本研究使用C#程式語言，結合.Net Framework 4.0平台，開發醫療評鑑文件管理系統，研究範圍專注在網站安全性的機制設計，探討OWASP Top 10 網站安全十大風險及其因應對策，在Web應用程式設計上著力，做主動式之防護，諸如：電子資料之保護，防止跨目錄存取、XSS(跨站腳本攻擊)、SQL Injection(資料隱碼攻擊)、指令插入攻擊，與杜絕網頁威脅等課題。主要希望所建置的系統能夠防止駭客入侵網站、植入木馬程式、控制網頁、窺探文件檔案與竊取機密資料、或破壞系統，進而提高系統平台之安全性，保障資訊資產。

在系統建置上，資料庫連線資訊使用AES256與SHA512金鑰混合(Key Mixing)加密法，確保資料庫連線資訊的保密性；文件檔案亦使用AES256與SHA512金鑰混合(Key Mixing)加密法做加密，並且上傳至資料庫做儲存，可增加安全性；使用Regular Expression(規則運算式)編碼，過濾掉使用者輸入不安全的HTML標籤，以防止SQL Injection(資料隱碼攻擊)…等，各項實作結果，皆符合達成高安全性之Web系統功能之目的。

透過本研究之安全性機制設計，可以有效阻絕駭客對系統之攻擊，防止間諜窺探文件檔案與竊取機密資料、或破壞系統…等之資安事件的發生，確保文件檔案之有效性、完整性及可靠性，進而保障資訊資產及資訊安全。

In this thesis, we use the C# programming language and the .Net Framework 4.0 Platform to develop medical-evaluating document-management system. This scope of our study is focus on the mechanisms of the site security, discussions of OWASP Top 10 risks of site security and responses strategies. We concentrate our attention on web-application design and active protection, such as Electronic Data protection, Cross-Directory Access SQL Injection data injection attacks, command injection attacks, and avoidance of web-threat and so on. The aim of this thesis is to build a system which can prevents hacking from websites, Trojan Horses, controlling pages, snooping files and stealing confidential information and further damaging the system. Thus, the security of the system platform can be improved so as to protect information assets.

In the setting of our system, we combine AES256 and SHA512 algorithms in information encryption of database connection to ensure the confidentiality. When we upload and store the files in the database, the crypto algorithms (combination of AES 256-bit Encryption and SHA-512 Hashing) is used to encrypt the document files for increasing security. The Regular Expression coding is used to filter out unsafe HTML tags form inputs, prevent SQL Injection attacks, etc. In the implementation results, our system achieves web functions with high security.

By the implementation of our configuration, systems could effectively avoid information security incidents and prevent hacker attacks and spies to steal document files and information. And we ensure the availability, integrity and reliability of uploading and storage of the document files, and guarantee information assets and information security.

中文摘要………………………………………………………………………….i
英文摘要…………………………………………………………………………ii
誌謝 3
目錄 4
表目錄 7
圖目錄 8
第一章 緒論 11
1.1 研究背景 11
1.2 研究動機 15
1.3 研究目的 16
1.4 研究範圍與限制 17
1.5 研究流程與架構 18
1.6 研究成果與貢獻 20
1.7 名詞解釋 21
第二章 文獻與相關技術探討 22
2.1 Web安全漏洞之探討 22
2.2常用的加密演算法 38
2.3本研究使用的加密演算法技術探討 41
第三章 研究方法 51
3.1 網站安全十大風險之防護設計 51
3.1.1「注入攻擊」之防護設計 51
3.1.2 「XSS跨站腳本攻擊」之防護設計 57
3.1.3「失效的驗證與連線管理」之防護設計 59
3.1.4「不安全的物件參考」之防護設計 63
3.1.5「跨站冒名請求」之防護設計 64
3.1.6「網站安全組態不當設定疏失」之防護設計 67
3.1.7「不安全的加密資料儲存」之防護設計 68
3.1.8「限制網址存取失敗」之防護設計 70
3.1.9「傳輸層保護不足」之防護設計 71
3.1.10「未驗證的重新導向與轉發」之防護設計 77
3.2 杜絕網頁威脅之設計 79
3..2.1網站結構最佳化設計 79
3.2.2登入系統畫面之圖形驗證碼設計 84
3.2.3資料庫連線資訊加密之設計 85
3.2.4文件檔案使用AES256與SHA512金鑰混合加密法做加密再上傳至資料庫 89
3.2.5使用規則運算式編碼，並過濾不安全的HTML標籤 93
3.2.6禁止按右鍵、防止按Ctrl＋C做複製等之功能 95
3.2.7使用Error Log記錄系統錯誤訊息 96
第四章 實作結果與分析 97
4.1有效防止另存網頁 97
4.2有效防止離線瀏覽工具將整個網站抓下來 99
4.3有效防止目錄探索及跨目錄存取 100
4.4有效防止按右鍵與防止複製 101
4.5有效防止輸入不安全的HTML標籤 102
4.6 Error Log記錄操作不當造成之系統錯誤訊息 103
第五章 結論與建議 104
5.1結論 104
5.2建議 105
5.3未來研究方向 106
5.4未來展望 106
參考文獻 108

[ 1] 資安人編輯部，一錯再錯 東森購物再洩個資8千筆，Information Security 資安人科技網，資安直擊 線上論談，URL：http://www.informationsecurity.com.tw/Forum/reply.aspx?tid=6，民國98年9月。
[ 2] 資安人編輯部，戰國策4,270資料外洩Google全露，Information Security 資安人科技網，資安直擊 線上論談，URL：http://www.informationsecurity.com.tw/Forum/reply.aspx?tid=13，民國99年4月。
[ 3] 曾龍，Detected Or Not Detected:資安偵測甘苦談，崑山科技大學，TAIS 2012 臺灣學術資訊安全國際研討會，民國101年6月。
[ 4] Verizon，2012 資料外洩調查報告，Verizon Communications Inc.，URL：http://www.verizonbusiness.com/resources/reports/es_data-breach-investigations-report-2012_zh-tw_xg.pdf，民國101年3月22日。
[ 5] Verizon，2008 Data Breach Investigations Report，Verizon Communications Inc.，URL：http://www.verizonbusiness.com/resources/.
[ 6] Verizon，2009 Data Breach Investigations Report，Verizon Communications Inc.，URL：http://www.verizonbusiness.com/resources/.
[ 7] Verizon，2010 Data Breach Investigations Report，Verizon Communications Inc.，URL：http://www.verizonbusiness.com/resources/.
[ 8] Verizon，2011 Data Breach Investigations Report，Verizon Communications Inc.，URL：http://www.verizonbusiness.com/resources/.
[ 9] Verizon，2012 Data Breach Investigations Report，Verizon Communications Inc.，URL：http://www.verizonbusiness.com/resources/.
[ 10] 閻一平，以CNS27002 資安規範探討基層公務機關之教育訓練，樹德科技大學資訊工程研究所碩士論文，民國99年6月。
[ 11] 秦文靜，由病安觀點談病人醫療隱私的維護，國泰綜合醫院 品質管理中心，99年度中區醫療區域輔導與醫療資源整合計畫－輔導區域內醫院建立醫療隱私維護計畫－醫療隱私研討會(第二場次)，民國99年9月11日。
[ 12] OWASP，OWASP Top-10 2010 Document，URL：https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project.
[ 13] 李柏逸，2010 OWASP Top10：弱點+Google search 大批量攻擊成主流，Information Security 資安人科技網，URL：http://www.informationsecurity.com.tw/article/article_detail.aspx?aid=5587。
[ 14] Troy Hunt，OWASP Top 10 for .NET developers，asafaweb.com，URL：http://asafaweb.com/OWASP%20Top%2010%20for%20.NET%20developers.pdf，民國100年11月。
[ 15]行政院國家資通安全會報， 資訊系統分類分級與鑑別機制參考手冊，民國99 年7 月。
[ 16] Diallo Abdoulaye Kindy and Al-Sakib Khan Pathan, A Detailed Survey on Various Aspects of SQL Injection: Vulnerabilities, Innovative Attacks, and Remedies, The Journal of Department of Computer Science, International Islamic University Malaysia, Malaysia, 2011, pp.6-8.
[ 17] 胡百敬，SQL Injection (資料隱碼)– 駭客的 SQL填空遊戲(上)，Microsoft Taiwan，URL：http://www.microsoft.com/Taiwan/sql/SQL_Injection_G1.htm。
[ 18]Kiran Maraju, CISSP, CEH, ITIL, SCJP, Security Code Review- Identifying Web Vulnerabilities, The Journal of Infosec Writers, pp.5.
[ 19] Michael Donnelly，An Introduction to LDAP，ldapman.org，URL：http://www.ldapman.org/articles/intro_to_ldap.html.
[ 20] msdn，System.DirectoryServices 命名空間DirectorySearcher 類別，Microsoft，URL：http://msdn.microsoft.com/zh-tw/library/9t2667d1.
[ 21] 羅敬翔，以語意為異常之惡意網頁偵測，國立中山大學資訊工程學系碩士論文，民國98年8月。
[ 22] 王思翰，合作式跨網站指令碼攻擊之防禦機制，中原大學資訊工程學系碩士論文，民國98年7月。
[ 23] 盧永翔，雲端服務之系統性能與資安事件的監控，昆山科技大學資訊管理系碩士論文，民國100年6月。
[ 24] 張智翔，淺談網路應用程式安全（一），中央研究院計算中心，通訊電子報，URL：http://newsletter.ascc.sinica.edu.tw/news/read_news.php?nid=1288。
[ 25]Dabirsiaghi, Arshan, Towards Automated Malicious Code Detection and Removal on the Web, The Journal of Open Web Application Security Project Aspect Security, Inc.,2007, pp.1-4.
[ 26] Allen Own，Web Security 網站安全基礎篇（二），Open Foundry，URL：http://www.openfoundry.org/en/tech-column/2354-web-security-。
[ 27] 翁浩正，Web Security 網站安全基礎篇（二），中央研究院計算中心，通訊電子報，URL：http://newsletter.ascc.sinica.edu.tw/news/read_news.php?nid=1917。
[ 28] msdn，HMACSHA1類別，Microsoft，URL：http://msdn.microsoft.com/zh-tw/library/system.security.cryptography.hmacsha1(v=vs.95).aspx。
[ 29] msdn，透明資料加密 (TDE)，Microsoft，URL：http://msdn.microsoft.com/zh-tw/library/bb934049.aspx。
[ 30] 李倫銓講師，C05-101 密碼學原理與技術(對稱式與非對稱式密碼技術)，行政院研究發展考核委員會。
[ 31] 張修維、馮星豪、許鈞皓、許哲源，具SHA-256功能之資料確認平台，致理技術學院，資訊網路技術系實務專題報告，民國96年。
[ 32] 程凱、戴鑑廷，AES 設計上的安全分析，陸軍軍官學校資訊系，黃埔學報第五十八期民國九十九年，WHAMPOA - An Interdisciplinary Journal 58(2010) 71-80
[ 33] Jianyong Huang, On the internal structure of the advanced encryption standard and two AES-based cryptographic constructions, University of Wollongong, University of Wollongong Thesis Collection 2012, May 7, 2012, pp.20-36.
[ 34] Syed S. Rizvi, Aasia Riasat, Khaled M. Elleithy, COMBINING PRIVATE AND PUBLIC KEY ENCRYPTION TECHNIQUES FOR PROVIDING EXTREME SECURE ENVIRONMENT FOR AN ACADEMIC INSTITUTION APPLICATION, International Journal of Network Security &; Its Application (IJNSA), Vol.2, No.1, January 2010, pp.1-3.
[ 35] Krishnamurthy G N, V Ramaswamy, Making AES Stronger: AES with Key Dependent S-Box, IJCSNS International Journal of Computer Science and Network Security, VOL.8 No.9, September 2008, pp.2-4.
[ 36] Seyyed Ali Emam† and Sareh Sadat Emami ††, Design and Implementation of a Fast, Combined SHA-512 on FPGA, IJCSNS International Journal of Computer Science and Network Security, VOL.7 No.5, May 2007, pp.1-4.
[ 37] 林尚毅，密碼學於小型通訊系統身份驗證之研究，國立雲林科技大學資訊工程系碩士班碩士論文，民國98年6月。
[ 38] William Stallings，賴榮樞譯，網路安全精要(第三版)(原著：Network Security Essentials: Applications and Standards Third Edition)，第3章 公開金鑰加密與訊息認證，台北市：碁峰資訊股份有限公司，ISBN：9789861548807，民國98年7月28日。
[ 39] Ryan Glabb, Laurent Imbert, Graham Jullien, Arnaud Tisserand, Nicolas Veyrat-Charvillon, Multi-mode operator for SHA-2 hash functions, ATIPS Laboratories, Department of Electrical and Computer Engineering, University of Calgary, R. Glabb et al. / Journal of Systems Architecture 53 (2007) 127–138, November 2006, pp.1-4.
[ 40] msdn，Regex.Replace 方法 (String, String)，Microsoft，URL：http://msdn.microsoft.com/zh-tw/library/xwewhkd1(v=vs.80).aspx.
[ 41] msdn，ASP.NET Cookie 概觀，Microsoft，URL：http://msdn.microsoft.com/zh-tw/library/ms178194(v=vs.80).aspx。
[ 42] msdn，Page.ViewStateUserKey屬性，Microsoft，URL：http://msdn.microsoft.com/zh-tw/library/system.web.ui.page.viewstateuserkey。


[ 43] msdn，善用ASP.NET內建功能來擊退網路攻擊，Microsoft，URL：http://msdn.microsoft.com/zh-tw/library/ms972969.aspx。
[ 44] msdn，SQL Server 使用大數值資料類型，Microsoft SQL Server 2008 R2，URL：http://technet.microsoft.com/zh-tw/library/ms178158.aspx。
[ 45] msdn，SQL Server 查詢 varbinary(max) 與 xml 資料行 (全文檢索搜尋)，Microsoft SQL Server 2008 R2，URL：http://msdn.microsoft.com/zh-tw/library/ms142531.aspx。
[ 46] Anurag Agarwal，10 Steps to Protect your Websites from SQL Injection Attacks，Director of Education Services, WhiteHat Security，URL：http://www.slideshare.net/jkeyser/10-steps-to-protect-your-site-from-sql-injection-attacks/，February 2010.
[ 47] 蔡孟儒，M-Cloud協助企業打造行動雲，鼎新電腦，企業通電子報 143期，URL：http://www.dsc.com.tw/newspaper/143/143-7.html，民國100年10月。