該文為下半部分，上文可閱讀：物聯(lián)網(wǎng)開放平臺(tái)安全威脅（上）。

　　6、Web安全威脅

　　當(dāng)前，Web類應(yīng)用系統(tǒng)所面臨的主要風(fēng)險(xiǎn)如下。

　　（1）網(wǎng)絡(luò)層的攻擊：利用工具和技術(shù)通過網(wǎng)絡(luò)對(duì)系統(tǒng)進(jìn)行攻擊和入侵。互聯(lián)網(wǎng)的開放性、國際性和自由性決定了Web應(yīng)用系統(tǒng)所面臨的、來自網(wǎng)絡(luò)層面的威脅是非常復(fù)雜和嚴(yán)峻的。主要的網(wǎng)絡(luò)層威脅包括：

　　①最高風(fēng)險(xiǎn)：DDOS攻擊，造成網(wǎng)絡(luò)癱瘓，系統(tǒng)不可用。DDOS攻擊是一種非常典型的網(wǎng)絡(luò)層威脅，具體可分為兩類。

　　·帶寬耗盡型攻擊：通過發(fā)出海量數(shù)據(jù)包，造成設(shè)備負(fù)載過高，最終導(dǎo)致網(wǎng)絡(luò)帶寬或者設(shè)備資源耗盡。通常，被攻擊的路由器、服務(wù)器和防火墻的處理資源都是有限的，攻擊負(fù)載之下它們就無法處理正常合法的訪問，導(dǎo)致服務(wù)被拒絕。

　　·應(yīng)用型攻擊：利用諸如TCP或HTTP協(xié)議的某些特征，通過持續(xù)占用有限的資源，從而達(dá)到阻止目標(biāo)設(shè)備無法處理正常訪問請(qǐng)求的目的，如Http Half Open攻擊和Http Error攻擊等。

　　②漏洞探測(cè)：通過分析已知漏洞，對(duì)應(yīng)用或系統(tǒng)提交特定格式的字符串，并分析返回結(jié)果，以確定應(yīng)用或系統(tǒng)是否存在該漏洞，可利用漏洞獲得存在漏洞的設(shè)備的控制權(quán)，從而進(jìn)一步攻擊系統(tǒng)。

　　③嗅探（賬號(hào)、口令、敏感數(shù)據(jù)等）：通過將網(wǎng)卡設(shè)置成為混雜模式，使網(wǎng)卡可接收任何流經(jīng)的數(shù)據(jù)，造成敏感信息泄露，被人利用控制網(wǎng)絡(luò)或系統(tǒng)。

　　（2）應(yīng)用層攻擊：利用Web系統(tǒng)的漏洞對(duì)應(yīng)用程序本身進(jìn)行的攻擊。應(yīng)用層面的脆弱性，主要體現(xiàn)為Web應(yīng)用軟件開發(fā)特別是架構(gòu)設(shè)計(jì)、編碼階段引入的弱點(diǎn)，Web應(yīng)用存在的安全威脅如下。

　　①最高風(fēng)險(xiǎn)：對(duì)應(yīng)用程序本身的DOS攻擊，可造成系統(tǒng)癱瘓。攻擊者通過構(gòu)造大量的無效請(qǐng)求或利用系統(tǒng)漏洞構(gòu)造非法請(qǐng)求，耗盡Web服務(wù)器或帶寬的資源，導(dǎo)致Web服務(wù)器崩潰，使Web服務(wù)器不能響應(yīng)正常用戶的訪問。

　　②SQL注入：由于應(yīng)用程序?qū)νㄟ^SQL語句提交的用戶輸入內(nèi)容缺乏必要的過濾機(jī)制，攻擊者可以在輸入的內(nèi)容中加入SQL語句及參數(shù)，從而實(shí)現(xiàn)數(shù)據(jù)庫操作，如查詢、插入、修改等，從而獲得一些敏感的信息或者控制整個(gè)服務(wù)器。

　　③跨站攻擊：由于開發(fā)人員在編程時(shí)對(duì)一些變量沒有做充分的過濾，或者沒做任何的過濾就直接在服務(wù)器上執(zhí)行用戶提交數(shù)據(jù)（如Java Script等腳本代碼），導(dǎo)致跨站攻擊，進(jìn)而泄露敏感信息，被人控制系統(tǒng)，病毒入侵訪問者系統(tǒng)等。

　　·方式一：在Web應(yīng)用中，當(dāng)用戶提交數(shù)據(jù)與服務(wù)器進(jìn)行交互時(shí)，攻擊者將惡意腳本隱藏在用戶提交的數(shù)據(jù)中，破壞服務(wù)器正常的響應(yīng)頁面。

　　·方式二：通過社會(huì)工程學(xué)等方法，誘騙用戶單擊和訪問虛假的頁面，達(dá)到偷竊用戶信息、下載惡意腳本等目的。

　　④網(wǎng)站掛馬：攻擊者在服務(wù)器端插入惡意代碼，用戶訪問惡意頁面時(shí)，網(wǎng)頁中植入的惡意代碼觸發(fā)客戶端的漏洞，從而自動(dòng)下載并執(zhí)行惡意程序，使網(wǎng)站感染木馬，對(duì)訪問者系統(tǒng)進(jìn)行入侵。

　　⑤獲取對(duì)Web服務(wù)的控制權(quán)限：攻擊者利用安全漏洞訪問受限制的目錄，并在Web服務(wù)器的根目錄以外執(zhí)行命令。可進(jìn)一步利用漏洞，控制服務(wù)器，從而進(jìn)一步對(duì)系統(tǒng)進(jìn)行控制。

　　⑥用戶認(rèn)證暴力破解：因認(rèn)證強(qiáng)度低于業(yè)務(wù)安全要求，攻擊者可以通過窮舉方式自動(dòng)猜測(cè)用戶登錄身份標(biāo)識(shí)（Credentials）、會(huì)話標(biāo)識(shí)（Session Identifiers），以及未公開的目錄和文件名（如臨時(shí)文件、備份文件、日志、配置文件）。

　　（3）內(nèi)容安全

　　·網(wǎng)頁篡改：利用應(yīng)用層漏洞等進(jìn)行網(wǎng)頁篡改攻擊的行為，網(wǎng)頁內(nèi)容被非法篡改為其他甚至是產(chǎn)生嚴(yán)重社會(huì)影響的非法內(nèi)容。

　　·非法內(nèi)容：如網(wǎng)站論壇中發(fā)布了內(nèi)容不良、攻擊他人的違法信息或者惡意程序。

　　7、內(nèi)容安全威脅

　　（1）內(nèi)容不合規(guī)和不良信息的傳播。內(nèi)容提供商、服務(wù)商提供利用平臺(tái)提供的Web用戶交互界面?zhèn)鞑ゲ涣夹畔ⅰ⒎欠ㄐ畔ⅰ⒌退仔畔⒓袄畔⒌龋嫦蚬姲l(fā)布，從而違反國家法律或引起用戶投訴。

　　（2）敏感信息泄露。因缺乏有效的加密機(jī)制及安全存儲(chǔ)，攻擊者可以獲取用戶鑒權(quán)信息、用戶隱私數(shù)據(jù)等敏感信息。

　　（3）內(nèi)容完整性。

　　·攻擊者使用惡意手段對(duì)網(wǎng)頁內(nèi)容進(jìn)行篡改。

　　·攻擊者在網(wǎng)頁中植入惡意代碼。

　　·相關(guān)服務(wù)器和用戶端網(wǎng)絡(luò)設(shè)備丟失數(shù)據(jù)。

　　·存儲(chǔ)介質(zhì)老化或質(zhì)量問題等導(dǎo)致不可用，從而使數(shù)據(jù)丟失。

　　8、平臺(tái)運(yùn)營管理安全威脅

　　（1）管理權(quán)限濫用。管理權(quán)限定義不合理，例如，管理員同時(shí)具備管理權(quán)限與業(yè)務(wù)審計(jì)權(quán)限，權(quán)限定義過大超過所負(fù)責(zé)工作需要；系統(tǒng)操作（如審批管理員）權(quán)限定義過低，濫用權(quán)限進(jìn)行高安全級(jí)的系統(tǒng)操作，導(dǎo)致濫用權(quán)限進(jìn)行業(yè)務(wù)操作，影響業(yè)務(wù)正常開展，獲取重要信息。

　　（2）偽造賬號(hào)身份。惡意第三方可以利用業(yè)務(wù)系統(tǒng)從外部直接登錄的端口，或外部登錄存在的安全隱患（如盜用Cookies），盜用系統(tǒng)用戶、業(yè)務(wù)用戶的身份進(jìn)行登錄。

　　（3）賬號(hào)暴力破解。針對(duì)管理員賬號(hào)，惡意管理人員可利用認(rèn)證機(jī)制缺乏錯(cuò)誤次數(shù)限制等的漏洞，通過暴力破解、字典攻擊的方式猜測(cè)用戶的口令，非法使用用戶賬號(hào)登錄并進(jìn)行系統(tǒng)操作。

　　（4）業(yè)務(wù)數(shù)據(jù)泄露。業(yè)務(wù)管理終端上的間諜軟件通過監(jiān)聽鍵盤輸入、端口監(jiān)聽、讀取特定文件等方式獲取用戶或服務(wù)器端的機(jī)密信息，并發(fā)送給攻擊者，進(jìn)而通過販賣數(shù)據(jù)或冒充用戶登錄等方式獲取利益。

　　（5）系統(tǒng)軟件缺陷。攻擊者利用軟件編譯機(jī)制的漏洞，對(duì)代碼進(jìn)行逆向工程，獲取軟件保護(hù)的機(jī)密信息（如主密鑰）并破壞整個(gè)業(yè)務(wù)系統(tǒng)的安全機(jī)制；或者修改軟件代碼，通過惡意扣費(fèi)、獲取用戶機(jī)密信息等方式損害用戶合法權(quán)益，影響業(yè)務(wù)的正常開展。

　　（6）密鑰泄露/破解。攻擊者利用管理端密鑰長期不更新的漏洞，用泄露的密鑰解密系統(tǒng)的安全數(shù)據(jù)，進(jìn)而進(jìn)行違規(guī)操作或販賣業(yè)務(wù)數(shù)據(jù)，損害用戶的合法權(quán)益。

　　黑客或攻擊者利用密鑰生成機(jī)制過于簡(jiǎn)單（例如密鑰為連續(xù)數(shù)字或密鑰為用戶名的簡(jiǎn)單變換），通過可獲取的密鑰或其他信息推測(cè)用戶密鑰信息，進(jìn)而通過密鑰實(shí)施鑒權(quán)或?qū)C(jī)密數(shù)據(jù)進(jìn)行解密。