韦莲峰：网站内容安全防护技术(firewall)

　　韦莲峰：网站内容安全防护技术(firewall)

　　网站内容安全防护技术浅析本文作者为韦莲峰，高级安全工程师。可转载到任何网站，请注明作者及文章出处。防火墙（firewall）是一种通过身份验证、认证和授权（授权是指软件或硬件过程将用户的特定信息加密传输或传输参数组，防止安全认证机构篡改）或者伪造来对网络和数据库服务器进行访问控制的结构。

　　作为业界最先进的安全防护技术，防火墙已经开始从ips演变为各类型的fod（firewalldefense）防护网络功能进行防御。随着互联网的迅猛发展，网络和数据库安全问题也越来越多，由此才催生了防火墙等web安全防护技术、网络边界检测、自动流量过滤、https安全、各类安全等新安全防护技术。本文主要结合企业防火墙的安全性，简单介绍各种安全防护方法。

　　一、web安全1.websecurity全体验和渗透测试web安全以用户身份进行密码验证，所以一旦暴露其ip地址或者登录信息就会带来极大的潜在风险。另外web防火墙也可以防止非本网站的web应用进行ip访问。利用web应用，渗透测试开发者和应用服务提供商的大部分ip信息；模拟攻击者的非法使用ip通过各种途径获取用户的密码信息，进而通过暴力破解漏洞，取得密码。

　　具体方法如下：攻击者通过打击对应网站的服务端口来获取用户的密码；黑客通过构造链接、搭建webvpn或者其他虚拟ip，来真正的拿到用户密码；黑客通过利用高价值域名获取用户的密码；黑客通过利用网站下的虚假链接攻击。2.x-forwarded-for功能在websecurity的安全防护，x-forwarded-for是最重要的一种，可以使web安全缺陷暴露在攻击者面前。

　　黑客可以直接调用服务端口发起攻击，攻击服务器；黑客也可以通过接入wsgi进行http请求调用服务端口；黑客也可以直接利用端口号方式暴力破解web应用内各种参数。具体实现如下：攻击者通过编写漏洞来劫持各种web端口，并暴力破解相应参数；黑客通过利用wsgi、webshell或者黑帽子的方式来分析web应用代码；黑客通过内网穿透发起攻击。

　　3.反向代理加壳x-forwarded-for功能并非独立实现，所以web安全应用也是需要包含在这个安全防护方法中。黑客有可能直接访问web应用服务器，这时候web安全缺陷暴露在攻击者面前。黑客通过代理服务，或者重定向到自己写的恶意xsshtml页面调用，这样可以非常轻松的获取用户的密码。比如：黑客可以通过黑客或者内网渗透手段调用服务端口发起攻击，服务端口可以是这里所说的反向代理。由于黑客通过代理服务劫持来达到同web服。