一、隨着計算機信息技術的高速發展，人們的生活、工作越來越依賴互聯網上的信息發佈和信息獲取，但是人們卻時刻被信息網絡的安全隱患所困擾，越來越多的人也開始了關於網絡、網站的安全性管理研究。
網站安全是指對網站進行管理和控制，並採取一定的技術措施，從而確保在一個網站環境裏信息數據的機密化、完整性及可使用性受到有效的保護。網站安全的主要目標就是要穩妥地確保經由網站傳達的信息總能夠在到達目的地時沒有任何增加、改變、丟失或被他人非法讀取。要做到這一點，必須保證網站系統軟件、數據庫系統其有一定的安全保護功能，並保證網站部件如終端、數據鏈路等的功能不變而且僅僅是那些被授權的人們可以訪問。
網站安全目前已發展成為一個跨學科的綜合性學科，它包括通信技術、網站技術、計算機軟件、硬件設計技術、密碼學、網站安全與計算機安全技術等，網站安全是在攻擊與防範這一對矛盾相互作用的過程中發展起來的。新的攻擊導致必須研究新的防護措施，新的防護措施又招致攻擊者新的攻擊，如此循環反覆，網站安全技術也就在雙方的爭鬥中逐步完善發展起來。
二、網絡與網站安全隱患概述
目前影響網站安全的問題主要來自於網絡的不安全性，所以在這個意義上講，網站的安全漏洞其實也就是網絡的安全漏洞，其漏洞主要來自以下幾個方面：
1.自然因素：
1.1軟件漏洞
任何的系統軟件和應用軟件都不能是百分之百的無缺陷和無漏洞的，而這些缺陷和漏洞恰恰是非法用户、黑客進行竊取機密信息和破壞信息的首選途徑。針對固有的安全漏洞進行攻擊，主要在以下幾個方面：
1.1.1、協議漏洞。例如，IMAP和POP3協議一定要在Unix根目錄下運行，攻擊者利用這一漏洞攻擊IMAP破壞系統的根目錄，從而獲得超級用户的特權。
1.1.2、緩衝區溢出。很多系統在不檢查程序與緩衝區之間變化的情況下，就接受任何長度的數據輸入，把溢出部分放在堆疊內，系統仍照常執行命令。攻擊者就利用這一漏洞發送超出緩衝區所能處理的長度的指令，來造成系統不穩定狀態。
1.1.3、口令攻擊。例如，Unix系統軟件通常把加密的口令保存在一個文件中，而該文件可通過拷貝或口令破譯方法受到入侵。因此，任何不及時更新的系統，都是容易被攻擊的。
1.2病毒攻擊
計算機病毒一般分為四類：①文件型病毒（FileViruses）;②引導型病毒（SystemorBootSectorVirus）;③鏈式病毒（SYSTEMorCLUSTERVirus）;④宏病毒（MacroVirus）。計算機病毒的主要危害有：對計算機數據信息的直接破壞作用，給用户造成重大損失:佔用系統資源並影響運行速度:產生其他不可預見的危害:給用户造成嚴重的'心理壓力。
計算機病毒疫情呈現出多元化的發展趨勢，以網絡為主要傳播途徑。呈現以下顯著特點:①網絡病毒佔據主要地位；②病毒向多元化、混合化發展；③利用漏洞的病毒越來越多。
2、人為因素：
2.1操作失誤
操作員安全配置不當造成的安全漏洞，用户安全意識不強.用户口令選擇不慎.用户將自己的帳號隨意轉借他人或與別人共享等都會對網絡安全帶來威脅。這種情況在企業計算機網絡使用初期較常見，隨着網絡管理制度的建立和對使用人員的培訓，此種情況逐漸減少.對網絡安全己不構成主要威脅。
2.2惡意攻擊
這是計算機網絡所面臨的最大威脅，敵手的攻擊和計算機犯罪就屬於這一類。此類攻擊又可以分為以下兩種：一種是主動攻擊，它以各種方式有選擇地破壞信息的有效性和完整性；另一類是被動攻擊，它是在不影響網絡正常工作的情況下，進行截獲、竊取、破譯以獲得重要機密信急。
當然作為本文最討論的網站安全，它也有它自身的安全隱患存在，主要體現在以下幾點：
3.用户輸入驗證不全面
在網站編程中，對於用户和用户的輸入，都必須抱懷疑態度，不能完全信任。所以，對於用户的輸入，不能簡單的直接採用，而必須經過嚴格驗證，確定用户的輸入是否符合輸入規則才可以錄入數據庫。用户輸入驗證應該包括以下幾個方面：
（1）輸入信息長度驗證。程序員往往認為一般用户不會故意將輸入過分拉長，不進行輸入驗證可能沒有危害。但如果用户輸入的信息達到幾個兆，而程序又沒有驗證長度的話，可以使程序驗證出錯或變量佔用大量內存，出現內存溢出，致使服務器服務停止甚至關機。論文網在線
（2）輸入信息敏感字符檢查。在設計程序的時候，程序員可能都會關注javascript的一些敏感字符，如在設計留言版的時候，會將“<”等符號的信息過濾，以免用户留下頁面炸彈。但還有以下幾個方面需要特別注意，一是留言版內容信息的過濾。二是用户名信息的過濾。程序設計中，對用户名的驗證往往只是驗證長度，沒有驗證javascript或者HTML的標記，這樣就容易形成漏洞。三是Email信息的驗證，Email信息往往也只驗證是否含有“@”符號，其他沒有限制，這容易形成兩個漏洞：輸入信息過長的內存溢出漏洞；含有javascript等字符信息，造成顯示用户Email的時候形成頁面炸彈等。四是搜索信息的驗證。儘管搜索信息不會直接保存到網站服務器，但是，搜索信息卻與數據庫或者服務器所有文件密切相關，如果搜索信息有問題，很容易就會暴露一些本來不應該暴露的數據庫信息或者文件信息。如果用户對程序比較瞭解，可設計一些很特別的搜索信息，檢索他不應該檢索的數據庫表，例如用户賬號密碼錶等。因此，一般要驗證一些常見的用於數據庫操作的語句，例如搜索信息是否含有“Select”等，這樣來限制用户輸入，避免信息的泄露。
4.頁面行為方式缺乏邏輯
在網站中註冊新用户的時候，一般會首先要求用户輸入自己需要註冊的賬號信息，驗證該賬號是否已經存在，確保用户的單一性。如果用户的註冊信息通過了“存在該賬號”的檢測，在編程的時候就認為這個賬號一定不存在，可以註冊，在註冊頁面中直接使用“nsertInto”語句將註冊信息插入用户數據庫。上述的問題是：將註冊信息插入數據庫之前，並沒有再一次檢查這個用户是否存在，而是信任前一個檢測頁面傳來的賬號信息。由於可以閲讀和保存HTML文件的源代碼，如果用户將註冊通過的頁面保存並且將上面的賬號信息修改為一個已經存在的賬號，由於程序認為該賬號已經通過檢測，直接將該賬號插入數據庫，原來擁有該賬號的用户信息就被修改，造成用户信息流失、出錯等情況的發生。如果這個賬號剛好是一個管理員賬號，結果將是很難預料的。
使用以上錯誤方式編程的程序員很多，隨便在網上找就可以找到很多這種方式編程的源代碼和已經採用的程序。在電子商務初期，一些電子商務網站的程序中，存在着用户可以隨意定義自己購買商品的價格這樣的漏洞，也就是由頁面行為方式缺乏邏輯造成的。
當然，網站安全還包括比如服務器攻擊、病毒攻擊等方面，但這些方面基本都屬於上文中介紹過的網絡安全問題，另外由於篇幅問題許多細節問題也不在此累贅了。
三、網站安全管理策略探討
1.網絡安全的管理
1.1使用防火牆
防火牆作為使用最多，效率最高的網絡安全產品自然有它自身的優勢，所以防火牆在整個網絡安全中的地位將是無可替代的。
1.2與因特網接入處增設網絡入侵檢測系統
入侵檢測系統(IDS即IntrusionDetectSystem)是實時網絡違規自動識別和響應系統，它位於有敏感數據需要保護的網絡上或網絡上任何有風險存在的地方，通過實時截獲網絡數據流，能夠識別、記錄入侵或破壞性代碼流，尋找網絡違規模式和未授權的網絡訪問，一經發現入侵檢測系統根據系統安全策略做出反應，包括實時報警、自動阻斷通信連接或執行用户自定義安全策略等。
1.3病毒防禦
選購殺毒軟件，必須考慮產品的採購成本、應用(管理、維護)成本，以及將來企業或網絡規模變化後，軟件能否實現平滑過渡等問題。只有明確需求，重視產品的應用和管理，把網絡防病毒納入到信息安全防範體系之中進行綜合防範，才能有效提升企業的信息安全水平。單純防病毒，並不是企業的最終目標。
當然，對於網絡安全的防禦目前比較成熟的技術相當多，我們只有認準適合自己的技術，並採用多種技術相互結合才能達到相應的目的，由於篇幅有限對於其他諸如身份認證、數字簽名等技術的介紹就不在此累贅了。論文網在線
2.網站自身的安全管理
2.1網站服務器的安全管理
網站服務器的日常管理、維護工作包‘括網站服務器的內容更新、日誌文件的審計、安裝一些新的工具和軟件、更改服務器配置、對服務器進行安全檢查等。主要注意以下幾點:
①從網絡結構設計上解決安全問題
安裝一個功能強大的防火牆可以有效防禦外界對Web服務器的攻擊，還可通過安裝非法人侵監測系統，提升防火牆的性能，達到監控網絡、執行立即攔截動作以及分析過濾封包和內容的動作，當有入侵者攻擊時可以立刻有效終止服務。同時應限制非法用户對網絡的訪問，規定具有特定IP地址的客户機對本地網絡服務器的訪問權限，以防止從外界對網絡服務器配置的非法修改。
②定期對網站服務器進行安全檢查
由於網站服務器是對外開放的，容易受到病毒的攻擊，所以應為服務器建立例行安全審核機制，利用漏洞掃描工具和IDS工具，加大對服務器的安全管理和檢查。另外，隨着新漏洞的出現，我們要及時為服務器安裝各類新漏洞的補丁程序，從而避免服務器受到攻擊和出現其他異常情況。
③定期進行必要的數據備份
對服務器上的數據定期進行備份是很重要的。網站的核心是數據，數據一旦遭到破壞，後果不堪設想。除了設置相應權限外，應建立一個正式的備份方案，而且隨着網站的更新，備份方案也需要不斷地調整。
2.2數據庫安全管理
數據庫的安全性是指保護數據庫以防止不合法的使用所造成的數據泄密和破壞。為了保證業務應用系統後台數據庫的安全性，採用基於Client/Server模式訪問後台數據庫，為不同的應用建立不同的服務進程和進程用户標識，後台數據庫系統以服務器進程的用户標識作為訪問主體的標識，以確定其訪問權限。我們通過如下方法和技術來實現後台數據庫的訪問
控制。
①訪問矩陣
訪問矩陣就是以矩陣的方式來規定不同主體(用户或用户進程)對於不同數據對象所允許執行的操作權限，並且控制各主體只能存取自己有權存取的數據。它以主體標行，訪問對象標列，訪問類型為矩陣元素的矩陣。Informix提供了二級權限：數據庫權限和表權限，並且能為表中的特定字段授予Select和Update權限。因此，我們在訪問矩陣中定義了精細到字段級的數據訪問控制。
②視圖的使用
通過視圖可以指定用户使用數據的範圍，將用户限定在表中的特定字段或表中的特定記錄，並且視圖和基礎表一樣也可以作為授權的單位。針對不同用户的視圖，在授權給一用户的視圖中不包括那些不允許訪問的機密數據，從而提高了系統的安全性。
③數據驗證碼DAC
對後台數據庫中的一些關鍵性數據表，在表中設置數據驗證碼DAC字段，它是由銀行密鑰和有關的關鍵性字段值生成。不同記錄的DAC字段值也不相同。如果用户非法修改了數據庫中的數據，則DAC效驗將出錯，從而提高了數據的安全性。
2.3編碼中的安全管理
防止惡意代碼注入
①驗證輸入，使攻擊者無法注入腳本代碼或使緩衝區溢出
②對所有包含輸入的輸出進行編碼。這可防止客户端瀏將潛在的惡意腳本標記作為代碼進行轉換。
③使用接受參數的存儲過程，防止數據庫將惡意ＳＱＬ輸為可執行語句進行處理。同時使用特權最低的進程帳户和模擬帳户。在攻擊者企圖應用程序的安全上下文執行代碼時，可緩解風險並減少損害。
防止會話劫持：
①分隔個性化cookie和身份驗證cookie。
②僅通過HTTPS連接傳遞身份驗證cookie。
③不傳遞在查詢字符串中代表已通過身份驗證的用户標識符。
最為一名網絡或者網站管理員，有責任同時也有義務做好網站的維護與管理，這就需要我們管理人員時刻保持虛心學習的心態，時刻關注新的管理技術與安全防禦技術。對於已經出現的安全問題應該用最快、最有效的方法加以解決，對於目前還未出現的安全問題要有預見性，這才是一名優秀的網絡管理員。
參考文獻：
[1]沈文智osoftBS網頁技術[M].北京:人民郵電出版社.1998.
[2]沈昌樣.網絡安全與信息戰.網絡安全技術與應用.2001.
[3]駱耀祖，龔洵禹．動態網頁設計教程［M］．廣州：中山大學出版社，2002．
[4]駱耀祖，劉永初等．計算機網絡技術及應用［M］北京：清華大學、北方交大出版社，2003．
摘要：
本文首先介紹了網絡與網站安全的隱患，其中包括常見的網絡安全隱患和網站自身經常出現的安全隱患，之後作者從簡要介紹了網絡安全的防禦問題，並詳細介紹了網站自身的安全防禦。
關鍵字：網站安全性管理
文萃咖
