服务器常被称为网络的灵魂，它作为网络的节点，存储、处理网络上80％的数据、信息。企业的核心资产，如客户信息，财务信息，企业内部信息等重要数据，也都保存在不同的服务器上，服务器的开放性和操作系统自身的安全隐患，使得服务器很容易受到各种网络攻击和入侵的威胁。轻则造成服务器资源耗尽，正常访问无法进行，重则导致系统崩溃，机密信息泄露或信息篡改，不但损害了企业利益，同时也影响了企业形象。因此服务器承担着一个企业的荣辱兴衰。

　　而随着信息技术的不断发展，网络环境越来越复杂，企业所使用的服务器资源也比以前多样化，因此为了确保企业核心信息资产的安全当务之急就是对服务器及服务器群组加以全面立体的防护。

　　本文针对目前安全产品在服务器群组防护方面存在的空白，提出了服务器群组防护策略。

    2 服务器分类

　　服务器发展到今天，适应各种不同功能、不同环境的服务器不断地出现，分类标准也多种多样。

　　按应用层次不同，可以把服务器划分为入门级服务器、工作组级服务器、部门级服务器和企业级服务器。

　　按CPU所采用的指令系统不同，可以把服务器划分为CISC架构服务器、RISC架构服务器和VLIW架构服务器。

　　按功能用途不同，可以把服务器划分为通用型服务器和专用型服务器。

　　按机箱结构不同，可以把服务器划分为台式服务器、机架式服务器、机柜式服务器和刀片式服务器。

　　按网络技术架构不同，可以把服务器划分为B/S服务器和C/S服务器。

　　这里着重从软件开发模式，技术架构上，也就是从B/S服务器,C/S服务器角度来描述服务器存在的安全隐患和漏洞。

　　首先必须搞清楚三个问题：

　　(1)何谓C/S。C/S （Client/Server）就是大家熟悉的客户端和服务器端结构。在这种结构中，服务器端是网络的核心，而客户端是网络的基础，客户端依靠服务器端获得所需要的网络资源，而服务器端为客户端提供网络必须的资源。

　　(2)何谓B/S。B/S（Browser/Server） 即浏览器和服务器端结构。它是随着Internet技术的兴起，对C/S结构的一种更新或改进结构。在这种结构下，软件应用的业务逻辑完全在服务器端实现，用户表现完全在服务器端实现，客户端只需要浏览器即可进行业务处理。B/S是一种全新的软件系统构造技术,也是当今应用软件的首选体系结构，更是今后应用软件发展的必然架构。

　　(3)“C/S服务器”和“B/S服务器”的典型代表有哪些。C/S服务器常见的有邮件服务器、文件服务器、流媒体服务器、数据库服务器等。B/S服务器最常见的就是Web服务器。

    3 服务器群组

　　服务器群组顾名思义就是由一群服务器组成的，这里提到的服务器群组主要是由两大类服务器组成，当然每一类服务器又可以是由多种不同功能的服务器构成的，这两大类服务器就是我们上面提到的基于B/S架构的应用服务器和基于C/S架构的应用服务器。

　　随着企业的发展和信息技术的普及，企业内部的服务器资源日益增多，已经不单单局限于一种架构的服务器了，单纯只对某种架构的服务器进行安全保护已经不能适应现在网络信息安全的需求了，因此对服务器群组的防护事在必行，刻不容缓。

    4 服务器漏洞

　　下面主要从Web服务器和邮件服务器角度来分别介绍B/S服务器和C/S服务器目前存在的安全隐患和漏洞。

　　4.1 Web服务器漏洞

　　Web服务器是驻留在服务器上的一个程序，通过Web浏览器与用户交互操作，主要是通过响应HTML页面来处理HTTP请求，提供网上信息浏览服务。

　　目前Web服务器存在的主要漏洞可归纳为以下几点。

　　4.1.1 路径泄露漏洞

    路径泄露属于低风险等级缺陷，它的危害一般被描述为“攻击者可以利用此漏洞得到信息，来对系统进一步地攻击”。提供Web、FTP、SMTP等公共服务的服务器都有可能出现路径泄露的问题。

　　比较常见的是Web服务器的路径泄露。导致Web服务器路径泄露的原因很多，可能是Web平台本身、脚本语言解释器、引擎插件、组件、辅助程序等一系列原因造成的，也有可能是脚本编写错误所导致的。某些攻击者会精心构造一个畸形、超长或不存在的文件请求，而这个请求是Web服务器没有预料且不能正确处理的，这时往往会返回出错信息，最直观的就是暴露物理路径。得到物理路径就可以了解系统的文件目录结构，看出系统所使用的第三方软件，得到一个合法的用户名。

　　4.1.2 CGI程序漏洞

　　CGI指的是公共网关接口（Common Gateway Interface），它是Web信息服务器与外部应用程序之间交换数据的标准接口，简单地说，就是一般超文本与服务器主机上的应用程序之间的接口。通过CGI程序，Web服务器真正实现了与Web浏览器用户之间的交互。CGI程序漏洞主要就是CGI源代码泄露，引起源代码泄漏的原因较多，例如大小写，编码解码，附加特殊字符或精心构造的特殊请求等都可能导致CGI源代码泄露。

　　攻击者可以通过在提交的文件请求的文件名后添加某些字符，导致服务程序由于无法正确地处理这一特殊文件名，而错误地返回攻击者企图获得的CGI脚本源代码。造成敏感信息泄露，为攻击者进一步的恶意攻击提供帮助。

　　4.1.3 目录遍历漏洞

　　目录遍历是Http所存在的一个安全漏洞，它使得攻击者能够访问受限制的目录，并在Web服务器的根目录以外执行命令。对于Web服务器来说目录遍历并不多见，通过对任意目录附加“../”，或者是在有特殊意义的目录附加“../”，或者是附加“../”的一些变形，如“..\”或“..//”甚至其编码，都可能导致目录遍历。前一种情况并不多见，但是后面的几种情况就常见得多，去年非常流行的IIS二次解码漏洞和UNICODE解码漏洞都可以看作是变形后的编码。

　　利用这个漏洞，攻击者能够走出服务器的根目录，从而访问到文件系统的其他部分，譬如攻击者就能够看到一些受限制的文件，或者更危险的，攻击者能够执行一些造成整个系统崩溃的指令。

　　4.1.4 缓冲区溢出漏洞

　　缓冲区是内存中存放数据的地方。在程序试图将数据放到机器内存中的某一个位置的时候，因为没有足够的空间就会发生缓冲区溢出。而人为的溢出则是有一定企图的，攻击者写一个超过缓冲区长度的字符串，然后植入到缓冲区，而再向一个有限空间的缓冲区中植入超长的字符串可能会出现两个结果，一是过长的字符串覆盖了相邻的存储单元，引起程序运行失败，严重的可导致系统崩溃；另有一个结果就是利用这种漏洞可以执行任意指令，甚至可以取得系统root特级权限。大多造成缓冲区溢出的原因是程序中没有仔细检查用户输入参数而造成的。

　　缓冲区溢出漏洞是WEB服务器没有对用户提交的超长请求进行合适的处理，这种请求可能包括超长URL，超长HTTP? Header域，或者是其它超长的数据。

　　这种漏洞可能导致执行任意命令或者是拒绝服务，这一般取决于构造的数据。任何一个有黑客技术的人都可以利用此漏洞取得机器的控制权甚至是最高权限。

　　4.1.5 拒绝服务漏洞

　　拒绝服务（Denial of Service）就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。分布式拒绝服务(Distributed Denial of Service)是指将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。

　　其产生的原因多种多样，主要包括超长URL，特殊目录，超长HTTP? Header域，畸形HTTP? Header域或者是DOS设备文件等。由于Web服务器在处理这些特殊请求时不知所措或者是处理方式不当，因此会导致Web服务器出错终止或挂起。

　　4.1.6 跨站脚本漏洞

　　跨站脚本漏洞其实就是HTML的注入问题，恶意用户的输入没有经过严格的控制进入了数据库最终显示给来访的用户，导致非法攻击者可以在来访用户的浏览器里以浏览用户的身份执行HTML代码。

　　其产生原因很简单，就是因为CGI程序没有对用户提交的变量中的HTML代码进行过滤或转换。网络攻击者可以利用该漏洞获取其他用户Cookie中的敏感数据，屏蔽页面特定信息，伪造页面信息，拒绝服务攻击，突破外网内网不同安全设置，甚至与其他漏洞结合，修改系统设置，查看系统文件，执行系统命令等。　4.2 邮件服务器漏洞

　　电子邮件是目前Internet应用最广的服务，您可以用非常低廉的价格，非常快速的方式,在任何不同的时间段，与世界上任何一个角落的网络用户联络，这些电子邮件可以是文字、图像、声音等各种表示方式。同时，您也可以得到大量免费的新闻、专题邮件，并实现轻松的信息搜索。这是任何传统的方式也无法相比的。正是由于电子邮件的使用简易、投递迅速、收费低廉，易于保存、全球畅通无阻，使得电子邮件被广泛地应用，它使人们的交流方式得到了极大的改变。

　　邮件服务器提供了邮件系统的基本结构，包括邮件传输、邮件分发、邮件存储等功能，以确保邮件能够发送到Internet网络中的任意地方。而邮件服务器存在的漏洞主要就是垃圾邮件。

　　4.2.1 垃圾邮件

　　据中国互联网协会的统计数据显示，2003年，国内的邮件服务器共收到1500亿封垃圾邮件，其中60％到80％被服务器过滤掉，但至少有470亿封最终流入用户的信箱。

　　2007年中国互联网协会在第三次反垃圾邮件报告中对其做了新的定义，下列邮件均属于垃圾邮件：

    (1)收件人实现没有提出要求或者同意接受的广告、电子刊物、各种形式的宣传品等宣传性质的电子邮件；

    (2)收件人无法拒收的电子邮件；

    (3)隐藏发件人身份、地址、标题等信息的电子邮件；

    (4)含有虚假的信息源、发件人、路由等信息的电子邮件；

    (5)含有病毒、恶意代码、色情、反动等不良信息或有害信息的邮件。

　　我国目前拥有网民数接近1亿，其中绝大多数网民至少拥有一个电子邮件信箱，因此他们将成为垃圾邮件的直接受害者。各种垃圾邮件的泛滥给用户带来了极大的困扰和麻烦，大量的垃圾邮件让用户无法进行正常邮件的接收和阅读，浪费了用户的时间和精力，造成了极大的额外经济开销，并对网络安全构成了严重的威胁。

    5 解决方案

　　Web服务器已经成为企业应用系统的安全边界，如果应用系统存在安全隐患，黑客突破这条安全边界，各种核心服务器将直接暴露在黑客面前，黑客便可通过相关攻击手段获取企业核心数据。

　　针对上述存在的服务器漏洞，以及目前市场上在服务器群组安全防护方面出现的空白，在原来的服务器防护策略的基础之上，提出服务器群组防护策略。

    5.1 B/S服务器防护策略

　　服务器群组防护策略主要通过以下几种具体策略对B/S架构的服务器群组进行安全防护：

    5.1.1 请求方法限制

    B/S架构的服务器主要是通过Http协议进行网络通信的，而Http协议提供了多种方法在协议头中，最常用的两种分别是GET方法和POST方法。通过请求方法的限制，可以避免系统漏洞的发现和利用，有利于保护服务器安全。

    5.1.2 缓冲区长度限制

    我们通常所说的缓冲区包括请求体长度，请求域头的个数，请求域的长度，请求行的长度等。通过缓冲区长度限制，可以在一定程度上防止缓冲区溢出事件发生或企图消耗内存资源的攻击。

    5.1.3 文件类型过滤

    服务器上除了存放网页资源外，还可能存在其他资料。也就是说服务器上可能会存储到所有类型的文件，此时如果权限配置不当，服务器上的隐私资料就会暴露给非法用户，为他们入侵系统提供了可能。通过文件类型过滤可以在一定程度上防止隐私资料泄露，保护服务器资源。

    5.1.4 防DDoS攻击

　　当对一个Web站点执行 DDoS攻击时，这个站点的一个或多个Web服务会接到非常多的请求，最终使它无法再正常使用。在一个DDoS攻击期间，如果有一个不知情的用户发出了正常的页面请求，这个请求会完全失败，或者是页面下载速度变得极其缓慢，看起来就是站点无法使用。典型的DDoS攻击利用许多计算机同时对目标站点发出成千上万的请求。为了避免被追踪，攻击者会闯进网上的一些无保护的计算机内，在这些计算机上藏匿DDoS程序，将它们作为同谋和跳板，最后联合起来发动匿名攻击。

　　通过抗DDoS攻击模块，安全session管理模块，可以从应用层对DDoS攻击进行有效全面地防护。

    5.2  C/S服务器防护策略

　　服务器群组防护策略在C/S架构的服务器中主要针对邮件服务器进行重点防护，即就是通过反垃圾邮件技术对垃圾邮件进行有效的过滤，涉及到的防护策略主要是：

    5.2.1 地址过滤

　　现在，除了广告宣传，各种病毒、木马、间谍软件、网络钓鱼等也搭上了电子邮件这趟快速列车……大刀阔斧地斩杀垃圾邮件，已经刻不容缓。 

　　过滤垃圾邮件最直接、有效、被广泛采用的方法无疑是黑名单、白名单法。国外反垃圾邮件组织就会密切监控垃圾邮件的发送源，为发送源相应的IP地址评定信用等级，将那些经常发送垃圾邮件的IP地址的信用等级降到最常低，甚至直接判定为垃圾邮件源，拒绝同一来源的所有电子邮件入境。

　　通过设置黑名单、白名单功能，用户可根据邮件的发送源自定义黑名单、白名单，从而阻断特定邮件的发送。

    5.2.2 附件过滤

　　电子邮件附件是一种流行且简便的传送文件的方式，但通常也是病毒的来源，因此也很容易被攻击者利用，成为他们达到攻击目的的方便工具。

　　邮件程序试图解决用户的所有需求，几乎任何类型的文件都可以粘贴到电子邮件上，有的邮件程序有自动下载邮件附件的选项，这样攻击者在选择病毒类型上获得了更大的自由，也会使你的电脑瞬间暴露于附件中携带的任何病毒的威胁之下。　

　　电子邮件易发送的特点使得病毒可以迅速感染到多台设备，甚至整个网络。大部分病毒甚至不需要用户发出邮件，它们只要扫描用户电脑里的邮件地址，并自动将病毒信息发送给所有它们找到的地址。攻击者利用了用户普遍轻信从他们认识的人那里发送来的信息并自动打开附件的弱点来进行攻击。

　　通过附件过滤模块，能够获取发送邮件的附件，通过扩展名策略阻断特定邮件的发送，还能够实现附件个数控制和邮件大小控制，并对其进行病毒扫描，防止攻击者利用邮件附件达到攻击系统的野心。

    6 总结

　　信息化加速了社会的发展，服务器提高了企业的效率，但其中的安全隐患绝对不可掉以轻心，为了您的企业能拥有一个安全的信息平台，核心信息资产能得以安全加固，企业在信息化发展浪潮中安全航行，服务器群组的安全防护必不可少。

　　本文提到的服务器群组防护策略重点是对Web服务器和邮件服务器实行保护，融合了多种安全技术，全面立体的保护服务器群组的安全，优化原有网络资源，有效降低客户维护成本