信息安全行业的一位首席Web安全专家称，一年多前发现的哈希算法漏洞可能成为Web上最危险的安全漏洞。
在2010 RSA大会上，WhiteHat首席安全技术官Jeremiah Grossman正式提出去年中排名前十位的网络黑客攻击技术。一月份，Grossman首次在其博客上列出这一第四年度列表，他试图阐明那些往往不会引起人注意但有重大意义的攻击研究。
排在这一列表首位的是创建流氓认证职权的实现，这有效地击败了因特网的信任基础设施，并使用户难以获知哪个站点和证书是可信的。
这一漏洞最初是由一个安全研究小组（其中包括独立研究员Alex Sotirov）在2008年年底发现的。该攻击针对的是MD5哈希算法中的漏洞，在特殊情况下它能够以复制假冒数字指纹的形式来发动攻击。
Grossman称，如今一些CA（证书的签发机构）仍然在使用MD5，但已逐渐被一种更安全且没有这一漏洞的SHA-1哈希函数所淘汰。
列表中排名第二的是一种HTTP参数污染的技术。通过向网站发送多重请求使得绕过输入验证检查和Web应用防火墙，进而修改web页面内容和客户端应用的行为成为可能。
“你可以通过利用同一名称的多重URL参数来改变后端行为，这也很可能使得用户毁掉他们自己的Yahoo邮箱账户。”
Grossman不可能详细阐述每一种黑客技术的细节，但他还是强调了给私有内网带来特别重大风险的一些黑客技术。包括DNS重绑定。在这种攻击渠道上有几种技术，基本上攻击的是DNS 服务器 以及通过浏览器获取IP地址使得攻击者能够访问到安全内网区域。
Grossman称，即使DNS重绑定已存在好几年了，它或多或少仍未得到完全修复……它实际上可以将浏览器转变为网络代理来执行攻击者的指令。这是种非常猖狂的攻击方式。
同样地，另一种方式RFC-1918同样可以让攻击者通过使用中间人攻击的方式（包括指向非公开路由IP地址的iframe注入）获取对受信内网的访问权限。
Grossman说：“你可能突然间就存储了他们浏览器上的Javascript恶意软件，即使受害者关闭了浏览器，它还是会永久存储在那儿，因为攻击者是在流里的。”
Dallas的工程公司Huitt-Zollars的信息技术主管Glenn Ridnour在出席此次会议时表示，Grossman所谈到的技术并不全是新的，但令攻击者能够访问内网的漏洞的确让人感到不安，因为攻击者可以利用这一漏洞轻易地在各台机器间来回切换。
Ridnour说，“我们花了很多时间来建立防火墙和过滤器，但这种攻击方式不受其他所有因素的影响。”
Grossman在会议中表达的关键主题是：成功防御网站的Web漏洞不仅需要安全的浏览器还需要一个安全的网站基础架构。
“网站必须能够防御敌对用户攻击，同时浏览器必须能够防御恶意网页，就好比你无法只用一只翅膀来飞。”
iis怎么配置web服务器？
第一步：IIS的安装A.在控制面板中选择“添加/删除程序”，在出现的对话框中选择“添加/删除Windows组件”。 B.在出现的复选框中选择安装Internet信息服务(IIS)，这一组件约需19MB的空间。 C.点击“下一步”，并将Win2000安装光盘放入光驱，安装程序即可将程序文件复制到硬盘中，点击“结束”即可完成。 第二步：IIS中Web服务器的基本配置IIS中Web服务器的基本配置主要包括如下几部分：A.打开IIS服务器的配置窗口，选择“开始”→“程序”→“管理工具”→“Internet服务管理器”，或者“选择”→“控制面板”→“管理工具”→“Internet服务管理器”也可，打开的窗口。 B.在打开的窗口中鼠标右击“默认Web站点”，选择“属性”菜单。 C.在出现的“默认Web站点属性”窗口中，选择“主目录”标签，用以设置Web内容在硬盘中的位置，默认目录为“C:\Inetpub\Wwwroot”，你可根据需要自己设置。 D.在属性窗口处选择“文档”标签，设置自己默认的首页网页名称，例如“”，将其添加并移动到列表的最顶端。 E.确认默认的Web站点是否已经启动，如果没有可以鼠标右键点击“默认Web站点”，选择“启动”，在打开的IE地址栏中键入本机的IP地址，即可看到自己指定的主页已经开始在Internet上发布了。 这里只是介绍IIS最基本的设置选项，大家还可以按照需要去具体设置上面提到的“默认Web站点属性”，通过它来配置IIS的安全和其他一些参数。 IIS虽然好用，但默认安装的情况下，它也有很多的安全漏洞，包括着名的Unicode漏洞和CGI漏洞，因此在IIS安装完成之后，建议继续在微软公司主页上下载安装它们提供的安全漏洞补丁SP1和SP2。 此外，建议将磁盘的文件系统转换成NTFS格式，安装系统的分区可在系统安装候转换，也可在安装完系统以后用PQMagic等工具进行转换。
怎么避免DOS的攻击
DoS（Denial Of Service），拒绝服务的缩写，是指故意攻击网络协议实现的缺陷或直接通过野蛮手段耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务，使目标系统停止响应甚至崩溃。 这些服务资源包括网络带宽，文件系统空间容量，开放的进程或者允许的连接。 这种攻击会导致资源的匮乏，无论计算机的处理速度多快、内存容量多大、网络带宽的速度多快都无法避免这种攻击带来的后果。 大多数的DoS攻击是需要相当大的带宽的，而以个人为单位的黑客没有可用的高带宽资源。 为了克服这个缺点，DoS攻击者开发了分布式的攻击。 攻击者利用工具集合许多的网络带宽来同时对同一个目标发动大量的攻击请求，这就是DDoS（Distributed Denial Of Service）攻击。 可以说DDoS攻击是由黑客集中控制发动的一组DoS攻击的集合，这种方式被认为是最有效的攻击形式，并且非常难以抵挡。 如何防止DoS/DDoS攻击各种DoS攻击软件都可以很轻松地从Internet上获得，DoS攻击给飞速发展的Internet网络安全带来重大的威胁。 然而从某种程度上可以说，DoS攻击永远不会消失并且从技术上目前没有根本的解决办法。 面对凶多吉少的DoS险滩，我们该如何应付呢？让我们首先对造成DoS攻击威胁的技术问题作一下总结。 DoS攻击可以说是如下原因造成的。 1．软件弱点造成的漏洞。 这包含在操作系统或应用程序中与安全相关的系统缺陷，这些缺陷大多是由于错误的程序编制，粗心的源代码审核，无心的副效应或一些不适当的绑定所造成的。 由于使用的软件几乎完全依赖于开发商，所以对于由软件引起的漏洞只能依靠打补丁来弥补。 2．错误配置也会成为系统的安全隐患。 这些错误配置通常发生在硬件装置、服务器系统或者应用程序中，大多是由于一些没经验、不负责任员工或者错误的理论所造成。 因此我们必须保证对网络中的路由器、交换机等网络连接设备和服务器系统都进行正确的配置，这样才会减小这些错误发生的可能性。 3．重复请求导致过载的拒绝服务攻击。 当对资源的重复请求大大超过资源的支持能力时就会造成拒绝服务攻击。 要避免系统遭受DoS攻击，从前两点来看，网络管理员要积极谨慎地维护整个系统，确保无安全隐患和漏洞；而针对第三点的恶意攻击方式则需要安装防火墙等安全设备过滤DoS攻击，同时强烈建议网络管理员定期查看安全设备的日志，及时发现对系统存在安全威胁的行为。 3Com公司是一个全面的企业网络解决方案提供商，旨在为企业用户提供“简单丰富、安全可靠且高性价比”的网络解决方案。 Internet支持工具就是其中的主要解决方案之一，包括SuperStack 3 Firewall、Web Cache以及Server Load Balancer。 作为安全网关设备的3Com SuperStack 3 防火墙在缺省预配置下可探测和防止“拒绝服务”以及“分布式拒绝服务”等黑客侵袭，强有力地保护用户的网络，免遭未经授权访问和其他来自Internet的外部威胁和侵袭。 而且3Com SuperStack 3 Server Load Balancer在为多服务器提供硬件线速的4～7层负载均衡的同时，还能保护所有服务器免受“拒绝服务”攻击。 同样3Com SuperStack 3 Web Cache不但为企业提供高效的本地缓存，也能保证自身免受“拒绝服务”攻击。
想知道bing的后台是linux服务器还是windows?
根据web服务器判断。 后台应该是windows。 Linux服务器就是采用Linux系统的网络服务器，同时也有采用windows的服务器，作用是类似的。 而Linux并不是一个特定的系统，而是使用Linux内核的系统， 现在发行版很多，Red hat只是其中一个发行版Linux服务器具有什么样的优势：1.稳定性Linux系统是众所周知最具稳定性的系统;事实上，实时上，以Linux系统的美国服务器用户在出现系统崩溃的反馈上比例非常少。 这对于用户来说，特别是小型和中小型企业的用户特别有价值，因为服务器系统一旦崩溃对企业的业务会造成很大的影响。 与windows相比，Linux处理不运行的进程的能力远高于windows，因为正是这些进程影响了windows的稳定性的主要因素。 再有就是重新启动的方面上来说。 Windows配置更改通常需要重新启动-造成不可避免的停机时间。 而Linux操作系统一般不需要重新启动，几乎所有的Linux配置变化可以在系统运行时进行，并不会影响相关的服务。 同样的，而Windows服务器必须经常频繁地进行碎片整理，而在Linux服务器上就很少需要进行这一步处理。 2.安全Linux是天生就比Windows更具安全性，无论是从服务器系统，桌面上或在嵌入式环境Linux系统都更具安全性。 因为Linux是基于Unix所发展的，从一开始就设计成一个多用户操作系统。 只有管理员或root用户，具有管理权限，和更少的用户和应用程序有权限访问内核。 这样的设计使得Linux无论在管理上还是在安全上都更加规范。 当然，Linux受到攻击较少受到病毒和恶意软件的频率更加小，如果存在漏洞时，往往会更加容易被发现。 在Linux的世界中，没有出现过已经潜伏了超过六年的内核漏洞。 在内部，同时，Windows系统的用户有时会隐藏在系统管理员的文件。 而在Linux服务器上上，系统管理员总能对所有的文件可见，并且这些文件始终处于受控状态。 3.硬件而Windows服务器通常需要频繁的硬件升级，以容纳不断增加的资源需求，Linux服务器更灵活性和可扩展性，无论处理器或机器架构都能很好地进行资源上的容纳。 如果企业有需要时，也很容易对Linux服务器进行重新配置，从而进一步减少了内存的需求，从而提高性能并保持事情就更简单了。 因为软件本身是免费，因而Linux服务器在应用开发上更能节约成本。 即使有企业购买了专业的版本，但是在性价比上它也比window或者其他系统更加高因为它通常包括基于用户的许可和一系列昂贵的附加组件，尤其是在服务器的安全机制上。 5.自由Linux服务器更具自由性，无论用户选择什么样的业务，都可以用Linux系统对业务进行更加自由的开发。
发表评论