網站建設中網站如何保證安全支付

　　很多個人和企業想通過互聯網上建立電子商務或者金融借貸平臺，這些網站做好的話，可以說是既省時又省力，大把大把賺money。網站因需要被公眾訪問而暴露于因特網上，容易成為黑客的攻擊目標。其中，黑客和不法分子對網站的網頁(主頁)內容的篡改是時常發生的，而這類事件對公眾產生的負面影響又是非常嚴重的，即：形象受損、信息傳達失準，甚至可能引發信息泄密等安全事件。網頁篡改者利用操作系統的漏洞和管理的缺陷進行攻擊。

　　目前，門戶網站常因以下安全漏洞及配置問題，而引發網頁信息被篡改、入侵等安全事件：

　　1、網站數據庫賬號管理不規范，如：使用默認管理帳號(admin，root，manager等)、弱口令等。

　　2、門戶網站程序設計存在的安全問題，網站程序設計者在編寫時，對相關的安全問題沒有做適當的處理，存在安全隱患，如SQL注入，上傳漏洞，腳本跨站執行等。

　　3、WEB服務器配置不當，系統本身安全策略設置存在缺陷，可導致門戶網站被入侵的問題。

　　4、WEB應用服務權限設置導致系統被入侵的問題。

　　5、WEB服務器系統和應用服務的補丁未升級導致門戶網站可能被入侵的安全問題等。

　　那么該如何解決呢

　　以下是解決方案

　　據目前門戶網站可能存在的安全隱患及風險，給門戶網站提出如下安全防護解決方案：

　　1、免費DDOS解決方案

　　通過優化Windows 2003或者Windows 2008系統的注冊表，可有效對抗每秒約1萬個左右的SYN攻擊，方法是把以下文本內容存盤為antiddos.reg然后導入注冊表并重新啟動即可。

　　Windows Registry Editor Version 5.00

　　[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesTcpipParameters]

　　"SynAttackProtect"=dword:00000002

　　"TcpMaxHalfOpen"=dword:000001f4

　　"TcpMaxHalfOpenRetried"=dword:00000190

　　此方案的優點是：采用系統自身的能力來解決問題，而無需任何花費;缺點是：只能抵御每秒少于10000的SYN攻擊，并且無法解決TCP多連接攻擊。

　　2、網站安全檢測

　　1)、進行網站安全漏洞掃描

　　由于現在很多網站都存在sql注入漏洞，上傳漏洞等等漏洞，而黑客通過就可以通過網站這些漏洞，進行SQL注入進行攻擊，通過上傳漏洞進行木馬上傳等等。所以網站安全檢測很重要一步就是網站的漏洞檢測。

　　掃描完后就可以查看網站所存在的漏洞和存在的網頁，可以根據報告里面的建議進行漏洞修補，但請注意，在修改網頁代碼之前要先做好備份工作。
 

　　說明：對于發現的網站漏洞要及時修補。

　　2)、網站木馬的檢測

　　網站被掛馬是非常普遍的事情，同時也是最頭疼的一件事。所以網站安全檢測中，網站是否被掛馬是很重要的一個指標。

　　其實最簡單的檢測網站是否有掛馬的行為，很簡單，直接開個殺毒軟件掃描，看看有沒有掛馬提示就可以啦。當然還有直接去這些殺毒軟件建立的網站安全中心，直接提交URL進行木馬檢測。

　　說明：網站被掛馬是嚴重影響網站的信譽的，如有被掛馬，請速度暫時關閉網站，及時清理木馬或木馬鏈接的頁面地址。

　　3)、網站環境的檢測

　　網站環境包括網站所在服務器的安全環境和維護網站者的工作環境的安全

　　很多黑客入侵網站是由于攻擊服務器，竊取用戶資料。所以在選擇服務器時要選擇一個有保證的服務商，而且穩定服務器對網站的優化和seo也很有幫助的。

　　而站長或維護著所處的環境也非常重要，如果本身系統就存在木馬，那么盜取帳號就變得很簡單了。故要保持系統的安全，可以裝瑞星，卡巴這些殺毒軟件，還有就是帳號和密碼要設置復雜一些。

　　4)、其它檢測

　　黑鏈檢測，由于現在黑鏈的利潤很高，故現在更多黑客入侵網站目的就是為掛鏈接，而被掛黑鏈會嚴重影響SEO的優化。

　　具體檢測方法：

　　可以利用站長工具網里面工具中的“死鏈接就愛內測/全站PR查詢”的選項，

　　將檢測網站分析欄，選擇“站外鏈接”，按“顯示鏈接”按鈕，就會列出一堆站外鏈接，在里面可以查看有那些鏈接是PR比較低而且又比較陌生的鏈接就可能是黑鏈，將黑鏈刪除就可以。

　　5)、遠程連接檢測

　　打開寬帶連接，進行寬帶的檢測和IP地址的檢測。以防止惡意的竊取用戶資料。

　　6)、FTP密碼盡量設置得復雜點，密碼里面最好包含大寫和小寫的英文字母和數字以及特殊字符(如c7b64￥8f63ce687&)，這樣黑客用弱口令掃描工具就掃描不到你的FTP用戶名和密碼了。

　　7)、網站后臺不要用默認路徑和管理員賬號及密碼，現在網絡上有很多通過默認路徑猜解后臺帳號密碼的工具，如果不修改默認路徑和管理員賬號和密碼，一些懷有不良企圖的人很容易猜解到你網站后臺賬號和密碼進入你網站的后臺進行非法操作，也就給你網站安全留下了一個隱患，所有務必及時修改網站后臺默認路徑及管理員賬號和密碼。

　　8)、更改網站數據庫名，文件名也可以多幾個特殊符號。

　　9)、網站的注入和跨站漏洞也是黑客經常利用的漏洞。檢查一下網站有沒有注入漏洞或跨站漏洞，如果有的話就馬上打上防注入或防跨站補丁，使黑客無可乘之機。

　　10)、防患于未然，寫入一些防掛馬代碼，讓框架代碼等掛馬無效。

　　11)、最好關閉網站的FSO權限。

　　12)、設置好網站各個文件夾的讀寫權限。

　　簡化一些不必要的程序，對一些不必要的功能，如上傳等做嚴格的限制，用工具檢查自己網站方面是否存在注入，暴庫漏洞等。

　　13)、默認的數據庫路徑。

　　現在很多黑客很喜歡做的一件事情就是從默認的數據庫地址下數據庫來得到網站管理員的帳號密碼，尤其是針對論壇。知道了帳號密碼就等于拿到了整個論壇的管理權限。其實現在很多站長都有一個誤解，以為把數據庫后綴改成ASP就行了，但是知道了路徑的情況下用下載軟件把保存文件后綴改成MDB也是可以下載的。

　　防護方法：

　　修改默認的路徑，越復雜越好，對數據庫進行防下載設置。

　　14)、默認后臺。

　　現在很多access數據庫注入漏洞都是能暴出你的后臺帳號和密碼的。黑客用拿到的帳號密碼輸入默認后臺地址就很容易就拿到你的網站權限了，從入侵到拿到權限不要3分鐘。

　　防護辦法：修改默認后臺!就算現在人家利用最新的漏洞暴出了你的帳號密碼但是沒有后臺，他拿了也只能干瞪眼。

　　15)、弱口令。

　　弱口令是指你的帳號密碼重復或是有很明顯的規律，如QQ號碼、生日、電話號碼、默認的系統自帶的原始密碼等等!現在我們做網站一般都會在站上留一個聯系方式，如電話或qq等，方便廣告主聯系以及別人對你網站提意見，但是這些都會被黑客所利用到。黑客跟你搭話后，從你的談話種獲取有用的資料。比如身份證號碼、支付寶密碼、銀行密碼、郵箱密碼、qq密碼等等。還有設置的后臺管理密碼一定要復雜，現在的密碼很多都是用MD5或是別的加密的，如果別人在用別的方法得到了你的數據庫，但是你的密碼復雜的話對方也沒辦法解密的。

　　防護辦法：設置一些自己能記住但是沒什么很多規律的密碼，對重要密碼要特別設置，不要圖方便所有的網上帳號密碼都一樣，這樣一個密碼的泄露就有可能導致整個網上信息的泄露。設置復雜的密碼，最好是在9位以上，英文字母和數字搭配使用。

　　16)、IDC問題。

　　現在個人站長的安全意識越來越高但是自己的網站安全防護措施做的很到位為什么還是會被黑呢?這里就涉及到了IDC管理員的問題。很多站長朋友貪圖小便宜認為小的空間商空間速度不錯，價格便宜所以都選擇了小空間商。但是你要知道也許正是你貪圖小便宜的心理會讓你的網站和心血全是都付之東流。現在很多黑客對定點入侵網站都選擇了旁注的方法，也就是說比如他想入侵你的網站，但是你的網站配置相當安全的情況下，那黑客就會轉移目標去入侵和你同一服務器的網站，然后通過別的網站拿下的后門進行目錄的跳轉或是提升權限來達到控制整個服務器的的目的。那時候你的安全想對服務器權限來說沒什么可言了。

　　服務器管理員的問題還有服務器的軟件配置問題，安裝了第三方軟件，如：Serv-U，FTPflash，VPN，pcanywhere等等。安裝了這些軟件的服務器很容易被提升權限，從而達到得到服務器的權限的目的。還有就是沒安裝防ARP軟件。因為機房的一臺服務器的淪陷導致整個機房的淪陷，被別人ARP掛馬或是arp宿探等等，這樣我們的網站就會被插入惡意代碼，FTP密碼就會被黑客所截取。

　　17)、服務器的硬件配置問題。

　　當你的網站在網上取得了一定的成績的時候，別人可能就會跟你競爭或眼紅，于是為了跟你爭排名。最常做的就是對你的網站進行ddos，也就是拒絕服務攻擊。如果你的網站配置不高，沒有硬件防火墻，那別人用幾只或是幾十只肉雞就可以輕易把你的網站D死，讓網站長時間的無法訪問，從而導致搜索引擎對你進行降權或是K站。很多大型的網站曾經都遭到過大型的拒絕服務攻擊。

　　防護辦法：找一個好的IDC運營商，問清楚他們的服務器配置，不要貪圖小便宜，要知道一分錢一分貨。

　　18)、個人電腦安全問題。

　　如果個人電腦的安全沒做好，種了遠程控制木馬的話那說什么都沒用了。對方可以很清楚的記錄你的所有帳號密碼，對他而言你在網上沒有任何秘密可言。