電子商務(wù)安全技術(shù)

1、電子商務(wù)安全技術(shù)簡介：這是大學(xué)上課時學(xué)習(xí)的電子商務(wù)安全技術(shù)，是全書的概要，總結(jié)。大學(xué) 期末考試，可以拿它做為參考。第一篇電子商務(wù)安全概述電子商務(wù)是由計算機、通信網(wǎng)絡(luò)及程序化、標(biāo)準(zhǔn)化的商務(wù)流程和一系列安全、 認(rèn)證法律體系所組成的一個集合。電子商務(wù)系統(tǒng)是由In ternet、用戶、配送中心、認(rèn)證中心、銀行和商家等組 成TCP/IP 協(xié)議，第1章電子商務(wù)安全基礎(chǔ)乙發(fā)送一條信息甲，信息內(nèi)容是：請給乙向銀行中打入10000元。落款：乙甲收到：信息為：請給丙向銀行中打入 10000元，乙。其實在傳遞信息的過程中已被丙修改了信息。1. 1電子商務(wù)安全概念電子商務(wù)安全就是保護在電子商務(wù)系統(tǒng)里的企業(yè)或個人資產(chǎn)不

2、受未經(jīng)授權(quán)的訪 問、使用、竄改或破壞。電子商務(wù)安全覆蓋了電子商務(wù)的各個環(huán)節(jié)。涉及到三方面：客戶端-通信傳輸-服務(wù)器端電子商務(wù)安全的六項中心內(nèi)容:1. 商務(wù)數(shù)據(jù)的機密性或保密性通過加密來實現(xiàn)的。2 電子商務(wù)數(shù)據(jù)的完整性或正確性一定要保證數(shù)據(jù)沒有被更改過。3. 商務(wù)對象的認(rèn)證性第三方認(rèn)證。CA認(rèn)證中心。4. 商務(wù)服務(wù)的不可否認(rèn)性5. 商務(wù)服務(wù)的不可拒絕性或可用性。6. 訪問的控制性1.2電子商務(wù)安全問題技術(shù)上的安全性，安全技術(shù)的實用可行性。要考慮以下三方面的問題：1）安全性與方便性2）安全性與性能3）安全性與成本一、問題的提出二、電子商務(wù)的安全隱患1. 數(shù)據(jù)被非法截獲，讀取或修改數(shù)據(jù)加密2. 冒名

3、頂替和否認(rèn)行為數(shù)字簽名、加密、認(rèn)證3個用戶未經(jīng)授權(quán)訪問了另一個網(wǎng)絡(luò)Intran et: 企業(yè)內(nèi)部網(wǎng)In ternet: 因特網(wǎng)防火墻4. 計算機病毒殺毒軟件1. 3電子商務(wù)安全需求一、電子交易的安全需求1.身份的可認(rèn)證性保證交易雙方身份是真實的，可靠的，不被冒名頂替2 信息的保密性加密，即使泄露，別人也看不懂。原文-密文3. 信息的完整性正確性，一定要保存?zhèn)鬟f的信息，到達接收方?jīng)]有被更改4 可靠性/不可抵賴性5審查能力/不可假造。6.內(nèi)部網(wǎng)的嚴(yán)密生二、計算機網(wǎng)絡(luò)系統(tǒng)的安全1. 物理實體的安全1）設(shè)備的功能失常2）電源故障3）由于電磁泄漏引起的信息失密4）搭線竊聽2. 自然災(zāi)害的威脅3. 黑客的

4、惡意攻擊所謂黑客，一般泛指計算機信息的非法入侵者黑客的攻擊手段有兩種：一種主動攻擊，一種是被動攻擊。4軟件的漏洞和后門5. 網(wǎng)絡(luò)協(xié)議的安全漏洞各種協(xié)議都有一定的缺陷，黑客專門查找這些漏洞。復(fù)習(xí)：1. 電子商務(wù)安全概念？2. 電子商務(wù)安全的六項中心內(nèi)容。3. 電子商務(wù)安全問題的提出4. 電子商務(wù)的安全隱患5. 電子商務(wù)安全需求電子交易過程中的安全需求計算機網(wǎng)絡(luò)系統(tǒng)的安全需求6. 計算機病毒的攻擊1）什么是計算機病毒？指編制或者在計算機程序插入的破壞計算機功能或者破壞數(shù)據(jù)，影響計算機 使用并且能夠自我復(fù)制的一組計算機指令或程序代碼。CIH病毒2）計算機病毒的分類引導(dǎo)型病毒、可執(zhí)行文件病毒、宏病毒、

5、混合病毒、特洛伊木馬、in ternet語言病毒（腳本病毒）v/headv/body3）反病毒軟件瑞星，趨勢軟件、金山、諾頓、360免費病毒軟件4）目前病毒的安全狀態(tài)病毒的數(shù)量急聚增加。一些商業(yè)公司流氓軟件很嚴(yán)重。木馬。病毒的傳播途徑比較廣。軟件的漏洞成為病毒的突破口5）病毒的破壞目標(biāo)和攻擊部位。攻擊系統(tǒng)數(shù)據(jù)區(qū)。攻擊文件。攻擊內(nèi)存。干擾系統(tǒng)運行。使計算機速度下降。攻擊磁盤。擾亂屏幕顯示。干擾鍵盤。攻擊CMOS。干擾打印機1.4電子商務(wù)安全技術(shù)目前電子商務(wù)安全有許多的解決方案，安全技術(shù)主要有加密技術(shù)、授權(quán)認(rèn)證技術(shù)、CA安全認(rèn)證技術(shù)、安全電子交易協(xié)議、虛擬專用網(wǎng)技術(shù)、反病毒技術(shù)、黑客防范技術(shù)。從電

6、子交易的過程來看，主要考慮三方面的安全技術(shù)：客戶端的安全技術(shù)、網(wǎng)絡(luò)通信的安全技術(shù)、服務(wù)器端的安全技術(shù)一、客戶端安全技術(shù)主要包括操作系統(tǒng)的安全描述和應(yīng)用系統(tǒng)安全技術(shù)1. 操作系統(tǒng)的安全描述如 windows xp,windows 2000,windows vista,windows win7,國際上將操作系統(tǒng)的安全進行了分類級別，D級、C1級、C2級、B1級、B2級、A級。2. 應(yīng)用系統(tǒng)的安全技術(shù)安全都是相對的。域控制器，所以的客戶端登錄必須經(jīng)過域控制器驗證。二、網(wǎng)絡(luò)信息安全技術(shù)主要包括網(wǎng)絡(luò)安全技術(shù)和信息安全技術(shù)1. 網(wǎng)絡(luò)安全技術(shù)分為四個相互交織的部分，保密、鑒別、反拒和完整性控制網(wǎng)絡(luò)安全技術(shù)的

7、主要作用:2. 信息安全技術(shù)由于互聯(lián)網(wǎng)的開放性、連通性和自由性，用戶在共享資源的同時，也存在著被 侵犯或惡意破壞的危險。信息安全技術(shù)的目標(biāo)就是保護有可能被侵犯的機密信 息不被外界非法操作、控制。保存進行身份驗證，數(shù)據(jù)加密等。三、服務(wù)器端的安全技術(shù)服務(wù)器端的安全技術(shù)主要包括網(wǎng)絡(luò)操作系統(tǒng)安全、電子商務(wù)網(wǎng)站的安全設(shè)置、 數(shù)據(jù)庫服務(wù)器安全技術(shù)和應(yīng)用程序安全技術(shù)四部分。1. 網(wǎng)絡(luò)操作系統(tǒng)的安全微軟公司的網(wǎng)絡(luò)操作系統(tǒng)有：windows NT4.0，windows 2000 server,windows2003 server,w in dows 2008 serverLinux操作系統(tǒng)，Unix操作系統(tǒng)，N

8、etWare（ NOVEL）操作系統(tǒng)。IDE 接口，STAT接口，scsi 接口（服務(wù)器）2. 電子商務(wù)網(wǎng)站的安全技術(shù)主要包括web服務(wù)器的安全設(shè)置，強化服務(wù)器的軟件和信息傳輸?shù)陌踩珕栴}IIS，in ternet 信息服務(wù)管理器，access3. 數(shù)據(jù)庫服務(wù)器安全技術(shù)數(shù)據(jù)庫管理系統(tǒng)有多種，目前常用的都是關(guān)系型的數(shù)據(jù)庫管理系統(tǒng),數(shù)據(jù)庫，sql server 2005，oracle 數(shù)據(jù)庫。4. 應(yīng)用系統(tǒng)安全技術(shù)主要包括j2ee安全技術(shù)和DOT.NE安全技術(shù)。國內(nèi)用的比較多的是.NET，國外用的比較多的是java技術(shù)?？缙脚_。.net的開發(fā)體系主要包括幾層：表示層：業(yè)務(wù)層，業(yè)務(wù)數(shù)據(jù)訪問層三層架構(gòu)。

9、Ado .netAjax技術(shù)。這是一種目前比較流行的java技術(shù)。LINQ支持。四、電子商務(wù)支付安全技術(shù)包括電子商務(wù)支付系統(tǒng)和電子支付安全技術(shù)兩部分。1. 電子商務(wù)支付系統(tǒng)電子支付網(wǎng)關(guān),電子支付：是指電子商務(wù)交易的當(dāng)事人，包括消費者、商家和金融機構(gòu)，使用安全電子支付手段通過網(wǎng)絡(luò)進行的貨幣或資金的流轉(zhuǎn)。傳統(tǒng)支付和電子支付的區(qū)別：五、電子商務(wù)安全協(xié)議目前有兩種安全在線支付協(xié)議：安全套接層協(xié)議SSL安全電子交易協(xié)議 SETSSL協(xié)議：是由網(wǎng)景公司推的一種安全通信協(xié)議。它能夠?qū)π庞每ê蛡€人信息提供保護。SET協(xié)議是由visa和mastercard以及其他一些業(yè)界主流廠商聯(lián)合推出的一種 規(guī)范。用來保證銀

10、行卡支付交易的安全性。1.5電子商務(wù)安全法律上機：1. 查找五個電子商務(wù)網(wǎng)站，了解國內(nèi)和國際的電子商務(wù)安全技術(shù)發(fā)展?fàn)顟B(tài)，并 了解電子商務(wù)安全方法有哪些？效果如何？2. 計算機病毒軟件有哪些？分別具有什么功能。第2章電子商務(wù)網(wǎng)站常見的攻擊本章重點:1. 端口掃描2. 特洛伊木馬3. 緩沖區(qū)溢出攻擊4. 拒絕服務(wù)攻擊5. 網(wǎng)絡(luò)監(jiān)聽2.1端口掃描計算機中存放著65535個端口，常用端口為1024以下，端口就是一個通信通 道，通過端口掃描，可以得到許多目標(biāo)計算機中有用的信息。對于端口的掃描 可以通過軟件實現(xiàn)，也可以通過手工實現(xiàn)。一、掃描器的定義掃描器就是一種自動檢測遠(yuǎn)程或本地主機安全弱點的程序，通過掃

11、描器可不留痕跡地發(fā)現(xiàn)遠(yuǎn)程服務(wù)器的各種 TCP端口的分配及提供的服務(wù)和它的軟件版本等,從而直接了解遠(yuǎn)程計算機的安全性。掃描器不攻擊遠(yuǎn)程計算機，只是得到有用的信息。二、掃描器的工作原理選用遠(yuǎn)程TCP/IP不同端口的服務(wù)，來記錄目標(biāo)給予的回答?？梢运鸭皆S多 關(guān)于目標(biāo)計算機的各種有用的信息。、掃描器的功能1. 發(fā)現(xiàn)主機或網(wǎng)絡(luò)的功能2. 發(fā)現(xiàn)主機上運行服務(wù)的功能3. 發(fā)現(xiàn)漏洞的功能四、常用的端口掃描技術(shù)1. TCP connect掃描技術(shù)優(yōu)點有兩個：不需要任何權(quán)限，系統(tǒng)中的任何用戶都有權(quán)利使用這個調(diào)用。速度快，通過同時打開多個套接字，加速掃描。缺點：很容易被發(fā)現(xiàn)，并且被過濾掉。TCP傳輸控制協(xié)議。2.

12、 TCP SYN掃描半開放掃描，優(yōu)點在于一般不會在目標(biāo)計算機上留下記錄，缺點必須具有root權(quán)限才能建立自己的SYN數(shù)據(jù)包。3. TCP FIN 掃描TCP FIN掃描能夠避開防火墻的監(jiān)視，F(xiàn)IN數(shù)據(jù)包，此種技術(shù)可以確定掃描端口的狀態(tài)。該方法可以用來區(qū)分 unix和windowsNT 4,IP段掃描IDENT協(xié)議，這種方法必須和目標(biāo)端口建立一個完整的TCP連接后才能被使用5. TCP反向IDENT掃描6. FTP返回攻擊該方法從一個代理的FTP服務(wù)器來掃描TCP端口，優(yōu)點是難以被跟蹤，容易穿 過防火墻，缺點速度慢。7. UDP ICMP端 口不能到達掃描使用的是UDP協(xié)議，缺點是速度較慢，需r

13、oot權(quán)限。8. UDP Recvfrom 和 write 掃描只適合于unix系統(tǒng)，套接字函數(shù)對UDP端口進行掃描。9.ICMP echo 掃描不是真正意義的掃描，但有時通過ping，在判斷一個網(wǎng)絡(luò)上的主機是否開機2.2特洛伊木馬1. 特洛伊木馬是一個包含在合法程序中的非法程序，非法程序被用戶在不知情的情況下執(zhí)行。2. 特洛伊木馬的組成般的木馬都包括客戶端和服務(wù)器端，客戶端就是控制其他計算機的機器。遠(yuǎn) 程計算機上。服務(wù)器端程序就是木馬程序，攻擊者通過客戶端控制服務(wù)器端實 施攻擊。3. 木馬入侵的途徑木馬必須通過一定的方法植入或復(fù)制到被攻擊的計算機上，主要通過郵件附件、 下載軟件、或者通過一些

14、提示故意誤導(dǎo)被攻擊者打開執(zhí)行文件。木馬還可以通 過script、activx以及CGI交互腳本的方式植入。木馬可以通過系統(tǒng)的一些 漏洞植入。4. 木馬程序入侵使用的協(xié)議木馬程序使用的協(xié)議絕大多數(shù)是 TCP/IP協(xié)議，也有使用UDP協(xié)議進行通信。一、特洛伊木馬的隱藏方式1. 在任務(wù)欄里隱藏2. 在任務(wù)管理器里隱藏計算機系統(tǒng)啟動后，會啟動許多服務(wù)，這些服務(wù)可以通過任務(wù)管理器來管理。 一般使用ctrl+alt+delete三鍵打開任務(wù)管理器查看，它分為用戶進程和系統(tǒng)進程，一般木馬都裝成為”系統(tǒng)服務(wù)“，從而從正在運行的進程中消失。3. 端口臺機器有65535個端口，常用的是1024以下的，木馬常常隱藏

15、在1024以上4. 隱藏通令1024以上的端口，先進的木馬，會使用 80端口 .5. 隱藏加載方式6. 最新隱身技術(shù)最簡單的放在windows的注冊表中，最新的木馬隱藏方式，通過修改虛擬設(shè)備 驅(qū)動程序VXD或修改動態(tài)鏈接庫DLL來加載木馬。二、特洛伊木馬的工作原理1. 木馬服務(wù)器端程序的植入2. 木馬將入侵主機信息發(fā)送給攻擊者3. 木馬程序啟動并發(fā)揮作用木馬要發(fā)揮作用必須具備以下三個因素：1）木馬需要一種啟動方式，木馬必須啟動才能發(fā)揮作用。2）木馬需要在內(nèi)存中才能發(fā)揮作用3）木馬會打開特別的端口。三、木馬程序的存在形式（啟動方式）1. 放在win.ini :山門=或load=項目中的程序名會自

16、動啟動。3. 注冊表：run項中的程序4. 附在合法的自啟動程序中。四、木馬的特性1. 隱藏性主要體現(xiàn)在兩個方面：不產(chǎn)生圖標(biāo)，自動在任務(wù)管理器中隱藏2. 自動運行性3. 功能的特殊性可以實現(xiàn)遠(yuǎn)程控制4. 自動恢復(fù)功能自動復(fù)制功能5. 自動打開特別的端口五、木馬的種類1. 破壞型木馬2. 密碼發(fā)送型Cookie 對象，session，application對象3. 遠(yuǎn)程訪問型遠(yuǎn)程控制，就是攻擊者在本機，可以操作你的計算機4. 鍵盤記錄型5. dos攻擊型拒絕服務(wù)攻擊6. 代理木馬7. FTP木馬8. 程序殺手9. 反彈端口六、木馬的入侵1. 集成到程序中2隱藏在配置文件中Autoexec.bat

17、 或 config.sys3. 潛伏在win.ini 中4. 裝在普通文件中Jpg5. 內(nèi)置到注冊表中6. 放在 systemni 中7隱藏在啟動組中8. 隱藏在 winstart.bat中9. 捆綁在啟動文件中10. 設(shè)置在超鏈接中x-scan3.3 掃描工具復(fù)習(xí)：1. 端口掃描1）掃描器的定義2）掃描器的工作原理3）掃描器的功能4）常用的端口掃描技術(shù)2. 特咯伊木馬2.3緩沖區(qū)溢出攻擊一、緩沖區(qū)溢出攻擊的原理1. 緩沖區(qū)緩沖區(qū)是程序運行時機器內(nèi)存中的一個連續(xù)塊，保存了給定類型的數(shù)據(jù)和動態(tài) 分配變量可能會出現(xiàn)的問題。緩沖區(qū)不是太大，如果放大文本，大字符串存儲到緩沖區(qū)中，緩沖區(qū)就會溢出。2.

18、緩沖區(qū)溢出的原因在于數(shù)據(jù)超長，造成的后果，一是過長的字符串覆蓋了相鄰的存儲單元，相起 程序運行失敗，二是利用這種漏洞可以執(zhí)行任意指令甚至可以取得系統(tǒng)特權(quán)。二、緩沖區(qū)溢出攻擊的方法1. 植入法此種方法不是使緩沖區(qū)溢出，只需將攻擊代碼放入緩沖區(qū)能正常執(zhí)行即可。2. 利用已存在的代碼攻擊者攻擊的程序已經(jīng)在被攻擊的代碼中，攻擊者只需向代碼傳遞一些參數(shù)， 然后使程序跳轉(zhuǎn)到目標(biāo)程序，從而擾亂程序的正常執(zhí)行順序。3. 長跳轉(zhuǎn)緩沖區(qū)是在一個字符串里綜合了代碼植入和激活記錄。C#語言繼承了 C和C+語言的優(yōu)點，C#主要編寫WEB應(yīng)用程序，從而將C和 C+勺指針部分取消了。計算機語言分為機器語言、低級語言和高級語

19、言三、緩沖區(qū)溢出攻擊的防范技術(shù)緩沖區(qū)溢出：是由于軟件的開發(fā)者在編寫軟件時缺乏全面老慮，對一些函數(shù)參數(shù)的長度及范圍沒有過細(xì)的限制而產(chǎn)生的漏洞。1. 編寫正確的代碼編寫程序代碼是，考慮要全面，仔細(xì)，編寫后可以使用高級的查錯工具或者手 工檢查程序代碼的漏洞。2. 非執(zhí)行的緩沖區(qū)將被攻擊的緩沖區(qū)設(shè)置為不可執(zhí)行。3. 數(shù)組邊界檢查只要數(shù)組不溢出，溢出攻擊也就無從談起。Foreach循環(huán)是專門針對數(shù)組等集合類的數(shù)據(jù)。上界和下界。數(shù)組下標(biāo)越界，就會造成緩沖區(qū)溢出。In t x=new in t10;For(i=0;i=10;i+)越界了。4. 程序指針完整性檢查黑客攻擊時，必然要改變程序的指針指向。2.4拒

20、絕服務(wù)攻擊一、拒絕服務(wù)攻擊的工作原理1. 拒絕服務(wù)：簡稱為DoS它是一種技術(shù)含量低，攻擊效果明顯的攻擊方法, 受到攻擊，則服務(wù)器在長時間內(nèi)不能提供服務(wù)，使得合法的請求，無法滿足。2. 拒絕服務(wù)攻擊的本質(zhì)特征本質(zhì)特征就是為了延長正常的應(yīng)用服務(wù)的等待時間。3. 拒絕服務(wù)攻擊的原理拒絕服務(wù)攻擊不是服務(wù)器不接收服務(wù)，而是服務(wù)器太忙了，不能及時響應(yīng)請求4. 拒絕服務(wù)攻擊的目的無法服務(wù)于全法的請法語，是為了完成其他入侵的必需前提。二、拒絕服務(wù)攻擊的分類1. ping攻擊攻擊者向被攻擊者發(fā)送大量的超大字節(jié)的ICMP報文來進行攻擊。Ping 157896目標(biāo)地址。通常對此類攻擊防范容易，安裝防火墻，將大字節(jié)的

21、數(shù)據(jù)拉住2.SYN FLOO（攻擊使服務(wù)器通過產(chǎn)生大量的“半開連接”。通過使用大量的虛假地址向服務(wù)器發(fā) 送SYN數(shù)據(jù)包，從而產(chǎn)生大量的“半開連接”?？梢酝ㄟ^修改windows的注冊表的相應(yīng)設(shè)置來防范此類攻擊。3.1and攻擊此種攻擊是利用TCP/IP的漏洞，發(fā)送大量的源地址與目標(biāo)地址相同的數(shù)據(jù)包， 從而使服務(wù)器解析數(shù)據(jù)包占用大量的處理資源。可以通過防火墻來解決，將源地址與目標(biāo)地址相同的數(shù)據(jù)包丟棄處理。4. sumrf 攻擊結(jié)合了 IP欺騙和ICMP回復(fù)方法，使大量的網(wǎng)絡(luò)傳輸充斥目標(biāo)系統(tǒng)。IP廣播這種攻擊可以采取一些隔離設(shè)備，使之不能進行廣播。還可以采用vlan。5. tear drop 攻擊解決辦法就是給系統(tǒng)打上最新的補丁，禁止防火墻的重組碎片功能。6. UKP Flooad 攻擊攻擊者發(fā)送大量虛擬IP地址的小字節(jié)UDP包解決辦法就是安裝具有入侵檢測的防火墻。二、分布式拒絕服務(wù)攻擊1. 分布式拒絕服務(wù)攻擊概述分布式拒絕服務(wù)攻擊是在傳統(tǒng)的 Dos攻擊基礎(chǔ)產(chǎn)生的一類攻擊方式，一對一的 攻擊方式。如果將多臺計算機同時攻擊一臺計算機就產(chǎn)生了一種分布式拒絕服 務(wù)攻擊。2.