1. 如何在web.xml安全WebSocket连接
说明
步骤 1: 使用 wss: URI 案谨键
WebSocket 协议定义两种 URI 案ws: 用于未加密连接wss: 用于应加密安全连接
要加密连接请使清行用 wss: URI 案例：
JavaScript
var webSocket = new Windows.Networking.Sockets.MessageWebSocket();
webSocket.connectAsync("wss://"祥正巧).done(function() {
// connect succeeded
}, function(e) {
// connect failed
});
备注
关 WebSocket URI 案其详细信息请参阅 WebSocket 协议
2. 企业应用的Web服务安全技术：框架(图)
本文是讨论如何在企业环境中实现和应用基于Web服务安全技术的安全保护方案系列文章的第 部分 在本系列的第 部分中枣悄回顾了现有的解决方案及其缺陷 并提出开发一个新的Web服务安全工具包的方案 此工具包可以解决其中部分缺陷(见第一部分) 本文将进一步介绍此Web服务安全工具包的框架(下载部分源代码) 并解释工具包内Web服务安全的特性与Java语言的面向对象特性之间的高层抽象映射关系 客户端 第一部分中工具包需求部分指出 开发工具包的目的之一是简化客户在当前的开发环境下处理Web服务安全的工作 这些工作应该移至框架层 以便框架层最终将这些工作代理到底层基础设施——真正应该处理这些工作的地液岩昌方 因此 在讨论工具包的结构以及工具包内实体与WSSE相关标准之间的关系前 让我们将工具包视为一个黑盒子 从客户的角度来体验一下(如何使用工具包) WsseHeaderToken wsseHeader = new WsseHeaderToken();// Add Timestamp element to the WSSE Header添加时间戳元素TsToken ts = wsseHeader AddTimestamp( );// Sign the timestamp element with default certificate使用缺省证书对时间戳元素签名WsToken[] sigTokens = new WsToken[] {ts};wsseHeader AddSignature(sigTokens);// Encrypt the signature and body elements with default key 使用缺省的密钥加密签名及主体中元素WsTokenRef[] encTokens = new WsTokenRef[]{ new DSigTokenRef() new SoapBodyRef() };wsseHeader AddEncryption(encTokens);wsseHeader ProcessHeader();Element soap = wsseHeader GetSoapEnvelope();这个简单示例构造了一个包含时间戳子元素的Web服务安全(以下简记为WSSE)头部元素 并从配置文件中获取XML签名提供者的信息 使用相应XML签名提供者工具对时间戳元素签名 进而使用配置的XML加密提供者对安全头部中的签名元素和时间戳元素进行加密 XML文件解析具有过程化的本质 这将带来处理WSSE XML信息的困难 导致混乱复杂相互纠缠的代码 工具包中实现了复杂安全规范的代码 试图将安全领域的过程化规则映射到面向对象领域的对应部分 包中代表WSSE元素的类 隔离了XML解析过程 创建了处理XML代码的面向对象的包装器 工具包提供的WsseHeaderToken类 对一些功能进行了便于使用的封装 这样可以使得客户与框架的复杂性隔离 如果有必要 客户也可以在代码内直接创建和访问工具包内的其他类 例如 当现有帮助类未提供处理某种类型的元素的功能时 可以创建相应的处理器对象进行处理 并将处理结果添加到头部安全信息中 在下面代码中使用一个示例处理器和示例标记 演示了如何从WSSE信息头部拷贝标闹扒记元素到另一个WSSE信息头部// Reference and read WSSE header with null actor使用null操作器引用和读取WSSE 头部WsseHeaderRef ref = WsseHeaderRef CreateFromFile(filename null);WsseHeaderToken wsseHeader = ref GetWsseHeader();// Reference a sample element in the retrieved header引用已读取头部包含的一个示例元素SampleTokenRef sampleRef = new SampleTokenRef(wsseHeader sample );SampleToken sample = sampleRef GetSampleToken();// Create a new WSSE header and add the element生成新的安全头部信息并添加元素WsseHeaderToken wsseNew = new WsseHeaderToken();wsseNew InsertToken(sample);// Add sample element s processing in the new WSSE header在生成的头部中处理示例元素SampleProcessor sampleProcessor = new SampleProcessor();sampleProcessor SetReplaceTokens(true);sampleProcessor AddToken(sample);wsseNew AddProcessor(sampleProcessor);wsseNew ProcessHeader();Element soap = wsseNew GetSoapEnvelope(); 框架 框架的结构层次很大程度上可以对应到WSSE规范描述的XML定义块上 工具包包含如下类型的对象 ·表示WSSE 头部的XML元素 也可以由子元素合成组合元素(piste) 如果拥有用于生成标记的充足信息 那么可以从头开始构建WSSE标记 又或已经从其他WSSE头部提取出(如SAML断言等)必要的XML元素 那么可以通过封装来创建 WSSE标记在工具包内的基类分别为位于wsse Toolkit Tokens包内的WsToken类以及WsCompisteToken类·标记对象的 指针 通过它们可以对现有的安全标记进行寻址和读取操作 更一般的作用是作为一种机制 方便客户指向现有的XML元素并将XML元素转化为标记对象 标记引用类层次的基类是位于wsse Toolkit Refs包内的WsTokenRef类·标记处理器对象 表示工具包内的操作的对象 可以通过它们对WSSE头部 头部内任何子元素以及包含的SOAP信息进行操作 现在的工具包内仅有 个处理器类 DsigProcessor类以及EncProcessor类 通过它们可以在WSSE头部中添加新的标记和(或者)改变已有标记 实际上 改动/添加标记的特性并不是处理器的必然需求 非改写的处理器类型也是可能出现的 这样的意图在wsse Toolkit Processors包内的处理器类型接口ITokenProcessor中得到体现 它的函数签名设计可以避免引入更多的标记类型 ·帮助类对象 wsse Toolkit Utils包内的许多帮助类 可以便于客户进行配置信息处理 XML处理等任务 还有wsse Toolkit Saml包用于支持SAML操作 wsse Toolkit Directory包用于支持用户目录操作 所有这些工具类本身不表示WSSE头部的任何部分 仅供工具包的其它组件使用 ·辅助包装器对象 此类对象将标记对象和处理器对象封装起来 组成WSSE安全头部的构建器 同时强调标记所有权概念 增强标记处理功能 现在工具包内 扩展的标记类WsseHeaderToken 不仅实现了标记对象接口 同时定义了一些便利方法 可以实例化工具包中的类并添加这些对象到本身表示的标记对象中 当然 如果需要 客户可以自由的直接操作工具包中的对象 需要提到的是 并不是所有对象都是立即可得的 它们会随着工具包实现阶段的不断展开 在后续的文章中被依次介绍并添加到工具包中来(参见第一部分的结论部分)如下 图 显示了工具包框架中各种对象以及客户间的关系 图 工具包的操作 为了更好的理解图 需要对工具包操作的几个重点概念进行进一步的解释 ·不是所有的标记元素都可以从现有XML元素生成 例如 重用现有时间戳元素(wsse Toolkit Tokens Wss TsToken标记)来构建新的标记 没有什么实际意义——实际上 需要时应该从头构建并相应添加新标记·可从现有XML元素创建的标记类 具有唯一参数类型为 w c dom Element的构造函数 此构造函数会对输入的XML数据进行浅层次的数据有效性验证 所有情况下 必须正确地维护用于构建新标记XML元素的 w c dom Document对象 不合适的文档对象会在添加元素时产生错误 标记类基类WsToken类 WsConpositeToken类以及帮助类WsTokenHelper具有处理XML文档的功能 ·虽然标记引用类型也都是从基类wsse Toolkit Tokens WsToken派生的 但是大多数引用类型的作用是引用现存的XML元素 不是作为本身可以被添加的元素 不过 在下面的WSSE映射部分会提到一些特殊的标记引用类型 除具有引用元素功能外 本身也可以作为被添加的元素 ·标记引用类型可以引用不同的安全信息头部中的标记元素——此功能有助于在新的WSSE头部中添加现有标记元素的功能的实现 标记引用类型甚至可以引用在安全处理过程的初期添加的当前不存在的元素 比如前面代码示例中加密签名元素构成的元素 ·标记帮助类的责任是实例化标记类型对象和标记处理器对象 并将二者联系起来处理 当然这需要适当的配置信息以及初始化工作 标记处理器类型的责任是操作标记帮助类的处理结果 比如在安全头部中添加一个新产生的数字签名元素 处理器接口的要约是仅对引用标记进行适当的处理 并不对此处理过程中产生的新标记进行任何操作 ·处理操作可以连接起来构成处理操作链 这样 可以对多个安全头部的入口签名 然后对签名加密 如上面客户处代码示例 工具包提供了轻量的对象层次 处理每次客户调用时 会实例化一些具有仅于自己上下文环境关联的对象 因此不必担心并发问题 工具包中大多数类没有提供同步化锁 只有wsse Toolkit Utils Xml XmlFactory 类和 wsse Toolkit Utils Config ConfigHelper类除外 这两个类提供了一些可以被多个线程共享的功能 对于配置的目录服务和SAML服务实现提供者来说 由于工具包的所有运行客户都访问相同的提供者 它们的实现必须是线程安全的 WSSE映射 现在 将要讨论工具包内的组件是如何与WSSE规范规定的主要构建块的映射关系 注意 WSSE 规范的第 部分对<wsse:Security>头部块是这样定义的 <wsse:Security>头部块以SOAP行动者或角色的形式存在 提供在在SOAP信息中添加针对特定接收者的安全相关信息的机制 这意味着 WSSE安全头部是可以扩展的 同时在所有可能使用此技术的应用中试图使用它是不合适的 因此 工具包框架仅对规范中规定的标记类型及其关系进行映射 同时可以在以后添加新的标记类型及其处理器 <im lishixin/Article/program/Java/gj/201311/27426
3. WEB服务器的安全
盗用账号、缓冲区溢出以及执行任意命令是Web服务器比较常见的安全漏洞。黑客攻击、蠕虫病毒以及木马是因特网比较常见的安全漏洞。口令攻击、拒绝服务攻击以及IP欺骗是黑客攻击比较常见的类型。随着网络技术的不断发展，Web服务器面临着许多安全威胁，直接影响到Web服务器的安全。因此，加强Web服务器的安全防护是一项迫切需要的解决的时代课题。笔者结合多年的工作实践，认为可从以下3个方面入手来加强Web服务器的安全防护。第一，加强Web服务器的安全设置。以Linux为操作平台的Web服务器的安全设置策略，能够有效降低服务器的安全隐患，以确保Web服务器的安全性，主要包括：登录有户名与密码的安全设置、系统口令的安全设置、BIOS的安全设置、使用SSL通信协议、命令存储的修改设置、隐藏系统信息、启用日志记录功能以及设置Web服务器有关目录的权限等[3]。第二，加强互联网的安全防范。Web服务器需要对外提供服务，它既有域名又有公网的网址，显然存在一些安全隐患。所以，可给予Web服务器分配私有的地址，并且运用防火墙来做NAT可将其进行隐藏；同时因为一些攻击来源于内网的攻击，比如把内网计算机和Web服务器存放在相同的局域网之内，则在一定程度上会增加很多安全隐患，所以必须把它划分为不同的虚拟局域网，运用防火墙的地址转换来提供相互间的访问，这样就大大提高了Web服务器的安全性和可靠性；把Web服务器连接至防火墙的DMZ端口，将不适宜对外公布的重要信息的服务器放于内部网络，进而在提供对外的服务的同时，可以最大限度地保护好内部网络[4]。第三，网络管理员要不断加强网络日常安全的维护与管理。要对管理员用户名与密码定期修改；要对Web服务器系统的新增用户情况进行定时核对，并且需要认真仔细了解网络用户的各种功能；要及时给予更新Web服务器系统的杀毒软件以及病毒库，必要时可针对比较特殊的病毒给予安装专门杀毒的程序，同时要定期查杀Web服务器的系统病毒，定期查看CPU的正常工作使用状态、后台工作进程以及应用程序，假若发现异常情况需要及时给予妥当处理[5]；因为很多木马与病毒均是运用系统漏洞来进行攻击的，所以需要不断自动更新Web服务器系统，以及定期扫描Web服务器系统的漏洞。
Web服务器已经成为了病毒、木马的重灾区。不但企业的门户网站被篡改、资料被窃取，而且还成为了病毒与木马的传播者。有些Web管理员采取了一些措施，虽然可以保证门户网站的主页不被篡改，但是却很难避免自己的网站被当作肉鸡，来传播病毒、恶意插件、木马等等。这很大一部分原因是管理员在Web安全防护上太被动。他们只是被动的防御。为了彻底提高Web服务器的安全，Web安全要主动出击。 已经检查过网线。也试过了ping服务器，依旧无法访问服务器。好消息是，已经可以将问题定位到物理服务器或操作系统本身了。换句话说，已经可以开始集中经理对现存的问题进行排查。
接下来，才去从底层到高层的方式来逐层检查问题，首先检查网络接口和本地网络配置是否正常。DHCP是否启动？Web服务器是否指向正确的DNS服务器？如果是这样，可以根据使用的操作系统平台，检查Web服务是否正常开启。在Windows环境，需要检查服务器是否具有Web服务的角色。在Linux环境下，检查会更复杂，可以试试查找http相关的文件或服务来确保服务器是否正在运行。 如果以上方法都不奏效，检查日志并尝试查明在Web服务器宕机时日志中记录的那些信息。将这些信息发给在故障处理和解决领域更有经验的专业人士，可能会获得更多的帮助。同样的，如果已经确认网络连接不是问题，就可以使用Wireshark抓包工具对网络中传输的数据进行抓取分析，以此协助处理问题。
总而言之，服务器宕机的原因多种多样。断电、配置错误、防火墙设置错误、甚至是来自互联网的恶意流量，都可能引发源站宕机并让系统管理员们抓狂。所有这些问题都足以让企业决策者对冗余解决方案的设计和实施加以重视，同样的针对故障处理流程的设计和制定，还需要根据企业自身网络的实际情况为依据。
4. 要想实现web应用安全有哪些防御措施呢
传统的方式目前已经存在了一些不足，比如对http流量或者https流量进行检测，并不能够完全解决用户应用层或者Web层的安全问题。同时，要想实现web应用安全并不需要只是简单的基于协议本身进行防御，而更多的是要基于逻辑、基于行为、基于流程进行防御。我比较推荐的是F5公司的产品，不仅能够解决传统WAF要解决的XSS,SQL注入这样的代码及漏洞，还能关注到像暴库、爆破，像利用被偷盗的用户凭证进行登陆的这样的行为，包括对七层DDoS进行防御的行为。最重要的是，F5的防御方案从原来基于网络串联部署的设备，基于协议本身的分析，要变得更加智能，要变得更加的具有控制力。关于web应用安全，F5官网上有更为详细的介绍，不妨多关注一下。
5. Nginx配置之WSS
关于 WebSocket ，维基网络是这样介绍的：
WebSocket 协议在2008年诞生，2011年成为国际标准，现在几乎所有浏览器都已经支持了。它的最大特点就是，服务器可以主动向客户端推送信息，客户端也可以主动向服务器发送信息，是真正的双向平等对话，属于服务器推送技术的一种。
简单来说， WebSocket 减少了客户端与服务器局掘端建立连接的次数，减轻了服务器资源的开销，只需要完成一次 HTTP 握手。整个通讯过程是建立在一次连接/状态中，也就避免了 HTTP 的非状态性，服务端会一直与客户端保持连接，直到顷码双方发起关闭请求，同时由原本的客户端主动询问，转换雀腊哪为服务器有信息的时候推送。所以，它能做实时通信（聊天室、直播间等），其他特点还包括：
现象描述： 在 https 协议下访问网站时，客户端浏览器控制面板异常信息：
这种情况，毫无疑问我们就需要使用 wss:// 安全协议了，需要将客户端浏览器获取的页面中 webscoket 的形式由 ws:// 改为 wss://
WebSocket 可以使用 ws 或 wss 来作为 统一资源标志符 ，类似于 HTTP 或 HTTPS 。其中 ， wss 表示在 TLS 之上的 WebSocket ，相当于 HTTPS 。默认情况下， WebSocket 的 ws 协议基于 Http 的 80 端口；当运行在 TLS 之上时， wss 协议默认是基于 Http 的 443 端口。说白了， wss 就是 ws 基于 SSL 的安全传输，与 HTTPS 一样样的道理。所以，如果你的网站是 HTTPS 协议的，那你就不能使用 ws:// 了，浏览器会 block 掉连接，和 HTTPS 下不允许 HTTP 请求一样。
6. web的安全威胁有哪几个方面
1、来自服务器本身及网络环境的安全，这包括服务器系统漏洞，系统权限，网络环境（如ARP等）、网络端口管理等，这个是基础。
2、来自WEB服务器应用的安全，IIS或者Apache等，本身的配置、权限等，这个直接影响访问网站的效率和结果。
3、网站程序的安全，这可能程序漏洞，程序的权限审核，以及执行的效率，这个是WEB安全中占比例非常高的一部分。
4、WEB Server周边应用的安全，一台WEB服务器通常不是独立存在的，可能其它的应用服务器会影响到WEB服务器的安全，如数据库服务、FTP服务等。
这只是大概说了一下，关于WEB应用服务器的安全从来都不是一个独立存在的问题。
web常见的几个漏洞
1. SQL注入。SQL注入攻击是黑客对数据库进行攻击的常用手段之一。
2. XSS跨站点脚本。XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。
3. 缓冲区溢出。缓冲区溢出漏洞是指在程序试图将数据放到及其内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出的现象。
4. cookies修改。即使 Cookie 被窃取，却因 Cookie 被随机更新，且内容无规律性，攻击者无法加以利用。另外利用了时间戳另一大好处就是防止 Cookie 篡改或重放。
5. 上传漏洞。这个漏洞在DVBBS6.0时代被黑客们利用的最为猖獗，利用上传漏洞可以直接得到WEBSHELL，危害等级超级高，现在的入侵中上传漏洞也是常见的漏洞。
6. 命令行输入。就是webshell ，拿到了权限的黑客可以肆意妄为。
7. WEB服务器安全目前主要存在哪些问题如何增强web服务器的安全
服务器安全防护软件可以使用服务器数据保护锁--MCK，是通过安全容器接管操作系统，让应用在容器内运行，数据保存在容器内，容器内通过镜像技术，实行工作场景白名单机制，并对核心数据进行加密保护，实现服务器的最后一米安全----即使攻进来，什么也做不了。
对外可防止木马病毒入侵，防止核心数据被偷窥、被破坏、被篡改、被偷走！
对内可以对运维人员进行运维行为审计。