在windows上搭建web站點(diǎn)課件

單擊此處編輯母版標(biāo)題樣式,單擊此處編輯母版文本樣式,第二級(jí),第三級(jí),第四級(jí),第五級(jí),*,*,在,windows,上搭建,web,站點(diǎn),,2011.7,在windows上搭建web 站點(diǎn)wp1998gmail.,Web,站點(diǎn)的基本概念,網(wǎng)絡(luò)服務(wù),DNS,、,FTP,、,web server,、,Database,網(wǎng)站安全,操作系統(tǒng)、,web,服務(wù)、數(shù)據(jù)庫(kù)、應(yīng)用腳本,訪問(wèn)質(zhì)量,web,訪問(wèn)速度、服務(wù)在線率,Web站點(diǎn)的基本概念網(wǎng)絡(luò)服務(wù),一個(gè)基本完整的,web,站點(diǎn),Web APP server,DNS server,FTP server,Database server,Mail server,Window2003 server,Linux server,ASP/PHP/JSP/ASP.net,Web,站點(diǎn)：,,DNS,解析域名,FTP,上傳文件,CPU/memory,File IO,質(zhì)量,安全,一個(gè)基本完整的web站點(diǎn)Web APP serverDNS,建立,DNS,服務(wù),DNS,的基本原理,什么是,dns,、解析原理,在,Windows,上建立,dns,服務(wù),Windows server,自帶的,dns,服務(wù),操作,查詢和驗(yàn)證,dns,Nslookup,、,dig,建立DNS服務(wù)DNS的基本原理,DNS,的基本原理,Domain Name Server,域名服務(wù),提供域名與,IP,的對(duì)應(yīng)關(guān)系,,-219.139.243.39,由,dns,服務(wù)器提供分級(jí)查詢服務(wù),,IN NS ,-211.67.64.8,Windows DNS server,與,bind,DNS的基本原理Domain Name Server 域名服,DNS,的基本原理,.cn,,,,.S,,,,,NS,：,,NS,：,,NS,：,S,DNS的基本原理w,在,windows2003s,上建立,dns,服務(wù),在windows2003s上建立dns服務(wù),查詢和驗(yàn)證,DNS,服務(wù),Nslookup,用來(lái)查詢域名信息的工具,nslookup,Server 211.67.64.8,set type=mx,,Dig,更加靈活和強(qiáng)大的,dns,查詢工具,Dig 211.67.64.8 mx ,Dig 211.67.64.8 mx ,+trace,查詢和驗(yàn)證DNS服務(wù)Nslookup 用來(lái)查詢域名信息的工具,建立,ftp,服務(wù),ftp,傳輸簡(jiǎn)介,使用,Window,上自帶的,ftp,服務(wù),使用開源的,FileZilla,建立,ftp,服務(wù),建立ftp服務(wù)ftp傳輸簡(jiǎn)介,FTP,服務(wù)簡(jiǎn)介,F,ile,T,ransfer,P,rotocol,是用來(lái)文件傳輸?shù)囊环N標(biāo)準(zhǔn)協(xié)議,使用,TCP 21,和,TCP 20,端口，,21,端口用于傳輸命令控制，,20,端口用于數(shù)據(jù)傳輸。,主動(dòng)模式和被動(dòng)模式,斷點(diǎn)續(xù)傳,開源,ftp,工具：,FileZilla,FTP服務(wù)簡(jiǎn)介File Transfer Protocol,使用,windows2003s,自帶的,ftp,服務(wù),使用windows2003s自帶的ftp服務(wù),使用,Filezilla server,建立,ftp,服務(wù),使用Filezilla server建立ftp服務(wù),建立,web,服務(wù),Web,服務(wù)器的原理,利用,IIS,建立,web,服務(wù),web,發(fā)布、支持動(dòng)態(tài)腳本（,asp,、,php,、,,）,利用,IIS,實(shí)現(xiàn)虛擬主機(jī),虛擬主機(jī),Web,日志的利用和分析,webalizer,、,awstat,建立web服務(wù)Web服務(wù)器的原理,web,服務(wù)器的基本原理,server Listen:TCP 80 port,GET/POST,Sample:IIS/Apache/nginx,Text/HTML/Gif/jpeg,CGI/FastCGI,other Application Engine/module,Database:mysql/oracle/sqlserver,File IO,other API,web服務(wù)器的基本原理server Listen:TCP,在,windows2003s,上安裝,IIS,在windows2003s上安裝IIS,利用,IIS,發(fā)布一個(gè)網(wǎng)站,利用IIS發(fā)布一個(gè)網(wǎng)站,讓,IIS,支持,php,動(dòng)態(tài)腳本,讓IIS支持php動(dòng)態(tài)腳本,在一臺(tái),IIS,上建立多個(gè)虛擬站點(diǎn),在一臺(tái)IIS上建立多個(gè)虛擬站點(diǎn),IIS,站點(diǎn),web,日志的管理與分析,為每個(gè)站點(diǎn)保存獨(dú)立的,web,日志,每天一個(gè)日志,獨(dú)立目錄，定期檢查,web,日志分析,webalizer/awstat,自動(dòng)生成分析報(bào)表,IIS站點(diǎn)web日志的管理與分析為每個(gè)站點(diǎn)保存獨(dú)立的web日,在,windows,上自動(dòng)分析,weblog,安裝,webalizer,download,http:/www.webalizer.org/,編輯配置文件,webalizer.conf,建立批處理文件分析日志,ECHO OFF,set now=%date:0,4%date:5,2%date:8,2%,CALL C:webalizerwebalizer.exe D:logsaccess_%now%.log,加入自動(dòng)計(jì)劃,在windows上自動(dòng)分析weblog安裝webalizer,Web,站點(diǎn)安全,Windows,系統(tǒng)安全,IIS,的安全,腳本安全問(wèn)題,Sql-inject,、,XSS,跨站攻擊,數(shù)據(jù)備份,Web站點(diǎn)安全Windows系統(tǒng)安全,IIS,的安全工具,Microsoft,官方提供的,Urlscan,http:/ and(select ascii(substr(database(),2,1)=256 and 1=1,第一步，它通過(guò),select database(),來(lái)一個(gè)個(gè)獲取數(shù)據(jù)庫(kù)名中的字符，因?yàn)槲覀償?shù)據(jù)庫(kù)名是,4,個(gè)字符，很快可以得到。,more.php?id=1 and(select length(cast(count(*)as char)from information_schema.columnswhere table_name=0 x61646d696e and table_schema=063737879 limit 1)108 and 1=1,第三步，通過(guò)數(shù)據(jù)庫(kù)和表名在,mysql,系統(tǒng)表里探測(cè)字段名稱,more.php?id=1 and(select ascii(substr(user_pwd,3,1)from(select*from(select*from admin where 1=1 order by 1 limit 2,1)t order by 1 desc)t limit 1)56 and 1=1,第四步，得到了字段名,user_pwd,后，仍用每字符,ascii,嗎的方式探測(cè)字段內(nèi)容,more.php?id=1 and(select ascii(substr(user_name,4,1)from(select*from(select*from admin where 1=1 order by 1 limit 2,1)t order by 1 desc)t limit 1)128 and 1=1,第五步，同上，探測(cè),user_name,的字段內(nèi)容,通過(guò)上面的幾個(gè)步驟基本可以拿到應(yīng)用程序中的賬號(hào)密碼，然后試圖進(jìn)入管理界面后通過(guò),upload shell,等方式進(jìn)一步得到系統(tǒng)權(quán)限。,一次sql-inject的過(guò)程more.php?id=1 a,一次,sql-inject,的實(shí)際處理,處理過(guò)程,:,1,、分析,web,日志，根據(jù)被修改頁(yè)面,URL,追查入侵路徑,2,、鎖定存在,sql-inject,漏洞的腳本，向開發(fā)人員提出修改意見,3,、在腳本中加強(qiáng),Get,變量驗(yàn)證函數(shù)，過(guò)濾非法變量?jī)?nèi)容；,3,、在,web server,上添加,rewrite,規(guī)則，過(guò)濾特殊,sql-inject,字符的,URL,訪問(wèn),4,、文件存檔、安全報(bào)告。,我們?cè)?Apache,中做的一些簡(jiǎn)單,rewrite,設(shè)置：,RewriteEngine OnRewriteBase/RewriteCond%QUERY_STRING%20and%20 NCRewriteCond%QUERY_STRING select%20 NCRewriteRule(.*)http:/ R,URL,變量中包含,and,和,select,的請(qǐng)求，全部定向到錯(cuò)誤提示頁(yè)面。,一次sql-inject的實(shí)際處理處理過(guò)程:,一次,DNS,流量異常的處理,2009,年,5,月，暴風(fēng)影音事件期間。,日常巡檢中發(fā)現(xiàn)近一段時(shí)間內(nèi),DNS A,類查詢量非常大，,200,次,/sec,且集中為暴風(fēng)影音相關(guān)的域名,臨時(shí)處理：在,dns server,上把,*,,手工指定到,127.0.0.1,一次DNS流量異常的處理2009年5月，暴風(fēng)影音事件期間。臨,優(yōu)化,web,訪問(wèn)質(zhì)量,http,壓縮,頁(yè)面優(yōu)化,減小連接會(huì)話數(shù),優(yōu)化web訪問(wèn)質(zhì)量http壓縮,