网站安全是指对网站进行管理和控制，并采取一定的技术措施，从而确保在一个网站环境里信息数据的机密化、完整性及可使用性受到有效的保护。网站安全的主要目标就是要稳妥地确保经由网站传达的信息总能够在到达目的地时没有任何增加、改变、丢失或被他人非法读取。要做到这一点，必须保证网站系统软件、数据库系统其有一定的安全保护功能，并保证网站部件如终端、数据链路等的功能不变而且仅仅是那些被授权的人们可以访问。
网站安全目前已发展成为一个跨学科的综合性学科，它包括通信技术、网站技术、计算机软件、硬件设计技术、密码学、网站安全与计算机安全技术等，网站安全是在攻击与防范这一对矛盾相互作用的过程中发展起来的。新的攻击导致必须研究新的防护措施，新的防护措施又招致攻击者新的攻击，如此循环反复，网站安全技术也就在双方的争斗中逐步完善发展起来。
二、网络与网站安全隐患概述
目前影响网站安全的问题主要来自于网络的不安全性，所以在这个意义上讲，网站的安全漏洞其实也就是网络的安全漏洞，其漏洞主要来自以下几个方面：
1.自然因素：
1.1软件漏洞
任何的系统软件和应用软件都不能是百分之百的无缺陷和无漏洞的，而这些缺陷和漏洞恰恰是非法用户、黑客进行窃取机密信息和破坏信息的首选途径。针对固有的安全漏洞进行攻击，主要在以下几个方面：
1.1.1、协议漏洞。例如，IMAP和POP3协议一定要在Unix根目录下运行，攻击者利用这一漏洞攻击IMAP破坏系统的根目录，从而获得超级用户的特权。
1.1.2、缓冲区溢出。很多系统在不检查程序与缓冲区之间变化的情况下，就接受任何长度的数据输入，把溢出部分放在堆栈内，系统仍照常执行命令。攻击者就利用这一漏洞发送超出缓冲区所能处理的长度的指令，来造成系统不稳定状态。
1.1.3、口令攻击。例如，Unix系统软件通常把加密的口令保存在一个文件中，而该文件可通过拷贝或口令破译方法受到入侵。因此，任何不及时更新的系统，都是容易被攻击的。
1.2病毒攻击
计算机病毒一般分为四类：①文件型病毒（FileViruses）;②引导型病毒（SystemorBootSectorVirus）;③链式病毒（SYSTEMorCLUSTERVirus）;④宏病毒（MacroVirus）。计算机病毒的主要危害有：对计算机数据信息的直接破坏作用，给用户造成重大损失:占用系统资源并影响运行速度:产生其他不可预见的危害:给用户造成严重的心理压力。
计算机病毒疫情呈现出多元化的发展趋势，以网络为主要传播途径。呈现以下显著特点:①网络病毒占据主要地位；②病毒向多元化、混合化发展；③利用漏洞的病毒越来越多。
2、人为因素：
2.1操作失误
操作员安全配置不当造成的安全漏洞，用户安全意识不强.用户口令选择不慎.用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。这种情况在企业计算机网络使用初期较常见，随着网络管理制度的建立和对使用人员的培训，此种情况逐渐减少.对网络安全己不构成主要威胁。
2.2恶意攻击
这是计算机网络所面临的最大威胁，敌手的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种：一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性；另一类是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信急。
当然作为本文最讨论的网站安全，它也有它自身的安全隐患存在，主要体现在以下几点：
3.用户输入验证不全面
在网站编程中，对于用户和用户的输入，都必须抱怀疑态度，不能完全信任。所以，对于用户的输入，不能简单的直接采用，而必须经过严格验证，确定用户的输入是否符合输入规则才可以录入数据库。用户输入验证应该包括以下几个方面：
（1）输入信息长度验证。程序员往往认为一般用户不会故意将输入过分拉长，不进行输入验证可能没有危害。但如果用户输入的信息达到几个兆，而程序又没有验证长度的话，可以使程序验证出错或变量占用大量内存，出现内存溢出，致使服务器服务停止甚至关机。在线
（2）输入信息敏感字符检查。在设计程序的时候，程序员可能都会关注javascript的一些敏感字符，如在设计留言版的时候，会将“<”等符号的信息过滤，以免用户留下页面炸弹。但还有以下几个方面需要特别注意，一是留言版内容信息的过滤。二是用户名信息的过滤。程序设计中，对用户名的验证往往只是验证长度，没有验证javascript或者HTML的标记，这样就容易形成漏洞。三是Email信息的验证，Email信息往往也只验证是否含有“@”符号，其他没有限制，这容易形成两个漏洞：输入信息过长的内存溢出漏洞；含有javascript等字符信息，造成显示用户Email的时候形成页面炸弹等。四是搜索信息的验证。尽管搜索信息不会直接保存到网站服务器，但是，搜索信息却与数据库或者服务器所有文件密切相关，如果搜索信息有问题，很容易就会暴露一些本来不应该暴露的数据库信息或者文件信息。如果用户对程序比较了解，可设计一些很特别的搜索信息，检索他不应该检索的数据库表，例如用户账号密码表等。因此，一般要验证一些常见的用于数据库操作的语句，例如搜索信息是否含有“Select”等，这样来限制用户输入，避免信息的泄露。
4.页面行为方式缺乏逻辑
在网站中注册新用户的时候，一般会首先要求用户输入自己需要注册的账号信息，验证该账号是否已经存在，确保用户的单一性。如果用户的注册信息通过了“存在该账号”的检测，在编程的时候就认为这个账号一定不存在，可以注册，在注册页面中直接使用“nsertInto”语句将注册信息插入用户数据库。上述的问题是：将注册信息插入数据库之前，并没有再一次检查这个用户是否存在，而是信任前一个检测页面传来的账号信息。由于可以阅读和保存HTML文件的源代码，如果用户将注册通过的页面保存并且将上面的账号信息修改为一个已经存在的账号，由于程序认为该账号已经通过检测，直接将该账号插入数据库，原来拥有该账号的用户信息就被修改，造成用户信息流失、出错等情况的发生。如果这个账号刚好是一个管理员账号，结果将是很难预料的。
使用以上错误方式编程的程序员很多，随便在网上找就可以找到很多这种方式编程的源代码和已经采用的程序。在电子商务初期，一些电子商务网站的程序中，存在着用户可以随意定义自己购买商品的价格这样的漏洞，也就是由页面行为方式缺乏逻辑造成的。
当然，网站安全还包括比如服务器攻击、病毒攻击等方面，但这些方面基本都属于上文中介绍过的网络安全问题，另外由于篇幅问题许多细节问题也不在此累赘了。
三、网站安全管理策略探讨
1.网络安全的管理
1.1使用防火墙
防火墙作为使用最多，效率最高的网络安全产品自然有它自身的优势，所以防火墙在整个网络安全中的地位将是无可替代的。
1.2与因特网接入处增设网络入侵检测系统
入侵检测系统(IDS即IntrusionDetectSystem)是实时网络违规自动识别和响应系统，它位于有敏感数据需要保护的网络上或网络上任何有风险存在的地方，通过实时截获网络数据流，能够识别、记录入侵或破坏性代码流，寻找网络违规模式和未授权的网络访问，一经发现入侵检测系统根据系统安全策略做出反应，包括实时报警、自动阻断通信连接或执行用户自定义安全策略等。
1.3病毒防御
选购杀毒软件，必须考虑产品的采购成本、应用(管理、维护)成本，以及将来企业或网络规模变化后，软件能否实现平滑过渡等问题。只有明确需求，重视产品的应用和管理，把网络防病毒纳入到信息安全防范体系之中进行综合防范，才能有效提升企业的信息安全水平。单纯防病毒，并不是企业的最终目标。
当然，对于网络安全的防御目前比较成熟的技术相当多，我们只有认准适合自己的技术，并采用多种技术相互结合才能达到相应的目的，由于篇幅有限对于其他诸如身份认证、数字签名等技术的介绍就不在此累赘了。在线
2.网站自身的安全管理
2.1网站服务器的安全管理
网站服务器的日常管理、维护工作包‘括网站服务器的内容更新、日志文件的审计、安装一些新的工具和软件、更改服务器配置、对服务器进行安全检查等。主要注意以下几点:
①从网络结构设计上解决安全问题
安装一个功能强大的防火墙可以有效防御外界对Web服务器的攻击，还可通过安装非法人侵监测系统，提升防火墙的性能，达到监控网络、执行立即拦截动作以及分析过滤封包和内容的动作，当有入侵者攻击时可以立刻有效终止服务。同时应限制非法用户对网络的访问，规定具有特定IP地址的客户机对本地网络服务器的访问权限，以防止从外界对网络服务器配置的非法修改。
②定期对网站服务器进行安全检查
由于网站服务器是对外开放的，容易受到病毒的攻击，所以应为服务器建立例行安全审核机制，利用漏洞扫描工具和IDS工具，加大对服务器的安全管理和检查。另外，随着新漏洞的出现，我们要及时为服务器安装各类新漏洞的补丁程序，从而避免服务器受到攻击和出现其他异常情况。
③定期进行必要的数据备份
对服务器上的数据定期进行备份是很重要的。网站的核心是数据，数据一旦遭到破坏，后果不堪设想。除了设置相应权限外，应建立一个正式的备份方案，而且随着网站的更新，备份方案也需要不断地调整。
2.2数据库安全管理
数据库的安全性是指保护数据库以防止不合法的使用所造成的数据泄密和破坏。为了保证业务应用系统后台数据库的安全性，采用基于Client/Server模式访问后台数据库，为不同的应用建立不同的服务进程和进程用户标识，后台数据库系统以服务器进程的用户标识作为访问主体的标识，以确定其访问权限。我们通过如下方法和技术来实现后台数据库的访问
控制。
①访问矩阵
访问矩阵就是以矩阵的方式来规定不同主体(用户或用户进程)对于不同数据对象所允许执行的操作权限，并且控制各主体只能存取自己有权存取的数据。它以主体标行，访问对象标列，访问类型为矩阵元素的矩阵。Informix提供了二级权限：数据库权限和表权限，并且能为表中的特定字段授予Select和Update权限。因此，我们在访问矩阵中定义了精细到字段级的数据访问控制。
②视图的使用
通过视图可以指定用户使用数据的范围，将用户限定在表中的特定字段或表中的特定记录，并且视图和基础表一样也可以作为授权的单位。针对不同用户的视图，在授权给一用户的视图中不包括那些不允许访问的机密数据，从而提高了系统的安全性。
③数据验证码DAC
对后台数据库中的一些关键性数据表，在表中设置数据验证码DAC字段，它是由银行密钥和有关的关键性字段值生成。不同记录的DAC字段值也不相同。如果用户非法修改了数据库中的数据，则DAC效验将出错，从而提高了数据的安全性。
2.3编码中的安全管理
防止恶意代码注入
①验证输入，使攻击者无法注入脚本代码或使缓冲区溢出
②对所有包含输入的输出进行编码。这可防止客户端浏将潜在的恶意脚本标记作为代码进行转换。
③使用接受参数的存储过程，防止数据库将恶意SQL输为可执行语句进行处理。同时使用特权最低的进程帐户和模拟帐户。在攻击者企图应用程序的安全上下文执行代码时，可缓解风险并减少损害。
防止会话劫持：
①分隔个性化cookie和身份验证cookie。
②仅通过HTTPS连接传递身份验证cookie。
③不传递在查询字符串中代表已通过身份验证的用户标识符。
最为一名网络或者网站管理员，有责任同时也有义务做好网站的维护与管理，这就需要我们管理人员时刻保持虚心学习的心态，时刻关注新的管理技术与安全防御技术。对于已经出现的安全问题应该用最快、最有效的方法加以解决，对于目前还未出现的安全问题要有预见性，这才是一名优秀的网络管理员。
参考文献：
[1]沈文智.MicrosoftBS网页技术[M].北京:人民邮电出版社.1998.
[2]沈昌样.网络安全与信息战.网络安全技术与应用.2001.
[3]骆耀祖，龚洵禹．动态网页设计教程［M］．广州：中山大学出版社，2002．
[4]骆耀祖，刘永初等．计算机网络技术及应用［M］北京：清华大学、北方交大出版社，2003．
摘要：
论文摘要：网络上的动态网站以ASP为多数，我们学校的网站也是ASP的。笔者作为学校网站的制作和维护人员，与ASP攻击的各种现象斗争了多次，也对网站进行了一次次的修补，根据工作经验，就ASP网站设计常见安全漏洞及其防范进行一些探讨。本文结合ASP动态网站开发经验，对ASP程序设计存在的信息安全隐患进行分析，讨论了ASP程序常见的安全漏洞，从程序设计角度对WEB信息安全及防范提供了参考。
1网络安全总体状况分析
2007年1月至6月期间，半年时间内，CNCERT/CC接收的网络仿冒事件和网页恶意代码事件，已分别超出去年全年总数的14.6%和12.5%。
从CNCERT/CC掌握的半年情况来看，攻击者的攻击目标明确，针对不同网站和用户采用不同的攻击手段，且攻击行为趋利化特点表现明显。对政府类和安全管理相关类网站主要采用篡改网页的攻击形式，也不排除放置恶意代码的可能。对中小企业，尤其是以网络为核心业务的企业，采用有组织的分布式拒绝服务攻击(DDoS)等手段进行勒索，影响企业正常业务的开展。对于个人用户，攻击者更多的是通过用户身份窃取等手段，偷取该用户游戏账号、银行账号、密码等，窃取用户的私有财产。
2用IIS+ASP建网站的安全性分析
微软推出的IIS+ASP的解决方案作为一种典型的服务器端网页设计技术，被广泛应用在网上银行、电子商务、网上调查、网上查询、BBS、搜索引擎等各种互联网应用中。但是，该解决方案在为我们带来便捷的同时，也带来了严峻的安全问题。本文从ASP程序设计角度对WEB信息安全及防范进行分析讨论。
3SP安全漏洞和防范
3.1程序设计与脚本信息泄漏隐患
bak文件。攻击原理：在有些编辑ASP程序的工具中，当创建或者修改一个ASP文件时，编辑器自动创建一个备份文件，如果你没有删除这个bak文件，攻击者可以直接下载，这样源程序就会被下载。
防范技巧：上传程序之前要仔细检查，删除不必要的文档。对以BAK为后缀的文件要特别小心。
inc文件泄露问题。攻击原理：当存在ASP的主页正在制作且没有进行最后调试完成以前，可以被某些搜索引擎机动追加为搜索对象。如果这时候有人利用搜索引擎对这些网页进行查找，会得到有关文件的定位，并能在浏览器中查看到数据库地点和结构的细节，并以此揭示完整的源代码。
防范技巧：程序员应该在网页前对它进行彻底的调试。首先对.inc文件内容进行加密，其次也可以使用.asp文件代替.inc文件，使用户无法从浏览器直接观看文件的源代码。
3.2对ASP页面进行加密。为有效地防止ASP源代码泄露，可以对ASP页面进行加密。我们曾采用两种方法对ASP页面进行加密。一是使用组件技术将编程逻辑封装入DLL之中；二是使用微软的ScriptEncoder对ASP页面进行加密。3.3程序设计与验证不全漏洞
验证码。普遍的客户端交互如留言本、会员注册等仅是按照要求输入内容，但网上有很多攻击软件，如注册机，可以通过浏览WEB，扫描表单，然后在系统上频繁注册，频繁发送不良信息，造成不良的影响，或者通过软件不断的尝试，盗取你的密码。而我们使用通过使用验证码技术，使客户端输入的信息都必须经过验证，从而可以解决这个问题。
登陆验证。对于很多网页，特别是网站后台管理部分，是要求有相应权限的用户才能进入操作的。但是，如果这些页面没有对用户身份进行验证，黑客就可以直接在地址栏输入收集到的相应的URL路径，避开用户登录验证页面，从而获得合法用户的权限。所以，登陆验证是非常必要的。
SQL注入。SQL注入是从正常的WWW端口访问，而且表面看起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙都不会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被入侵很长时间都不会发觉。
SQL注入攻击是最为常见的程序漏洞攻击方式，引起攻击的根本原因就是盲目信任用户，将用户输入用来直接构造SQL语句或存储过程的参数。以下列出三种攻击的形式：
A．用户登录：假设登录页面有两个文本框，分别用来供用户输入帐号和密码，利用执行SQL语句来判断用户是否为合法用户。试想，如果黑客在密码文本框中输入''''OR0=0，即不管前面输入的用户帐号和密码是什么，OR后面的0=0总是成立的，最后结果就是该黑客成为了合法的用户。
B．用户输入：假设网页中有个搜索功能，只要用户输入搜索关键字，系统就列出符合条件的所有记录，可是，如果黑客在关键字文本框中输入''''GODROPTABLE用户表，后果是用户表被彻底删除。
C．参数传递：假设我们有个网页链接地址是HTTP：//……asp?id=22，然后ASP在页面中利用Request.QueryString[''''id'''']取得该id值，构成某SQL语句，这种情况很常见。可是，如果黑客将地址变为HTTP：//……asp?id=22anduser=0，结果会怎样?如果程序员有没有对系统的出错提示进行屏蔽处理的话，黑客就获得了数据库的用户名，这为他们的进一步攻击提供了很好的条件。
解决方法：以上几个例子只是为了起到抛砖引玉的作用，其实，黑客利用“猜测+精通的sql语言+反复尝试”的方式，可以构造出各种各样的sql入侵。作为程序员，如何来防御或者降低受攻击的几率呢?作者在实际中是按以下方法做的：
第一：在用户输入页面加以友好备注，告知用户只能输入哪些字符；
第二：在客户端利用ASP自带的校验控件和正则表达式对用户输入进行校验，发现非法字符，提示用户且终止程序进行；
第三：为了防止黑客避开客户端校验直接进入后台，在后台程序中利用一个公用函数再次对用户输入进行检查，一旦发现可疑输入，立即终止程序，但不进行提示，同时，将黑客IP、动作、日期等信息保存到日志数据表中以备核查。
第四：对于参数的情况，页面利用QueryString或者Quest取得参数后，要对每个参数进行判断处理，发现异常字符，要利用replace函数将异常字符过滤掉，然后再做下一步操作。
第五：只给出一种错误提示信息，服务器都只提示HTTP500错误。
第六：在IIS中为每个网站设置好执行权限。千万别给静态网站以“脚本和可执行”权限。一般情况下给个“纯脚本”权限就够了，对于那些通过网站后台管理中心上传的文件存放的目录，就更吝啬一点吧，执行权限设为“无”好了。
第七：数据库用户的权限配置。对于MS＿SQL，如果PUBLIC权限足够使用的绝不给再高的权限，千万不要SA级别的权限随随便便地给。
3.4传漏洞
诸如论坛，同学录等网站系统都提供了文件上传功能，但在网页设计时如果缺少对用户提交参数的过滤，将使得攻击者可以上传网页木马等恶意文件，导致攻击事件的发生。
防文件上传漏洞
在文件上传之前，加入文件类型判断模块，进行过滤，防止ASP、ASA、CER等类型的文件上传。
暴库。暴库，就是通过一些技术手段或者程序漏洞得到数据库的地址，并将数据非法下载到本地。
数据库可能被下载。在IIS+ASP网站中，如果有人通过各种方法获得或者猜到数据库的存储路径和文件名，则该数据库就可以被下载到本地。
数据库可能被解密
由于Access数据库的加密机制比较简单，即使设置了密码，解密也很容易。因此，只要数据库被下载，其信息就没有任何安全性可言了。
防止数据库被下载。由于Access数据库加密机制过于简单，有效地防止数据库被下载，就成了提高ASP+Access解决方案安全性的重中之重。以下两种方法简单、有效。
非常规命名法。为Access数据库文件起一个复杂的非常规名字，并把它放在几个目录下。
使用ODBC数据源。在ASP程序设计中，如果有条件，应尽量使用ODBC数据源，不要把数据库名写在程序中，否则，数据库名将随ASP源代码的失密而一同失密。
使用密码加密。经过MD5加密，再结合生成图片验证码技术，暴力破解的难度会大大增强。
使用数据备份。当网站被黑客攻击或者其它原因丢失了数据，可以将备份的数据恢复到原始的数据，保证了网站在一些人为的、自然的不可避免的条件下的相对安全性。
3.5SP木马
由于ASP它本身是服务器提供的一项服务功能，所以这种ASP脚本的木马后门，不会被杀毒软件查杀。被黑客们称为“永远不会被查杀的后门”。我在这里讲讲如何有效的发现web空间中的asp木马并清除。
技巧1：杀毒软件查杀
一些非常有名的asp木马已经被杀毒软件列入了黑名单，所以利用杀毒软件对web空间中的文件进行扫描，可以有效的发现并清除这些有名的asp木马。
技巧2：FTP客户端对比
asp木马若进行伪装，加密，躲藏杀毒软件，怎么办？
我们可以利用一些FTP客户端软件（例如cuteftp，FlashFXP）提供的文件对比功能，通过对比FTP的中的web文件和本地的备份文件，发现是否多出可疑文件。
技巧3：用BeyondCompare2进行对比
渗透性asp木马，可以将代码插入到指定web文件中，平常情况下不会显示，只有使用触发语句才能打开asp木马，其隐蔽性非常高。BeyondCompare2这时候就会作用比较明显了。
技巧4：利用组件性能找asp木马
如：思易asp木马追捕。
大家在查找web空间的asp木马时，最好几种方法结合起来，这样就能有效的查杀被隐藏起来的asp木马。
结束语
总结了ASP木马防范的十大原则供大家参考：
建议用户通过FTP来上传、维护网页，尽量不安装asp的上传程序。
对asp上传程序的调用一定要进行身份认证，并只允许信任的人使用上传程序。
asp程序管理员的用户名和密码要有一定复杂性，不能过于简单，还要注意定期更换。
到正规网站下载asp程序，下载后要对其数据库名称和存放路径进行修改，数据库文件名称也要有一定复杂性。
要尽量保持程序是最新版本。
不要在网页上加注后台管理程序登陆页面的链接。
为防止程序有未知漏洞，可以在维护后删除后台管理程序的登陆页面，下次维护时再通过上传即可。
要时常备份数据库等重要文件。
日常要多维护，并注意空间中是否有来历不明的asp文件。
一旦发现被人侵，除非自己能识别出所有木马文件，否则要删除所有文件。重新上传文件前，所有asp程序用户名和密码都要重置，并要重新修改程序数据库名称和存放路径以及后台管理程序的路径。
做好以上防范措施，您的网站只能说是相对安全了，决不能因此疏忽大意，因为入侵与反入侵是一场永恒的战争！网站安全是一个较为复杂的问题，严格的说，没有绝对安全的网络系统，我们只有通过不断的改进程序，将各种可能出现的问题考虑周全，对潜在的异常情况进行处理，才能减少被黑客入侵的机会。
参考文献
[1]袁志芳田晓芳李桂宝《ASP程序设计与WEB信息安全》中国教育信息化2007年21期.
[关键词]互联网;电子商务;系统安全;数据安全;网络系统
一、前言
近年来,随着因特网的普及日渐迅速,电子交易开始融入人们的日常生活中,网上订货、网上缴费等众多电子交易方式为人们创造了便利高效的生活方式,越来越多的人开始使用电子商务网站来传递各种信息,并进行各种交易。电子商务网站传递各种商务信息依靠的是互联网,而互联网是一个完全开放的网络,任何一台计算机、任何一个网络都可以与之相连。它又是无国界的,没有管理权威,“是世界唯一的无政府领地”,因此,网上的安全风险就构成了对电子商务的安全威胁。
从发展趋势来看,电子商务正在形成全球性的发展潮流。电子商务的存在和发展,是以网络技术的革新为前提。电子商务系统的构建、运行及维护,都离不开技术的支持。同时,因为电子商务适合于各种大、小型企业,所以应充分考虑如何保证电子商务网站的安全。
二、电子商务网站的安全控制
电子商务的基础平台是互联网,电子商务发展的核心和关键问题就是交易的安全性。由于Internet本身的开放性,使网上交易面临了种种危险,也由此提出了相应的安全控制要求。
下面从技术手段的角度,从系统安全与数据安全的不同层面来探讨电子商务中出现的网络安全问题。
(一)系统安全
在电子商务中,网络安全一般包括以下两个方面:
1.信息保密的安全
交易中的商务信息均有保密的要求。如信用卡的帐号和用户名被人知悉,就可能被盗用,订货和付款的信息被竞争对手获悉,就可能丧失商机。因此在电子商务的信息传播中一般均有加密的要求。
2.交易者身份的安全
网上交易的双方很可能素昧平生,相隔千里。要使交易成功,首先要能确认对方的身份,对商家要考虑客户端不能是骗子,而客户也会考虑网上的商店是否是黑店。因此能方便而可靠地确认对方身份是交易的前提。
对于一个企业来说,信息的安全尤为重要,这种安全首先取决于系统的安全。系统安全主要包括网络系统、操作系统和应用系统三个层次。系统安全采用的技术和手段有冗余技术、网络隔离技术、访问控制技术、身份鉴别技术、加密技术、监控审计技术、安全评估技术等。
(1)网络系统
网络系统安全是网络的开放性、无边界性、自由性造成,安全解决的关键是把被保护的网络从开放、无边界、自由的环境中独立出来,使网络成为可控制、管理的内部系统,由于网络系统是应用系统的基础,网络安全便成为首要问题。解决网络安全主要方式有:
网络冗余——它是解决网络系统单点故障的重要措施。对关键性的网络线路、设备,通常采用双备份或多备份的方式。网络运行时双方对运营状态相互实时监控并自动调整,当网络的一段或一点发生故障或网络信息流量突变时能在有效时间内进行切换分配,保证网络正常的运行。
系统隔离——分为物理隔离和逻辑隔离,主要从网络安全等级考虑划分合理的网络安全边界,使不同安全级别的网络或信息媒介不能相互访问,从而达到安全目的。对业务网络或办公网络采用VLAN技术和通信协议实行逻辑隔离划分不同的应用子网。
访问控制——对于网络不同信任域实现双向控制或有限访问原则,使受控的子网或主机访问权限和信息流向能得到有效控制。具体相对网络对象而言需要解决网络的边界的控制和网络内部的控制,对于网络资源来说保持有限访问的原则,信息流向则可根据安全需求实现单向或双向控制。访问控制最重要的设备就是防火墙,它一般安置在不同安全域出入口处,对进出网络的IP信息包进行过滤并按企业安全政策进行信息流控制,同时实现网络地址转换、实时信息审计警告等功能,高级防火墙还可实现基于用户的细粒度的访问控制。
身份鉴别——是对网络访问者权限的识别,一般通过三种方式验证主体身份,一是主体了解的秘密,如用户名、口令、密钥;二是主体携带的物品,如磁卡、IC卡、动态口令卡和令牌卡等;三是主体特征或能力,如指纹、声音、视网膜、签名等。加密是为了防止网络上的窃听、泄漏、篡改和破坏,保证信息传输安全,对网上数据使用加密手段是最为有效的方式。目前加密可以在三个层次来实现,即链路层加密、网络层加密和应用层加密。链路加密侧重通信链路而不考虑信源和信宿,它对网络高层主体是透明的。网络层加密采用IPSEC核心协议,具有加密、认证双重功能,是在IP层实现的安全标准。通过网络加密可以构造企业内部的虚拟专网(VPN),使企业在较少投资下得到安全较大的回报,并保证用户的应用安全。
安全监测——采取信息侦听的方式寻找未授权的网络访问尝试和违规行为,包括网络系统的扫描、预警、阻断、记录、跟踪等,从而发现系统遭受的攻击伤害。网络扫描监测系统作为对付电脑黑客最有效的技术手段,具有实时、自适应、主动识别和响应等特征,广泛用于各行各业。网络扫描是针对网络设备的安全漏洞进行检测和分析,包括网络通信服务、路由器、防火墙、邮件、WEB服务器等,从而识别能被入侵者利用非法进入的网络漏洞。网络扫描系统对检测到的漏洞信息形成详细报告,包括位置、详细描述和建议的改进方案,使网管能检测和管理安全风险信息。
(2)操作系统
操作系统是管理计算机资源的核心系统,负责信息发送、管理设备存储空间和各种系统资源的调度,它作为应用系统的软件平台具有通用性和易用性,操作系统安全性直接关系到应用系统的安全,操作系统安全分为应用安全和安全漏洞扫描。
应用安全——面向应用选择可靠的操作系统,可以杜绝使用来历不明的软件。用户可安装操作系统保护与恢复软件,并作相应的备份。
系统扫描——基于主机的安全评估系统是对系统的安全风险级别进行划分,并提供完整的安全漏洞检查列表,通过不同版本的操作系统进行扫描分析,对扫描漏洞自动修补形成报告,保护应用程序、数据免受盗用、破坏。
(3)应用系统
办公系统文件(邮件)的安全存储:利用加密手段,配合相应的身份鉴别和密钥保护机制(IC卡、PCMCIA安全PC卡等),使得存储于本机和网络服务器上的个人和单位重要文件处于安全存储的状态,使得他人即使通过各种手段非法获取相关文件或存储介质(硬盘等),也无法获得相关文件的内容。
文件(邮件)的安全传送:对通过网络(远程或近程)传送给他人的文件进行安全处理(加密、签名、完整性鉴别等),使得被传送的文件只有指定的收件者通过相应的安全鉴别机制(IC卡、PCMCIAPC卡)才能解密并阅读,杜绝了文件在传送或到达对方的存储过程中被截获、篡改等,主要用于信息网中的报表传送、公文下发等。
业务系统的安全:主要面向业务管理和信息服务的安全需求。对通用信息服务系统(电子邮件系统、WEB信息服务系统、FTP服务系统等)采用基于应用开发安全软件,如安全邮件系统、WEB页面保护等;对业务信息可以配合管理系统采取对信息内容的审计稽查,防止外部非法信息侵入和内部敏感信息泄漏。
(二)数据安全
数据安全牵涉到数据库的安全和数据本身安全,针对两者应有相应的安全措施。
数据库安全——大中型企业一般采用具有一定安全级别的SYBASE或ORACLE大型分布式数据库,基于数据库的重要性,应在此基础上开发一些安全措施,增加相应控件,对数据库分级管理并提供可靠的故障恢复机制,实现数据库的访问、存取、加密控制。具体实现方法有安全数据库系统、数据库保密系统、数据库扫描系统等。
数据安全——指存储在数据库数据本身的安全,相应的保护措施有安装反病毒软件,建立可靠的数据备份与恢复系统,某些重要数据甚至可以采取加密保护。
(三)网络交易平台的安全
网上交易安全位于系统安全风险之上,在数据安全风险之下。只有提供一定的安全保证,在线交易的网民才会具有安全感,电子商务网站才会具有发展的空间。
交易安全标准——目前在电子商务中主要的安全标准有两种:应用层的SET(安全电子交易)和会话层SSL(安全套层)协议。前者由信用卡机构VISA及MasterCard提出的针对电子钱包/商场/认证中心的安全标准,主要用于银行等金融机构;后者由NETSCAPE公司提出针对数据的机密性/完整性/身份确认/开放性的安全协议,事实上已成为WWW应用安全标准。
交易安全基础体系——交易安全基础是现代密码技术,依赖于加密方法和强度。加密分为单密钥的对称加密体系和双密钥的非对称加密体系。两者各有所长,对称密钥具有加密效率高,但存在密钥分发困难、管理不便的弱点;非对称密钥加密速度慢,但便于密钥分发管理。通常把两者结合使用,以达到高效安全的目的。
交易安全的实现——交易安全的实现主要有交易双方身份确认、交易指令及数据加密传输、数据的完整性、防止双方对交易结果的抵赖等等。具体实现的途径是交易各方具有相关身份证明,同时在SSL协议体系下完成交易过程中电子证书验证、数字签名、指令数据的加密传输、交易结果确认审计等。
随着电子商务的发展,网上交易越来越频繁,调用每项服务时需要用户证明身份,也需要这些服务器向客户证明他们自己的身份。而保障身份安全的最有效的技术就是PKI技术。
PKI的应用在我国还处于起步阶段,目前我国大多数企业只是在应用它的CA认证技术。CA(CertificationAuthorty)是一个确保信任度的权威实体,主要职责是颁发证书、验证用户身份的真实性。由CA签发的网络用户电子身份证明—证书,任何相信该CA的人,按照第三方信任原则,都应当相信持有证明的该用户。CA也要采取一系列相应的措施来防止电子证书被伪造或篡改。构建一个具有较强安全性的CA是至关重要的,这不仅与密码学有关系,而且与整个PKI系统的构架和模型有关。此外,灵活也是CA能否得到市场认同的一个关键,它不需支持各种通用的国际标准,并能很好地和其他厂家的CA产品兼容。在不久的将来,PKI技术会在电子商务和网络安全中得到更广泛的应用,从而真正保障用户和商家的身份安全。
三、目前信息安全的研究方向
从历史角度看,我国信息网络安全研究历经了通信保密、数据保护两个阶段,正在进入网络信息安全研究阶段,现已开发研制出防火墙、安全路由器、安全网关、黑客入侵检测、系统脆弱性扫描软件等。但因信息网络安全领域是一个综合、交叉的学科领域,它综合利用了数学、物理、生化信息技术和计算机技术的诸多学科的长期积累和最新发展成果,提出系统的、完整的和协同的解决信息网络安全的方案,从安全体系结构、安全协议、现代密码理论、信息分析和监控以及信息安全系统五个方面开展研究,各部分相互协同形成有机整体。
安全协议作为信息安全的重要内容,其形式化方法分析始于80年代初,目前有基于状态机、模态逻辑和代数工具的三种分析方法,但仍有局限性和漏洞,处于发展的提高阶段。作为信息安全关键技术密码学,近年来空前活跃,美、欧、亚各洲举行的密码学和信息安全学术会议频繁。1976年美国学者提出的公开密钥密码体制,克服了网络信息系统密钥管理的困难,同时解决了数字签名问题,它是当前研究的热点。
目前电子商务的安全性已是当前人们普遍关注的焦点,它正处于研究和发展阶段,并带动了论证理论、密钥管理等研究。由于计算机运算速度的不断提高,各种密码算法面临着新的密码体制,如量子密码、DNA密码、混沌理论等密码新技术出处于探索之中。在我国,信息网络安全技术的研究和产品开发虽处于起步阶段,有大量的工作需要我们去研究、开发和探索,但我们相信在不久的将来,会走出一条有中国特色的产学研联合发展之路,赶上或超过发达国家的水平,以此保证我国信息网络的安全,推动我国国民经济的高速发展。
四、结束语
电子商务是以互联网为活动平台的电子交易,它是继电子贸易(EDI)之后的新一代电子数据交换形式。计算机网络的发展与普及,直接带动电子商务的发展。因此计算机网络安全的要求更高,涉及面更广,不但要求防治病毒,还要提高系统抵抗外来非法黑客入侵的能力,还要提高对远程数据传输的保密性,避免在传输途中遭受非法窃取,以保证系统本身安全性,如服务器自身稳定性,增强自身抵抗能力,杜绝一切可能让黑客入侵的渠道等等。对重要商业应用,还必须加上防火墙和数据加密技术加以保护。在数据加密方面,更重要的是不断提高和改进数据加密技术,使不法分子难有可乘之机。
参考文献:
[1]佚名.解析电子商务安全[EB/OL]./it386/dnwl/,2006-07-25.
[2]佚名.网络构建与维护[EB/OL].chinaec-/second/network.php,2006-07-16.
[3]洪国彬.电子商务安全与管理[M].北京:电子工业出版社,2006.
关键词：网站;安全;防护
1网站技术简介安全威胁的来源
1.1WWW技术简介
WorldWideWeb称为万维网，简称Web。分成服务器端、客户接收机及通讯协议三个部分。
1.1.1服务器(Web服务器)
服务器结构中规定了服务器的传输设定、信息传输格式及服务器本身的基本开放结构。Web服务器的作用就是管理这些文档，按用户的要求返回信息。
1.1.2客户接收机(Web浏览器)
客户机系统称为Web浏览器，用于向服务器发送资源索取请求，并将接收到的信息进行解码和显示。Web浏览器是客户端软件，它从Web服务器上下载和获取文件，翻译下载文件中的HTML代码，进行格式化，根据HTML中的内容在屏幕上显示信息。
1.1.3通讯协议(HTTP协议)
Web浏览器与服务器之间遵循HTTP协议进行通讯传输。HTTP(HyperTextTransferProtocol，超文本传输协议)是分布式的Web应用的核心技术协议，在TCP/IP协议栈中属于应用层。它定义了Web浏览器向Web服务器发送索取Web页面请求的格式，以及Web页面在Internet上的传输方式。
1.2服务器安全威胁
对于Web服务器、服务器的操作系统、数据库服务器都有可能存在漏洞，恶意用户都有可能利用这些漏洞去获得重要信息。Web服务器上的漏洞可以从以下几方面考虑：
Web服务器操作系统本身存在一些漏洞，能被黑客利用侵入到系统，破坏一些重要文件，甚至造成系统瘫痪。
Web数据库中安全配置不完整，存在弱口令或被数据库注入等安全漏洞，导致数据丢失或服务中断。
Web服务器上的数据存储结构不合理，没有划分安全区域或重要数据没有存放在安全区域，导致被侵入。
Web服务器上运行的程序存在安全漏洞，或应用程序所需要的权限过高没有优化，容易被黑客侵入。
1.3客户端安全威胁
现在网页中的活动内容已被广泛应用，活动内容的不安全性是造成客户端的主要威胁。主要用到JavaApplet、ActiveX、Cookie等技术都存在不同的安全隐患。
1.4数据传输中的安全威胁
Internet是连接Web客户机和服务器通信的信道，是不安全的。未经授权的用户可以改变信道中的信息流传输内容，造成对信息完整性的安全威胁。此外，还有像利用拒绝服务攻击，向网站服务器发送大量请求造成主机无法及时响应而瘫痪，或者发送大量的IP数据包来阻塞通信信道，使网络的速度便缓慢。
2WEB安全保护的原则
2.1实用的原则
针对网站架构，网站安全问题主要分为以下四个方面：服务器安全、边界安全、Internet和Extranet上的安全，在攻击行为发生前，做到防患于未然是预防措施的关键。
2.2积极预防的原则
对WEB系统进行安全评估，权衡考虑各类安全资源的价值和对它们实施保护所需要的费用，通过评估，确定不安全情况发生的几率，采用必要的软硬件产品，加强网站日常安全监控。
2.3及时补救的原则
在攻击事件发生后尽快恢复系统的正常运行，并找出发生攻击事件问题的原因，将损失降至最低，并研究攻击发生后应对措施。3建立安全的Web网站
3.1合理配置主机系统
3.1.1仅提供必要的服务
默认安装的操作系统都有一系列常用的服务。例如UNIX系统将提供Finger、Sendmail、FTP、NFS、IP转发等，WindowsNT系统将提供RPC、IP)转发、FTP、SMTP等。而且，系统在缺省的情况下自动启用这些服务，或提供简单易用的配置向导。为此，在安装操作系统时，应该只选择安装必要的协议和服务；对于UNIX系统，应检查/etc/rc.d/目录下的各个目录中的文件，删除不必要的文件；对于Windows系统，应删除没有用到的网络协议，不要安装不必要的应用软件。一般情况下，应关闭Web服务器的IP转发功能。
对于专门提供Web信息服务(含提供虚拟服务器)的网站，最好由专门的主机(或主机群)作Web服务器系统，对外只提供Web服务，没有其他任务。这样，可以保证(1)使系统最好地为Web服务提供支持；(2)管理人员单一，避免发生管理员之间的合作不调而出现安全漏洞的现象；(3)用户访问单一，便于控制；(4)日志文件较少，减轻系统负担。
对于必须提供其他服务，则必须仔细设置目录、文件的访问权限，确保远程用户无法通过Web服务获得操作权限。
3.1.2使用必要的辅助工具，简化安全管理
启用系统的日志(系统帐户日志和Web服务器日志)记录功能。监视并记录访问企图是主机安全的一个重要机制，以利于提高主机的一致性以及其数据保密性。
3.2合理配置Web服务器
在UnixOS中，以非特权用户而不是Root身份运行Web服务器。
（1）设置Web服务器访问控制。通过IP地址控制、子网域名来控制，未被允许的IP地址、IP子网域发来的请求将被拒绝；
（2）通过用户名和口令限制。只有当远程用户输入正确的用户名和口令的时候，访问才能被正确响应。
（3）用公用密钥加密方法。对文件的访问请求和文件本身都将加密，以便只有预计的用户才能读取文件内容。
3.3设置Web服务器有关目录的权限
为了安全起见，管理员应对”文档根目录“和“服务器根目录”做严格的访问权限控制。
服务器根目录下存放日志文件、配置文件等敏感信息，它们对系统的安全至关重要，不能让用户随意读取或删改。
服务器根目录下存放CGI脚本程序，用户对这些程序有执行权限，恶意用户有可能利用其中的漏洞进行越权操作。
服务器根目录下的某些文件需要由Root来写或者执行，如Web服务器需要Root来启动，如果其他用户对Web服务器的执行程序有写权限，则该用户可以用其他代码替换掉Web服务器的执行程序，当Root再次执行这个程序时，用户设定的代码将以Root身份运行。
3.4安全管理Web服务器
Web服务器的日常管理、维护工作包括Web服务器的内容更新，日志文件的审计，安装一些新的工具、软件，更改服务器配置，对Web进行安全检查等。
关键词：高校网站，安全管理
0 引言
随着网络讯速的发展，各高校都建立起自己的网站，而学校主页发布的信息并不能满足各系部的教学要求，因此各系部有必要建立自己的网站。制作网站需要很多技术，包括网站语言编写技术、数据库技术、图像处理技术等等；而各系部又没有专门制作网站的老师，所以系部的网站大多都是由在校学生负责制作，他们的安全意识比较差。如何安全管理高校二级网站是非常重要的问题。
当各院系部门把他们的网站程序交上来时，先了解他们的网站核心代码是否是他们自己编写。因为有的院系部门的网络管理员对编写网站的技术不是很熟，特别是核心代码部份，所以大部份网络管理员都是从互联网上下载别人已编好的整套程序，做点相应的修改；比如修改网站框架、首页上的图片和颜色等，然后添加他们部门的信息，就算是完成网站的制作。从这我们就可以知道，这样的网站一定存在很多的漏洞，安全性非常差。论文格式。对于此类网站，我们该如何为他们的网站做好安全性呢？可以从下面三步为他们的网站安全检查和限制。不过，先在自己的计算机上建好WEB服务器，运行系部网站程序，便于安全检查。
1 检查网站漏洞
什么是漏洞？漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。论文格式。漏洞的形式有多种多样的，包括夸站漏洞、SQL注入漏洞、一句话木马漏洞等等，这些漏洞的原理不同，应用也不一样；即使是用同一种网站语言编写网站程序，也存在很多种漏洞，它们的原理和应用也各不相同。要掌握所有网站的编写语言存在各种各样漏洞的原理，就必须精通各种编写语言的技术；而系部的网络管理员大多是在校学生或是个别老师，没有很多的时间对编写语言研究，包括学校的主管网站的管理员。而且一整套的网站程序有很多的程序文件，代码多，靠人工一行一行的搜索检查漏洞，是非常费时费力的工作。幸好互联网上有很多的漏洞检查程序，比如明小子Domain4.0、Nbsi3.0和啊D注入工具_V2.32等等。论文格式。它们都可以在很短的时间里扫描整套网站是否存在漏洞。根据漏洞检查程序的结果我们会看到存在漏洞的具体文件，从而我们就可以直接对那个程序修改，打补丁。
2 检查用户名和密码
设置用户名可以用数字或字母单独使用，也可以用数字和字母结合一起；密码设置还可以使用数字、字母和特殊字符；对密码的安全设置，要求密码长度一定要在12位以上，而且一定要把数字、字母和特殊字符混合使用。经过这样设置的密码安全性非常高。而有的网站管理员会用自己的名字用作用户名，把自己的生日或手机号码或家里电话号码设为密码。这样设置有共同的特点，那就是全部是字母或数字组合，破解程序对这样的组合破解非常容易，对长度在12位以上又是把数字、字母和特殊字符结合一起的密码是不容易或不能破解的。有的网站管理员安全意识很差，或是没有安全意识，只负责把网站做好后，没有对默认的用户名和密码修改，直接交给系部领导。网络中心管理员要检查他们的用户名和密码是否使用默认的，因此网络中心管理员需要打开网站的数据库查看，而且要修改，特别是修改密码，长度要在12位以上而且要用数字、字母和特殊字符组合使用。然后还要对密码加密，主要是用到MD5（32位）来加密。
3 限制IP地址访问网站后台
网站的信息通过登录后台来编辑和修改，因此网站后台的安全关系到整个网站的安全。那如何对网站的后台做到比较安全呢？方法有很多，但有一种比较简单的方法是对登录到后台的IP地址进行限制。原理是这样：先把一个固定的IP地址设为能登录后台的IP地址，然后和来访问后台的IP地址进行比较，若一样，就直接转到登录后台页而；若不一样，就转到别的网站或是直接关闭访问者的浏览器。现用PHP的编写语言来举例，代码如下：
<?php
$passip='202.193.*.*4';//定义能登录后台的IP地址
$ip=$_SERVER['REMOTE_ADDR'];//获取访问者的IP地址
if(!ereg($ip,$passip))//比较两个ip是否相等
{
header('location:http://www.163.com');//不相等就转到这
exit();
}
?>
把以上代码保存为ipphp.php文件，再把ipphp.php文件到网站目录下。然后在网站后台的登录页面文件里添加如下语句：
<?include('../../ipphp.php')?>
4 结论
网站的安全是非常重要，而且是比较复杂的。特别是高校二级网站的安全，因为他们没有专业人员来管理，这就要求学校网络管理员做好安全的工作。学校网络中心管理员通过上面的三种方法对各系部的网站检查，这样能达到比较安全的。
参考文献：
[1]黄炳强.PHP5+MYSQL网站开发实例精讲. 人民邮电出版社.2007.
[2]王祖卫韩红哲. 网站建设与网站管理. 科学出版社.2004.
[3] 张钰彦朱海华. 网站管理手册. 中国水利水电出版社.2001.
[4]周学毛. 网站规划建设与管理维护.电子工业出版社.2001.
随着现代高速发展的网络技术和不断兴起的电子商务，针对计算机网络的攻击不断出现，设计人员在进行网页设计时必须充分考虑网络安全的问题。当一个网站建立之后，相应的配套程序有很多，由于网页设计的独特性，所以，程序的漏洞会不断的增加，这样就给网站带来了一定的安全隐患。
2网页设计安全漏洞
网页设计中常用的服务器端网页设计技术包括ASP、PHP或JSP等脚本语言，这些网页技术为网站的技术开发人员提供了便利。在网页的开发设计中，设计人员使用上面的脚本语言可以高效的管理现有的网站资源，加强了浏览者和网站的交互。在交互之间，漏洞就在慢慢的形成，这主要是因为浏览者在输入信息时的不可确定性，如果程序考虑的不周全，用户输入的信息就有可能成为对网页的攻击，无论这些信息是否是有意的还是无意的。网页的编程与服务器直接打交道，它和系统的相关设置、网站数据库设置等有关，若程序设计之中存在漏洞，那么也称之为网站漏洞。
3网页设计中存在的漏洞
3.1在登陆验证中存在的漏洞像人们常常使用的论坛、会员区、聊天室等带有交互性的网站，登陆验证是必须完成的部分，虽然登陆验证只是整个网站运行中的一小部分，但却是整个网站的安全之口。网络设计者在设计时很容易疏忽这个关口的设计，安全关口的验证程序如果没有设计好，就会让别人有空可钻，从而造成不必要的损失。很多网站在设计安全关口中都存在登陆验证的漏洞，设计人员在设计时编程的不严谨造成了这个漏洞。
3.2直接进入页面而绕过验证的漏洞在许多的敏感页面中，用户必须进行身份验证，但是这个页面无需对用户的身份验证，一旦用户在知道相关的网页设计页面的文件名和路径时，用户就会直接绕过登陆的界面，进入设计页面。在这样的状况下，网站的设计人员必须对相关的页面进行身份的验证，设计相应的身份验证程序，来达到网站页面的安全可靠程度。3.3网站病毒的广泛传播计算机中存在的病毒是人们故意设计制造的计算机应用程序，它的特点就是感染性和自制性，在日益扩大的网络规模下，计算机的病毒的种类和数量也在不断的增加，这样也对计算机的的安全造成了很大的威胁。如果网站的终端服务器被计算机病毒传染，就会破坏网站信息的可靠安全性，甚至影响了整个网站的正常运行。
3.4一些网站的非受权在网站的建设中，程序设计人员往往会采用较为复杂的安全配置，这样就会在网络服务的应用中存在非常巨大的安全缺陷，因而给远程的黑客有了可乘之机，侵入到网络服务器的内部，给网站的安全带来了巨大的危害，网络系统中的应用软件的缺陷、密码过于简单等等的系统漏洞，都会让黑客非常容易的侵入。
4解决网站安全隐患的方法
4.1充分考虑网站登陆验证的安全性在相关的论坛和聊天室中，验证身份在登陆时是必要的一步。所以，网站设计人员可以使得程序在生成SQL查询语句之前，验证用户的用户名和密码，或者是设计人员要求用户在进入网页时先对其用户名进行查询再验证密码。而在进入比较敏感的页面时，设计人员可以设计相应的程序要求用户再一次进行身份的验证，这样就增加了网页的安全可靠性。
4.2充分考虑源代码的泄漏程序设计人员对网页的代码加密后可以有效的减少网站源代码泄漏的机会，设计人员可以利用组件技术将编程逻辑密封在ADLL中，或者是对ASP进行加密，这其中利用的是微软的Script Encoder，这个方法有操作性强、编辑性强等优点，这样就可以降低源代码泄漏的机率。
4.3充分考虑文件在上传时的安全性许多的网站具有文件上传、图片上传等多种功能，比如一些论坛、邮箱系统、校园网这些用户量很大的网站，但是这样的网站，程序设计人员在设计时没有对用户提交的数据和参数进行充分的过滤，导致了黑客能够对其进行远距离的攻击，从而造成了相关数据库的破坏。所以，设计人员在用户上传图片文件之前，可以插入文件类型模式的模块，对用户上传的文件格式进行筛选，这样就可以将一些可能带来病毒的文件筛选出去，提高了用户使用网页的安全性。
如今有很多免费论文查重系统，并且越来越多，如果想让免费论文查重的安全性比较高，想让论文查重的结果更加精准，那么就需要我们去考虑网站的情况，但是这些是不够的，还需要我们去了解系统的专业性，只有这样我们才能选择比较靠谱的论文查重网站，查重的过程是比较重要的，因为这决定着我们论文的通过率如何，还影响着我们能不能毕业。 免费论文查重网站哪家好用？ 1，对比下来如果您想选择一个更专业的网站，将文件放入网站进行查重，建议多选择需要对网站进行全面的对比，以了解各种不同的网站的实际情况，同时也为自己的执行的实际需求做出判断，自然的，可以有针对性的完整查重的文件的具体要求，你要评估各种不同的网站的服务标准，那么就要比对比度更知道更多，那么它会让你拥有更多的理性思考和选择。 2、根据实际需求进行判断，从综合选择的实际程度出发，可以判断不同网站的实际情况，根据实际需求进行综合判断和考虑，不仅可以知道网站平台是否具有更专业的安全性优势，还可以保证网站平台的整体服务水平是否可靠、全面、各种细节因素综合判断，从而达到更好的优势标准。 3、明白检验网站安全系数提倡⼤家在选择收费标准论文查重⽹站时，也要明白该服务平台是否有着更安全确保，避免不断涌现论⽂资产流失的情况，很随便给⾃⼰导致多余的危害和缺失，假如想让安全系数和专业能力获得更强反映，在论文查重的过程中得到更强的优点，提议要联系实际状况进⾏全⾯考虑，也要明确各种各样不一样⽹站的作用优点和服务项目规范。靠谱的免费论文查重系统。 如今论文越来越多，所以一定要选择可靠的论文查重系统，通过上面的这些方法，可以用专业网站来对论文进行查重，这样可以使论文查重结果更加准确，这样就和学校查重的结果是差不多的，因为可靠的系统和学校的查重数据大概是相同的，可以让我们更加清楚自己论文重复率，让我们在毕业之前能更好的达到学校要求的重复率，这样就不会给自己带来麻烦了。
关键词：校园 网络 文化 管理
网络成为了高校师生获取知识、进行交流的重要渠道，并对广大师生的学习、生活乃至思想观念产生深刻的影响。同时，网上良莠不齐的信息增加了青年学生辨别真伪的难度，容易产生某些思想的混乱，影响高校和社会的稳定。加强学校网络文化建设与管理，净化网络育人环境，非常之必要。目前，很多高校开办了自己的官方网站。高校对外网站是学校对外宣传、开展教科研活动、进行教学交流、呈现学校资源的网络平台，是展示学院形象和学校教育的重要窗口。学院主页及部门网页的内容和编辑不仅反映了学校的水平和形象，也将影响到学校的招生、就业，科研项目的争取等关系发展的重大事项。利用好、建设好、管理好校园网站，是高校网络文化建设的主要途径之一。要把校园网站建设成为传播主旋律的主渠道，信息安全是第一要务，主要就是要加强制度建设和信息员队伍的建设。
1 制定严格的对外网站信息管理办法
高校加强对外网站管理的制度建设的核心内容是制定严格的《网站信息管理办法》，主要应包含以下规定：①网站信息的必须遵守国际、国内有关法律的规定。不得与宪法和法律相悖、危害国家安全和利益的、宣扬封建迷信、侮辱诽谤他人的、破坏学校安定团结、有损学校形象等有关法律、法规禁止的信息内容。②高校网站信息的管理部门是党委宣传部，各系部也要成立部门的网站管理小组，配备部门的网站信息员。网站信息员名单需报学校备案。③网上信息采取责任追究制度，信息工作坚持“谁谁负责”的原则，网站信息员对本部门网站信息的安全性、准确性负责。登录密码和帐号一般应由网站信息工作小组组长和信息员掌握，不得向他人泄漏。④学校党委宣传部负责学校外网主页内容的审查和更新，负责各部门网页内容的审查和备案，负责校园网络信息安全的监控、负责校园网络突发事件的预防和处理、网络舆论情报的搜集与反馈等。⑤各系、各部门定期在校园网上充实更新部门网页，充分利用网站宣传学校，提升学校的知名度和美誉度。各部门的信息内容必须由网站信息小组组长确认，并交学校党委宣传部审核、备案后方可。⑥任何部门未经申请同意，不得私设部门网站，各种信息，更不准将个人网站链接到学校网站。
2 高度重视网站信息员队伍建设
建立一支高素质的网站信息员队伍是用积极、健康的思想文化占领网络阵地、进一步净化校园网络环境的重要手段，也是加快和谐校园建设的一项重要任务。
2.1 信息员的选任条件和要求 ①具有较高的思想政治素质，有较强的政治敏感性和政治鉴别力，能较好地把握正确的舆论导向，有较高的政策理论水平，具有一定的思想政治工作经验或学生教育管理经验。②了解掌握高等教育法律法规，熟悉高等教育政策和学校的基本情况，具有较强的工作责任心，富有社会责任感、正义感，热心服务高等教育的改革和发展。③熟悉网络基本操作技术，了解网络传播特点和规律，善于运用网络语言，知识面广，有较强的文字功底。
2.2 信息员的职责义务 努力充分挖掘本系部信息题材，弘扬本系部正面舆论，利用学校网站传播平台和技术支持，把校园网建设成为立德树人的新阵地，师生精神文化活动的新空间，校园文化和服务的新平台。
①信息员要充分调动本系部教师、学生提供有价值信息线索的积极性，尤其是学生干部的积极性，对系部、师生中出现的新闻信息要及时报道，写成通讯发送到学校网站上。②信息员要及时关注关于学院和本系部的网上舆论信息。经常查询关于学校和本系部的网上评论，重大问题要及时向宣传部报告。③信息员要主动介入校园BBS和校外一些网站的交互式栏目（论坛、贴吧、说吧、留言板等），在网上就师生关注的热点问题、难点问题参与评论，积极跟帖。还可以通过创建贴吧，QQ群，播客、在论坛上发表文章等形式，用生动活泼的语言，塑造学校和各系部的正面形象。④对于突发事件，信息员要及时引导网上舆论，维护正面声音，最大程度消除各种负面影响，维护学校稳定。信息员要加强对学生思想动态和活动情况的调查了解，对校园网上表达正能量的信息，要予以保留和支持，加强正面引导力度。对未经证实的信息和各种制造恐慌、影响稳定的谣言，要认真核实、及时澄清、公开辟谣。⑤信息员要不断加强政治理论、高等教育法律法规、政策以及网络技术等方面的学习，努力提高理论素养、政策水平和业务水平，以高度的政治责任感和历史使命感，按照“加强网络文化建设和管理，营造良好网络环境”的要求努力创造文明健康、积极向上的校园网络文化。
2.3 加强信息员队伍建设的组织领导 要不断加强信息员队伍建设的组织领导。党委宣传部定期召开会议，听取网上舆情引导工作汇报，及时解决网络评论工作中出现的问题。党委宣传部负责信息员队伍的人员选拔、业务培训、工作考核、实绩奖励。不断完善网络信息员培训和学习机制，特别是要在如何有效地提高舆情引导能力，消除负面影响等方面加强培训，不断提高信息员政治业务素质、网上舆论引导能力和计算机网络应用水平。
参考文献：
[1]李欣.高校校园网络安全探索[J].中国现代教育装备，2007（01）.
[2]龙冬阳.网络安全技术及应用[M].华南理工大学出版社，2006.
[3]黄昌富.网络不安全因素[J].信息网络安全.2004（08）.
>> 基层气象网络信息系统建设的现状与前景分析 浅谈气象网站网络安全设计与实现 概论气象网站安全隐患及解决方法 基于NTP的气象网络校时系统的研究和实现 浅谈当前县级气象网络安全存在的隐患及对策 IRF虚拟化技术在气象网络中的应用 VPN技术在安阳气象网络中的应用 简单阐述气象网络安全 气象网络设备监控系统 气象网络管理与维护探讨 关于蓬莱道德工程建设的思考 《蓬莱宴》新探论 省级气象网络安全分析及防范探析 浅论气象网络安全及其对策 气象网络系统信息安全问题初探 直管市气象网络安全管理初探 基于的市级气象服务平台（网站）开发建设 浅谈区县级气象部门网站建设架构 论党建网站建设的文化效用 论网站建设过程中的优化策略 常见问题解答 当前所在位置：）为例，解释网页内容及超链接的编辑过程。FrontPage是Office自带的一款可视化网页编辑软件，是制作静态网站经常用到的基础软件。
3.1 新建网页
打开FrontPage软件，进入网站所在目录，“文件”-“新建”，选择“空白网页”，此时出现一个上部为代码区，下部为设计区的空白网页（图6）。在此界面下，可同时查看网页代码和网页视图的编辑情况，可根据各自习惯在代码区或者视图区编辑内容。
当图片内容和文字内容插入、编辑完毕后，可在设计视图（图7）下稍作修饰，然后在预览视图下进行预览，满意后保存文件，即成为一个完整充实的网页（图8）。
打开首页面“index.htm”，选中导航栏中的“天气预报”，右击选择“超链接属性”，出现“编辑超链接”对话框（图9）。选择浏览文件，出现“链接到文件”对话框（图10），选中“yb.htm”，它将自动置入“编辑超链接”对话框中的地址栏，最后单击“确定”就完成了导航栏中“天气预报”项目到具体预报内容页面的链接过程。其他页面的链接过程与此类同，超链接过程完成后，永久有效，日后对预报等内容的更新，只需编辑修改“yb.htm”等子页面的内容即可，超链接不必重复操作。
4 内容上传与网页浏览
网站在单机编辑完成后，必须到服务器空间，并且在浏览器地址栏输入正确的域名后才能在互联网上被正确访问。下面以“蓬莱气象网”的首页“index.htm”为例，介绍网页上传的步骤。输入服务器地址登陆空间，是上传网页的方法之一，步骤是“资源管理器”，地址栏输入ftp://plqxjcom:**********/www，其中“plqxjcom”是我们所在服务器上的用户名，“**********”代表10为数的密码，“”是服务器地址，“www”是存储此网页的文件夹。地址输入完毕后回车，便进入了服务器空间，然后将编辑好的“index.htm”页面复制到此空间的“www”文件夹下，上传任务即完成（图11）。
网站内容上传成功后，在浏览器地址栏输入域名“”便可浏览到网站内容（图12）。
目前“蓬莱气象网”已被百度和Google等大型搜索引擎检索收录（图13），搜索“蓬莱气象”，本站在百度和Google均排在第一位。
