⑴ Web前端密碼加密是否有意義
密碼在前端加密完全沒有意義，對密碼系統的安全性不會有任何提高，反而會引發不必要的麻煩。首先，做前端開發的人需要知道，前端系統的控制權是完全在用戶手裡的，也就是說，前端做什麼事情，用戶有完全的控制權。假設如同 @陳軒所說，前端做過了md5，後台就不用做了，這個做法會有什麼後果？如果某一天，這個系統的資料庫泄露了，黑客就直接拿到了每個用戶的密碼md5值，但此時，由於黑客知道密碼是在前端進行哈希的，所以他不需要爆破出該md5對應的原文是什麼，而是直接修改客戶端向伺服器發出的請求，把密碼欄位換成資料庫中MD5就可以了，由於與資料庫中記錄一致，直接就會登錄成功。這跟直接存儲明文密碼沒有任何區別！！！所以不管前端是不是加密了密碼，後台使用安全的哈希演算法對內容再次轉換是非常有必要的。（MD5可不行，要用bcrypt，我之前回答過一個類似的：隨著顯卡性能的高速發展，目前的快速Hash演算法是否已經變得不夠安全了？）這個回答還有一個人贊同，希望大家別被錯誤答案誤導了。另外一個答案 @林鴻所說，在非安全HTTP連接上，可以防止原始密碼被竊聽。但問題在於由於你的登錄系統接受的哈希過的密碼，而不是原文，竊聽者根本不需要原始密碼，只要通過哈希結果就可以偽造請求登錄系統。這樣做只能防止被竊聽到原文的密碼被攻擊者用在社會學攻擊上，而不能改善該網站的安全性。所以不管前端是不是加密了密碼，使用HTTPS安全連接進行登錄都是非常有必要的。以上我說的兩點，合起來看就是：不管前端是否加密了密碼，都不能以此為假設，讓後端設計的安全等級下降，否則就會有嚴重的安全問題。實際上，前端進行密碼加密，可以看做幫助用戶多進行了一次原文的轉換，不管用了什麼加密演算法，算出來的結果都是密碼原文，你該如何保護用戶的原始密碼，就該如何保護此處的加密結果，因為對你的登錄系統來說，它們都是密碼原文。以上這些，說明了密碼加密是沒有什麼意義的，接下來，我要說明前端加密會帶來什麼問題。有些人會認為前端進行了加密，可以降低後台的安全性需求，這種錯誤的觀念會造成系統的安全漏洞。實際上，你不能對前端做任何的假設，所有跟安全相關的技術，都必須應用在後台上。前端進行加密會造成頁面需要js腳本才能運行，那麼假設你的系統需要兼容不能運行js的客戶端，就必須再設計一個使用原文的登錄介面。由於前端是不是加密，所有安全機制都必須照常應用，所以為系統增加這樣的復雜性是完全沒必要的，即使傳輸明文密碼，只要正確使用了HTTPS連接和伺服器端安全的哈希演算法，密碼系統都可以是很安全的。
⑵ 如何保障Web伺服器安全
今天壹基比小喻給大家講解一些對伺服器的安全保護的具體措施，希望大家可以用到。
1從基礎做起，做好基礎防護。
首先將伺服器上所有包含了敏感數據的磁碟分區都轉換成NTFS格式的。其次不論是Windows還是Linux,任何操作系統都有漏洞，及時的打上補丁避免漏洞被蓄意***利用，是伺服器安全最重要的保證之一。再次將所有的反病毒軟體及時更新，同時在伺服器和桌面終端上運行反病毒軟體。這些軟體還應該配置成每天自動下載最新的病毒資料庫文件。可以為Exchange Server安裝反病毒軟體。這個軟體掃描所有流人的電子郵件，尋找被感染了的附件，當它發現有病毒時，會自動將這個被感染的郵件在到達用戶以前隔離起來。
2 設置防火牆並關閉不需要的服務和埠。
防火牆是網路安全的一個重要組成部分，通過過濾不安全的服務而降低風險。防火牆同時可以保護網路免受基於路由的***，如IP選項中的源路由***和ICMP重定向中的重定向路徑
首先，確保防火牆不會向外界開放超過必要的任何IP地址。至少要讓一個IP地址對外被使用來進行所有的互聯網通訊。如果還有DNS注冊的Web伺服器或是電子郵件伺服器，它們的IP地址也許需要通過防火牆對外界可見。其次，伺服器操作系統在安裝時，會啟動一些不需要的服務，這樣不僅會佔用系統的資源，還會增加系統的安全隱患。對於一段時間內完全不會用到的服務，可以完全關閉;對於期間要使用的伺服器，也應該關閉不需要的服務，如Telnet等。另外，還要關掉沒有必要開的TCP埠。例如，TCP/IP埠80用於HTTP通訊，因此大多數人可能並不想堵掉這個埠。但是，一般不會用埠81，因此它應該被關掉。我們可以在Intemet上找到每個埠使用用途的歹U表。對照列表我們可以很清楚的關閉一些不常用的埠。
3 SQL SERVER的安全防護。
首先要使用Windows身份驗證模式，在任何可能的時候，都應該對指向SQL Server的連接要求Windows身份驗證模式。它通過限制對Microsoft Windows用戶和域用戶帳戶的連接，保護SQL Server免受大部分Intemet工具的侵害，而且，伺服器也將從Windows安全增強機制中獲益，例如更強的身份驗證協議以及強制的密碼復雜眭和過期時間。另外，憑證委派在多台伺服器間橋接憑證的能力地只能在Windows身份驗證模式中使用。在客戶端，Windows身份驗證模式不再需要存儲密碼。存儲密碼是使用標准SQL Server登錄的應用程序的主要漏洞之一。其次分配—個強健的sa密碼，sa帳戶應該擁有一個強健的密碼，即使在配置為要求Windows身份驗證的伺服器上也該如此。這將保證在以後伺服器被重新配置為混合模式身份驗證時，不會出現空白或脆弱的sa。
4 做好數據的備份並保護好備份磁帶。
首先定期對伺服器進行備份，為防止未知的系統故障或用戶不小心的非法操作，必須對系統進行安全備份。除了對全系統進行每月一次的備份外，還應對修改過的數據進行及時的備份。同時，應該將修改過的重要系統文件存放在不同伺服器上，以便出現系統崩潰時(通常是硬碟出錯)，可以及時地將系統恢復到正常狀態。通常情況下，備份工作都是在大約晚上10：00或者更晚開始的，而結束時間也在午夜時分。整個備份過程的時間長短主要取決於要備份數據的多少。但是如果深夜有人偷竊備份好的磁帶，這樣的時間將是最好的時機。為了避免這樣的人為事件，我們可以通過對磁帶進行密碼保護，對備份程序進行加密，從而加密這些數據。其次，可以將備份程序完成的時間定在第二日的上班時間內。這樣一來，可以避免人為盜竊備份磁帶所帶來的損失。因為磁帶在備份沒有結束被強行帶走的話，磁帶上的數據也毫無價值。
數據如此重要，做好安全措施是必不可少的。無論是伺服器還是系統，文件還是資料庫，都應該做好數據保護。數據備份方面小編推薦大家使用多備份。多備份有3種備份模式給大家選擇：託管、插件、客戶端。Linux，unix，windows系統的用戶可以選擇多備份客戶端來備份，客戶端是高級備份模式，支持防火牆內的備份，TB級數據備份，指定文件恢復等數十種高級功能。而文件和資料庫的內容可以選擇託管或是插件來備份，操作過程也是簡單易懂。備份時間及頻率方面更是讓用戶覺得貼心不過了。
如果你對數據視為寶物，就用多備份吧!
⑶ Web應用常見的安全漏洞有哪些
OWASP總結了現有Web應用程序在安全方面常見的十大漏洞分別是：非法輸入、失效的訪問控制、失效的賬戶和線程管理、跨站腳本攻擊、緩存溢出問題、注入式攻擊、異常錯誤處理、不安全的存儲、程序拒絕服務攻擊、不安全的配置管理等。
非法輸入
Unvalidated Input
在數據被輸入程序前忽略對數據合法性的檢驗是一個常見的編程漏洞。隨著OWASP對Web應用程序脆弱性的調查，非法輸入的問題已成為大多數Web應用程序安全漏洞方面的一個普遍現象。
失效的訪問控制
Broken Access Control
大部分企業都非常關注對已經建立的連接進行控制，但是，允許一個特定的字元串輸入可以讓攻擊行為繞過企業的控制。
失效的賬戶和線程管理
Broken Authentication and Session Management
有良好的訪問控制並不意味著萬事大吉，企業還應該保護用戶的密碼、會話令牌、賬戶列表及其它任何可為攻擊者提供有利信息、能幫助他們攻擊企業網路的內容。
跨站點腳本攻擊
Cross Site Scripting Flaws
這是一種常見的攻擊，當攻擊腳本被嵌入企業的Web頁面或其它可以訪問的Web資源中，沒有保護能力的台式機訪問這個頁面或資源時，腳本就會被啟動，這種攻擊可以影響企業內成百上千員工的終端電腦。
緩存溢出問題
Buffer Overflows
這個問題一般出現在用較早的編程語言、如C語言編寫的程序中，這種編程錯誤其實也是由於沒有很好地確定輸入內容在內存中的位置所致。
注入式攻擊
Injection Flaws
如果沒有成功地阻止帶有語法含義的輸入內容，有可能導致對資料庫信息的非法訪問，在Web表單中輸入的內容應該保持簡單，並且不應包含可被執行的代碼。
異常錯誤處理
Improper Error Handling
當錯誤發生時，向用戶提交錯誤提示是很正常的事情，但是如果提交的錯誤提示中包含了太多的內容，就有可能會被攻擊者分析出網路環境的結構或配置。
不安全的存儲
Insecure Storage
對於Web應用程序來說，妥善保存密碼、用戶名及其他與身份驗證有關的信息是非常重要的工作，對這些信息進行加密則是非常有效的方式，但是一些企業會採用那些未經實踐驗證的加密解決方案，其中就可能存在安全漏洞。
程序拒絕服務攻擊
Application Denial of Service
與拒絕服務攻擊 (DoS)類似，應用程序的DoS攻擊會利用大量非法用戶搶占應用程序資源，導致合法用戶無法使用該Web應用程序。
不安全的配置管理
Insecure Configuration Management
有效的配置管理過程可以為Web應用程序和企業的網路架構提供良好的保護。
以上十個漏洞並不能涵蓋如今企業Web應用程序中的全部脆弱點，它只是OWASP成員最常遇到的問題，也是所有企業在開發和改進Web應用程序時應著重檢查的內容。
⑷ Web應用常見的安全漏洞有哪些
Web應用常見的安全漏洞：
1、SQL注入
注入是一個安全漏洞，允許攻擊者通過操縱用戶提供的數據來更改後端SQL語句。當用戶輸入作為命令或查詢的一部分被發送到解釋器並且欺騙解釋器執行非預期的命令並且允許訪問未授權的數據時，發生注入。
2、跨站腳本攻擊 （XSS）
XSS漏洞針對嵌入在客戶端（即用戶瀏覽器而不是伺服器端）的頁面中嵌入的腳本。當應用程序獲取不受信任的數據並將其發送到Web瀏覽器而未經適當驗證時，可能會出現這些缺陷。
3、跨站點請求偽造
CSRF攻擊是指惡意網站，電子郵件或程序導致用戶的瀏覽器在用戶當前已對其進行身份驗證的受信任站點上執行不需要的操作時發生的攻擊。
4、無法限制URL訪問
Web應用程序在呈現受保護的鏈接和按鈕之前檢查URL訪問許可權 每次訪問這些頁面時，應用程序都需要執行類似的訪問控制檢查。通過智能猜測，攻擊者可以訪問許可權頁面。攻擊者可以訪問敏感頁面，調用函數和查看機密信息。
5、不安全的加密存儲
不安全的加密存儲是一種常見的漏洞，在敏感數據未安全存儲時存在。用戶憑據，配置文件信息，健康詳細信息，信用卡信息等屬於網站上的敏感數據信息。
(4)web端的加密不安全擴展閱讀
web應用漏洞發生的市場背景：
由於Web伺服器提供了幾種不同的方式將請求轉發給應用伺服器，並將修改過的或新的網頁發回給最終用戶，這使得非法闖入網路變得更加容易。
許多程序員不知道如何開發安全的應用程序。他們的經驗也許是開發獨立應用程序或Intranet Web應用程序，這些應用程序沒有考慮到在安全缺陷被利用時可能會出現災難性後果。
許多Web應用程序容易受到通過伺服器、應用程序和內部已開發的代碼進行的攻擊。這些攻擊行動直接通過了周邊防火牆安全措施，因為埠80或443（SSL，安全套接字協議層）必須開放，以便讓應用程序正常運行。
⑸ Web伺服器會提示不安全，怎麼提高安全性呢
可以去騰訊智慧安全頁面
然後去申請御點終端安全系統
再去使用騰訊御點，裡面的病毒查殺功能殺毒即可
⑹ javaweb關於客戶端密碼md5加密後被抓包工具抓取的問題
使用非對稱加密。
後台隨機生成一對秘鑰。載入登錄頁面的時候，先去一次後台拿到後台生成的公鑰，然後用這個公鑰對密碼進行加密，
攜帶加密後的密文提交登錄請求，後台再用私鑰進行解密，然後再將密碼進行其他加密演算法與資料庫儲存的進行匹對。
即使被抓包，沒有私鑰的情況下也是沒辦法的。而私鑰永遠不對外暴露。這個方案只是針對你從客戶端到後台這個過程中不被抓包然後拿你的數據做文章。
⑺ Web前端密碼加密是否有意義
沒有意義
密碼前端的加密根本沒有意義，密碼系統的安全性沒有提高，但會造成不必要的麻煩。
首先，前端開發人員需要知道前端系統的控制完全掌握在用戶手中，也就是說前端所做的事情和用戶擁有完全的控制。據稱，前端做了MD5，後台不必做，這種方法會有什麼後果？如果有一天，系統資料庫泄露，黑客直接獲得每個用戶的密碼的MD5值，但這一次，因為黑客知道密碼的哈希的前面，所以他不需要鼓風的MD5對應什麼是原創，而是直接修改發送到伺服器的客戶端請求的在它的資料庫密碼欄位MD5，符合資料庫中的記錄，你可以直接登錄。這與直接存儲明文密碼沒有區別！！！所以不管前端密碼是否加密，後台使用哈希演算法的安全內容轉換都是必要的。（MD5不能使用BCrypt的，我以前回答類似：用圖形表現，當前快速發展的快速哈希演算法已成為不安全嗎？）有一個人同意這個答案，我希望你不要被錯誤的答案誤導。對方的回答，Linh說，是為了防止原始密碼被利用在一個不安全的HTTP連接。但問題是，因為你的登錄系統接受密碼代替原來的，竊聽者根本不需要原始密碼，只要哈希結果可以偽造請求登錄系統。這樣做只會防止攻擊者在社交攻擊時使用原始密碼，而不會提高網站的安全性。所以不管前面密碼是不是加密的，使用HTTPS安全連接登錄都是很有必要的。
⑻ web伺服器可能存在的安全問題有哪些
1、來自伺服器本身及網路環境的安全，這包括伺服器系統漏洞，系統許可權，網路環境（如ARP等）專、網屬絡埠管理等，這個是基礎。
2、來自WEB伺服器應用的安全，IIS或者Apache等，本身的配置、許可權等，這個直接影響訪問網站的效率和結果。
3、網站程序的安全，這可能程序漏洞，程序的許可權審核，以及執行的效率，這個是WEB安全中佔比例非常高的一部分。
4、WEB Server周邊應用的安全，一台WEB伺服器通常不是獨立存在的，可能其它的應用伺服器會影響到WEB伺服器的安全，如資料庫服務、FTP服務等。
⑼ Web瀏覽器存在哪些安全隱患如何保證Web瀏覽器的安全
1、IE的自動登錄
撥號上網用戶使用IE時，連接對話框有個「保存密碼」選項，在Web頁面直接登錄郵箱時也有「保存密碼」選項。看「*」號工具軟體可以輕易將密碼翻譯出來。建議你盡量不要使用該選項。
2、IE的顏色足跡
IE以及Web頁面設計者一般都將頁面上未訪問的和已訪問過的鏈接設置成不同的顏色，雖說方便了用戶瀏覽，但不經意間會泄露了你的瀏覽足跡。在IE的菜單欄點擊［工具］→［Internet選項］→［常規］→［輔助功能］，在隨後的對話框內勾選格式區域的「不使用Web頁中指定的顏色」項，確定之後，點擊［顏色］按鈕，在「顏色」區域勾選「使用Windows顏色」，在「鏈接」區域通過色板將未訪問的和訪問過的鏈接的顏色設置成相同，別人就看不到你的瀏覽足跡了。
3、IE的Cookie
Cookie，我們已經介紹過多次了，它可不僅僅是小甜餅哦！可以通過設置不同的安全級別來限制Cookie的使用。如果要徹底刪除Cookie，可將目錄「Windowscookies」下的所有文件全部刪除，這樣就可有效保護你的個人隱私了。當然使用個人防火牆也可以對Cookie的允許、提示、禁止等功能的進行使用限制。
4、IE的自動完成
IE的自動完成功能給用戶填寫表單和輸入Web地址帶來一定的便利，但同時也給用戶帶來了潛在的危險，尤其是對於在網吧或公共場所上網的網民。若需禁止該功能，只需點擊［工具］ →［Internet選項］→［內容］，在「個人信息」區域單擊［自動完成］按鈕，在隨後的對話框內清除Web地址、表單及表單的用戶名和密碼項的選擇。
5、IE的歷史記錄以及臨時文件夾
我們在上網瀏覽信息時，瀏覽器會把我們在上網過程中瀏覽的信息保存在歷史記錄以及臨時文件夾（WindowsTemporary Internet Files）中，這樣下次再訪問同樣信息時可以很快地達到目的地，從而提高了我們的瀏覽效率，但是通過IE的離線瀏覽，其他用戶能夠輕松地翻閱你瀏覽的內容。如何保護個人信息資料的安全呢？方法如下：點擊［工具］→［Internet選項］→［常規］→［刪除文件］，在「刪除文件」對話框中勾選「刪除所有離線內容」，［確定］即可。另外，也可以設置成自動刪除臨時文件，切換至「高級」選項卡，在安全區域勾選「關閉瀏覽器時清空Internet臨時文件夾」。這樣在關閉IE時就會自動刪除臨時文件夾中的內容了；然後在同樣的對話框中單擊［清除歷史記錄］按鈕來刪除瀏覽器中的歷史記錄中的內容。
6、屏蔽ActiveX控制項
由於ActiveX控制項可以被嵌入到HTML頁面中，並下載到瀏覽器端執行，因此會給瀏覽器端造成一定程度的安全威脅。同時，其他一些技術，如內嵌於IE的VB Script語言，還有一些新技術，如ASP(Active server Pages)技術同樣也都存在著一定的安全隱患。所以我們要屏蔽掉這些可能對計算機安全構成威脅的ActiveX控制項，方法如下：點擊［工具］→［Internet選項］→［安全］→ ［自定義級別］，在打開的「安全設置」對話框中找到關於ActiveX控制項的設置，就選擇「禁用」好了。
7、IE的安全區域設置
IE的安全區設置可以讓你對被訪問的網站設置信任程度。我們在上網瀏覽信息時，應經常通過一些報刊雜志來搜集一些黑客站點或其他一些破壞站點的相關信息，並時時注意哪些站點會惡意竊取別人的個人信息，通過一些相關設置來拒絕這些站點對你的信息的訪問，從而使瀏覽器能夠自動拒絕這些網站發出的某些對自己有安全威脅的指令。方法是：點擊［工具］→［Internet選項］→［安全］，單擊「受限站點」右邊的［站點］按鈕，將需要限制的站點的地址添加進去，完成站點地址的添加工作以後，單擊［確定］按鈕，瀏覽器將對上述的受限站點起作用。
轉自電腦之家網