从黑客攻击看电子商务网站的安全.docVIP

从黑客攻击看电子商务网站的安全技术:黑客攻击 电子商务网站 安全技术 摘 要:本文旨在通过对绍兴某企业电子商务网客被黑客入侵过程的剖析，从中吸取经验教训。并从电子商务安全潜在的安全隐患安全体系电子网上商务交易中的安全措施 引 言 2004年7月15日，诸暨市公安局网监大队接到绍兴市某企业电子商务网站工作人员的报案，称该商务网站遭黑客入侵。该网站的技术员，在对网站服务器进行例行维护时，发现网站服务器意外重新启动，并发现服务器上多出了一些可疑的可执行文件，同时发现网站ftp服务器上新建了一个具有系统管理权限的用户：admin。对该网站服务器进行检查时，发现网站web访问日志记录下了入侵者的上网ip地址，从电信的宽带上网记录上查到了上网所用的帐号，及上网电脑网卡的mac地址，锁定了网站入侵者。入侵者在链接到该网站时，发现其中的“交友”栏目可以上传文件，根据经验，猜测这种类型的网站后台大多使用sql server 2000数据库；通过在上传所用的网页文件名后加’测试，发现该网站存在sql注入漏洞，用sql注入工具破译出“交友栏目”的后台管理用户和密码，并上传了一个asp木马网页文件；通过这个木马程序，发现网站服务器上的ftp服务软件是server_u，并开放了43958端口，于是上传了一个端口传发程序，把43958端口传发为1982端口，利用这个ftp服务软件的漏洞，控制了网站的ftp服务器；利用在ftp上新建的具有系统管理权限的用户admin,上传远程控制软件，完成了对网站服务器的完全控制。 此次黑客入侵使该电子商务网站丢失了近半个月的广告用户信息和汽车栏目的全部信息，使该电子商务网站一度停止运行，并且在处理丢失的广告用户信息时也遇到了不小的麻烦。随着Internet的发展，电子商务已经逐渐成为人们进行商务活动的新模式，越来越多的人通过Internet进行商务活动。电子商务安全问题也变得越来越突出，如何一个安全、电子商务应用环境，对信息提供足够的保护，已经成为和用户都十分关心的话题。电子商务的一个重要是利用技术来传输和处理商信息。因此，电子商务安全从整体上可分为两大部分：网络安全和网上商务交易安全。网络安全的内容包括：网络设备安全、网络系统安全、数据库安全等。网上商务交易在网络安全的基础上，实现电子商务的保密性、完整性、可鉴别性、不可伪造性和不可抵赖性。网络安全与网上商务交易安全是密不可分的，相辅相成，没有网络安全作为基础，网上商务交易安全就犹如空中楼阁，无从谈起；没有网上商务交易安全保障，即使网络本身再安全，仍然无法达到电子商务所特有的安全要求。 潜在的安全隐患 安全配置。不论采用什么，在缺省安装的条件下都会存在一些安全问题，只有专门针对安全性进行相关的和严格的配置，才能达到一定的安全度。千万不要以为系统缺省安装后，再配上很强的密码系统就算安全了。网络软件的漏洞和后是进行网络攻击的首选目标。冒用他人账号进行网上购物未进行审代码对于网程序，多存在严重的，对于电子商务站来说，。拒绝服务（DoS，Denial of Service）攻击。随着电子商务的兴起，对网站的实时性要求越来越高，DoS或DdoS对网站的威胁越来越大。以网络瘫痪为目标的袭击效果比任何传统的都来得更强烈，破坏性更大，造成危害的速度更快，范围也更广，而袭击者本身的风险却非常小，甚至可以在袭击开始前就已经消失得无影无踪，使没有实打击的可能。年美国“雅虎”、“亚马逊”受攻击事件就证明了这一点。 安全产品使用不当虽然不少网站采用了一些网络安全设备，但由于安全产品使用问题，这些产品并没有起到应有的作用。很多安全厂商的产品对配置人员的技术背景要求很高，超出普通网管人员的技术，就算是厂家在最初给用户做了正确的安装、配置，但一旦系统改动，需要改动相关安全产品的设置时，很容易产生许多安全问题。 6、缺少严格的网安全管理制度网安全最重要的还是思想上高度重视。网站安全需要用完备的安全制度来保障，建立和实施严的网安全制度与策略是真正实现安全的基。 由于的形式多种多样，涉及的安全问题各不相同，最核心和最关键的问题是交易的安全性。一般来说网上商务交易中普遍存在着以下几种安全隐患： 窃取信息。由于未采用加密措施，数据包经过截获。通过多次窃取和分析，可以找到信息的规律和格式，进而得到传输信息的内容，造成网上传输信息泄密。 篡改信息。当入侵者掌握了信息的格式和规律后，通过技术手段和方法，将网络上传的信息数据在中途修改，然后再发向目的地。假冒。由于掌握了数据的格式，并可以篡改通过的信息，攻击者可以冒充合法用户发送假冒的信息或者主动获取信息，而远端通常很难分辨。 攻击者可以对网络中的信息进行修改，掌握网上的机密信息，甚至可以潜入网络内部，其后果是非常严重的。 电子商务的安全：。保密性交易中的