技术FAQ：如何保证虚拟主机的安全

技术FAQ：如何保证虚拟主机的安全

http://www.netpu.net
网普科技版权所有，转载请注明作者和出处并保持文章原貌
（网普科技优质廉价美国主机、美国LINUX虚拟主机服务）

原文地址
http://bbs.netpu.net/viewthread.php?tid=3325

版本：
      Ver1.0

修改历史：
      2008-05-16，发布第一版

虚拟主机简介

      虚拟主机是指在一台物理服务器上划分出来的一个个站点，满足用户对web服务、FTP服务、Email服务等需求。从访客角度，虚拟主机与独立主机的站 点没有太大的区别；从管理角度，虚拟主机更容易管理，只需对站点进行维护即可；从成本角度，虚拟主机的价格更为低廉。目前互联网上大多数站点都使用虚拟主 机。

      由于兴趣或者利益的驱动，针对互联网站点的攻击广泛的存在。所以虚拟主机有何风险，如何保障虚拟主机的安全，是广大虚拟主机用户应该了解和关注的问题。

有何安全风险

      虚拟主机被黑，会带来很多风险，简单说有以下几个方面：

       数据安全
            数据被窃取
                  比如网站数据、用户账户信息、注册码信息等等
            数据被篡改
                  通过篡改数据，达到某种目的。比如修改收钱地址？修改文件使其染毒？等
            数据被删除
                  黑客进行破坏活动，删除部分或者全部数据

       恶意使用
            钓鱼站点
                  主要通过篡改数据，或下挂子站点，引诱用户上当，骗取银行密码等信息
            SPAM
                  通过上传恶意脚本，发送垃圾邮件，达到营销，或者盈利等目的
            恶意SEO
                  通过修改用户页面，插入链接等，达到营销目的
            传播病毒、木马等
                  通过上传恶意脚本和程序，达到传播病毒、木马等目的

       其它风险
            进一步威胁其它站点或服务器的安全
                  黑客通过已获取的权限进行进一步的攻击。
            威胁访客的安全
                  黑客通过各种手段威胁站点访问者的安全
            流量、负载风险
                  黑客的行为可能会浪费大量的流量，或导致服务器负载变大
            搜索引擎风险
                  黑客的行为可能导致您的站点被搜索引擎列入黑名单
            其它风险
                  待补充

如何防范风险

      虚拟主机被黑，会带来各种风险，所以如何防范被黑，是我们要重点关注的问题。主要有以下几个方面需要注意：

       密码安全
            避免使用简单的，易于猜测的密码
            密码定期修改
            避免向他人透露网站密码，FTP密码，邮件密码等信息
            避免在公共场合管理虚拟主机，比如网吧等公用电脑
            避免使用非加密的明文方式，管理主机
            （cPanel, Webmail, 邮件客户端等都提供提供加密和非加密两种方式）
            避免通过虚拟主机对外提供空间、FTP、邮件等服务

       网站内容
            上传的内容前，尽量先查毒、杀毒
            避免上传来路不明的脚本
            及时删除站点上的无用信息、脚本
            对于常用脚本，尽量使用官方版本，并及时升级、打补丁
            尽量避免使用论坛、留言本、博客等交互系统

       本地安全
            及时的升级和更新Windows系统补丁
            开启Windows防火墙
            关闭不必要的服务
            本地电脑尽量安装防病毒软件
            软件尽量使用官方版本（不要装乱七八糟的软件）
            不要访问乱七八糟的站点（尤其是QQ，MSN中别人发送的连接）

       编码安全
            增加安全意识
            强化设计能力
            对输入进行必要的检查
       
       其它
            对网站上的关键内容设置密码保护（cPanel中可以设置）
               

常见案例
      
       安装留言本、论坛、BLOG等程序没有及时升级
            一些著名程序的非最新版本常常有一些公开的漏洞，是黑客比较感兴趣的目标。
            这个原因被黑的用户比较常见。
            黑客一步一步可以拿到整个站点的控制权，可以为所欲为。
            对策：删除不必要的脚本，及时更新新版本或打补丁。
       
       客户端软件中使用FTP或者email账户
            一些用户为了软件功能的需求，在软件中内置了站点的FTP或者email账户。
            通过sniffer等分析工具，可以轻易捕获这类账户。
            进而可以进行上传恶意脚本或者发送垃圾邮件等破坏行为。
            对策：务必不要在软件中内置主机账户相关内容。

       通过绑定域名到子目录为他人提供服务
            绑定域名到子目录是一个很特殊的功能。
            看起来和独立的站点（虚拟主机）没有什么区别。
            实际上，每个虚拟主机都是独立的用户和用户组，不同用户没法互相访问。
            而绑定到目录使用的是相同的用户和用户组，子目录可以读取根目录的内容。
            进而可以进行任何破坏活动。
            举例说，一旦子目录的站点被黑客攻占，那么主目录也不能幸免。
            对策：避免通过虚拟主机对外提供空间、FTP、邮件等服务。
                        对于重要的站点，避免使用绑定域名到目录功能。

       本地中毒，导致上传的文件存在病毒或者恶意脚本
            这个也是比较常见的中招方式。
            一些病毒修改本地的HTML或者其它文件。
            这些染毒的文件被上传到虚拟主机，导致主机中招。
            对策：加强本地电脑的防御。
       
       动态页面的风险
            用户通过动态页面（ASP, PHP等）实现某些功能
            设计不合理或者缺少对输入的检查，导致各种攻击。
            对策：提高安全意识，代码设计、实现时考虑可能的安全问题。

其它
      待补充
      如果有什么不清楚，请与tech[AT]netpu.net联系。{ 请将[AT]替换成@ }

http://www.netpu.net
网普科技版权所有，转载请注明作者和出处并保持文章原貌
（网普科技优质廉价美国主机、美国LINUX虚拟主机服务）