1、web應用在伺服器端開發配置中應採取什麼安全措施？
首先肯定是要進行系統漏洞的掃描與修復；
其次設置IP安全策略：
通過回設置IP安全策略，答控制伺服器埠和對外訪問限制。
當然也要進行服務優化：
手動停止/禁用伺服器上的不必要的服務：
我們的安全措施無非是為了伺服器的安全，在伺服器安全方面建議可以裝伺服器安全防禦軟體，伺服器安全狗上的功能基本可以滿足一般的伺服器安全需求。當然，並不是裝了防護軟體就能高枕無憂了，伺服器的安全需要高度的重視，所以需要實時查看防護軟體日誌，及時處理防護告警才能更有效的保護伺服器的安全。
2、如何提高WEB伺服器的安全？
隨著校園網路建設和應用的逐步深入，越來越多的學校建立了自己的Web伺服器。IIS(Internet Information Server)作為目前最為流行的Web伺服器平台，在校園網中發揮著巨大的作用。因此，了解如何加強IIS的安全機制，建立一個高安全性能的Web伺服器就顯得尤為重要。
保證系統的安全性
因為IIS是建立在Windows NT/2000操作系統下，安全性也應該建立在系統安全性的基礎上，因此，保證系統的安全性是IIS安全性的基礎，為此，我們要做以下事情。
1、使用NTFS文件系統
在NT系統中應該使用NTFS系統，NTFS可以對文件和目錄進行管理，而FAT文件系統只能提供共享級的安全，而且在默認情況下，每建立一個新的共享，所有的用戶就都能看到，這樣不利於系統的安全性。和FAT文件系統不同，在NTFS文件下，建立新共享後可以通過修改許可權保證系統安全。
2、關閉默認共享
在Windows 2000中，有一個「默認共享」，這是在安裝伺服器的時候，把系統安裝分區自動進行共享，雖然對其訪問還需要超級用戶的密碼，但這是潛在的安全隱患，從伺服器的安全考慮，最好關閉這個「默認共享」，以保證系統安全。方法是：單擊「開始/運行」，在運行窗口中輸入「Regedit」，打開注冊表編輯器，展開「HKEY_ LOCAL_」，在右側窗口中創建一個名為「AutoShare-
Wks」的雙位元組值，將其值設置為0，這樣就可以徹底關閉「默認共享」。
3、設置用戶密碼
用戶一定要設置密碼，用戶的密碼盡量使用數字與字母大小混排的口令，還需要經常修改密碼，封鎖失敗的登錄嘗試，並且設定嚴格的賬戶生存時間。應避免設置簡單的密碼，且用戶的密碼盡可能不要和用戶名有任何關聯。
保證IIS自身的安全性
在保證系統具有較高安全性的情況下，還要保證IIS的安全性，主要請注意以下事情：
1、要盡量避免把IIS安裝在網路中的主域控制器上。因為在安裝完IIS後，會在所安裝的計算機上生成IUSR_Computername的匿名賬戶。這個賬戶會被添加到域用戶組中，從而把應用於域用戶組的訪問許可權提供給訪問Web伺服器的每個匿名用戶，這樣不僅不能保證IIS的安全性，而且會威脅到主域控制器。
2、限制網站的目錄許可權。目前有很多的腳本都有可能導致安全隱患，因此在設定IIS中網站的目錄許可權時，要嚴格限制執行、寫入等許可權。
3、經常到微軟的站點下載IIS的補丁程序，保證IIS最新版本。
只要提高安全意識，經常注意系統和IIS的設置情況，IIS就會是一個比較安全的伺服器平台，能為我們提供安全穩定的服務。
3、如何保障Web伺服器安全
不但企業的門戶網站被篡改、資料被竊取，而且還成為了病毒與木馬的傳播者。有些Web管理員採取了一些措施，雖然可以保證門戶網站的主頁不被篡改，但是卻很難避免自己的網站被當作肉雞，來傳播病毒、惡意插件、木馬等等。筆者認為，這很大一部分原因是管理員在Web安全防護上太被動。他們只是被動的防禦。為了徹底提高Web伺服器的安全，筆者認為，Web安全要主動出擊。具體的來說，需要做到如下幾點。 一、在代碼編寫時就要進行漏洞測試 現在的企業網站做的越來越復雜、功能越來越強。不過這些都不是憑空而來的，是通過代碼堆積起來的。如果這個代碼只供企業內部使用，那麼不會帶來多大的安全隱患。但是如果放在互聯網上使用的話，則這些為實現特定功能的代碼就有可能成為攻擊者的目標。筆者舉一個簡單的例子。在網頁中可以嵌入SQL代碼。而攻擊者就可以利用這些SQL代碼來發動攻擊，來獲取管理員的密碼等等破壞性的動作。有時候訪問某些網站還需要有某些特定的控制項。用戶在安裝這些控制項時，其實就有可能在安裝一個木馬(這可能訪問者與被訪問者都沒有意識到)。 為此在為網站某個特定功能編寫代碼時，就要主動出擊。從編碼的設計到編寫、到測試，都需要認識到是否存在著安全的漏洞。筆者在日常過程中，在這方面對於員工提出了很高的要求。各個員工必須對自己所開發的功能負責。至少現在已知的病毒、木馬不能夠在你所開發的插件中有機可乘。通過這層層把關，就可以提高代碼編寫的安全性。 二、對Web伺服器進行持續的監控 冰凍三尺、非一日之寒。這就好像人生病一樣，都有一個過程。病毒、木馬等等在攻擊Web伺服器時，也需要一個過程。或者說，在攻擊取得成功之前，他們會有一些試探性的動作。如對於一個採取了一定安全措施的Web伺服器，從攻擊開始到取得成果，至少要有半天的時間。如果Web管理員對伺服器進行了全天候的監控。在發現有異常行為時，及早的採取措施，將病毒與木馬阻擋在門戶之外。這種主動出擊的方式，就可以大大的提高Web伺服器的安全性。 筆者現在維護的Web伺服器有好幾十個。現在專門有一個小組，來全天候的監控伺服器的訪問。平均每分鍾都可以監測到一些試探性的攻擊行為。其中99%以上的攻擊行為，由於伺服器已經採取了對應的安全措施，都無功而返。不過每天仍然會遇到一些攻擊行為。這些攻擊行為可能是針對新的漏洞，或者採取了新的攻擊方式。在伺服器上原先沒有採取對應的安全措施。如果沒有及時的發現這種行為，那麼他們就很有可能最終實現他們的非法目的。相反，現在及早的發現了他們的攻擊手段，那麼我們就可以在他們採取進一步行動之前，就在伺服器上關掉這扇門，補上這個漏洞。 筆者在這里也建議，企業用戶在選擇互聯網Web伺服器提供商的時候，除了考慮性能等因素之外，還要評估服務提供商能否提供全天候的監控機制。在Web安全上主動出擊，及時發現攻擊者的攻擊行為。在他們採取進一步攻擊措施之前，就他們消除在萌芽狀態。 三、設置蜜罐，將攻擊者引向錯誤的方向 在軍隊中，有時候會給軍人一些偽裝，讓敵人分不清真偽。其實在跟病毒、木馬打交道時，本身就是一場無硝煙的戰爭。為此對於Web伺服器採取一些偽裝，也能夠將攻擊者引向錯誤的方向。等到供給者發現自己的目標錯誤時，管理員已經鎖定了攻擊者，從而可以及早的採取相應的措施。筆者有時候將這種主動出擊的行為叫做蜜罐效應。簡單的說，就是設置兩個伺服器。其中一個是真正的伺服器，另外一個是蜜罐。現在需要做的是，如何將真正的伺服器偽裝起來，而將蜜罐推向公眾。讓攻擊者認為蜜罐伺服器才是真正的伺服器。要做到這一點的話，可能需要從如下幾個方面出發。 一是有真有假，難以區分。如果要瞞過攻擊者的眼睛，那麼蜜罐伺服器就不能夠做的太假。筆者在做蜜罐伺服器的時候，80%以上的內容都是跟真的伺服器相同的。只有一些比較機密的信息沒有防治在蜜罐伺服器上。而且蜜罐伺服器所採取的安全措施跟真的伺服器事完全相同的。這不但可以提高蜜罐伺服器的真實性，而且也可以用來評估真實伺服器的安全性。一舉兩得。 二是需要有意無意的將攻擊者引向蜜罐伺服器。攻擊者在判斷一個Web伺服器是否值得攻擊時，會進行評估。如評估這個網站的流量是否比較高。如果網站的流量不高，那麼即使被攻破了，也沒有多大的實用價值。攻擊者如果沒有有利可圖的話，不會花這么大的精力在這個網站伺服器上面。如果要將攻擊者引向這個蜜罐伺服器的話，那麼就需要提高這個蜜罐伺服器的訪問量。其實要做到這一點也非常的容易。現在有很多用來交互流量的團隊。只要花一點比較小的投資就可以做到這一點。 三是可以故意開一些後門讓攻擊者來鑽。作為Web伺服器的管理者，不僅關心自己的伺服器是否安全，還要知道自己的伺服器有沒有被人家盯上。或者說，有沒有被攻擊的價值。此時管理者就需要知道，自己的伺服器一天被攻擊了多少次。如果攻擊的頻率比較高，管理者就高興、又憂慮。高興的是自己的伺服器價值還蠻大的，被這么多人惦記著。憂慮的是自己的伺服器成為了眾人攻擊的目標。就應該抽取更多的力量來關注伺服器的安全。 四、專人對Web伺服器的安全性進行測試 俗話說，靠人不如靠自己。在Web伺服器的攻防戰上，這一個原則也適用。筆者建議，如果企業對於Web服務的安全比較高，如網站伺服器上有電子商務交易平台，此時最好設置一個專業的團隊。他們充當攻擊者的角色，對伺服器進行安全性的測試。這個專業團隊主要執行如下幾個任務。 一是測試Web管理團隊對攻擊行為的反應速度。如可以採用一些現在比較流行的攻擊手段，對自己的Web伺服器發動攻擊。當然這個時間是隨機的。預先Web管理團隊並不知道。現在要評估的是，Web管理團隊在多少時間之內能夠發現這種攻擊的行為。這也是考驗管理團隊全天候跟蹤的能力。一般來說，這個時間越短越好。應該將這個時間控制在可控的范圍之內。即使攻擊最後沒有成功，Web管理團隊也應該及早的發現攻擊的行為。畢竟有沒有發現、與最終有沒有取得成功，是兩個不同的概念。 二是要測試伺服器的漏洞是否有補上。畢竟大部分的攻擊行為，都是針對伺服器現有的漏洞所產生的。現在這個專業團隊要做的就是，這些已發現的漏洞是否都已經打上了安全補丁或者採取了對應的安全措施。有時候我們都沒有發現的漏洞是無能為力，但是對於這些已經存在的漏洞不能夠放過。否則的話，也太便宜那些攻擊者了。
4、如何確保Web伺服器的安全？
為何Web伺服器是組織的門面並且提供了進入網路的簡單方法。所有的Web伺服器都與安全事件相關，一些更甚。最近安全焦點列出了微軟IIS伺服器的116個安全問題，而開放源碼的Apache有80個。策略許多Web伺服器默認裝有標准通用網關介面（CGI），例如ColdFusion，它可以用於處理惡意請求。既然它們很容易發現並且在root許可權下運行，駭客開發易受攻擊的CGI程序來摧毀網頁，盜取信用卡信息並且為將來的入侵設置後門。通用法則是，在操作系統中移除樣本程序，刪除bin目錄下的CGI原本解釋程序，移除不安全的CGI原本，編寫更好的CGI程序，決定你的Web伺服器是否真的需要CGI支持。檢查Web伺服器，只允許需要分發的信息駐留在伺服器上。這個問題有時會被誤解。大多數伺服器在root下運行，所以駭客可以打開80埠，更改日誌文件。他們等待進入80埠的連接。接受這個連接，分配給子程序處理請求並回去監聽。子程序把有效的用戶標識改為「nobody」用戶並處理請求。當「伺服器以root運行」時，並未向所設想的用戶告警。這個警告是關於配置成以root運行子程序的伺服器（例如，在伺服器配置文件中指定root用戶）。以root許可進入的每一個CGI原本都可以訪問你的系統。在「chroot」環境中運行Web伺服器。運行chroot系統命令可以增強Unix環境中Web伺服器的安全特性，因為此時看不到伺服器上文件目錄的任何部分——目錄上的所有內容都不能訪問。在chroot環境中運行伺服器，你必需創建一整個微型root文件系統，包括伺服器需要訪問的所有內容，還包括特定的設備文件和共享庫。你還要調整伺服器配置文件中的全部路徑名，使之與新的root目錄相關聯。如果你的系統被用於攻擊其他系統，小心引起訴訟。如果不能擊退每一次攻擊，至少確保你用於追溯惡意事件的審核文件記錄信息的安全。
5、怎麼保證web伺服器在網路中的安全。
安裝一台ISA防火牆，策略限制
或者在外網連內網的路由器上設置埠進出限制。
6、Web伺服器端的安全措施有哪些
總的來說，有很多方面需要進行防護。比如：禁止系統文件被非法修改、禁止非法提權操作、禁止惡意代碼執行、禁止載入沒有數字簽名的驅動、優化系統配置及服務等。在伺服器入侵層面，也有很多值得注意的方面：類似遠程暴力破解、FTP、郵件、限制伺服器登錄IP、一鍵封閉埠等。
對於web伺服器來說，安全尤為重要，本人一直在用的安全防護軟體是雲鎖，推薦給大家哈~
7、如何保證Web伺服器安全
不但企業的門戶網站被篡改、資料被竊取，而且還成為了病毒與木馬的傳播者。有些Web管理員採取了一些措施，雖然可以保證門戶網站的主頁不被篡改，但是卻很難避免自己的網站被當作肉雞，來傳播病毒、惡意插件、木馬等等。筆者認為，這很大一部分原因是管理員在Web安全防護上太被動。他們只是被動的防禦。為了徹底提高Web伺服器的安全，筆者認為，Web安全要主動出擊。具體的來說，需要做到如下幾點。一、在代碼編寫時就要進行漏洞測試現在的企業網站做的越來越復雜、功能越來越強。不過這些都不是憑空而來的，是通過代碼堆積起來的。如果這個代碼只供企業內部使用，那麼不會帶來多大的安全隱患。但是如果放在互聯網上使用的話，則這些為實現特定功能的代碼就有可能成為攻擊者的目標。筆者舉一個簡單的例子。在網頁中可以嵌入SQL代碼。而攻擊者就可以利用這些SQL代碼來發動攻擊，來獲取管理員的密碼等等破壞性的動作。有時候訪問某些網站還需要有某些特定的控制項。用戶在安裝這些控制項時，其實就有可能在安裝一個木馬(這可能訪問者與被訪問者都沒有意識到)。為此在為網站某個特定功能編寫代碼時，就要主動出擊。從編碼的設計到編寫、到測試，都需要認識到是否存在著安全的漏洞。筆者在日常過程中，在這方面對於員工提出了很高的要求。各個員工必須對自己所開發的功能負責。至少現在已知的病毒、木馬不能夠在你所開發的插件中有機可乘。通過這層層把關，就可以提高代碼編寫的安全性。二、對Web伺服器進行持續的監控冰凍三尺、非一日之寒。這就好像人生病一樣，都有一個過程。病毒、木馬等等在攻擊Web伺服器時，也需要一個過程。或者說，在攻擊取得成功之前，他們會有一些試探性的動作。如對於一個採取了一定安全措施的Web伺服器，從攻擊開始到取得成果，至少要有半天的時間。如果Web管理員對伺服器進行了全天候的監控。在發現有異常行為時，及早的採取措施，將病毒與木馬阻擋在門戶之外。這種主動出擊的方式，就可以大大的提高Web伺服器的安全性。筆者現在維護的Web伺服器有好幾十個。現在專門有一個小組，來全天候的監控伺服器的訪問。平均每分鍾都可以監測到一些試探性的攻擊行為。其中99%以上的攻擊行為，由於伺服器已經採取了對應的安全措施，都無功而返。不過每天仍然會遇到一些攻擊行為。這些攻擊行為可能是針對新的漏洞，或者採取了新的攻擊方式。在伺服器上原先沒有採取對應的安全措施。如果沒有及時的發現這種行為，那麼他們就很有可能最終實現他們的非法目的。相反，現在及早的發現了他們的攻擊手段，那麼我們就可以在他們採取進一步行動之前，就在伺服器上關掉這扇門，補上這個漏洞。筆者在這里也建議，企業用戶在選擇互聯網Web伺服器提供商的時候，除了考慮性能等因素之外，還要評估服務提供商能否提供全天候的監控機制。在Web安全上主動出擊，及時發現攻擊者的攻擊行為。在他們採取進一步攻擊措施之前，就他們消除在萌芽狀態。三、設置蜜罐，將攻擊者引向錯誤的方向在軍隊中，有時候會給軍人一些偽裝，讓敵人分不清真偽。其實在跟病毒、木馬打交道時，本身就是一場無硝煙的戰爭。為此對於Web伺服器採取一些偽裝，也能夠將攻擊者引向錯誤的方向。等到供給者發現自己的目標錯誤時，管理員已經鎖定了攻擊者，從而可以及早的採取相應的措施。筆者有時候將這種主動出擊的行為叫做蜜罐效應。簡單的說，就是設置兩個伺服器。其中一個是真正的伺服器，另外一個是蜜罐。現在需要做的是，如何將真正的伺服器偽裝起來，而將蜜罐推向公眾。讓攻擊者認為蜜罐伺服器才是真正的伺服器。要做到這一點的話，可能需要從如下幾個方面出發。一是有真有假，難以區分。如果要瞞過攻擊者的眼睛，那麼蜜罐伺服器就不能夠做的太假。筆者在做蜜罐伺服器的時候，80%以上的內容都是跟真的伺服器相同的。只有一些比較機密的信息沒有防治在蜜罐伺服器上。而且蜜罐伺服器所採取的安全措施跟真的伺服器事完全相同的。這不但可以提高蜜罐伺服器的真實性，而且也可以用來評估真實伺服器的安全性。一舉兩得。二是需要有意無意的將攻擊者引向蜜罐伺服器。攻擊者在判斷一個Web伺服器是否值得攻擊時，會進行評估。如評估這個網站的流量是否比較高。如果網站的流量不高，那麼即使被攻破了，也沒有多大的實用價值。攻擊者如果沒有有利可圖的話，不會花這么大的精力在這個網站伺服器上面。如果要將攻擊者引向這個蜜罐伺服器的話，那麼就需要提高這個蜜罐伺服器的訪問量。其實要做到這一點也非常的容易。現在有很多用來交互流量的團隊。只要花一點比較小的投資就可以做到這一點。三是可以故意開一些後門讓攻擊者來鑽。作為Web伺服器的管理者，不僅關心自己的伺服器是否安全，還要知道自己的伺服器有沒有被人家盯上。或者說，有沒有被攻擊的價值。此時管理者就需要知道，自己的伺服器一天被攻擊了多少次。如果攻擊的頻率比較高，管理者就高興、又憂慮。高興的是自己的伺服器價值還蠻大的，被這么多人惦記著。憂慮的是自己的伺服器成為了眾人攻擊的目標。就應該抽取更多的力量來關注伺服器的安全。四、專人對Web伺服器的安全性進行測試俗話說，靠人不如靠自己。在Web伺服器的攻防戰上，這一個原則也適用。筆者建議，如果企業對於Web服務的安全比較高，如網站伺服器上有電子商務交易平台，此時最好設置一個專業的團隊。他們充當攻擊者的角色，對伺服器進行安全性的測試。這個專業團隊主要執行如下幾個任務。一是測試Web管理團隊對攻擊行為的反應速度。如可以採用一些現在比較流行的攻擊手段，對自己的Web伺服器發動攻擊。當然這個時間是隨機的。預先Web管理團隊並不知道。現在要評估的是，Web管理團隊在多少時間之內能夠發現這種攻擊的行為。這也是考驗管理團隊全天候跟蹤的能力。一般來說，這個時間越短越好。應該將這個時間控制在可控的范圍之內。即使攻擊最後沒有成功，Web管理團隊也應該及早的發現攻擊的行為。畢竟有沒有發現、與最終有沒有取得成功，是兩個不同的概念。二是要測試伺服器的漏洞是否有補上。畢竟大部分的攻擊行為，都是針對伺服器現有的漏洞所產生的。現在這個專業團隊要做的就是，這些已發現的漏洞是否都已經打上了安全補丁或者採取了對應的安全措施。有時候我們都沒有發現的漏洞是無能為力，但是對於這些已經存在的漏洞不能夠放過。否則的話，也太便宜那些攻擊者了。
8、WEB伺服器的安全配置方案
配置WEB安全
WEB安全是系統提供的最常見的服務之一，WEB安全伺服器主要存在的漏洞包括：
物理路徑泄露
CGI源代碼泄露
目錄遍歷
執行任意命令
緩沖區溢出
拒絕服務
跨站乳酸執行
Windows平台上使用的WEB伺服器軟體是IIS，無論哪種操作系統平台，只要對外提供WEB服務，就會面臨著來自外部的攻擊可能，所以需要對WEB伺服器進行有效的安全防護。
針對WEB伺服器採取的一些有效措施包括：
a. 打補丁
針對IIS存在的系統漏洞，應該定期下載安全補丁，及時發現和堵上漏洞。
b. 只開放WEB服務埠
如果不需要其它的服務，在安裝服務的時候選擇只安裝WEB服務，並使用80埠，禁用其他的不必要的服務，例如FTP和SMTP服務
c. WEB伺服器應該放在一個專門的區域中，利用防火牆保護WEB伺服器。
這個專門的區域使WEB伺服器與外網相對隔%C