20:04
»
4.Google 黑板报 -- Google 中国的博客网志
span class="byline-author"转载自a target="_blank" href="http://www.googlechinawebmaster.com/2009/03/blog-post_31.html"谷歌中文网站管理员博客/abr /br /span class="byline-author"发表者: Paolo Petrolini 和Iris Mariano, 搜索质量组/spanbr /br /原文: /spana href="http://googlewebmastercentral.blogspot.com/2009/02/best-practices-against-hacking.html"Best practices against hacking/abr /发表于: 2009年2月20日星期五, 上午6:46br /br /span style="COLOR: rgb(0,0,0);font-size:100%;" 最近,很多网站都在建设各种网络应用软件,以期为用户提供更好的服务,这其中尤以各种创建、编辑和管理内容的应用软件为多。这些系统提供了很多基于用户输入信息的强大互动特性,值得注意的是,考虑安全问题,避免第三方的恶意攻击并确保最佳的用户体验也变得更为重要。/spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"b style="COLOR: rgb(0,0,0)"黑客攻击的类型及拦截方式:/b/span span style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" /spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 黑客可以采取多种不同的攻击方式部分或全部控制一个网站。一般来说,最常见和最危险的是/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" SQL/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 植入(/spanspan style="font-size:100%;"span style="COLOR: rgb(0,0,0)"injection)/span/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 和跨站点脚本(/spanspan style="font-size:100%;"span style="COLOR: rgb(0,0,0)"XSS,cross-site scripting/span /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" )/spanspan style="font-size:100%;" /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 。/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" /spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" SQL/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 植入是一种在网络应用程序中植入恶意代码的技术,它利用数据库层面的安全漏洞以达到非法控制数据库目的。这种技术非常强大,它可以操纵网址(查询字符串)或其他任何形式(搜索,登录,电子邮件注册)以植入恶意代码。您可以在a id="kpjn" title="网络应用安全联盟" href="http://www.webappsec.org/projects/threat/classes/sql_injection.shtml"网络应用安全联盟/a(英文)中找到一些关于/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" SQL/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 植入的例子。/spanspan style="font-size:100%;" br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 为避免此类黑客攻击的发生的确有法可循。举例来说,在前端界面和后端数据库之间增加一个“中间层”就是一种很好的做法。在/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" PHP/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 中,a id="k10e" title="PDO" href="http://www.php.net/pdo"PDO/a(PHP Data Objects)扩展通常与参数(有时被称作placeholder或绑定变量)共同发生作用,而不是直接将用户输入做为命令语句。另一种极为简单的技术 是字符转义,通过这种方式,所有可以直接影响数据库结构的危险字符都可以被转义。例如,参数中每出现一个单引号/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" [ ' ]/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 必须代之以两个单引号/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" [ ' ' ]/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 来形成一个有效的/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" SQL/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 字符串。这只是两种您可以采取的、最常见的用以改进网站安全并避免/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" SQL/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 植入的有效方式。您还可以在网上找到许多其他符合您需求的资源(编程语言,具体的/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" Web/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 应用程序等/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" )/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 。/spanspan style="font-size:100%;" br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 下面我们要介绍的是跨站点脚本(/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" XSS /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" )技术/spanspan style="font-size:100%;" /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 。跨站点脚本是一种通过利用网络应用程序层面的安全漏洞,在网页中植入恶意代码的技术。当网络应用程序处理通过用户输入获得的数据,并且在返回给最终用户前没有任何进一步的检查或验证时,这种攻击就可能发生。您可以在a id="czej" title="网络应用安全联盟" href="http://www.webappsec.org/projects/threat/classes/cross-site_scripting.shtml"网络应用安全联盟/a(英文)中找到一些跨站点脚本的例子。/spanspan style="font-size:100%;" br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 有许多办法可以确保网络应用程序不被这种技术侵犯。一些简便易行的方法包括: /spanbr /br /ul style="COLOR: rgb(0,0,0)"lispan style="font-size:100%;"剔除可以被插入到表单中的数据输入(例如,/spanspan style="font-family:Times New Roman;font-size:100%;"PHP/spanspan style="font-size:100%;"中的a id="bdjm" title="strip tags" href="http://php.net/strip-tags"strip tags/a功能);/span/libr /lispan style="font-size:100%;"利用数据编码,避免潜在恶意字符的直接植入(例如,/spanspan style="font-family:Times New Roman;font-size:100%;"PHP/spanspan style="font-size:100%;"中的a href="http://www.php.net/manual/en/function.htmlspecialchars.php"htmlspecialchars/a/spanspan style="font-size:100%;"功能);/spanspan style="font-family:Times New Roman;font-size:100%;" /span/li/ulpspan style="COLOR: rgb(0,0,0);font-size:100%;" 在数据输入和数据库端之间创建一个“层”,以避免应用程序代码被直接植入恶意字符。/spanspan style="font-family:Times New Roman;font-size:100%;"br //spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"b style="COLOR: rgb(0,0,0)"一些有关span style="font-family:Times New Roman;"CMSs/span安全的资源 /bbr style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" SQL/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 植入和跨站点脚本只不过是黑客用来攻击和利用无辜网站的多种技术中的其中两种。作为一般的安全准则,在网络安全问题上特别是在使用第三方软件时,一直保持更新以确保您安装了最新版本的软件是非常重要的。许多围绕大型建站社区建设的网络应用程序都提供持续的支持和软件升级。/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" /spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 下面举个例子,开放源码内容管理系统的最大的四个社区——/spanspan style="font-size:100%;"span style="COLOR: rgb(0,0,0)"Joomla, WordPress, PHP-Nuke 和 Drupa/span/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 都在他们的网站上提供关于网络安全方面的知识并且设有大型社区驱动论坛,用户可以提出问题或寻求支持。例如,在/spanspan style="font-size:100%;color:#3333ff;"a style="COLOR: rgb(0,0,0)" href="http://codex.wordpress.org/Hardening_WordPress"Hardening WordPress/a/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" ,/spanspan style="font-size:100%;"span style="COLOR: rgb(0,0,0)"WordPress/span/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 提供了如何加强CMS安全的综合性帮助文件。/spanspan style="font-size:100%;"span style="COLOR: rgb(0,0,0)" Joomla/span/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 提供了许多有关网络安全的资源,特别是其中的a id="ojl0" title="网络安全检查清单" href="http://docs.joomla.org/Category:Security_Checklist"网络安全检查清单/a,这些操作都是网络管理员应该采用的。/spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"bspan style="COLOR: rgb(0,0,0)"span style="COLOR: rgb(0,0,0)"一些识别黑客攻击您网站的方法:/span span style="font-family:Times New Roman;"/span/span/bbr style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 如上所述,黑客可能采用很多不同方式攻击您的网站,也采用多种方法恶意利用无辜的网站。当黑客能够完全控制一个网站时,他们可以把主页彻底更换掉,清除所有的内容(删除您的数据库表),插入恶意软件或/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" Cookie/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 盗取程序。他们还可以利用您的网站制造网络垃圾,比如在您的网站隐藏指向垃圾网页的链接或建立重定向到恶意软件网站的页面。当变化很明显(比如主页被更换)时/spanspan style="font-size:100%;" /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" ,您可以轻松地辨别出黑客攻击,但对于其他类型的攻击,特别是那些带有制造网络垃圾意图的攻击,就比较不易被人察觉。谷歌提供了一些产品和方法,帮助网站管理员发现自己的网站是否未经许可而被第三方攻击或更改。例如,通过使用谷歌搜索,您可以检查黑客是否将特定的恶意关键词添加到您的网站,并能找出您网站上被攻击的具体网页。打开/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" a title="google.cn/" href="http://google.cn/"google.cn//a/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" ,用[site:domain name]来搜索您的网站,查看黑客是否把一些常用的网络垃圾关键词添加到了您的网站(如伟哥, 色情, /spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" MP3, /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 赌博等)/spanspan style="font-size:100%;" /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" :/spanspan style="font-size:100%;" br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" [/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" site:example.com 垃圾关键词/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" ] /spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 如果您还不熟悉 site: 搜索操作符,这是一个通过将搜索范围限定到特定网站来使用谷歌搜索的途径。例如,搜索/spanspan style="font-size:100%;"a style="COLOR: rgb(0,0,0)" href="http://www.google.cn/search?q=site%3Agoogleblog.blogspot.com"site:googleblog.blogspot.com/a/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 只会返回来自a id="ax85" title="谷歌官方博客" href="http://googleblog.blogspot.com/"谷歌官方博客/a的搜索结果。当在这种查询中添加一些垃圾关键词时,谷歌将返回所有该网站中包含这些垃圾关键字的网页,而这些网页都很有可能已经遭受攻击。要检查这些可疑的网页,只需打开谷歌网页快照,您就能发现这些黑客行为。然后,您可以清除这些网页被攻击的部分,并检查服务器配置文件中是否有异常情况(例如/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" Apache/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 网络服务器:/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" htaccess文件/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 和/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" httpd.conf/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 文件)。/spanspan style="font-size:100%;" br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 如果您的网站已不出现在谷歌的搜索结果中,这可能意味着谷歌已在您的网站上发现由黑客攻击导致的垃圾网页,并很可能因为这些网页违反了我们a id="b_ha" title="网站管理员质量指南" href="http://www.google.cn/support/webmasters/bin/answer.py?answer=35769#quality"网站管理员质量指南/a而已暂时将它们从我们的索引中移除。/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" /spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 为了不断留意是否有可疑关键字在您的网站上出现,您也可以使用a id="xew6" title="谷歌快讯" href="http://www.google.cn/alerts"谷歌快讯/a来监测类似的搜索查询:br //spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" /spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" site: example.com /spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 某色情词汇 或 某赌博词汇 或 "手机铃声"等热门词汇/spanspan style="COLOR: rgb(0,0,0);font-family:Times New Roman;font-size:100%;" /spanspan style="font-size:100%;"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" br /当这些关键词出现在您网站内容中时,您会收到一封提醒邮件。/spanspan style="font-size:100%;" br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 您还可以使用a id="r.5t" title="谷歌网站管理员工具" href="http://www.google.com/webmasters/tools/?hl=zh_CN"谷歌网站管理员工具/a来检查您网站中的任何黑客行为。网站管理员工具为您的网站提供热门搜索查询的统计信息。这些数据将帮助您监测那些将用户带到您网站的热门搜索查询是否是那些可疑的、无关的垃圾关键词。/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" “Googlebot看到的"的数据也十分有用,在这里您可以观察谷歌是否探查到您网站中任何异常的关键词,无论这些关键词是不是把用户带到您网站的热门关键词。/spanspan style="font-size:100%;" br style="COLOR: rgb(0,0,0)"br style="COLOR: rgb(0,0,0)"/spanspan style="COLOR: rgb(0,0,0);font-size:100%;" 如果您有网站管理员工具账户,当谷歌认为您的网站已经被黑客入侵时,按被攻击类型的不同,您会收到相应的通知: /spanbr //pul style="COLOR: rgb(0,0,0)"lispan style="font-size:100%;"如果一个恶意的第三方正在使用您的网站制造网络垃圾(如添加隐藏链接或建立垃圾网页),并且已经被谷歌crawler侦测到,您就会在网站管理员工具的“消息中心”中收到一份详细通知(包含受攻击的/spanspan style="font-family:Times New Roman;font-size:100%;"URL/spanspan style="font-size:100%;"样本,/spanspan style="font-size:100%;"或隐藏链接的锚文本);/span/libr /lispan style="font-size:100%;"如果您的网站被第三方利用放置了恶意软件,您会在网站管理员工具账户的“概览”页面中看到恶意软件的警告。/spanspan style="font-size:100%;"/li/ul/spanb style="COLOR: rgb(0,0,0)"消除黑客攻击行为,该怎么做?span style="font-family:Times New Roman;" /span/bbr /br /span style="COLOR: rgb(0,0,0);font-size:100%;" 您的网站已经被黑客入侵或被植入了恶意软件?首先,请清理这些由黑客造成的网络垃圾,然后执行下列操作之一: /spanbr /br //spanul style="COLOR: rgb(0,0,0)"lispan style="font-size:100%;"如果您的网站被黑客攻击达到制造垃圾网页的目的,请访问网站管理员工具中的"请求重新审核"链接,申请重新审核和收录;/span/libr /lispan style="font-family:Times New Roman;font-size:100%;"如果您的网站向用户提供恶意软件,请在网站管理员工具的“概览”页面提出重新评估恶意软件的请求。/span/li/ulpspan style="font-size:100%;"我们希望这些建议对您有所帮助,也欢迎您分享自己的意见或经验,谢谢! /span/pdiv class="blogger-post-footer"img width='1' height='1' src='http://res1.blogblog.com/tracker/20904277-5321785783335752593?l=googlechinablog.com'//div