Web攻击和防御（一） - 安全检测工具（1）
前一段时间的SQL注入攻击可以说让国内以及国外大量网站沦陷，几个攻击变种中幸好是update而不是delete，否则众多网站损失更大，不过从犯罪的角度来说，并不是这些攻击者心慈手软，而是update才能置入网页木马，也才能在置入成功后获得预期的利润。此次大规模的SQL Injection是使用一个叫做Asprox的自动化工具来借助Google搜索引擎寻找目标网站并自动实施SQL注入的，就连趋势科技网站也未能幸免，惨被注入。此次SQL注入攻击风潮从3月份开始，进入6月份后被攻击的网站仍在大量沦陷。
在很多所谓的开发高手来看，SQL注入只是菜鸟才会犯的低级错误，其实不然。一个中大型的网站，在他不断发展的过程中，网站门户的程序都是Patch模式的逐步叠加，随着页面的增加以及版本的螺旋上升，SQL注入的危险百分比也会指数增长，尤其是国内各个网站开发的模式而言。当一个中大型网站的页面达到几万甚至几十万的时候，当这个网站的程序不断叠加积累，诸多历史页面已经处于失控的时候，如何避免SQL Inject攻击将会是一件令人非常头疼的事情，因为你此时是不可能完全重写整个网站或者完全对所有页面做代码安全审核的。
在这众多的历史页面代码中，一个微小的疏漏就导致你的DB完全向攻击者敞开，甚至威胁到服务器磁盘数据。不要侥幸的认为，你的漏洞页面有可能隐藏的很深，现在对于Google而言，什么都不是隐藏的，再加上SQL注入的自动化操作，你的历史页面越多，你的危险就越大。
我以SQL Injection为例就是为了说明其实Web威胁攻击并不是说需要多么高深的技术才可以进行实施，这些攻击往往是你在认为很简单就可以抵御的时候来进行实施的。另外一个极端就是，所谓的社会工程学攻击，各位可以Google一下就会了解。可以说 ，目前的各类攻击已经不再像很早以前那样为了显示自身技术而进行的有意或无意的攻击破坏了，现在大量的Web攻击都是带有利益驱使性的，也更具危害性。
这些Web攻击都是非常危险的，因为不论你的硬件防火墙或者入侵检测系统如何强大，是无法判断这类Web攻击的，因为它们都是合法的HTTP请求。所以根据统计，目前的Web攻击除了操作系统以及各类服务器端应用软件的漏洞外，绝大部分（70%以上）都是此类“合法的”Web攻击。
因此，抵御此类攻击一是需要检测你的应用程序代码，二是可以采用服务器端的针对访问请求以及内容的检测过滤。
针对第一类，目前业界有非常多的安全检测工具，比如HP WebInspect，NStalker-WAS（NStalker-Web Application Security Scanner），IBM Rational AppScan(Watchfire AppScan)，Acunetix Web Vulnerability Scanner等等，当然这里我列举的都是商业软件，而没有包含相应的开源软件，在这方面而言，商业软件用来做安全威胁评估的优势更明显，也更合适。
这类模拟攻击检测软件有庞大的规则库以及模拟场景库，可以代替繁杂易错的人工检测。
针对第二类，则可以通过服务器端的过滤和监测机制来最大程度上保证IIS Web服务器的安全，比如微软的IIS Lock。在IIS 7推出后，做此类过滤更加简单和便捷了。国内外也有针对此类的软件产品，比如Port80 ServerDefender。这类产品可以在服务器端对于HTTP Request / POST / Cookie等做过滤和检测，抵御此类Web攻击。
（此图片转自于IBM网站，特注明）
排名前两位的是XSS攻击以及SQL Injection攻击。对于XSS攻击，很多开发者想必会嗤之以鼻的，因为目前而言XSS攻击都很少能破坏掉服务器端的数据，但是XSS最大危害在于钓鱼式攻击，这对于一个成功的网站而言，对其信誉的打击将是致命的，因为展现在用户面前的是合法的网站URL地址，只是XSS攻击部分被编码了。一旦用户遭受此类攻击，对于你网站的信任将会大大降低，现在有什么比得罪你的忠实用户的危害性更大呢？
上面我们提到了很多安全检测工具，其中提到的那四种工具我都有过一定使用(Trial或者Test)，其中的AppScan是我印象最为深刻的，也是效果较好的一个。Rational家族随着IBM的不断收购，已经越来越庞大，通过收购Watchfire从而获得了这款企业级安全检测产品，并被Rational产品系列所整合，使之符合Rational的完整涵盖软件生命周期的目的。
Rational AppScan开发版本会有针对于Visual Studio 的AddIn，来在程序开发过程中就能进行代码安全审计和检测；同时也有QA版本；当然我们使用更多的是产品发布后定期的安全审计以及检测了。各版本的比较可以参见：http://www-142.ibm.com/software/dre/hmc/compare.wss?HMC02=C126096V43460Q17
Rational AppScan 7.7全功能测试版本在IBM网站可以免费下载到（http://www14.software.ibm.com/webapp/download/search.jsp?pn=Rational+AppScan），目前CSDN好像也在进行AppScan的市场活动，有兴趣可以去CSDN找一下即可。
下一个post会详细讲述一下如何针对一个真实网站进行安全审计。
---
可能的大概目录
Web攻击和防御（一） - 安全检测工具（1）介绍
Web攻击和防御（二） - 安全检测工具（2）AppScan详解
Web攻击和防御（三） - 安全检测工具（3）AppScan数据分析
Web攻击和防御（四） - IIS安全防护，IIS Filter介绍
Web攻击和防御（五） - IIS安全防护，IIS Extend介绍
Web攻击和防御（六） - IIS安全防护，IIS 5.x 、6、7区别对待
Web攻击和防御（七） - Web Server Guard介绍
Web攻击和防御（八） - Web Server Guard安全防护使用详解
Web攻击和防御（九） - Web Server Guard性能调优使用详解
Web攻击和防御（十） - Web Server Guard服务器监测使用详解
Web攻击和防御（十一） - 完成不可能的事情：使用C#编写IIS Filter（IIS 5.x/6.0）
Web攻击和防御（十二） - IIS 7.0 Filter
Web攻击和防御（十三） - IIS 7.0 安全防护
Web攻击和防御（..... ） - ..........
文章来源: http://blog.softexchange.cn/uestc95/archive/2008/07/10/webgjhfyy---aqjcgj1.aspx