E国(中国)有限公司电子商务中存在的安全隐患及其应对策略.doc
《E国(中国)有限公司电子商务中存在的安全隐患及其应对策略.doc》由会员分享，可在线阅读，更多相关《E国(中国)有限公司电子商务中存在的安全隐患及其应对策略.doc（24页珍藏版）》请在冰点文库上搜索。
电商07236号阳鑫磊 e国（中国）有限公司电子商务中存在的安全隐患及其应对策略
上海商学院
电子商务安全技术
期中考试
题 目 E国（中国）有限公司电子商务中存在的安全隐患及其应对策略
学生姓名
学号
指导教师
二级学院
专业班级
完成时间
3
目录
1．E国（中国）有限公司 1
1.1公司简介 1
1.2公司现状 1
1.3公司特点 2
2.公司业务流程图 3
3.公司存在的安全隐患 3
3.1客户端数据的完整性和有效性 3
3.1.1特殊字符的过滤 3
3.1.2数据库问题 4
3.2大量数据查询导致拒绝服务 5
3.3Cookie或用户身份的常用认证问题 5
4.主要解决技术 5
4.1代码解决技术 5
4.1.1防范脚本攻击 5
4.1.2防范sqlinjeciton攻击 7
4.1.3防止ASP木马 7
4.1.4Cookie或用户身份的常用认证问题的解决办法 8
4.2科技产品解决技术 9
4.2.1防火墙技术 9
4.2.2入侵检测系统（IDS） 9
4.2.3虚拟专用网（VPN）技术 9
4.2.4病毒防治技术 9
5.主流产品及产品应用 10
5.1防火墙 10
5.1.1网络级防火墙 10
5.1.2应用级网关 11
5.1.3电路级网关 11
5.1.4规则检查防火墙 11
5.2加密 12
5.2.1常规密钥密码体制 13
5.2.2数据加密标准DES 13
5.2.3公开密钥密码体制 13
5.3数字签名 14
5.4用户识别和安全认证 14
5.4.1认证的主要方法 14
6.解决方案 15
6.1技术措施 15
6.1.1信息加密技术 15
6.1.2数字签名技术 15
6.1.3防火墙技术 16
6.1.4数字证书 16
6.1.5病毒防范技术 16
6.1.6安全电子交易协议 16
6.2管理措施 17
6.2.1人员管理制度 17
6.2.2保密制度 17
6.2.3系统维护制度 18
6.2.4法律制度 18
6.1.5应急措施 18
7.结论 19
1 E国（中国）有限公司
1.1公司简介
公司成立时间：
1999年
公司网站：
地址：
北京市海淀区知春路甲48号盈都大厦A座17A
电话：
（010）58732930-825
电子邮箱：
eguojob@
企业规模：
目前已经发展成为拥有200多名员工的盈利的电子商务企业，在中国拥有上百万电子商务顾客群。
经营理念：
就是用互联网电子商务的手段，给广大消费者和企业提供最方便的服务和最优惠的价格。
经营产品：
食品百货、鲜花礼品、化妆品、个人护理、音像图书、软件游戏、玩具、数码家电、通讯器材、时尚家居、服装服饰、运动休闲、艺术音乐、汽车用品等等。
商业模式：
从管理、市场、采购、配送、到客户服务，E国始终不断尝试新的电子商务方法，创造新的电子商务业绩。
E国2000年推出的E国1小时彻底打破了电子商务在早期发展中的物流瓶颈，在E国提供1小时服务的地区为顾客提供高效快速的配送。
2001年E国成功地将线上和线下结合，推出创新的线上线下相结合的多渠道电子商务销售模式，为E国电子商务的盈利打下坚实的基础。
合作伙伴：
可口可乐，雀巢，西门子，高伦雅芙，曼秀雷顿等。
1.2公司现状
北京亿国天地电子商务有限公司是主营休闲时尚,食品日用、鲜花礼品、通讯家电、图书音像的大型综合网上商城。
E国网上商城以方便快捷、全面周到的服务闻名于国内的电子商务零售界，是中国最具竞争力的网上零售品牌之一。
亿国天地电子商务有限公司（），是以提供Internet相关服务为主的高科技跨国公司，业务遍及美国、日本、南韩、印度、香港等国家和地区。
1999年10月，亿国正式推出以“实用实利，服务百姓”为宗旨的e国百姓生活网（），旨在为百姓提供最大限度的实用与实利。
2000年4月e国网上商城推出“e国一小时”限时服务，利用互联网做销售平台，并自建物流配送系统，使e国迅速成长为中国电子商务网站中的黄金品牌。
2000年7月CNNIC网站评选，e国获得中国电子商务类网站第三名，最具影响力网站第二十九名。
2000年10月e国开展线下超市业务，使电子商务和传统商业更紧密地结合起来，现在e国在高档社区已开10家超市，e国不仅进行产品销售，同时利用互联网与厂商合作，把最大的方便，最好的服务奉献给顾客，e国的合作伙伴有百事、统一、大宝、IBM、微软等。
e国将不断改善网站，把电子商务推向更广阔的领域。
1.3公司特点
由美国麻省理工留学博士张永青先生创办，是中国成立最早、也是最成熟的电子商务公司之一。
1、拥有国外先进的营销管理理念与国内企业实际运作相结合的实践经验；
2、拥有集多年实际营销与技术于一身的咨询团队，为企业提供切实的咨询服务；
3、拥有规范、周致的实施队伍，为企业提供7*24小时的无忧服务；
4、拥有强劲的技术研发队伍，为企业量身定做适合自己的信息管理系统；
5、拥有优秀的项目控制能力，项目费用低于国内同行业费用；
6、拥有多年的电子商务支持，可使企业的产品销售迅速拓展；
同时，E国公司是美国斯坦福大学EPGY（GlobalLearningStanfordUniversityEPGY）独家全权授权的在中国大陆全面开展斯坦福大学EPGY业务的公司，也是美国斯坦福大学EPGY的中国代表处。
斯坦福大学EPGY（GlobalLearningStanfordUniversityEPGY）是斯坦福大学通过长达40年研究开发的主要面向中学生的远程教育系统。
EPGY课程包含小学、中学、大学程度的数学、物理、英语、计算机课程。
斯坦福大学EPGY每年在美国斯坦福校园和中国大陆开设学生夏令营。
如果学生以后在斯坦福大学入读本科，那么EPGY大学课程学分可以累计进入学生总学分。
每年有超过5,000名来自全世界各个国家的中学生通过EPGY学习。
斯坦福大学EPGY的毕业生大都被世界一流大学录取。
2.公司业务流程图
该公司的业务流程如图1。
图1公司业务流程图
3.公司存在的安全隐患
随着社会信息化步伐的加快，利用计算机技术、网络通信技术和英特网实现商务活动的国际化、信息化和无纸化，成本低、及时性和互通性好，以及在拓展市场等方面的优势，使得电子商务受到全球的广泛关注。
同国内90%以上的电子商务站点一样，e国（中国）有限公司存在的一些具有普遍性的严重安全漏洞，攻击者可以轻易盗取用户帐号、交易密码，并可使用用户资金进行网上交易。
3.1客户端数据的完整性和有效性
3.1.1特殊字符的过滤
在W3C的WWWSecurityFAQ中关于CGI安全编程一节里列出了建议过滤的字符：
&;“”\“|*?
-＜＞^（）[]{}\n\r，这些字符由于在不同的系统或运行环境中会具有特殊意义，如变量定义/赋值/取值、非显示字符、运行外部程序等，而被列为危险字符。
①CGI和Script编程语言的问题
在几种国内常见的WEB编程语言中，ASP和ColdFusion脚本语言对特殊字符的过滤机制不够完善，例如没有对单引号做任何处理等。
Perl和php对特殊字符的过滤则较为严密，如忽略或加上“\”（取消特殊字符含义）处理。
C语言编写的cgi程序对特殊字符的过滤完全依赖于程序员的知识和技术，因此也可能存在安全问题。
②MicrosoftASP脚本
普遍存在的问题是程序员在编写ASP脚本时,缺少或没有对客户端输入的数据/变量进行严格的合法性分析。
因此,如果攻击者输入某些特定sql语句,可能造成数据库资料丢失/泄漏/甚至威胁整个站点的安全。
比如攻击者可以任意创建或者删除表（如果可以猜测出已存在的表名），清除或者更改数据库数据。
攻击者也可能通过执行一些储存过程函数,将sql语句的输出结果通过电子邮件发送给自己，或者执行系统命令。
③PHP和Perl
虽然提供了加上”\”（取消特殊字符含义）处理的手段，但是处理一些数据库时依然可以被改写。
对于MySQL则没有问题，\’不会与前面的单引号封闭，而当作一个合法的字符处理。
针对oracle和informix等数据库暂时未进行相关测试。
另外，对于PHP或者Perl语言，很多程序对于数字类型的输入变量，没有加单引号予以保护，攻击者就有可能在这种变量中加入额外的SQL语句，来攻击数据库或者获得非法控制权限。
3.1.2数据库问题
不同的数据库对安全机制的不同认识和实现方法，使它们的安全性也有所不同。
最常见的问题是利用数据库对某些字符的不正确解释，改写被执行的SQL语句，从而非法获得访问权限。
例如，MicrosoftSQLServer和Sybase对\'当作了两个不同字符，所以仅仅在程序中加上”\”仍然可能通过一些特殊手段改写SQL语句突破数据库的安全防线。
MicrosoftSQLServer也将”—“作为注释符号，这个符号以后的SQL语句均被忽略，攻击者可能利用这个来屏蔽掉某些用来认证的SQL语句（例如口令验证），获得对合法用户帐号的控制权。
MySQL则将\'作为一个可操作的正常字符，不存在利用\'改写的可能。
其它数据库如Oracle、Informix和MiniSQL等也必须注意防止各种改写SQL语句的可能。
3.2大量数据查询导致拒绝服务
网站对用户输入内容的判断在前台，用JavaScript判断，如果用户绕过前台判断，就能对数据库进行全查询，如果数据库比较庞大，会耗费大量系统资源，如果同时进行大量的这种查询操作，就会有DenialofService（DoS——拒绝服务）同样的效果。
3.3Cookie或用户身份的常用认证问题
对于一个网站会员而言，经常存在需要一次注册，多次认证的问题，一般采用手段为cookie或inputtype=hidden来传递认证参数。
这里面有几点隐患：
I. 所携带内容必须完整包含帐号密码，或类似的完整安全信息，如果只携带帐号信息或用某种权限标志来认证，极容易造成非法入侵，我们检测了一些电子商务网站，很多都有此类安全隐患。
例如某站点中的会员更新页面中携带的认证信息是两个，用户名和Uid（均为明文传送）已知Uid对于每个会员是唯一的。
由于我们只需要知道对方的帐号和Uid就可以更改对方信息（不需要知道密码！
），只要攻击者知道Uid（攻击者可以通过暴力猜测的方法来得到Uid，有时候站点本身也会泄露用户的Uid,例如在论坛等处）那么，攻击者就可以通过遍历攻击完成对任意一个帐号的信息更改。
II. 必须所有需要权限操作的页面都必须执行认证判断的操作。
如果任何一页没有进行这种认证判断，都有可能给攻击者以恶意入侵的机会。
III.很多网站为了方便，将用户名以及口令信息储存在Cookie中，有的甚至以明文方式保存口令。
如果攻击者可以访问到用户的主机，就可能通过保存的Cookie文件得到用户名和口令。
4.主要解决技术
4.1代码解决技术
4.1.1防范脚本攻击
（1）根据目前国内电子商务网站普遍存在的安全问题，主要的原因是未对某些特殊字符——例如单引号（’）进行过滤，或过滤机制不够完善。
因此较为根本的解决方法是加强过滤机制，对用户输入数据进行全面的检查。
以对ASP+MicrosoftSQLServer类型的网站危害比较大的单引号（’）为例。
目前可以肯定的是仅仅通过加上”\”或双引号处理是不健全的，必须杜绝单引号在处理程序的SQL语句中出现。
I. 对于从客户端接收的数据变量应该用"’"（单引号）来引用；
II. 对用户输入的所有数据进行合法性检查（尽可能放在后台校验），包括数据长度和数据内容，将其中的特殊意义字符替换或不予往下执行。
例如，将"’"替换成"’’"（两个单引号）号或用双字节中文单引号替换；而对于数字型变量，要检查输入的数据是否全为数字。
III.对象数据库不使用系统默认的dbo用户。
并尽量减少新增用户的权限；
以ASP为例，具体的实现可以通过函数Replace函数来实现，如：
＜%
functionCHK（fqyString）
fqyString=replace（fqyString,“＞”,“＞”）
fqyString=replace（fqyString,“＜”,”＜“）
fqyString=replace（fqyString,“&#”,“&”）
fqyString=Replace（fqyString,CHR（32）,“”）
fqyString=Replace（fqyString,CHR（9）,“”）
fqyString=Replace（fqyString,CHR（34）,“”“）
fqyString=Replace（fqyString,CHR（39）,”‘“）
fqyString=Replace（fqyString,CHR（13）,”“）
fqyString=Replace（fqyString,CHR（10）&CHR（10）,”＜/P＞＜P＞“）
fqyString=Replace（fqyString,CHR（10）,”＜BR＞“）
CHK=fqyString
endfunction
%＞
（2）很多站点在用户注册，或者是用户资料修改的页面上也缺少脚本的过滤，或者是只在其中之一进行过滤，注册进入后修改资料仍然可以进行脚本攻击。
对用户提交的数据进行检测和过滤如以下代码：
IfInstr（request（”username“）,”=“）＞0or
Instr（request（”username“）,”%“）＞0or
Instr（request（”username“）,chr（32））＞0or
Instr（request（”username“）,”?
“）＞0or
……
Instr（request（”username“）,”＞“）＞0or
Instr（request（”username“）,”＜“）＞0or
Instr（request（”username“）,”“”“）＞0then
response.write”你的提交用户名含有非法字符，请更改，谢谢合作＜ahref=’****:
window.history.go（-1）;‘＞返回＜/a＞“
response.end
endif
4.1.2防范sqlinjeciton攻击
从最一般的.SQLInjection漏洞攻击来看，主要在用户名和密码上的过滤问题，提交：
用户名为：
‘or’‘=’用户密码为：
‘or’‘=’从程序出发，数据库在执行以下操作Sql=“SELECT*FROMlUsersWHEREUsername=”or“=”andPassword=“or”=“”时，SQL服务器将返回lUsers表格中的所有记录，而ASP脚本将会因此而误认为攻击者的输入符lUsers表格中的第一条记录，从而允许攻击者以该用户的名义登入网站。
对此类注入的防范可以利用以下代码就可以实现：
strUsername=Replace（Request.Form（“Username”）,“‘’”,“‘’‘”）
strPassword=Replace（Request.Form（“Password”）,“’‘”,“’‘’‘”）
4.1.3防止ASP木马
防止ASP木马被上传到服务器的方法很简单，如果你的论坛支持文件上传，请设定好你要上传的文件格式，我不赞成使用可更改的文件格式，直接从程序上锁定，只有图象文件格式和压缩文件就完全可以，因为多给自己留点方便也就多给攻击者留点方便。
怎么判断格式，如下面代码所示：
判断文件类型是否合格
PrivateFunctionCheckFileExt（fileEXT）
dimForumupload
Forumupload=”gif,jpg,bmp,jpeg“
Forumupload=split（Forumupload,”,“）
fori=0toubound（Forumupload）
iflcase（fileEXT）=lcase（trim（Forumupload（i）））then
CheckFileExt=true
exitFunction
else
CheckFileExt=false
endif
next
EndFunction
4.1.4Cookie或用户身份的常用认证问题的解决办法
由于session（会话）机制主要由服务器控制，比利用cookie传递认证参数更为安全可靠，因此可使用session会话取代cookie认证。
如果必须使用Cookie传递参数，必须将参数内容进行加密，并正确设置Cookie的有效时间。
上述介绍的一些安全防范的方法在编写网页代码时被常用到，这些代码是较为基本的一些代码，但能有效的防止一些黑客的攻击，当然加入了这些代码可能会降低程序的使用效率。
做为一名网站的管理人员或网页制作人员在进行网页制作和网站维护时应加强安全防范的意识，确保在网络上进行数据传输的可靠性。
总之，随着网页制作的技术不断的发展和提高，对电子商务的发展有着不可估量的推进作用，对于网站的安全防范已经成为目前发展电子商务最需考虑的问题之一，在开发网站中应注意在网络安全方面的考虑。
目前如JSP、ASP、PHP、XML等一些网站新技术融入网页制作中，进一步提高了网页的性能。
随着新的技术的推出，相信网页制作的发展会把我们带入一崭新的信息世界。
4.2科技产品解决技术
4.2.1防火墙技术
防火墙是指隔离在本地网络与外界之间的一道防御设施，是这一类防范措施的总称。
它能够限制他人进入内部网络，过滤掉不安全服务和非法用户：
允许内部网的一部分主机被外部网访问，另一部分被保护起来；限定内部网的用户对互联网上特殊站点的访问；为监视互联网安全提供方便。
对手我们营造安全的电子商务环境目前最安全的方法就是利用双防火墙双服务器方式。
4.2.2入侵检测系统（IDS）
防火墙虽然很好，但是防火墙也有很多的不足，比如防火墙不能防范不经由防火墙的攻击、防火墙不能防范新的网络安全问题。
为了弥补防火墙的不足，我们可以利用入侵检测系统，来保证计算机网络的安全。
入侵检测（IntrusionDetection），顾名思义，便是对入侵行为的发觉。
它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
入侵检测的软件与硬件的组合就是入侵检测系统（IntrusionDetectionSystem，简称IDS）。
4.2.3虚拟专用网（VPN）技术
虚拟专用网VPN（VirtualPrivateNetwork）是一门网络新技术。
顾名思义，虚拟专用网不是真的专用网络，它利用不可靠的公用联网络作为信息传输媒介，通过附加的安全隧道，用户认证和访问控制等技术实现与专用网络相类似的安全功能，从而实现对重要信息的安全传输。
利用虚拟专用网技术，我们可以营造一个相对安全的网络。
4.2.4病毒防治技术
电子商务中的计算机网络不断受到病毒攻击的危害，为了把计算机病毒的危害减小到最低，我们可以从以下几方面从入手：
一是高度重视计算机病毒；二是安装计算机病毒防治软件，不断更新病毒库。
5.主流产品及产品应用
5.1防火墙
作为近年来新兴的保护计算机网络安全技术性措施，防火墙（FireWall）是一种隔离控制技术，在某个机构的网络和不安全的网络（如Internet）之间设置屏障，阻止对信息资源的非法访问，也可以使用防火墙阻止专利信息从企业的网络上被非法输出。
防火墙是一种被动防卫技术，由于它假设了网络的边界和服务，因此对内部的非法访问难以有效地控制，因此，防火墙最适合于相对独立的与外部网络互连途径有限、网络服务种类相对集中的单一网络。
作为Internet网的安全性保护软件，FireWall已经得到广泛的应用。
通常企业为了维护内部的信息系统安全，在企业网和Internet间设立FireWall软件。
企业信息系统对于来自Internet的访问，采取有选择的接收方式。
它可以允许或禁止一类具体的IP地址访问，也可以接收或拒绝TCP/IP上的某一类具体的应用。
如果在某一台IP主机上有需要禁止的信息或危险的用户，则可以通过设置使用FireWall过滤掉从该主机发出的包。
如果一个企业只是使用Internet的电子邮件和WWW服务器向外部提供信息，那么就可以在FireWall上设置使得只有这两类应用的数据包可以通过。
这对于路由器来说，就要不仅分析IP层的信息，而且还要进一步了解TCP传输层甚至应用层的信息以进行取舍。
FireWall一般安装在路由器上以保护一个子网，也可以安装在一台主机上，保护这台主机不受侵犯。
5.1.1网络级防火墙
一般是基于源地址和目的地址、应用或协议以及每个IP包的端口来作出通过与否的判断。
一个路由器便是一个“传统”的网络级防火墙，大多数的路由器都能通过检查这些信息来决定是否将所收到的包转发，但它不能判断出一个IP包来自何方，去向何处。
防火墙检查每一条规则直至发现包中的信息与某规则相符。
如果没有一条规则能符合，防火墙就会使用默认规则，一般情况下，默认规则就是要求防火墙丢弃该包。
其次，通过定义基于TCP或UDP数据包的端口号，防火墙能够判断是否允许建立特定的连接，如Telnet、FTP连接。
5.1.2应用级网关
应用级网关能够检查进出的数据包，通过网关复制传递数据，防止在受信任服务器和客户机与不受信任的主机间直接建立联系。
应用级网关能够理解应用层上的协议，能够做复杂一些的访问控制，并做精细的注册和稽核。
它针对特别的网络应用服务协议即数据过滤协议，并且能够对数据包分析并形成相关的报告。
应用网关对某些易于登录和控制所有输出输入的通信的环境给予严格的控制，以防有价值的程序和数据被窃取。
在实际工作中，应用网关一般由专用工作站系统来完成。
但每一种协议需要相应的代理软件，使用时工作量大，效率不如网络级防火墙。
应用级网关有较好的访问控制，是目前最安全的防火墙技术，但实现困难，而且有的应用级网关缺乏“透明度”。
在实际使用中，用户在受信任的网络上通过防火墙访问Internet时，经常会发现存在延迟并且必须进行多次登录（Login）才能访问Internet或Intranet。
5.1.3电路级网关
电路级网关用来监控受信任的客户或服务器与不受信任的主机间的TCP握手信息,这样来决定该会话（Session）是否合法,电路级网关是在OSI模型中会话层上来过滤数据包,这样比包过滤防火墙要高二层。
电路级网关还提供一个重要的安全功能：
代理服务器（ProxyServer）。
代理服务器是设置在Internet防火墙网关的专用应用级代码。
这种代理服务准许网管员允许或拒绝特定的应用程序或一个应用的特定功能。
包过滤技
升级会员 