伺服器安全經驗：防止非法登陸

1、對資料庫進行安全配置，例如你的程式連接資料庫所使用的帳戶/口令/權限，如果是瀏覽新聞的，用只讀權限即可;可以對不同的模組使用不同的帳戶/權限;另外，資料庫的哪些預存程序可以調用，也要進行嚴格地配置，用不到的全部禁用(特別是cmd這種)，防止注入後利用資料庫的預存程序進行系統調用;

2、在取得客戶端提交的參數時，進行嚴格的過濾，包括參數長短、參數類型等等;

3、對管理員後台進行嚴格的保護，有條件的話，應該設置為只允許特定的IP訪問(例如只允許管理員網段訪問)——這個要根據實際情況來看的;

4.對作業系統進行安全配置，防止注入後調用系統的功能，例如把

cmd.exe/tftp.exe/ftp.exe/net.exe

這些檔案全部轉移到其他目錄，並對目錄進行嚴格的權限指派;

5、設定網路存取控制;

6.有條件的話，設定針對HTTP的內容過濾，過濾病毒、惡意腳本等;

7.如果有必要，可以考慮選擇HTTPS，這樣可以防止很多的注入工具掃描，我以前自己開發注入檢測工具的時候，考慮過做支持HTTPS方式的，但目前還沒付諸實施。

相信你也看出來了，總的來說程式方面主要考慮權限、參數過濾等問題;權限主要包括IIS瀏覽權限、資料庫呼叫權限。除此之外，還要考慮資料庫、作業系統的安全配置。另外，不知道你們在開發過程中會不會用到其他人開發的組件，例如圖片上傳之類的，這類組件你們研究過其安全性麼?或者開發的過程中，絕大多數人會使用網路上、書上提供的現成程式碼，例如使用者登入驗證等等，這些公開程式碼，也要研究其安全性問題。