1. Web服务中可能受到那些安全威胁应对措施是什么
最基本的SQL注入，高并发导致系统瘫痪。
2. web的安全威胁有哪几个方面
1、来自服务器本身及网络环境的安全，这包括服务器系统漏洞，系统权限，网络环境（如ARP等）、网络端口管理等，这个是基础。
2、来自WEB服务器应用的安全，IIS或者Apache等，本身的配置、权限等，这个直接影响访问网站的效率和结果。
3、网站程序的安全，这可能程序漏洞，程序的权限审核，以及执行的效率，这个是WEB安全中占比例非常高的一部分。
4、WEB Server周边应用的安全，一台WEB服务器通常不是独立存在的，可能其它的应用服务器会影响到WEB服务器的安全，如数据库服务、FTP服务等。
这只是大概说了一下，关于WEB应用服务器的安全从来都不是一个独立存在的问题。
web常见的几个漏洞
1. SQL注入。SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
2. XSS跨站点脚本。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
3. 缓冲区溢出。缓冲区溢出漏洞是指在程序试图将数据放到及其内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出的现象。
4. cookies修改。即使 Cookie 被窃取，却因 Cookie 被随机更新，且内容无规律性，攻击者无法加以利用。另外利用了时间戳另一大好处就是防止 Cookie 篡改或重放。
5. 上传漏洞。这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
6. 命令行输入。就是webshell ，拿到了权限的黑客可以肆意妄为。
3. 如何看待Web时代安全带来的危机
总而言之，以协同工作环境、社会性网络服务以及托管应用程序为代表的Web技术，已经在很大程度上改变人们沟通交流的方式和工作方式。但这些新的技术在给商业活动的发展带来便利的同时，也带来了前所未有的巨大安全风险。 "Web安全与你的应用环境以及使用方式是密切相关的！"安恒信息技术有限公司CEo&CTo范渊表示："目前，企业用户都以全业务为发展目标，安全角势的焦点已经从之前的网络安全老三样到应用安全和全业务安全发展。而做好这项工作的实质就是我们的企业用户应具有良好的业务支撑环境及安全意识。"应用为王的时代 安全问题如何避免 伴随互联网技术的迅速发展，基于传统网络架构的各类业务逐步向基于B/S架构的应用体系转变。业务类别越来越多，应用复杂度也越来越高。人们逐渐发现传统网络层的防护已经无法保障业务的安全运行。提升业务系统安全需要从业务流程、应用架构、应用系统等多个角度来思考从而寻求解决方案。因此，对于应用安全的关注度也逐渐升温。 面对来势汹汹的应用威胁，绝大多数企业并没有真正意识到其中的危机。一方面，恶意网站以600%的年增长速度在迅速增加；另一方面，77%带有恶意代码的网站是被植入恶意攻击代码的合法网站。如果把前者比作明枪还可以避免的话，那么作为暗箭的后者可以轻而易举地攻击无辜普通网站访问用户，进而危及企业信誉。 安恒信息对于网页防篡改有很好的抵御方法，可以有效帮助用户避免来自"暗箭"的破坏，范渊指出："安恒信息Web应用防火墙系列产品拥有快速的反应处理能力， 该产品将实时监测网站服务器的相关是否给非法更改，一旦发现被改则第一时间通知管理员，并形成详细的日志信息。与此同时，WAF系统将对外显示之前的正确页面，防止被篡改的内容被访问到。"网络安全老三样 VS Web应用安全产品 在业务多样性发展的今天，越来越多的安全事件已经从网络层向应用层转移，趋于对利益的追求，以往破坏性的攻击方式已经被逐渐摒弃，取而代之的是对于信息的获取。随着攻击方式的改变，安全产品的部署策略也发生了天翻地覆的变化，传统的产品早已无法满足应用安全方面的防护，对于这种新兴的安全威胁完全是"自欺欺人"的状态，本来做不到的却偏偏又要灌输这样的能力，完全不从用户的安全角度去着想！ 目前，很多企业采用网络安全防御技术对Web应用进行防护，如综合采用网络防火墙、IDS、补丁安全管理、升级软件等措施，然而这些方法难以有效的阻止Web攻击，且对于HTTPS类的攻击手段，更是显得束手无策。 当谈到这一点时，范渊指出："对于Web应用进行防护，Web应用防火墙是最有效的产品。Web应用防火墙的两个关键功能是，深入理解HTTP/HTTPS协议，可监测往返流量，能对web流量进行安全控制。Web数据中心是经常变化的，包括新的应用程序、新的软件模块，不断更新的软件补丁等。专业的安全工具和方法应能适应这种动态环境，应用配置的升级更新和对监测数据的分析使得应用防火墙总能适应新的安全需求。" 同时，范渊还指出了企业对Web应用安全防护的主要需求，比如部署简便，管理集中，操作简洁，性能影响甚微。包括：明御之剑 打造全透明部署Web应用防火墙 明御WEB应用防火墙是安恒信息结合多年应用安全的攻防理论和应急响应实践经验积累的基础上自主研发完成，满足各类法律法规如PCI、等级保护、企业内部控制规范等要求，以国内首创的全透明部署模式全面支持HTTPS，在提供WEB应用实时深度防御的同时实现WEB应用加速及敏感信息泄露防护，为Web应用提供全方位的防护解决方案。该产品致力于解决应用及业务逻辑层面的安全问题，广泛适用于"政府、金融、运营商、公安、能源、税务、工商、社保、交通、卫生、教育、电子商务"等所有涉及WEB应用的各个行业。
4. WEB服务器安全目前主要存在哪些问题如何增强web服务器的安全
服务器安全防护软件可以使用服务器数据保护锁--MCK，是通过安全容器接管操作系统，让应用在容器内运行，数据保存在容器内，容器内通过镜像技术，实行工作场景白名单机制，并对核心数据进行加密保护，实现服务器的最后一米安全----即使攻进来，什么也做不了。
对外可防止木马病毒入侵，防止核心数据被偷窥、被破坏、被篡改、被偷走！
对内可以对运维人员进行运维行为审计。
5. WEB网站面临的安全性问题有哪些什么是WEB欺骗如何建立WEB安全体系
WEB欺骗我们是web的制作者，欺骗spider，欺骗爬虫做恶意优化。
绕过js，从而绕过入口数据合法性验证。
易受SQL注入攻击
密钥的安全性
xss攻击
对于我们程序员来说，首先应该把精力放：提交内容包括URL、查询关键字、http头、post数据可靠的输入验证上。
操作留痕、备份与恢复
6. 通常可能带来Web站点上的安全问题有哪些
1，给web服务端带了的问题：
a，SQL注入，组要是由web代码和数据库交互时候导致的。不过这个问题可以通过一些框架可以方便的解决，如java的ibatis或者mybatis框架。
b，web服务器配置错误，如开启了put，delete方法。这些可以通过修对应的web服务器配置解决，如apache，iis的配置。
c，web应用服务器的错误配置，如jboss，tomcat的配置。同样适用安全的配置方法可以解决。
d，web应用代码逻辑导致的问题，如上次漏洞，系统命令注入漏洞，url跳转漏洞，等等。
2，给客户端带来的问题。
a，XSS
b，CSRF
d，url跳转。
7. 针对web应用存在哪些安全威胁提出相应的安全防护措施
应用安全防护解决思路：应用安全问题本质上源于软件质量问题。但应用相较传统的软件，具有其独特性。应用往往是某个机构所独有的应用，对其存在的漏洞，已知的通用漏洞签名缺乏有效性；需要频繁地变更以满足业务目标，从而使得很难维持有序的开发周期；需要全面考虑客户端与服务端的复杂交互场景，而往往很多开发者没有很好地理解业务流程；人们通常认为开发比较简单，缺乏经验的开发者也可以胜任。针对应用安全，理想情况下应该在软件开发生命周期遵循安全编码原则，并在各阶段采取相应的安全措施。然而，多数网站的实际情况是：大量早期开发的应用，由于历史原因，都存在不同程度的安全问题。对于这些已上线、正提供生产的应用，由于其定制化特点决定了没有通用补丁可用，而整改代码因代价过大变得较难施行或者需要较长的整改周期。针对这种现状，专业的安全防护工具是一种合理的选择。应用防火墙（以下简称）正是这类专业工具，提供了一种安全运维控制手段：基于对流量的双向分析，为应用提供实时的防护。与传统防火墙设备相比较，最显着的技术差异性体现在：对有本质的理解：能完整地解析，包括报文头部、参数及载荷。支持各种编码（如、压缩）；提供严格的协议验证；提供限制；支持各类字符集编码；具备过滤能力。提供应用层规则：应用通常是定制化的，传统的针对已知漏洞的规则往往不够有效。提供专用的应用层规则，且具备检测变形攻击的能力，如检测加密流量中混杂的攻击。提供正向安全模型（白名单）：仅允许已知有效的输入通过，为应用提供了一个外部的输入验证机制，安全性更为可靠。提供会话防护机制：协议最大的弊端在于缺乏一个可靠的会话管理机制。为此进行有效补充，防护基于会话的攻击类型，如篡改及会话劫持攻击。如何正确选择并非对服务器提供保护的“盒子”都是。事实上，一个真正满足需求的应该具有二维的防护体系：纵向提供纵深防御：通过建立协议层次、信息流向等纵向结构层次，构筑多种有效防御措施阻止攻击并发出告警。横向：满足合规要求；缓解各类安全威胁（包括网络层面、基础架构及应用层面）；降低服务响应时间、显着改善终端用户体验，优化业务资源和提高应用系统敏捷性。在选择产品时，建议参考以下步骤：结合业务需求明确安全策略目标，从而定义清楚产品必须具备的控制能力评估每一家厂商产品可以覆盖的风险类型测试产品功能、性能及可伸缩性评估厂商的技术支持能力评估内部维护团队是否具备维护、管理产品的必需技能权衡安全、产出以及总成本。“成本”不仅仅意味着购买安全产品服务产生的直接支出，还需要考虑是否影响组织的正常业务、是否给维护人员带来较大的管理开销
8. Web浏览器存在哪些安全隐患如何保证Web浏览器的安全
1、IE的自动登录
拨号上网用户使用IE时，连接对话框有个“保存密码”选项，在Web页面直接登录邮箱时也有“保存密码”选项。看“*”号工具软件可以轻易将密码翻译出来。建议你尽量不要使用该选项。
2、IE的颜色足迹
IE以及Web页面设计者一般都将页面上未访问的和已访问过的链接设置成不同的颜色，虽说方便了用户浏览，但不经意间会泄露了你的浏览足迹。在IE的菜单栏点击［工具］→［Internet选项］→［常规］→［辅助功能］，在随后的对话框内勾选格式区域的“不使用Web页中指定的颜色”项，确定之后，点击［颜色］按钮，在“颜色”区域勾选“使用Windows颜色”，在“链接”区域通过色板将未访问的和访问过的链接的颜色设置成相同，别人就看不到你的浏览足迹了。
3、IE的Cookie
Cookie，我们已经介绍过多次了，它可不仅仅是小甜饼哦！可以通过设置不同的安全级别来限制Cookie的使用。如果要彻底删除Cookie，可将目录“Windowscookies”下的所有文件全部删除，这样就可有效保护你的个人隐私了。当然使用个人防火墙也可以对Cookie的允许、提示、禁止等功能的进行使用限制。
4、IE的自动完成
IE的自动完成功能给用户填写表单和输入Web地址带来一定的便利，但同时也给用户带来了潜在的危险，尤其是对于在网吧或公共场所上网的网民。若需禁止该功能，只需点击［工具］ →［Internet选项］→［内容］，在“个人信息”区域单击［自动完成］按钮，在随后的对话框内清除Web地址、表单及表单的用户名和密码项的选择。
5、IE的历史记录以及临时文件夹
我们在上网浏览信息时，浏览器会把我们在上网过程中浏览的信息保存在历史记录以及临时文件夹（WindowsTemporary Internet Files）中，这样下次再访问同样信息时可以很快地达到目的地，从而提高了我们的浏览效率，但是通过IE的脱机浏览，其他用户能够轻松地翻阅你浏览的内容。如何保护个人信息资料的安全呢？方法如下：点击［工具］→［Internet选项］→［常规］→［删除文件］，在“删除文件”对话框中勾选“删除所有脱机内容”，［确定］即可。另外，也可以设置成自动删除临时文件，切换至“高级”选项卡，在安全区域勾选“关闭浏览器时清空Internet临时文件夹”。这样在关闭IE时就会自动删除临时文件夹中的内容了；然后在同样的对话框中单击［清除历史记录］按钮来删除浏览器中的历史记录中的内容。
6、屏蔽ActiveX控件
由于ActiveX控件可以被嵌入到HTML页面中，并下载到浏览器端执行，因此会给浏览器端造成一定程度的安全威胁。同时，其他一些技术，如内嵌于IE的VB Script语言，还有一些新技术，如ASP(Active server Pages)技术同样也都存在着一定的安全隐患。所以我们要屏蔽掉这些可能对计算机安全构成威胁的ActiveX控件，方法如下：点击［工具］→［Internet选项］→［安全］→ ［自定义级别］，在打开的“安全设置”对话框中找到关于ActiveX控件的设置，就选择“禁用”好了。
7、IE的安全区域设置
IE的安全区设置可以让你对被访问的网站设置信任程度。我们在上网浏览信息时，应经常通过一些报刊杂志来搜集一些黑客站点或其他一些破坏站点的相关信息，并时时注意哪些站点会恶意窃取别人的个人信息，通过一些相关设置来拒绝这些站点对你的信息的访问，从而使浏览器能够自动拒绝这些网站发出的某些对自己有安全威胁的指令。方法是：点击［工具］→［Internet选项］→［安全］，单击“受限站点”右边的［站点］按钮，将需要限制的站点的地址添加进去，完成站点地址的添加工作以后，单击［确定］按钮，浏览器将对上述的受限站点起作用。
转自电脑之家网
9. Web2.0网络危机公关的WEB2.0网络危机的预防
小黑发现现在很多企业没有意识防范网络危机的发生，提醒企业负责人在企业日常运营中，应加入防范网络危机的工作，使得防范网络危机日常化，制度化，力求从机制上减少或者快速发现危机的发生。危机处理专家四海商舟为此提供三个方面给企业去着手实施:
1.设立网络安全专员。鉴于网络危机的破坏性以及预防和化解危机所需要的专门知识，企业有必要在公共关系部门或者网络部门下设网络安全专员。统筹企业日常的危机防范工作以及危机发生时的企业公关策略安排和资源配置。由于网络危机发生的根源可能存在于企业生产经营的各个过程而且可能牵扯多个部门，危机发生时很有可能出现职责不清的情况。这个时候，训练有素的网络安全专员就可以统筹规划，以标准的程序处理危机，而不会出现部门间扯皮的现象。
2.建立网络危机监测体系。化解网络危机最好的办法就是早期发现，这就需要企业建立完善的网络危机监测体系，把网络危机监测纳入到正常的经营活动中去，防微杜渐，最大可能在危机没有扩散的时候就消灭它。监测工作包括定期浏览三大门户网站(163，新浪，搜狐)，各大传统媒体的网络版(人民日报网络版，新华网等)和主流的有较大影响的网络论坛和社区(天涯和猫扑等)查找和企业相关的信息，识别和分辨出可能的网络危机苗头;定期利用主要搜索引擎(Google、网络和雅虎等)以企业名以及企业的主要产品和服务名为关键字进行搜索，查看相关的新闻和评论，发现问题及时上报解决，杜绝不良信息上升为网络危机的可能;定期检查企业网络设备和防火墙系统的安全性和稳定性，及时更新和升级杀毒软件和防黑客攻击软件，使得企业网络更加安全。
3.建立、健全网络危机应急预案。网络的特点注定了网络危机的不可预测性，企业不可能知道网络危机在何时，何地，以何种形式，何种规模发生，所以必须在专门人员的指导下，于危机来临前就建立和健全网络危机处理应急预案，充分考虑网络危机发生时可能出现的状况，提前制定危机发生时企业将要采取的措施、步骤和人员安排。这样可以规范网络危机发生时的应急管理和应急响应程序，明确各部门的职责，可以有效提高企业抵御网络危机的能力。例如本次网易社区遭黑之后迟迟组织不起有效的技术力量进行维修，使得网络得不到及时恢复，说明该企业的网络危机处理预案存在不足。
