世事难料，服务器主机租用也会有一定的不安全

小的时候我们就学过亡羊补牢的故事，从中得到启发，但是在真正做事的时候这点道理还是没有很好的应用，而如今面对的服务器主机租用业务，它的安全更加需要专人的维护，所有可能发生的网络安全要提前预防。

网络安全这个词可以说一直都是很热的话题，通常和黑客等词语放在一起使用，无论是说是站在国家的角度还是企业的角度，网络安全因素都值得我们注重。

从事实上，自从2013年斯诺登事件以来，不断有类似的新闻报道，似乎中国每次都是“躺枪”。不过，不像当时斯诺登事件一石激起千层浪，现在对于企业来说平时的主机租用方面，更重要的是安全方面面，如何安全？需要各个方面的配合。

主机租用安全隐患

网络方面的东西，不能说绝对的安全，在某个时候可能因为操作不当，问题没有及时处理，造成严重的后果，服务器主机租用也不例外，不过专人的维护会大大减少这种风险。这里提到服务器可以和操作系统进行结合。

1、物理路径泄露

　　物理路径泄露一般是由于Web服务器处理用户请求出错导致的，如通过提交一个超长的请求，或者是某个精心构造的特殊请求，或是请求一个Web服务器上不存在的文件。这些请求都有一个共同特点，那就是被请求的文件肯定属于CGI脚本，而不是静态HTML页面。

　　还有一种情况，就是Web服务器的某些显示环境变量的程序错误的输出了Web服务器的物理路径，这应该算是设计上的问题。

2、目录遍历

　　目录遍历对于Web服务器来说并不多见，通过对任意目录附加“../”，或者是在有特殊意义的目录附加“../”，或者是附加“../”的一些变形，如“..”或“..//”甚至其编码，都可能导致目录遍历。前一种情况并不多见，但是后面的几种情况就常见得多，以前非常流行的IIS二次解码漏洞和Unicode解码漏洞都可以看作是变形后的编码。

3、执行任意命令

　　执行任意命令即执行任意操作系统命令，主要包括两种情况。一是通过遍历目录，如前面提到的二次解码和UNICODE解码漏洞，来执行系统命令。另外一种就是Web服务器把用户提交的请求作为SSI指令解析，因此导致执行任意命令。

4、缓冲区溢出

　　缓冲区溢出漏洞想必大家都很熟悉，无非是Web服务器没有对用户提交的超长请求没有进行合适的处理，这种请求可能包括超长URL，超长HTTP Header域，或者是其它超长的数据。这种漏洞可能导致执行任意命令或者是拒绝服务，这一般取决于构造的数据。

5、拒绝服务

　　拒绝服务产生的原因多种多样，主要包括超长URL，特殊目录，超长HTTP Header域，畸形HTTP Header域或者是DOS设备文件等。由于Web服务器在处理这些特殊请求时不知所措或者是处理方式不当，因此出错终止或挂起。

6、SQL注入

　　SQL注入的漏洞在编程过程造成的。后台数据库允许动态SQL语句的执行。前台应用程序没有对用户输入的数据或者页面提交的信息(如POST， GET)进行必要的安全检查。数据库自身的特性造成的，与web程序的编程语言的无关。几乎所有的关系数据库系统和相应的SQL语言都面临SQL注入的潜在威胁 。

7、条件竞争

　　这里的条件竞争主要针对一些管理服务器而言，这类服务器一般是以System或Root身份运行的。当它们需要使用一些临时文件，而在对这些文件进行写操作之前，却没有对文件的属性进行检查，一般可能导致重要系统文件被重写，甚至获得系统控制权。

8、CGI漏洞

　　通过CGI脚本存在的安全漏洞，比如暴露敏感信息、缺省提供的某些正常服务未关闭、利用某些服务漏洞执行命令、应用程序存在远程溢出、非通用CGI程序的编程漏洞。

如今没有绝对的安全，更好的方式是进行安全方面的防御，抵御可能发生的网络攻击和网络时间。