电子商务网站的安全与管理.ppt

本章内容简介 10.1 电子商务网站的安全 10.1.1 电子商务网站的安全隐患与安全需求 1．电子商务网站面临的安全隐患 （1）信息的截获和窃取。如果采用加密措施不够，攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据，获取机密信息或通过对信息流量、流向、通信频度和长度分析，推测出有用信息如消费者的银行账号、密码以及企业的商业机密等，从而破坏信息的机密性。 （2）信息的篡改。当攻击者熟悉网络信息格式后，通过技术手段对网络传输信息中途修改并发往目的地，破坏信息完整性。 （3）信息假冒。当攻击者掌握网络信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。如钓鱼网站就是指不法分子利用各种手段，假冒真实网站的URL地址以及页面内容，以此来骗取用户银行或信用卡账号、密码等私人资料。 （4）交易抵赖。交易抵赖包括多方面，如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者下了订货单不承认、商家卖出的商品因价格差而不承认原有的交易等。 2．电子商务网站安全需求 保密性 隐私性 正确性和完整性 不可抵赖性 10.1.2 电子商务网站安全措施分析 传统网站安全措施 : 防火墙 防病毒 漏洞扫描 10.1.3 网站安全面临的主要问题及解决 1．网站安全面临的主要问题 （1）大多数网站设计，只关注正常应用，未关注代码安全。 （2）黑客入侵后，未及时发现。 （3）网站防御措施滞后，甚至没有真正的防御 。 （4）发现安全问题不能彻底解决。 2．网站安全问题的解决 （1）建立主动的安全检测机制。 （2）进行有效的入侵防护。 （3）针对网站安全问题，建立及时响应机制。 10.1.4 常见ASP网站漏洞及防范对策 1．常见ASP网站漏洞 （1）ASP程序密码验证漏洞。 如在登录验证中用到类似以下的SQL语句： sql=select * from users where username=usernameand pass= pass 此时，只要构造一个特殊的用户名和密码，如 or ，就可以进入本来没有特权的页面。把username= or 和pass= or 代入上面那个语句，结果如下： sql=select * from users where username= or and pass= or “ 这种通过把SQL命令插入到Web表单递交或页面请求的查询字符串，最终达到欺骗服务器的目的攻击手段称为“SQL注入式攻击”。 （2）mdb数据库可能被下载的漏洞 在用Access做后台数据库时，如果有人通过各种方法知道或者猜到了服务器的Access数据库的路径和数据库名称，那么他就能够下载这个Access数据库文件。 解决方法：是为数据库文件名称起个复杂的非常规的名字，并把它放在几层目录下。例如2012d34ksfsl718f.mdb，把它放在如./rhff/i67/的几层目录下。 （3）代码漏洞。代码漏洞有很多形式，如数据库连接错误导致Web服务器错误提示，而这些错误提示中可能会含有数据库或表等重要信息。又例如后台程序只有主程序验证了管理员的身份信息，而其他页面忽视了身份验证，使得非法用户可以绕过登录而直接打开后台的某个管理页面。 2．网站防范对策 天天关注你负责的网站 定期备份数据库和供下载的文档 密码要健壮 网站改版后，如需保留旧版，要记得删除旧版的后台 文件时间一致原则 要把数据库扩展名更名为.asa 给用户尽可能少的功能和权限 出错信息越模糊越好 及时替换掉染毒页面 定期修改密码 10.2 电子商务网站运营与管理 建立电子商务网站并不是最终目的，而仅是电子商务网站运营的开端。网站运营初期，由于在客户群体中的知名度较低，需要对网站进行宣传推广和营销管理，同时为了满足客户不断增长的服务需求，管理人员应该对网站进行综合维护和信息更新。 10.2.1 电子商务网站运营与管理的内容 【例10-1】 系统出错——卓越上千元图书只要25元 “昨晚卓越网上的书25元随便买，有谁买了吗？”“快抢啊，几千块的书只要25元”……昨日凌晨，包括重庆、上海、北京在内的网友不断在泡泡网、开心网等论坛上发出上述帖子。一套全19册《宋元明清书目题跋丛刊》的商品说明中显示，其市场价为4600元，卓越网当晚价格标为25元，后面还提示“为您节省4575元”，而超级VIP价则仅为23.75元。据悉，当晚有大量来自上海、北京、天津等地的网友抓住了“机会”。 大量上千元的图书只卖25元，难到天上会掉馅饼？天亮后正等着收货的网友，却等来了卓越方面退单的通知。（资料转自新浪网2009-12-2