?? 0144.htm
字號:
<html>
<head>
<title>新時代軟件教程:操作系統(tǒng) 主頁制作 服務(wù)器 設(shè)計軟件 網(wǎng)絡(luò)技術(shù) 編程語言 文字編輯</title>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<style>
<!--
body, table {font-size: 9pt; font-family: 宋體}
a {text-decoration:none}
a:hover {color: red;text-decoration:underline}
.1 {background-color: rgb(245,245,245)}
-->
</style>
</head>
<p align="center"><script src="../../1.js"></script></a>
<p align="center"><big><strong>jsp安全問題及其解決建議（下）</strong></big></p>
<div align="right">---摘自《JSP愛好者》 （文/劉玉鋒）</div>
<br> 二、遠(yuǎn)程程序執(zhí)行類<br>
<br>
這類漏洞的特點(diǎn)就是可以通過url 地址在瀏覽器中執(zhí)行任意服務(wù)器上的命令和程序，從而引起安全問題。如Allaire JRUN 2.3 遠(yuǎn)程執(zhí)行任意命令漏洞、iPlanet Web Server 4.x存在一個緩沖區(qū)溢出漏洞等等。<br>
<br>
例子：Allaire 的 JRUN 服務(wù)器 2.3上輸入下面的url地址http://jrun:8000/servlet/jsp/../../path/sample.txt，可以訪問到WEB目錄以外的文件，如果是exe文件，還有可能會引起執(zhí)行。<br>
<br>
原因：如果URL請求的目標(biāo)文件使用了前綴"/servlet/"，則JSP 解釋執(zhí)行功能被激活。這時在用戶請求的目標(biāo)文件路徑中使用"../"，就有可能訪問到 WEB 服務(wù)器上根目錄以外的文件。目標(biāo)主機(jī)上利用該漏洞請求用戶輸入產(chǎn)生的一個文件，將嚴(yán)重威脅到目標(biāo)主機(jī)系統(tǒng)的安全。<br>
<br>
解決方法：安裝最新的補(bǔ)丁。<br>
<br>
三、其他類別<br>
<br>
這些類別的范圍就有點(diǎn)大了，可以包括數(shù)據(jù)庫如SQL Server、Oracle 、DB2等的漏洞，也可以包括操作系統(tǒng)如WindowsNT/2000、Linu等的漏洞。這些東西的漏洞可以說都是致命的，如利用Linu的某些漏洞可以輕易的Su為管理員來遠(yuǎn)程控制服務(wù)器，獲得系統(tǒng)的完全控制權(quán)限，這樣要獲得jsp源代碼或者摧毀服務(wù)器比踩死一只螞蟻還要輕松的多。<br>
<br>
四、全文總結(jié)<br>
<br>
通過上面內(nèi)容我們可以看出jsp同asp一樣還是存在著很多安全上的問題的，客觀的說，服務(wù)器軟件的開發(fā)商在內(nèi)部測試中不可能將系統(tǒng)中的所有bug 找出來，即使發(fā)布了軟件后，被發(fā)現(xiàn)的漏洞也只會是其中的很小一部分，將來還會不斷的有新的安全問題出現(xiàn)，所以我們必須時刻提高警惕，并注意自己網(wǎng)站的安全。<br>
<br>
一個好的建議就是多看安全文章，這些安全文章一般都會有詳細(xì)的信息如軟件的版本號、漏洞原因等等，最重要的是還附帶了解決辦法或者是補(bǔ)丁的下載鏈接，推薦的安全站點(diǎn)是國內(nèi)的安全站點(diǎn)www.cnns.net或者國外的www.securityfocus.com站點(diǎn)；另外一個好的建議就是多裝補(bǔ)丁程序，訪問自己所使用的軟件公司主頁，從那上面獲得最新的補(bǔ)丁程序，做得比較好的就是微軟的站點(diǎn)，安全公告和補(bǔ)丁都特別及時。<br>
<br>
最后想用一句話作為全文的結(jié)尾：一個優(yōu)秀的黑客不一定是個好的jsp 程序員，一個優(yōu)秀的jsp程序員一定要是個好的準(zhǔn)黑客。
</table>
<p align="center"><script src="../../2.js"></script></a>
</body>
</html>
?? 快捷鍵說明
復(fù)制代碼
Ctrl + C
搜索代碼
Ctrl + F
全屏模式
F11
切換主題
Ctrl + Shift + D
顯示快捷鍵
?
增大字號
Ctrl + =
減小字號
Ctrl + -