本文目录一览：
什么是xxs漏洞
XSS攻击的危害包括 1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号 2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力 3、盗窃企业重要的具有商业价值的资料 4、非法转账 5、强制发送电子邮件 6、网站挂马 7、控制受害者机器向其它网站发起攻击 1.2 XSS漏洞的分类 XSS漏洞按照攻击利用手法的不同，有以下三种类型： 类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。其攻击过程如下所示： Alice给Bob发送一个恶意构造了Web的URL。 Bob点击并查看了这个URL。 恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。 具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。 Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。 类型B，反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。其攻击过程如下： Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感信息(比如银行帐户信息)。 Charly发现Bob的站点包含反射性的XSS漏洞。 Charly编写一个利用漏洞的URL，并将其冒充为来自Bob的邮件发送给Alice。 Alice在登录到Bob的站点后，浏览Charly提供的URL。 嵌入到URL中的恶意脚本在Alice的浏览器中执行，就像它直接来自Bob的服务器一样。此脚本盗窃敏感信息(授权、信用卡、帐号信息等)然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。 类型C，存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。其攻击过程如下： Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。 Charly注意到Bob的站点具有类型C的XXS漏洞。 Charly发布一个热点信息，吸引其它用户纷纷阅读。 Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。 类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应用
漏洞检测的几种方法
漏洞扫描有以下四种检测技术：
1.基于应用的检测技术。它采用被动的、非破坏性的办法检查应用软件包的设置，发现安全漏洞。
2.基于主机的检测技术。它采用被动的、非破坏性的办法对系统进行检测。通常，它涉及到系统的内核、文件的属性、操作系统的补丁等。这种技术还包括口令解密、把一些简单的口令剔除。因此，这种技术可以非常准确地定位系统的问题，发现系统的漏洞。它的缺点是与平台相关，升级复杂。
3.基于目标的漏洞检测技术。它采用被动的、非破坏性的办法检查系统属性和文件属性，如数据库、注册号等。通过消息文摘算法，对文件的加密数进行检验。这种技术的实现是运行在一个闭环上，不断地处理文件、系统目标、系统目标属性，然后产生检验数，把这些检验数同原来的检验数相比较。一旦发现改变就通知管理员。
4.基于网络的检测技术。它采用积极的、非破坏性的办法来检验系统是否有可能被攻击崩溃。它利用了一系列的脚本模拟对系统进行攻击的行为，然后对结果进行分析。它还针对已知的网络漏洞进行检验。网络检测技术常被用来进行穿透实验和安全审记。这种技术可以发现一系列平台的漏洞，也容易安装。但是，它可能会影响网络的性能。
网络漏洞扫描
在上述四种方式当中，网络漏洞扫描最为适合我们的Web信息系统的风险评估工作，其扫描原理和工作原理为：通过远程检测目标主机TCP/IP不同端口的服务，记录目标的回答。通过这种方法，可以搜集到很多目标主机的各种信息（例如：是否能用匿名登录，是否有可写的FTP目录，是否能用Telnet，httpd是否是用root在运行）。
在获得目标主机TCP/IP端口和其对应的网络访问服务的相关信息后，与网络漏洞扫描系统提供的漏洞库进行匹配，如果满足匹配条件，则视为漏洞存在。此外，通过模拟黑客的进攻手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等，也是扫描模块的实现方法之一。如果模拟攻击成功，则视为漏洞存在。
在匹配原理上，网络漏洞扫描器采用的是基于规则的匹配技术，即根据安全专家对网络系统安全漏洞、黑客攻击案例的分析和系统管理员关于网络系统安全配置的实际经验，形成一套标准的系统漏洞库，然后再在此基础之上构成相应的匹配规则，由程序自动进行系统漏洞扫描的分析工作。
所谓基于规则是基于一套由专家经验事先定义的规则的匹配系统。例如，在对TCP80端口的扫描中，如果发现/cgi-bin/phf/cgi-bin/Count.cgi，根据专家经验以及CGI程序的共享性和标准化，可以推知该WWW服务存在两个CGI漏洞。同时应当说明的是，基于规则的匹配系统有其局限性，因为作为这类系统的基础的推理规则一般都是根据已知的安全漏洞进行安排和策划的，而对网络系统的很多危险的威胁是来自未知的安全漏洞，这一点和PC杀毒很相似。
这种漏洞扫描器是基于浏览器/服务器（B/S）结构。它的工作原理是：当用户通过控制平台发出了扫描命令之后，控制平台即向扫描模块发出相应的扫描请求，扫描模块在接到请求之后立即启动相应的子功能模块，对被扫描主机进行扫描。通过分析被扫描主机返回的信息进行判断，扫描模块将扫描结果返回给控制平台，再由控制平台最终呈现给用户。
另一种结构的扫描器是采用插件程序结构。可以针对某一具体漏洞，编写对应的外部测试脚本。通过调用服务检测插件，检测目标主机TCP/IP不同端口的服务，并将结果保存在信息库中，然后调用相应的插件程序，向远程主机发送构造好的数据，检测结果同样保存于信息库，以给其他的脚本运行提供所需的信息，这样可提高检测效率。如，在针对某FTP服务的攻击中，可以首先查看服务检测插件的返回结果，只有在确认目标主机服务器开启FTP服务时，对应的针对某FTP服务的攻击脚本才能被执行。采用这种插件结构的扫描器，可以让任何人构造自己的攻击测试脚本，而不用去了解太多扫描器的原理。这种扫描器也可以用做模拟黑客攻击的平台。采用这种结构的扫描器具有很强的生命力，如着名的Nessus就是采用这种结构。这种网络漏洞扫描器的结构如图2所示，它是基于客户端/服务器（C/S）结构，其中客户端主要设置服务器端的扫描参数及收集扫描信息。具体扫描工作由服务器来完成。
如何测试XSS漏洞
XSS跨站漏洞分为大致三种：储存型XSS，反射型XSS，和DOM型XSS，一般都是由于网站对用户输入的参数过滤不严格而调用浏览器的JS而产生的。
储存型XSS：
一般是构造一个比如说"scriptalert("XSS")/script"的JS的弹窗代码进行测试，看是否提交后在页面弹窗，这种储存型XSS是被写入到页面当中的，如果管理员不处理，那么将永久存在，这种XSS攻击者可以通过留言等提交方式，把恶意代码植入到服务器网站上， 一般用于盗取COOKIE获取管理员的信息和权限。
反射型XSS：
一般是在浏览器的输入栏也就是urlget请求那里输入XSS代码，例如：127.0.0.1/admin.php?key="scriptalert("xss")/script，也是弹窗JS代码。当攻击者发送一个带有XSS代码的url参数给受害者，那么受害者可能会使自己的cookie被盗取或者“弹框“，这种XSS一次性使用，危害比储存型要小很多。
dom型：
常用于挖掘，是因为api代码审计不严所产生的，这种dom的XSS弹窗可利用和危害性并不是很大，大多用于钓鱼。比起存储型和反射型，DOM型并不常用。
跨站脚本攻击(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
XSS攻击分成两类，一类是来自内部的攻击，主要指的是利用程序自身的漏洞，构造跨站语句，如:dvbbs的showerror.asp存在的跨站漏洞。
中企智导股权系统VG5.03S技术优势说明
中企智导股权系统VG5.03S技术优势说明
股权众筹平台面临的安全威胁
威胁股权众筹系统的风险来自不同层面，从网络层、系统层到应用层，都可能形成对系统直接或间接的威胁，目前行业常见的针对Web应用的攻击有：
● 缓冲区溢出——攻击者利用超出缓冲区大小的请求和构造的二进制代码让服务器执行溢出堆栈中的恶意指令。
● Cookie假冒——精心修改cookie数据进行用户假冒。
● 认证逃避——攻击者利用不安全的证书和身份管理。
● 非法输入——在动态网页的输入中使用各种非法数据，获取服务器敏感数据。
● 强制访问——访问未授权的网页。
● 隐藏变量篡改——对网页中的隐藏变量进行修改，欺骗服务器程序。
● 拒绝服务攻击——构造大量的非法请求，使Web服务器不能响应正常用户的访问。
● 跨站脚本攻击——提交非法脚本，其他用户浏览时盗取用户帐号等信息。
● SQL注入——构造SQL代码让服务器执行，获取敏感数据。
● URL 访问限制失效——黑客可以访问非授权的资源连接强行访问一些登陆网页、历史网页。
● 被破坏的认证和 Session 管理——Session token 没有被很好的保护 在用户推出系统后，黑客能够盗窃 session。
● DNS攻击——黑客利用DNS漏洞进行欺骗DNS服务器，从而达到使DNS解析不正常，IP地址被转向导致网站服务器无法正常打开。
中企智导安全研发中心依托强大安全技术资源优势，不断跟踪、挖掘、分析行业内新出现的各种漏洞信息和最新安全风险，从软件开发需求、架构设计、代码编译、数据库、服务器等各个方面，打造目前行业内最全面的股权众筹系统安全防护体系，中企智导安全盾甲确保股权众筹平台的安全稳定。
一、系统安全架构
网络安全
● 网络安全，基于硬件防火墙，杜绝网络攻击，为系统提供第一层防护，特别是高防IP特别针对目前流行的DDOS攻击进行防护。
● 防注入,CC攻击等安全机制保障网站安全稳定运行，防护多种DDoS类型攻击，包括但不限于以下攻击类型 ICMP Flood、UDP Flood、TCP Flood、SYN Flood、ACK Flood 等
● 对http、ping、dns、tcp、udp、smtp、pop、ftp等服务的可用性和响应时间的统计、监控、报警，第一时间进行响应处理
● 开发时进行防挂马代码写入，让框架代码等挂马无效。
● 监控远程操作协议，如RDP、SSH、TELNET、FTP等，以减少因远程运维而发生的信息泄密的事件。
● 系统根据管理策略对相应文件进行加密，用户访问需要连接到服务器，按权限访问，越权访问会受限，实现更多的访问控制。
● 确保密钥操作和存储的安全，密钥存放和主机分离
● 通过区域复制技术，其它冗余名称服务器（称为辅 DNS 服务器）用作同一区域中主服务器的备份服务器，以防主服务器无法访问或宕机。
● 通过对DNS报文的合规检查和DNS报文的速率控制，防止针对域名的DNS flood攻击。
服务器安全
● web漏洞检测：对网站SQL注入漏洞、xss跨站脚本漏洞、文件包含等各项高危安全漏洞进行检测。
● 后门文件检测：通过静态分析技术与虚拟机沙箱行为检测技术相结合，对网站进行后门文件检测，准确率95%以上。
● 端口安全扫描：通过定期扫描服务器开放的高危端口，降低系统被入侵的风险。
● 主机入侵检测：通过主机日志安全分析，实时侦测系统密码破解，异常IP登录等攻击行为为实时报警。
● 安全检查：关闭无用服务，使用最小服务集合，降低漏洞风险。
● 访问控制：针对用户及恶意攻击者访问信息时进行有效地控制，对于正常请求允许访问，对于恶意请求应及时进行阻止。
应用安全
● SSL证书：基于SSL 证书数据传输加密，保障信息传输不被窃取和篡改。
● 安全U盾：后台管理员配置U盾，银行级安全，防止管理员密码泄漏造成的风险，同时可以加强人员和权限的管理。
● 前后台分离部署：可将后台部署于内网，使攻击者被隔绝于网络之外，极大增加安全性。
● 创新数据签名技术：每一次资金变动都有相应的签名，随意修改时签名无法匹配，程序检验无法通过，自动终止相关账号所有操作，发送警告。防止黑客即内部技术人员人工修改资金数据。
数据安全
● 数据连接加密：数据库连接信息高强度加密，即使应用服务器被攻破，也没法直接连接和访问数据库。
● 数据签名：资金数据防篡改，凡是在资金交易的地方，都会本次的操作进行签名验证，若存在资金被篡改的情况则无法进行交易。资金数据每一次的变动都有签名，此签名用高强度加密算法生成，防止直接修改造成的系统风险。
● 数据加密：敏感数据加密存储，防止明文数据泄密的风险。
● 数据冷存储：定期将数据进行隔离冷存储，原有数据不可修改，是分析，对比的数据基础，保证了安装，同时利用读写分离技术，提升了系统的响应速度。
● 数据智能分析：智能分析系统里用户资金变动，能得出合理的用户收益变动曲线，有异常情况时能终止用户资金操作，提示系统管理员复核，在最后一步卡住系统被侵入的风险。
● 使用 USB KEY 认证等身份验证方式，对后台登陆进行身份认证，设置网络访问控制策略，只允许授权后的网络登录后台系统。
● 数据备份：每台RDS拥有两个物理节点进行主从热备。主节点发生故障，秒级切换至备节点。服务可用性高达99.99%。
● 数据库通过多库切分的方式，采用独立的数据库账号体系；防止一个账号拥有所有数据库的访问和修改权限；敏感信息的数据通过加密方式存储，杜绝黑客或内部技术人员恶意修改数据的非法行为。
二、全冗余处理
网络冗余
● 依据高访问量级，设计弹性可扩充的网络架构。使用负载均衡设备放置在前端，后端应用使用服务器群组方式，根据不同的量级，扩充后台服务器。
● 采用双防火墙双交换机做网络冗余，保障平台服务，采用双防火墙通知接通2线路互联网接入，设备之间采用VRRP协议，在任何一个防火墙、互联网发生故障后均可自动将流量切换到另一端，保证网站的正运行，设备或网络恢复后，自动恢复。
● 采用双千兆交换机分别接在2台防火墙上，当某台设备或者网络链路发生故障后，好设备自动接管已坏设备的工作，不影响网站的整体运行，根据业务及真实服务器的数量，交换机可以随时增加。
● 采用硬件设备负载均衡器，实现网络流量的负载均衡。使用硬件设备负载均衡器，将网络流量均衡的分担到WEB服务器集群各节点服务器，保障平台服务器资源均衡的使用。
● 采用代理服务器，实现软件级的网络负载均衡。
● 数据库服务器分离成生产数据库集群和查询数据库集群，实现生产读写与后台查询统计进行分离。
三、高容错处理
● 双机热备特指基于高可用系统中的两台服务器的热备（或高可用），主-备方式（Active-Standby方式）即指的是一台服务器处于某种业务的激活状态（即Active状态），另一台服务器处于该业务的备用状态（即Standby状态)。在同一时间内只有一台服务器运行。当其中运行着的一台服务器出现故障无法启动时，另一台备份服务器通过心跳诊断将standby机器激活，保证应用在短时间内完全恢复正常使用。
● 为用户构建高容错、高安全、高性能的集群容灾平台。多个功能模块之间相互协作，实现服务器、磁盘阵列、存储通道等软硬件完全容错，解决了传统高可用方案的单点故障，为用户构建零数据丢失和应用高可用保护的高级集群容灾方案。
● 存储之间的数据复制不经过网络，而是由存储之间进行复制。
● 两个存储之间的复制是完全实时的，不存在任何时间延时。
● 主备存储之间的切换时间小于500ms，以确保系统存储时不产生延时。
● 硬盘盘符及分区不因为主备存储之间的切换而改变。
● 服务器的切换，不影响存储之间的初始化，增量同步及数据复制。
● 某一存储设备的计划性停机，不影响整个服务器双机热备系统的工作。
● 存储设备之间使用重复数据删除技术，完成增量同步工作。
● 真正的7X24小时或切换的全冗余方案。
四、系统组件架构
● 技术参数说明
开发工具
Eclipse/MyEclipse
数据库
Mysql/Oracle
第三方控件
第三方支付 API、短信邮件 API、ID5、SSL、诚信网站验证 API
系统架构
web 服务器：ngnix+apache 做负载均衡
技术架构： shove.java.play+mysql
● 采用 JAVA+Mysql(Oracle)数据库+ CentOS 操作系统+ lvs + squid等组件，功能强大、免费，可运行于多种操作平台。
● 精炼开发语言,保证无冗余代码,运行速度超快。
● J2EE封装技术,保证源码安全。
● 面向服务器、面向组件的渐进技术理念、具有发展潜力，能保证产品技术的可扩展性。
● 多层次服务架构层设计，系统灵活、易维护，从根本上保证了系统的延展性与扩展性。
● 各层之间的松耦合，保证服务及业务流程可配置可重构。
● 网页HTML静态化，常用内容静态化，效率高,消耗小，避免了大量的数据库访问请求，提高了整个系统的响应。
● 图片与页面进行分离,这样的架构可以降低提供页面访问请求的服务器系统压力,并且可以保证系统不会因为图片问题而崩溃,在应用服务器和图片服务器上,可以进行不同的配置优化,保证更低的系统消耗和更高的执行效率。
● 数据库集群和库表散列，在面对大量访问的时候,使用数据库集群或者库表散列，我们在应用程序中安装业务和应用或者功能模块将数据库进行分离,不同的模块对应不同的数据库或者表,再按照一定的策略对某个页面或者功能进行更小的数据库散列,最终可以在配置文件中进行简单的配置便能让系统随时增加一台低成本的数据库进来补充系统性能。
● 使用复制方式的缓存集群该集群对于客户端应用来说是透明的，在一个缓存服务器宕机的时候，对于客户端来说没有影响。当一个应用更新了缓存的时候，该缓存实例通知集群中的其他缓存服务器，由缓存集群自动完成各个缓存服务器中缓存数据的同步。
● 通过动态口令验证后，所有在网贷平台上发生的交易都将通过短信方式进行提醒，方便实时掌握账户安全。为防止登录密码窃取，找回密码功能目前只支持手机戒邮件劢态口令找回。