1. Web服務中可能受到那些安全威脅應對措施是什麼
最基本的SQL注入，高並發導致系統癱瘓。
2. web的安全威脅有哪幾個方面
1、來自伺服器本身及網路環境的安全，這包括伺服器系統漏洞，系統許可權，網路環境（如ARP等）、網路埠管理等，這個是基礎。
2、來自WEB伺服器應用的安全，IIS或者Apache等，本身的配置、許可權等，這個直接影響訪問網站的效率和結果。
3、網站程序的安全，這可能程序漏洞，程序的許可權審核，以及執行的效率，這個是WEB安全中佔比例非常高的一部分。
4、WEB Server周邊應用的安全，一台WEB伺服器通常不是獨立存在的，可能其它的應用伺服器會影響到WEB伺服器的安全，如資料庫服務、FTP服務等。
這只是大概說了一下，關於WEB應用伺服器的安全從來都不是一個獨立存在的問題。
web常見的幾個漏洞
1. SQL注入。SQL注入攻擊是黑客對資料庫進行攻擊的常用手段之一。
2. XSS跨站點腳本。XSS是一種經常出現在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。
3. 緩沖區溢出。緩沖區溢出漏洞是指在程序試圖將數據放到及其內存中的某一個位置的時候，因為沒有足夠的空間就會發生緩沖區溢出的現象。
4. cookies修改。即使 Cookie 被竊取，卻因 Cookie 被隨機更新，且內容無規律性，攻擊者無法加以利用。另外利用了時間戳另一大好處就是防止 Cookie 篡改或重放。
5. 上傳漏洞。這個漏洞在DVBBS6.0時代被黑客們利用的最為猖獗，利用上傳漏洞可以直接得到WEBSHELL，危害等級超級高，現在的入侵中上傳漏洞也是常見的漏洞。
6. 命令行輸入。就是webshell ，拿到了許可權的黑客可以肆意妄為。
3. 如何看待Web時代安全帶來的危機
總而言之，以協同工作環境、社會性網路服務以及託管應用程序為代表的Web技術，已經在很大程度上改變人們溝通交流的方式和工作方式。但這些新的技術在給商業活動的發展帶來便利的同時，也帶來了前所未有的巨大安全風險。 "Web安全與你的應用環境以及使用方式是密切相關的！"安恆信息技術有限公司CEo&CTo范淵表示："目前，企業用戶都以全業務為發展目標，安全形勢的焦點已經從之前的網路安全老三樣到應用安全和全業務安全發展。而做好這項工作的實質就是我們的企業用戶應具有良好的業務支撐環境及安全意識。"應用為王的時代 安全問題如何避免 伴隨互聯網技術的迅速發展，基於傳統網路架構的各類業務逐步向基於B/S架構的應用體系轉變。業務類別越來越多，應用復雜度也越來越高。人們逐漸發現傳統網路層的防護已經無法保障業務的安全運行。提升業務系統安全需要從業務流程、應用架構、應用系統等多個角度來思考從而尋求解決方案。因此，對於應用安全的關注度也逐漸升溫。 面對來勢洶洶的應用威脅，絕大多數企業並沒有真正意識到其中的危機。一方面，惡意網站以600%的年增長速度在迅速增加；另一方面，77%帶有惡意代碼的網站是被植入惡意攻擊代碼的合法網站。如果把前者比作明槍還可以避免的話，那麼作為暗箭的後者可以輕而易舉地攻擊無辜普通網站訪問用戶，進而危及企業信譽。 安恆信息對於網頁防篡改有很好的抵禦方法，可以有效幫助用戶避免來自"暗箭"的破壞，范淵指出："安恆信息Web應用防火牆系列產品擁有快速的反應處理能力， 該產品將實時監測網站伺服器的相關是否給非法更改，一旦發現被改則第一時間通知管理員，並形成詳細的日誌信息。與此同時，WAF系統將對外顯示之前的正確頁面，防止被篡改的內容被訪問到。"網路安全老三樣 VS Web應用安全產品 在業務多樣性發展的今天，越來越多的安全事件已經從網路層向應用層轉移，趨於對利益的追求，以往破壞性的攻擊方式已經被逐漸摒棄，取而代之的是對於信息的獲取。隨著攻擊方式的改變，安全產品的部署策略也發生了天翻地覆的變化，傳統的產品早已無法滿足應用安全方面的防護，對於這種新興的安全威脅完全是"自欺欺人"的狀態，本來做不到的卻偏偏又要灌輸這樣的能力，完全不從用戶的安全形度去著想！ 目前，很多企業採用網路安全防禦技術對Web應用進行防護，如綜合採用網路防火牆、IDS、補丁安全管理、升級軟體等措施，然而這些方法難以有效的阻止Web攻擊，且對於HTTPS類的攻擊手段，更是顯得束手無策。 當談到這一點時，范淵指出："對於Web應用進行防護，Web應用防火牆是最有效的產品。Web應用防火牆的兩個關鍵功能是，深入理解HTTP/HTTPS協議，可監測往返流量，能對web流量進行安全控制。Web數據中心是經常變化的，包括新的應用程序、新的軟體模塊，不斷更新的軟體補丁等。專業的安全工具和方法應能適應這種動態環境，應用配置的升級更新和對監測數據的分析使得應用防火牆總能適應新的安全需求。" 同時，范淵還指出了企業對Web應用安全防護的主要需求，比如部署簡便，管理集中，操作簡潔，性能影響甚微。包括：明御之劍 打造全透明部署Web應用防火牆 明御WEB應用防火牆是安恆信息結合多年應用安全的攻防理論和應急響應實踐經驗積累的基礎上自主研發完成，滿足各類法律法規如PCI、等級保護、企業內部控制規范等要求，以國內首創的全透明部署模式全面支持HTTPS，在提供WEB應用實時深度防禦的同時實現WEB應用加速及敏感信息泄露防護，為Web應用提供全方位的防護解決方案。該產品致力於解決應用及業務邏輯層面的安全問題，廣泛適用於"政府、金融、運營商、公安、能源、稅務、工商、社保、交通、衛生、教育、電子商務"等所有涉及WEB應用的各個行業。
4. WEB伺服器安全目前主要存在哪些問題如何增強web伺服器的安全
伺服器安全防護軟體可以使用伺服器數據保護鎖--MCK，是通過安全容器接管操作系統，讓應用在容器內運行，數據保存在容器內，容器內通過鏡像技術，實行工作場景白名單機制，並對核心數據進行加密保護，實現伺服器的最後一米安全----即使攻進來，什麼也做不了。
對外可防止木馬病毒入侵，防止核心數據被偷窺、被破壞、被篡改、被偷走！
對內可以對運維人員進行運維行為審計。
5. WEB網站面臨的安全性問題有哪些什麼是WEB欺騙如何建立WEB安全體系
WEB欺騙我們是web的製作者，欺騙spider，欺騙爬蟲做惡意優化。
繞過js，從而繞過入口數據合法性驗證。
易受SQL注入攻擊
密鑰的安全性
xss攻擊
對於我們程序員來說，首先應該把精力放：提交內容包括URL、查詢關鍵字、http頭、post數據可靠的輸入驗證上。
操作留痕、備份與恢復
6. 通常可能帶來Web站點上的安全問題有哪些
1，給web服務端帶了的問題：
a，SQL注入，組要是由web代碼和資料庫交互時候導致的。不過這個問題可以通過一些框架可以方便的解決，如java的ibatis或者mybatis框架。
b，web伺服器配置錯誤，如開啟了put，delete方法。這些可以通過修對應的web伺服器配置解決，如apache，iis的配置。
c，web應用伺服器的錯誤配置，如jboss，tomcat的配置。同樣適用安全的配置方法可以解決。
d，web應用代碼邏輯導致的問題，如上次漏洞，系統命令注入漏洞，url跳轉漏洞，等等。
2，給客戶端帶來的問題。
a，XSS
b，CSRF
d，url跳轉。
7. 針對web應用存在哪些安全威脅提出相應的安全防護措施
應用安全防護解決思路：應用安全問題本質上源於軟體質量問題。但應用相較傳統的軟體，具有其獨特性。應用往往是某個機構所獨有的應用，對其存在的漏洞，已知的通用漏洞簽名缺乏有效性；需要頻繁地變更以滿足業務目標，從而使得很難維持有序的開發周期；需要全面考慮客戶端與服務端的復雜交互場景，而往往很多開發者沒有很好地理解業務流程；人們通常認為開發比較簡單，缺乏經驗的開發者也可以勝任。針對應用安全，理想情況下應該在軟體開發生命周期遵循安全編碼原則，並在各階段採取相應的安全措施。然而，多數網站的實際情況是：大量早期開發的應用，由於歷史原因，都存在不同程度的安全問題。對於這些已上線、正提供生產的應用，由於其定製化特點決定了沒有通用補丁可用，而整改代碼因代價過大變得較難施行或者需要較長的整改周期。針對這種現狀，專業的安全防護工具是一種合理的選擇。應用防火牆（以下簡稱）正是這類專業工具，提供了一種安全運維控制手段：基於對流量的雙向分析，為應用提供實時的防護。與傳統防火牆設備相比較，最顯著的技術差異性體現在：對有本質的理解：能完整地解析，包括報文頭部、參數及載荷。支持各種編碼（如、壓縮）；提供嚴格的協議驗證；提供限制；支持各類字元集編碼；具備過濾能力。提供應用層規則：應用通常是定製化的，傳統的針對已知漏洞的規則往往不夠有效。提供專用的應用層規則，且具備檢測變形攻擊的能力，如檢測加密流量中混雜的攻擊。提供正向安全模型（白名單）：僅允許已知有效的輸入通過，為應用提供了一個外部的輸入驗證機制，安全性更為可靠。提供會話防護機制：協議最大的弊端在於缺乏一個可靠的會話管理機制。為此進行有效補充，防護基於會話的攻擊類型，如篡改及會話劫持攻擊。如何正確選擇並非對伺服器提供保護的「盒子」都是。事實上，一個真正滿足需求的應該具有二維的防護體系：縱向提供縱深防禦：通過建立協議層次、信息流向等縱向結構層次，構築多種有效防禦措施阻止攻擊並發出告警。橫向：滿足合規要求；緩解各類安全威脅（包括網路層面、基礎架構及應用層面）；降低服務響應時間、顯著改善終端用戶體驗，優化業務資源和提高應用系統敏捷性。在選擇產品時，建議參考以下步驟：結合業務需求明確安全策略目標，從而定義清楚產品必須具備的控制能力評估每一家廠商產品可以覆蓋的風險類型測試產品功能、性能及可伸縮性評估廠商的技術支持能力評估內部維護團隊是否具備維護、管理產品的必需技能權衡安全、產出以及總成本。「成本」不僅僅意味著購買安全產品服務產生的直接支出，還需要考慮是否影響組織的正常業務、是否給維護人員帶來較大的管理開銷
8. Web瀏覽器存在哪些安全隱患如何保證Web瀏覽器的安全
1、IE的自動登錄
撥號上網用戶使用IE時，連接對話框有個「保存密碼」選項，在Web頁面直接登錄郵箱時也有「保存密碼」選項。看「*」號工具軟體可以輕易將密碼翻譯出來。建議你盡量不要使用該選項。
2、IE的顏色足跡
IE以及Web頁面設計者一般都將頁面上未訪問的和已訪問過的鏈接設置成不同的顏色，雖說方便了用戶瀏覽，但不經意間會泄露了你的瀏覽足跡。在IE的菜單欄點擊［工具］→［Internet選項］→［常規］→［輔助功能］，在隨後的對話框內勾選格式區域的「不使用Web頁中指定的顏色」項，確定之後，點擊［顏色］按鈕，在「顏色」區域勾選「使用Windows顏色」，在「鏈接」區域通過色板將未訪問的和訪問過的鏈接的顏色設置成相同，別人就看不到你的瀏覽足跡了。
3、IE的Cookie
Cookie，我們已經介紹過多次了，它可不僅僅是小甜餅哦！可以通過設置不同的安全級別來限制Cookie的使用。如果要徹底刪除Cookie，可將目錄「Windowscookies」下的所有文件全部刪除，這樣就可有效保護你的個人隱私了。當然使用個人防火牆也可以對Cookie的允許、提示、禁止等功能的進行使用限制。
4、IE的自動完成
IE的自動完成功能給用戶填寫表單和輸入Web地址帶來一定的便利，但同時也給用戶帶來了潛在的危險，尤其是對於在網吧或公共場所上網的網民。若需禁止該功能，只需點擊［工具］ →［Internet選項］→［內容］，在「個人信息」區域單擊［自動完成］按鈕，在隨後的對話框內清除Web地址、表單及表單的用戶名和密碼項的選擇。
5、IE的歷史記錄以及臨時文件夾
我們在上網瀏覽信息時，瀏覽器會把我們在上網過程中瀏覽的信息保存在歷史記錄以及臨時文件夾（WindowsTemporary Internet Files）中，這樣下次再訪問同樣信息時可以很快地達到目的地，從而提高了我們的瀏覽效率，但是通過IE的離線瀏覽，其他用戶能夠輕松地翻閱你瀏覽的內容。如何保護個人信息資料的安全呢？方法如下：點擊［工具］→［Internet選項］→［常規］→［刪除文件］，在「刪除文件」對話框中勾選「刪除所有離線內容」，［確定］即可。另外，也可以設置成自動刪除臨時文件，切換至「高級」選項卡，在安全區域勾選「關閉瀏覽器時清空Internet臨時文件夾」。這樣在關閉IE時就會自動刪除臨時文件夾中的內容了；然後在同樣的對話框中單擊［清除歷史記錄］按鈕來刪除瀏覽器中的歷史記錄中的內容。
6、屏蔽ActiveX控制項
由於ActiveX控制項可以被嵌入到HTML頁面中，並下載到瀏覽器端執行，因此會給瀏覽器端造成一定程度的安全威脅。同時，其他一些技術，如內嵌於IE的VB Script語言，還有一些新技術，如ASP(Active server Pages)技術同樣也都存在著一定的安全隱患。所以我們要屏蔽掉這些可能對計算機安全構成威脅的ActiveX控制項，方法如下：點擊［工具］→［Internet選項］→［安全］→ ［自定義級別］，在打開的「安全設置」對話框中找到關於ActiveX控制項的設置，就選擇「禁用」好了。
7、IE的安全區域設置
IE的安全區設置可以讓你對被訪問的網站設置信任程度。我們在上網瀏覽信息時，應經常通過一些報刊雜志來搜集一些黑客站點或其他一些破壞站點的相關信息，並時時注意哪些站點會惡意竊取別人的個人信息，通過一些相關設置來拒絕這些站點對你的信息的訪問，從而使瀏覽器能夠自動拒絕這些網站發出的某些對自己有安全威脅的指令。方法是：點擊［工具］→［Internet選項］→［安全］，單擊「受限站點」右邊的［站點］按鈕，將需要限制的站點的地址添加進去，完成站點地址的添加工作以後，單擊［確定］按鈕，瀏覽器將對上述的受限站點起作用。
轉自電腦之家網
9. Web2.0網路危機公關的WEB2.0網路危機的預防
小黑發現現在很多企業沒有意識防範網路危機的發生，提醒企業負責人在企業日常運營中，應加入防範網路危機的工作，使得防範網路危機日常化，制度化，力求從機制上減少或者快速發現危機的發生。危機處理專家四海商舟為此提供三個方面給企業去著手實施:
1.設立網路安全專員。鑒於網路危機的破壞性以及預防和化解危機所需要的專門知識，企業有必要在公共關系部門或者網路部門下設網路安全專員。統籌企業日常的危機防範工作以及危機發生時的企業公關策略安排和資源配置。由於網路危機發生的根源可能存在於企業生產經營的各個過程而且可能牽扯多個部門，危機發生時很有可能出現職責不清的情況。這個時候，訓練有素的網路安全專員就可以統籌規劃，以標準的程序處理危機，而不會出現部門間扯皮的現象。
2.建立網路危機監測體系。化解網路危機最好的辦法就是早期發現，這就需要企業建立完善的網路危機監測體系，把網路危機監測納入到正常的經營活動中去，防微杜漸，最大可能在危機沒有擴散的時候就消滅它。監測工作包括定期瀏覽三大門戶網站(163，新浪，搜狐)，各大傳統媒體的網路版(人民日報網路版，新華網等)和主流的有較大影響的網路論壇和社區(天涯和貓撲等)查找和企業相關的信息，識別和分辨出可能的網路危機苗頭;定期利用主要搜索引擎(Google、網路和雅虎等)以企業名以及企業的主要產品和服務名為關鍵字進行搜索，查看相關的新聞和評論，發現問題及時上報解決，杜絕不良信息上升為網路危機的可能;定期檢查企業網路設備和防火牆系統的安全性和穩定性，及時更新和升級殺毒軟體和防黑客攻擊軟體，使得企業網路更加安全。
3.建立、健全網路危機應急預案。網路的特點註定了網路危機的不可預測性，企業不可能知道網路危機在何時，何地，以何種形式，何種規模發生，所以必須在專門人員的指導下，於危機來臨前就建立和健全網路危機處理應急預案，充分考慮網路危機發生時可能出現的狀況，提前制定危機發生時企業將要採取的措施、步驟和人員安排。這樣可以規范網路危機發生時的應急管理和應急響應程序，明確各部門的職責，可以有效提高企業抵禦網路危機的能力。例如本次網易社區遭黑之後遲遲組織不起有效的技術力量進行維修，使得網路得不到及時恢復，說明該企業的網路危機處理預案存在不足。
