超市收银漏洞及解决方法修改版.docx
《超市收银漏洞及解决方法修改版.docx》由会员分享，可在线阅读，更多相关《超市收银漏洞及解决方法修改版.docx（16页珍藏版）》请在冰点文库上搜索。
超市收银漏洞及解决方法修改版
第一篇：
超市收银漏洞及解决方法
超市收银漏洞及解决方法
商场超市收银漏洞，有时候就是收银员的损公肥私行为。
一般而言，商场超市收银漏洞会有四种常见方式。
本文将对常见的三四种商场超市收银漏洞方式进行简单的分析。
第一种常见的商场超市收银漏洞方式：
漏扫商品
这是最常见的情况了，但漏扫商品仅有不超过5%的部分进入个人腰包。
毕竟这个行业人员的流动性大，而且收银工作近于枯燥无聊，不少新员工和有点油了的老员工、注意力不集中的员工，都有可能出现漏扫商品的现象，因为是漏扫，只要顾客付款金额与电脑显示的金额一致，就绝对不会出现此单的长短款，只是漏扫的这部分商品不明不白地流失了。
另一种情况就是故意漏扫了，那样的情况下收银员得在事后想法转移余款，因为这时她比哪个都明白电脑那里显示的长短款可是要自己掏钱的。
第二种常见的商场超市收银漏洞方式：
高价低入
某日有点闲情，调平时很少看的收银数据看一下，发现一个很特别的商品名称及数据，显示玩具a，7元，伴随那单销售记录的还有一床电热毯（那可是南方的6月份啊）。
当时纳闷，咋还有如此名称的商品资料没有清理，转而问电脑部主管，玩具a是什么东西，答复居然是开业一年后的时候对玩具做过一次清场处理的，属当时编的均价码，后来一直没有人管它至少有两年没用了，便不得不西服那些专心钻研“学问”的收银员了，这么远的历史都能研究出来。
迅速调出对应那台收银机的录像，录像里显示那顾客买了两个单价为35元一个的玩具、一个砧板、一把菜刀、外加一堆其他商品，刚才说了玩具是有那玩具a的记录的，砧板菜刀是没记录，至少电热毯也没见着了，初步估算全单应收为不低于250元，可那单实收才118元啊，光玩具一项就不见了63元了。
因为不少是手输码的，防损员也只能说看到每一个好像收银员都有拿在手里输过了，也给了不少钱的，其他的全推不知道了。
第三种常见的商场超市收银漏洞方式：
偷梁换柱
这类事件在非食品特别是家杂区最甚，各位看看你们家杂区的商品命名，几乎同名或是雷同的商品应该不少吧，拿上一堆标价签或是名称，随便抓一个不是很熟悉那个区域的员工去问一下，看一下有几个能知道是什么东西，能不能名品和商品形成印象中的关连。
再拿个简单的类别吧，看一下针织类的毛巾系列，拿一堆商品过来，相信没有几个人能说出哪种多少钱，哪种贵点，连基本的印象都没有，难道你还能要求区域的员工对每一件有顾客需要的商品全跟要收银台去确认一次，看着人家买完单?
其他的如砧板、菜刀、杯子等家杂商品就更加了，将高价商品按另一个低价同类商品的店内码入电脑收银。
第四种常见的商场超市收银漏洞方式：
频繁取消
这个方法算上点高智商的了，也是最难发现的，将作重点讲述。
频繁取消顾客所购物商品，在前一个顾客大额买单没要电脑小票的空档，将此单挂起，再随便打个如捧捧糖之类小商品，直接点收银，当着你的监控摄像头将小票取下来撕掉丢垃圾筒。
不管是录像还是防损或别人，乍一看去，她是打了小票出来的，只是顾客没要，于是撕了丢垃圾筒了。
请注意，在顾客离开后，虽然用小商品出票了，但前一单仍处于挂单状态，她再调出来，对部分商品进行取消操作（当然有的如果有全单取消的权限也许会被全单取消掉了），最后才按收银结帐，这样她便能迅速地算出钱箱里有多少钱是自己的了，找个机会拿出来即可
第二篇：
常见安全漏洞的处理及解决方法
相关名词解释、危害与整改建议
1、网站暗链
名词解释
“暗链”就是看不见的网站链接，“暗链”在网站中的链接做的非常隐蔽，短时间内不易被搜索引擎察觉。
它和友情链接有相似之处，可以有效地提高PR值。
但要注意一点PR值是对单独页面，而不是整个网站。
危害：
网站被恶意攻击者插入大量暗链，将会被搜索引擎惩罚，降低权重值；被插入大量恶意链接将会对网站访问者造成不良影响；将会协助恶意网站（可能为钓鱼网站、反动网站、赌博网站等）提高搜索引擎网站排名。
可被插入暗链的网页也意味着能被篡改页面内容。
整改建议：
加强网站程序安全检测，及时修补网站漏洞；
对网站代码进行一次全面检测，查看是否有其余恶意程序存在；建议重新安装服务器及程序源码，防止无法到检测深度隐藏的恶意程序，导致重新安装系统后攻击者仍可利用后门进入。
2、网页挂马
名词解释
网页挂马是通过在网页中嵌入恶意程序或链接，致使用户计算机在访问该页面时触发执行恶意脚本，从而在不知情的情况下跳转至“放马站点”（指存放恶意程序的网络地址，可以为域名，也可以直接使用IP地址），下载并执行恶意程序。
危害：
利用IE浏览器漏洞，让IE在后台自动下载黑客放臵在网站上的木马并运行（安装）这个木马，即这个网页能下载木马到本地并运行（安装）下载到本地电脑上的木马，整个过程都在后台运行，用户一旦打开这个网页，下载过程和运行（安装）过程就自动开始，从而实现控制访问者电脑或安装恶意软件的目的。
整改建议：
加强网站程序安全检测，及时修补网站漏洞；
对网站代码进行一次全面检测，查看是否有其余恶意程序存在；建议重新安装服务器及程序源码，防止有深度隐藏的恶意程序无法检测到，导致重新安装系统后攻击者仍可利用后门进入。
3、SQL注入
名词解释
SQL注入就是通过把SQL命令插入到Web表单提交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令。
危害：
可能会查看、修改或删除数据库条目和表。
严重的注入漏洞还可能以当然数据库用户身份远程执行操作系统命令。
整改建议：
补救方法在于对用户输入进行清理。
通过验证用户输入，保证其中未包含危险字符，便可能防止恶意的用户导致应用程序执行计划外的任务，例如：
启动任意SQL查询、嵌入将在客户端执行的Javascript代码、运行各种操作系统命令，等等。
4、跨站点脚本
名词解释
跨站点脚本编制攻击是一种隐私违例，可让攻击者获取合法用户的凭证，并在与特定Web站点交互时假冒这位用户。
危害：
可能会窃取或操纵客户会话和cookie，它们可能用于模仿合法用户，从而使黑客能够以该用户身份查看或变更用户记录以及执行事务。
整改建议：
应对跨站点脚本编制的主要方法有两点：
不要信任用户的任何输入，尽量采用白名单技术来验证输入参数；输出的时候对用户提供的内容进行转义处理。
5、弱口令
名词解释
弱口令指的是仅包含简单数字和字母的口令，例如“123”、“abc”等，因为这样的口令很容易被别人破解，从而使用户的计算机面临风险，因此不推荐用户使用。
危害：
在当今很多地方以用户名（帐号）和口令作为鉴权的世界，口令的重要性就可想而知了。
口令就相当于进入家门的钥匙，当他人有一把可以进入你家的钥匙，想想你的安全、你的财物、你的隐私。
因为弱口令很容易被他人猜到或破解，所以如果你使用弱口令，就像把家门钥匙放在家门口的垫子下面，是非常危险的。
整改建议：
针对后台或者网络管理员的弱口令比较好解决，强制对所有的管理系统账号密码强度必须达到一定的级别。
（如使用数字+字母+特殊字符和大小写）。
6、任意文件下载
名词解释
利用路径回溯符“../”跳出程序本身的限制目录实现下载任意文件。
危害：
可以实现下载服务任何文件。
整改建议：
在下载前对传入的参数进行过滤，直接将..替换成空，对待下载文件类型进行检查，判断是否允许下载类型。
7、目录遍历漏洞
名词解释
通过目录便利攻击可以获取系统文件及服务器的配臵文件等等。
危害：
可能会查看Web服务器（在Web服务器用户的许可权限制下）上的任何文件（例如，数据库、用户信息或配臵文件）的内容。
整改建议：
防范目录遍历攻击漏洞，最有效的办法就是权限控制，谨慎处理传向文件系统API的参数。
最好的防范方法就是组合使用下面两条：
1、净化数据：
对用户传过来的文件名参数进行硬编码或统一编码，对文件类型进行白名单控制，对包含恶意字符或者空字符的参数进行拒绝。
2、web应用程序可以使用chrooted环境包含被访问的web目录，或者使用绝对路径+参数来访问文件目录，时使其即使越权也在访问目录之内。
www目录就是一个chroot应用。
8、phpinfo信息泄露
名词解释
通过Phpinfo文件泄露网站环境的详细信息。
危害：
phpinfo（）函数返回的信息中包含了服务器的配臵信息，包括：
1）PHP编译选项以及文件扩展名的相关信息；2）php的版本信息3）php的配臵信息；4）数据库信息；等敏感信息。
这些敏感信息会帮助攻击者展开进一步的攻击。
整改建议：
限制此类脚本的访问权限或者删除对phpinfo（）函数的调用。
9、数据库下载
名词解释
直接通过浏览网页或输入url，下载网站的数据库。
危害：
通过下载数据库查看网站的关键信息、人员的敏感信息。
整改建议：
修改数据库文件名，数据库名前+“#”。
第三篇：
商超收银主管的主要职责
商超收银主管的主要职责：
职责一
职责表述：
负责款员日常管理及人员调配工作
及时学习、掌握国家的税收法律，并运用到实际业务中。
对本企业每个月的各税种税金的交纳情况进行预测、统计、分析并及时向财务经理反馈.
全面负责出纳室工作，包括销售款回收、存款及货币资金安全。
负责款员日常管理及人员调配。
负责款台设置及调配。
负责日常零钱兑换。
负责款台及现金柜组的日常抽查。
负责款员培训。
负责销售分劈单的制作。
按程序做好与相关部门的横向联系，积极接受上级和有关人员的监督检查。
努力钻研本职工作，不断提高专业水平，发挥团队精神，积极提出合理化建议。
完成分公司领导布置的其他工作任务。
努力钻研本职工作，不断提高专业水平，发挥团队精神，积极提出合理化建议。
职责二
职责表述：
参与公司财务方面的相关事宜
行公司财务相关事件和突发事件的处理解决；
与其他部门协调执行的工作以及其它临时性工作；考核指标：
专业知识与技能、重要任务完成情况部门之间的合作满意度、客户满意度
商超收银员职责：
收银员：
结算现金，申报日报表给总公司财务。
条件：
1、了解公司各项规章制度
2、熟悉收银业务运作
3、熟练掌握各种收银设备的操作技能
4、具备一定的服务意识和销售技巧，服从、协作意识强。
5、具备基本的电脑知识和财务知识。
6、具有识别假钞和鉴别支票真伪的能力。
收银员要求：
营业前：
1、到指定地点领取备用金，并在登记本上签名，兑换充足的零钞，当面清点。
2、到达收银员依次开UPS电源、显示屏、主机、将显示及客户屏调整到最佳角度。
3、输入密码，进入销售状况，打开钱箱，放入备用金。
4、检查前一日银行卡是否结账，如有异常立即向主管汇报。
5、认真检查收银机、扫描器是否正常，如有异常立即向主管汇报。
6、将营业所需的收银专用章、私章、印台摆放好，清点办公用品是否齐全，并注意合理摆放，检查购物袋存量是否足够。
7、分类整理好报纸及公司有关促销传单，并合理摆放。
准备营业。
营业中：
8、严禁将营业款带出服务中心。
9、上岗时严禁携带私人物品（私款）和私换外币。
10、顾客来到收银台前，收银员应及时接待，不得以任何理由推诿。
收银员应熟悉各种商品条码的位置。
11、收银员在进行扫描时，应站姿端正，身体与收银台、收银机保持适当距离，不许靠在收银台上。
12、商品输入机时正确、规范扫描器最敏感的地方按扫描器箭头方向将商品划过（商品与扫描器应保持适当距离，不能将商品在扫描器上磨擦，或在扫描器上不停晃动），当听到“嘟”的响声后，核对商品与电脑显示的品名、规格、单价、数量是否一致。
13、商品输入电脑后，要认真核对商品品名、规格、单位、数量、价格，当电脑显示的商品与实物不符时：
1）柜台打错价，可在收银收银检查员证明后按底价售出，差价由柜台负责人赔偿，收银员应立即向主管汇报。
2）商品品名、规格、条码（编码）不符或商品无条码时，应委婉地向顾客解释并及时统计还原。
营业后：
14、拿好备用金、营业款及各类单据到指定地点做单。
15、按公司规定的金额留存备用金。
点备用金时，首先从面额最小的开始点起，点完后要复核一遍。
16、按规定格式填写现金缴款单，要求字迹工整清晰，不得涂改。
17、填写现金缴款单时，应将现金全部点完并整理好，复核一遍后，再根据现金面额逐一填写缴款单。
填写完毕后，复核缴款单的小计、合计是否正确，然后用计算器直接将现金加一遍缴款单内容是否填写完整。
无误后将现金缴款单的第二联与营业款装入现金袋并锁好、
18、拿好现金缴款单、备用金、营业款到指定地点，在登记本上签名后，交主管签收，将备用金有序的放入保险柜内。
19、收银员须待顾客全部离场后方可退出工作状态，再按规定关机，锁好收银专用章及办公用品，交出钥匙、
20、做好收银台前陈列商品的卫生清洁工作。
适应角色转变，扎实开展团的工作
———共青团铁东区委书记的述职报告
2011年是适应角色转变、思想进一步成熟的一年。
这一年，自己能够坚持正确的政治方向，紧紧围绕党的中心，立足本职岗位，较好地完成本线的工作任务。
自己政治觉悟、理论水平、思想素质、工作作风等各方面有了明显的进步和提高。
总的来说，收获很大，感触颇深。
一、以德为先，进一步提升个人思想素质
过去的一年，我以一个共产党员的标准，以一个团干部的标准严格要求自己，在个人的道德修养、党性锻炼、思想素质上有了很大的进步。
一是道德修养进一步提高。
作为一个团干部，我的一言一行、我的自身形象将直接影响到团委各成员，甚至更广大的青少年。
因此，在日常的工作和生活中，我每时每刻提醒自己，从小事做起，注重细节问题，做到干净做人、公正做事，以平常心看待自己的工作，要求自己在工作中诚实、守信、廉洁、自律，起好表率作用。
二是党性锻炼得到不断加强。
不断加强自己的党性锻炼，我严格按照《党章》和《中国共产党党员纪律处分条例》来要求和约束自己的行为，牢记党的宗旨，在团的工作中，以广大青少年的权益为出发点，务求时效。
三是政治思想素质不断提高。
一年来，我继续加强学习，积极参加理论中心组学习，经常自发利用休息时间学习，积极参加团省委组织赴井冈山革命传统与理想信念教育专题培训班、区委区政府组织赴清华大学县域经济培训班，通过“看、听、学、思”，进一步加深了对马列主义、毛泽东思想、邓小平理论、“三个代表”重要思想的理解，进一步系统掌握了党在农村的路线、方针、政策以及对共青团工作的要求。
特别是党的十七届六中全会以来，我通过学习原文、听专家讲课等，开拓了思想新境界，政治思想素质有了新的飞跃。
二、以能为先，进一步加强组织工作能力
在上级领导的信任和支持下，我本人也自加压力，抓住一切机会学习，注重与同事、与兄弟单位团委书记的交流，虚心请教，不耻下问，使各项工作都有序地开展。
一是工作的统筹安排能力不断加强。
我尽量做到工作提前一步，有计划、有安排、有预见性，保持思路清晰和决策的科学，力求操作有序，顺利开展。
二是工作的协调能力不断加强。
在工作中，我注重与上级的及时衔接、汇报，同时也注重与基层的交流沟通，听取多方意见和建议，从大局出发，对上做好配合，对下做好团结。
三是有创新地开展工作。
在工作中，我注重不断创新，使工作保持生机，使管理不断趋向人性化、合理化。
三、以勤为先，进一步提高团的业务水平
担任团委书记以来，认真了解情况、掌握知识，积极向团委领导、向前任书记学习、请教，了解团情、团史，努力掌握团的基本运作方式程序，便于更好地开展工作。
加强沟通了解，增加感情，深入基层，了解基层团组织和团员青年的有关情况，以“活动”来强化自己的知识和水平。
一年来，我立足以活动来促使自己尽快适应角色，迎接挑战。
今年五四，团区委以全区人居环境整治为依托，以“五四火炬传承九十二载生生不息，铁东青年投入人居环境立志强区”为引领，积极开展了“共青团路，红领巾街”，“铁东青年林”等一系列活动。
在活动中，增长了知识，深化了理解，使自己对团务工作有了全面的、系统的提高，为今后更好地提高团的业务水平打下了坚实的基础。
四、以绩为先，进一步完善团的组织建设
把《关于进一步深化“党建带团建”工作的实施意见》落到实处，把党的要求贯彻落实到团的建设中去，使团的建设纳入党的建设的总体规划。
依托党建，从政策层面来解决和落实基层团组织存在的问题和困难。
一是基层团干部的待遇问题。
积极争取党组织在团干部配备上的重视和支持，基层团干“转业”得到了很好的安排（叶赫的荣威，住建局遇良，卫生局王国宴等）；二是解决好基层团组织活动的经费问题。
积极争取专项，今年为每个乡镇街道从团省委争取经费三千元，共计三万六千元；三是团的基层组织格局创新工作。
按照“1＋4＋N”模式，通过换届调整选配了大批乡镇（街道）团干部，变原有的“团干部兼职”模式为现在的“兼职团干部”模式，提升了基层团组织的凝聚力和战斗力。
此次工作得到了团市委的充分认可，2011年四平市组织部班工作会议在我区召开。
以服务青年需求为目的，从单一组织青年开展活动转到生产环节，开展就业培训、创业交流、贫富结对；以服务党政中心为目的，发挥团组织自身优势，引导青年树立市场意识和投资意识，强化科技意识和参与意识，投身知识化、信息化和现代化、文明创建、环境整治、植绿护绿、社会治安等活动，把党政思路实践好。
突出做好当前新兴的农村、社区和非公经济组织建团工作，延长团的工作手臂，丰富团的组织形式。
先后与农联社、吉林银行等多家金融机构积极协调，为青年创业就业提供帮扶支持。
特别是吉林银行的“吉青时代”小额贷款项目更得到团省委的无偿贴息。
五、以廉为先，进一步保持清正廉明形象
作为新任职的年轻干部、党员干部，我既感受到了组织的信任与关怀，同时也感受到了责任重大。
我区在党委和政府的带领下，励精图治、奋发图强，取得了辉煌的成绩。
越是这种时候，就越需要我们这些干部保持清醒的头脑，保持共产党员的先进本色。
深知，作为一级干部，应该努力做到“清正廉洁”。
古人说“物必自腐而虫生”，腐败现象表现上看来是经济问题、道德问题，但深层次的原因却是理想信念出了问题。
要不断加强实践锻炼，要结合党的历史经验、改革开放和社会主义建设的实践以及自己的工作和思想实际，来刻苦磨炼自己。
勇于剖析自己，积极开展自我批评，净化自己的灵魂。
不断增强拒腐防变意识。
在思想上、在行动上、生活中争作表率。
在团区委开展“争做勤廉表率，竭诚服务青年”主题教育活动,召开机关党风廉政建设宣传教育活动动员会，全面启动党风廉政建设宣教活动。
按照学习贯彻区委、区纪委关于党风廉政建设和反腐败工作的部署和要求，学习党的十七届六中精神，强化组织领导，制定工作计划。
我们根据2011年党风廉政建设责任制考评要求，为了做好党风廉政建设和反腐败工作，成立了团区委党风廉政建设领导小组，并由我任组长。
按照“一岗双责”的责任要求，明确了单位正职领导作为第一责任人，每年约谈团干部一次，就有关廉洁从政个人“不准”和“禁止”行为适时对所管的团干部进行廉政谈话。
在2012年即将到来之际，共青团区委迎来组织部考核组，对共青团区委一年来的工作进的实地测评，感谢组织的帮助与关怀，今后我们更要自觉地接受组织的监督与考核。
铁东区的发展已经取得了令人瞩目的成就，而今又开始了新的征途。
广大青年有幸成为亲历者，成为追随者，同时我们也是共享发展成果的受益者。
我们应该心怀感恩，心存畏惧，“做一个组织和群众信赖的人，做一个同事和朋友敬重的人，做一个亲属子女可以引以为荣的人，做一个回顾人生能够问心无愧的人”。
我们要牢记党的宗旨，全面贯彻党的方针路线，高举中国特色社会主义伟大旗帜，弘扬“攻坚克难、求富图强”的四平精神，坚定不移的实施“五区”战略的发展规划，为建设富裕和谐新铁东的伟大目标而不懈奋斗。
第四篇：
分享dedecmsDDOS挂马漏洞的解决方法
Dedecms是国内最有名的php开源系统，也是我们用的最多的一个系统，简单实用稳定是我们使用了多年的理由，正因为dedecms的开源，也导致了很多黑客盯上了这个程序，没日没夜的研究dedecms的漏洞，也就在最近终于爆发了，很多dedecms的网站都被挂马了，有的被机房警告，重的被机房强行关站，数不胜数。
我想说的是既然问题出现了我们就要去解决，只有解决了，你的网站才会长期稳定发展下去。
首先从问题的特征跟大家一一介绍。
被挂马的特征：
打开自己的网站首页，用查看源代码的方式会发现自己的网站被增加了许许多多的黑链代码，黑链代码是最简单也最能让站长们看出来的，他无非就是友情链接的代码。
再一个特征就是打开网站会被360安全提示网站存在挂马风险，这一类型的挂马代码，一般是框架代码或者是js代码或者是图片代码，还有个特征就是网站会突然打不开或者打开慢，检查流量会发现自己占用了许多流量，也就是说流量往外发包的特征，也叫UDP流量发包攻击。
以上就是dedecms被挂马的大体特征，下面就讲点实际的，网站被挂马的解决办法和预防措施。
首先把网站程序的代码下载到自己的本地，用sinesafe木马清除工具检测了一下，发现data/cache/目录下有许多脚本木马，打开木马脚本发现了一些不认识的PHP代码，把代码放到sinesafe木马工具里深度剖析了一下发现了木马特征，代码如下：
php
set_time_limit（984918）;
$host=$_GET['host'];
$port=$_GET['port'];
$exec_time=$_GET['time'];
$Sendlen=65535;
$packets=0;}
echo"==
";
echo"
";
echo"SYNFlood模块
";
echo"作者：
ybhacker
";
echo"警告：
本程序带有攻击性,仅供安全研究与教学之用,风险自负!
";
echo"==
";
echo"攻击包总数：
".$packets."个数据包
";echo"攻
击
总
流
量
：
color=Red>".round（（$packets*65*8）/（1024*1024）,2）."Mbps
";
echo"攻击总字节：
".time（'h:
i:
s'）."字节
";
echo"Packetcompleteat".time（'h:
i:
s'）."with$packets（".round（（$packets*65*8）/（1024*1024）,2）."Mbps）packetsaveraging".round（$packets/$exec_time,2）."packets/s\n";?
>
我在网上查到这是udp流量攻击的php脚本木马，这个木马就是可以以网站脚本的权限运行就可以达到ddos流量攻击的效果。
无需服务器的权限，这我才明白过来为什么机房说我网站一直都在往外发包，运行这个脚本的网站都会打开缓慢，我的网站也在其中。
既然找到了问题所在，那我就要开刀了，点击清除木马代码，一下全都给清除了。
Data/cache/目录下已经没有陌生的文件名了。
最后总结了一下分五个解决和预防措施。
1dedecms目录的安全设置：
data/cache/templetsuploads目录设置可读写，不可执行权限。
include、member、plus设置可读可执行不可写权限，由于dedecm
升级会员 