由于網(wǎng)站的價值日益凸顯，網(wǎng)站安全問題也逐漸得到組織和個人的關(guān)注。然而，面對不斷變化的網(wǎng)站安全威脅，當前的安全措施是否能夠很好的應(yīng)對，這是關(guān)注網(wǎng)站安全必須清晰認識得關(guān)鍵問題。接下來，深圳網(wǎng)站建設(shè)博納網(wǎng)絡(luò)就從客觀的威脅環(huán)境以及主觀的應(yīng)對情況來分析一下目前網(wǎng)站安全的現(xiàn)狀。
2.1安全威脅分析
從客觀方面看，如今網(wǎng)站所處的威脅環(huán)境已日益惡化，各種攻擊事件層出不窮，在這些事件的背后，我們還要分析一下黑客為什么要攻擊網(wǎng)站？他們主要已用什么方式攻擊網(wǎng)站？這對我們采取針對性的安全措施是非常有幫助的。
2.1.2黑客為什么攻擊網(wǎng)站
攻擊越來越容易，成本越來越低
在Internet上，自動化技術(shù)使得網(wǎng)站攻擊輕而易舉就能成功，計算能力和網(wǎng)絡(luò)帶寬一天比一天廉價，可供攻擊的目標主機在呈指數(shù)增長，這意味這幾乎所有攻擊付出的代價很少，因此不論其成功率有多低，對黑客來說都值得一試。
攻擊的主要目的是獲利
黑客攻擊網(wǎng)站的目的無外乎兩種，一是為名，一是為利。只不過在市場經(jīng)濟時代，大多數(shù)黑客攻擊網(wǎng)站的目的都是后者，獲取利益。而要進行攻擊并獲得利益，自然是要中招的人越多越好，再就是每個中招的人帶來的利益越大越好。因此，黑客在選取攻擊網(wǎng)站時會考慮兩個方面，一是網(wǎng)站的訪問量，要選取訪問量相對較大的網(wǎng)站；二是網(wǎng)站利益類型，選取特定類型的網(wǎng)站如電子商務(wù)、網(wǎng)絡(luò)游戲、金融類網(wǎng)站等，這樣獲取的利益也會更大。
Web應(yīng)用層攻擊是主流
由于針對網(wǎng)站的網(wǎng)絡(luò)訪問控制措施被廣泛采用，且一般只開放HTTP等必要的服務(wù)端口，因此黑客已經(jīng)難以通過傳統(tǒng)網(wǎng)絡(luò)層攻擊方式（查找并攻擊操作系統(tǒng)漏洞、數(shù)據(jù)庫漏洞）攻擊網(wǎng)站。然而，Web應(yīng)用程序漏洞的存在更加普遍，隨著Web應(yīng)用技術(shù)的深入普及，Web應(yīng)用程序漏洞發(fā)掘和攻擊速度越來越塊，基于Web漏洞的攻擊更容易被利用，已經(jīng)成為黑客首選。據(jù)統(tǒng)計，現(xiàn)在對網(wǎng)站成功的攻擊中，超過7成都是基于Web應(yīng)用層，而非網(wǎng)絡(luò)層。前不久OWASP (Open Web Application Security Project)機構(gòu)發(fā)布了“2007年十大Web安全漏洞”，XSS和SQL注入漏洞排名前兩位，是目前存在最為普遍，利用最為廣泛，造成危害最為嚴重的兩類Web漏洞。
黑客獲利的兩種主要方式
黑客通過Web應(yīng)用程序安全漏洞攻擊網(wǎng)站，一般會采取兩種手段來達到博名、獲利的目的：
1、篡改網(wǎng)站數(shù)據(jù)
通過SQL注入等漏洞獲得網(wǎng)站權(quán)限后，可以進行網(wǎng)頁掛馬，網(wǎng)頁篡改，修改數(shù)據(jù)等活動。例如，黑客可以通過網(wǎng)頁掛馬，利用被攻擊的網(wǎng)站作為后續(xù)攻擊的工具，致使更多人受害；也可以通過網(wǎng)頁篡改，丑化網(wǎng)站所有者的聲譽甚至造成政治影響；還也可以通過修改網(wǎng)站敏感數(shù)據(jù)，直接達到獲取利益的目的。
2、竊取用戶信息
利用網(wǎng)站漏洞，構(gòu)造特殊網(wǎng)頁或鏈接引誘網(wǎng)站管理員，普通用戶點擊，以達到竊取用戶數(shù)據(jù)的目的。例如游戲、網(wǎng)銀、論壇等賬號的竊取，大多是利用了網(wǎng)站的XSS漏洞實現(xiàn)的。
總之，隨著攻擊技術(shù)的不斷進步，越來越多的攻擊者利用更容易被利用的、普遍存在的Web漏洞對網(wǎng)站進行攻擊并頻頻得手，目前網(wǎng)站的生存環(huán)境已經(jīng)日益惡化。部分網(wǎng)站的所有者已經(jīng)遭受到攻擊，并從攻擊造成的損失中深刻認識到網(wǎng)站安全問題的緊迫性。但大多數(shù)網(wǎng)站的所有者仍然處在已經(jīng)被攻擊而渾然不覺，或者即將被攻擊而無應(yīng)對的巨大風險之中。
