电子商务网站安全管理课件.ppt

《电子商务网站安全管理课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第10章电子商务网站的安全管理10.1电子商务网站安全网站越重要，安全问题所造成的危害就越大，现在，网络安全问题已成为网站管理上的焦点。网络安全问题层出不穷，可以说没有绝对安全的网络。网站安全一般可分为网站系统安全和数据安全两类。网站系统安全问题是指网站系统遭到未经授权的非法攻击或破坏；数据安全问题则指机要、敏感数据被窃取并非法复制、使用等。10.1.1电子商务网站面临的安全隐患要保护自己的网站首先要了解网站是怎样受到攻击的，然后才能拿出相应的对策，即所谓的知己知彼。常见黑客攻击手段众多，有一些利用系统众所周知的漏洞用公用的黑客软件进行攻击，但真正有威胁的则是那些具有创造性

2、的、有针对性的攻击。黑客常见攻击手段黑客对网络的攻击手段可以说多种多样，下面介绍几种常见攻击手段。1．通过获取口令，进行口令入侵2．放置特洛伊木马程序进行攻击3．拒绝服务攻击4．电子邮件攻击5．采取欺骗技术进行攻击6．寻找系统漏洞，入侵系统7．利用缓冲区溢出攻击系统常见的系统攻击方法端口扫描拒绝服务缓冲区溢出网络监听他们以系统设计或是管理人员的疏漏为突破口，最终侵入系统内部。下面简单介绍可能采用的手段。⑴信息的截获和窃取如果采用加密措施不够，攻击者通过互联网，电话网安装截获装置或在网关和路由器上截获数据，从而推出有用数据。⑵信息的篡改当攻击者熟悉网络信息格式后，通过技术手段

3、对网络传输信息中途进行修改并发往目的地，破坏信息完整性。⑶信息假冒当攻击者掌握信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。（4）交易抵赖包含多方面，如发信者时候否认曾发送过信息，收信者时候否认曾收到信息、购买者下了订单不承认，商家卖出的商品因价格差而不承认原有的交易等。2．电子商务网站安全需求保密性隐私性正确性和完整性不可抵赖性可控性10.1.3网站安全面临的主要问题及解决1．网站安全面临的主要问题（1）大多数网站设计，只关注正常应用，未关注代码安全。（2）黑客入侵后，未及时发现。（3）网站防御措施滞后，甚至没有真正的防御。（4）发现安全问题不能彻

4、底解决。2．网站安全问题的解决（1）进行代码安全性检测。(网上追踪，数据库，文件目录，CSS和JAVASCRIPT)（2）建立主动的安全检测机制。（2）进行有效的入侵防护。（3）针对网站安全问题，建立及时响应机制。跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。Sql注入攻击1.首先应该把精力放到对所有用户提交内容进行可靠的输入验证上。这些提交内容包括URL、查询关键字、http头、post数据等。只接受在你所规定长度范围内、采用适当格式、你所希望的字符。阻塞、

5、过滤或者忽略其它的任何东西。2.保护所有敏感的功能，以防被bots自动化或者被第三方网站所执行。实现session标记（sessiontokens）、CAPTCHA系统或者HTTP引用头检查。3.如果你的web应用必须支持用户提供的HTML，那么应用的安全性将受到灾难性的下滑。但是你还是可以做一些事来保护web站点：确认你接收的HTML内容被妥善地格式化，仅包含最小化的、安全的tag（绝对没有JavaScript），去掉任何对远程内容的引用（尤其是样式表和JavaScript）。为了更多的安全，请使用httpOnly的cookie。10.3电子商务网站安全措施分析传统网站安

6、全措施:防火墙防病毒漏洞扫描无法识别和阻止Web应用层攻击无法识别网页中存在的恶意代码，即网页木马Web应用程序漏洞形式复杂多样`路由器Internet防火墙交换机用户内部网外部网网络管理平台内网服务器群外网服务器群10.4安全问题的解决方法网站安全问题可能是计算机中最易发生的问题，因为网站暴露在外部，供外界进行访问，网上有精通各种专业知识的人，有各种爱好的人，所以出现安全问题不可避免。最好的办法是提高自己的安全意识和抗攻击能力。下面是对实践中容易出现疏漏的地方所提出的建议，遵循这些规则会对提高网站安全水平有帮助。⑴用户密码复杂性检验在用户注册时，要对密码的复杂性提出要求，

7、并在注册成功前进行复杂性检验，不合要求的不能通过注册，保证最基本的认证安全。⑵根密码要经常更换许多网站都有权限不等的管理员、版主等，他们分布在各地，难以管理，但却有着比一般用户多的权利，至少有更改主页、管理留言的职责，如果他们的密码泄露，也会影响网站安全，所以这些人员的密码应除了复杂性要求外，还要经常更换，以防密码泄露。⑶限制探测次数用户有时可能会由于操作错误输错密码，当然可以重新输入，但要限定重输的次数，防止攻击者猜测口令。⑷限制口令的有效期限制口令有效期，对于长期不用的口令要及时清除，尽可能的缩小被侵入的目标，