【网络信息安全】Web 安全，作为程序员一定不要仅仅追求物质

最新推荐文章于 2025-06-24 16:54:14 发布

原创最新推荐文章于 2025-06-24 16:54:14 发布 · 1.5k 阅读

25 ·

CC 4.0 BY-SA版权

文章标签：

#网络 #前端 #安全 #开发语言 #web安全 #java

Web 服务是动态交互（双向）；
Web 服务使用广泛而且信誉非常重要；
Web 服务器难以配置，底层软件复杂，隐藏安全漏洞；
编写和使用 Web 服务的用户安全意识相对薄弱，相关的脚本程序易出现安全问题。

—— 攻击与破坏事件层出不穷，需要安全 Web 服务。

Web 安全威胁的分类

主动攻击：伪装成其他用户、篡改C/S之间信息或篡改Web站点信息（难预防但易检测）
被动攻击：监听数据流获取信息或进行信息量分析（难检测但易预防）
对 Web 服务器的安全威胁
对 Web 浏览器的安全威胁
对通信信道的安全威胁

Web 安全威胁与对策

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605003217505.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

12.1.1 对 Web 服务器的安全威胁

Web 服务越强大，包含安全漏洞概率就越高。

HTTP 服务可在不同权限下运行：

高权限下提供更大灵活性，允许程序执行所有指令，并不受限制地访问系统高敏感的特权区域；
低权限下在所运行程序周围设置逻辑栅栏，只允许它运行部分指令和访问系统中不敏感的数据区。

大多数情况下 HTTP 服务只需运行在低权限下。

12.1.2 对 Web 浏览器的安全威胁

活动内容：静态页面 中嵌入的对用户透明的程序 —— 显示动态图像、下载和播放音乐等。

原来由服务器完成的辅助功能转交给空闲的浏览器。

用户查看这种页面时，它们会自动下载并在浏览器上运行。

破坏浏览器的人将破坏性的活动内容放进看起来无害的页面。

12.1.3 对通信信道的安全威胁

监听程序 会威胁通信信道中所传输信息的 机密性
伪造、篡改、重放 会威胁所传输信息的 完整性
缺乏身份认证 使得冒充他人身份进行 中间人攻击
缺乏数字签名机制 使得通信双方能 相互攻击
拒绝服务攻击 使得通信信道不能保证 可用性

12.2 Web 安全的实现方法

===================================================================================

从网络下载程序并在本机运行，就相当于接受程序开发者的控制——没有一个操作系统能控制一个已经开始执行的程序的权限。

基于网络层实现 Web 安全

在这里插入图片描述

IPSec 提供端到端的安全机制，是一个通用解决方案。

各种应用程序不需修改就可享用 IPSec 提供的安全机制，也减少了安全漏洞的产生。

基于传输层实现 Web 安全

在这里插入图片描述

SSL 或 TLS 可作为基础协议栈的组成部分，对应用透明；也可直接嵌入到浏览器中使用。

使用 SSL 或 TLS 后，传送的应用层数据会被加密，从而保证通信的安全。

基于应用层实现 Web 安全

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605003927368.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

特定安全服务为特定应用定制体现，将安全服务直接嵌入在应用程序中。

12.3 SSL协议

=============================================================================

12.3.1 SSL概述

Secure Socket Layer，安全套接层协议，会话层，由 Netscape 推出。
主要实现 Web 服务器和浏览器之间的安全通信。
在应用层协议和 TCP/IP 协议之间提供机密性、完整性、服务器认证及可选的客户机认证的机制。

SSL协议栈

介于 HTTP 与 TCP 之间的一个可选层，绝大多数应用层协议可直接建立在 SSL 之上。
SSL 不是一个单独的协议，而是两层协议。

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004154149.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

SSL实现的安全服务

SSL握手协议 ：用公开加密算法验证服务器身份，并传递客户端产生的对称的会话密钥（先）

SSL记录协议 ：用会话密钥来加/解密数据（后）

机密性：SSL 客户机和服务器之间传送加密数据。
完整性：SSL 可避免服务器和客户机之间的信息被破坏。
认证性：SSL 握手时要求交换证书，通过验证证书来保证对方身份的合法性。

SSL的认证和不可否认性

客户机认证是可选的，否则客户端都得有数字证书并内置相应组件，代价高。
SSL不能提供不可否认性，Communicator 4.04浏览器引入“表单签名（Form Signing）”功能。
它对电子商务中包含购买者的订购信息和付款指令的表单进行数字签名。

12.3.2 更改密码规格协议

Change Cipher Spec Protocol 具有以下特性：

位于SSL记录协议之上。
ContentType=20。
协议只包含一条消息（一个值为1的字节）。

把未决状态设置为当前状态，更新当前连接的密钥组，这标志着加密策略的改变。

12.3.3 警告协议

Aler t消息：当握手过程或数据加密等出错或发生异常时，为对等实体传递SSL警告或终止当前连接。

Alert Protocol具有以下特性：

位于SSL记录协议之上。
ContentType=21。
协议包含两个字节：警告级别和警告代码。

12.3.4 SSL记录协议

=================================================================================

Record Protocol 描述SSL信息交换过程中的记录格式。

所有数据（含SSL握手信息）都被封装在记录中，一个记录由两部分组成：记录头和数据。

SSL记录协议的操作步骤：

将数据分段成可操作的数据块
对分块数据进行数据压缩
计算 MAC 值
对压缩数据及MAC值加密
加入 SSL 记录头
在 TCP 中传输结果单元

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004610728.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

SSL记录头：

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004652441.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

内容类型（ContentType）：用于处理分段的上层协议类型。

协议版本（ProtocolVersion）：标明SSL版本号。

压缩长度（Length）：原文分段长度或压缩分段长度。

12.3.5 SSL握手协议

=================================================================================

Handshake Protocol 的协商结果是 SSL记录协议处理的基础，ContentType 为 22。

协议头有三个部分：

消息类型（1B）
消息长度（3B）
内容（1B）：与该消息有关的参数

SSL v3.0 的握手过程用到三种协议：握手协议 、更改密码规格协议 和 警告协议 。

SSL握手消息及参数

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004912503.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

SSL的握手过程

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004928203.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

握手协议的 Hello 阶段

—— 协商协议版本、会话ID、密码组、压缩算法、交换随机数等。

（1）Client Hello消息