题2：服务器端安全设置不足；
解决办法：
每个站点，应用程序池，设置单独用户，不是使用默认的IIS用户；
如果仅仅是静态页面，设置为只读属性；文件夹
问题3：Cookies未做足够的安全处理；
解决办法：
加密；绑定MAC地址，IP地址；
问题4：ViewState没有加密；
解决办法：
在web.config设置所有网站为ViewState加密即可；
问题5：对输出进行编码以过滤特殊字符；
解决办法：
HttpUtility.HtmlEncode（使用黑名单方式）
AntiXss.HtmlEncode(使用白名单方式，更安全推荐使用)
问题6：解密登录的请求，诸如用户名、密码和信用卡号之类的敏感输入字段未经加密即进行了传递
解决办法：
通过加密连接（如 SSL）将其发送到服务器
RSA客户端js加密服务器，思路：1.服务器每次随机生成公私钥2.只把公钥发给客户端3.客户端用js和公钥加密4.密文到服务器用私钥解密
三 垃圾信息群发(SPAM)
问题1：垃圾邮件
解决办法：
使用垃圾邮件过滤功能的邮件服务器和客户端
问题2：发布包含有隐藏文本，重复关键字，恶意链接；发布不合法的内容；
解决办法：
使用不易被OCR系统识别的验证码功能；
通过HttpModule等手段，网站全局禁止提交不合法内容；
通过技术实现禁止用户短时间内重复提交数据的功能；
适当的人工审核机制；
问题3：OCR程序自动识别验证码图片，自动提交垃圾数据信息；
四 网页木马(SPY)
问题1：上次安全漏洞的非法*.asp.*.php.*aspx等文件；
这些非法网页程序所在的文件目录，有执行权限；这些文件有读取，修改，删除等权限；可以执行特殊的系统命令；
解决办法：
设置可上传的文件类型，并且正确获取文件扩展名（FileSystemInfo.Extension）；
有安全风险的网站将其设置在独立的应用程序池中；
应用程序池不要使用默认的NETWORK SERVICE用户；
新建用户portal，隶属于IIS_WPG,设置应用程序池中的“标识”，在配置寻找新创建的portal；上传的文件夹类型，选择用户portal，不能设置为完全控制；
站点的执行权限，选择“纯脚本”，不要选择写入；
上传文件的存储目录在IIS中不允许执行脚本；
不需要动态修改的文件或目录，最好设置为只读；
文件系统使用NTFS格式，并设置好足够的最小权限；
IIS7.5，建议将应用程序池设置为ApplicationPoolIdentity
问题2：服务器上安装有漏洞的软件/服务程序；
解决办法：
安装杀毒软件；
卸载有漏洞软件；
操作系统打补丁；
