第一篇：網站的測試、維護及安全防護

實驗報告

實驗名稱：網站的測試、維護及安全防護 實驗班級：信管Ｂ1201 學

號：123629 實驗儀器：

計算機 實驗目的：

1、掌握網站的測試、維護的方法；

2、掌握網站安全防護的常用方法。實驗要求：

1、要求每位同學獨立完成實驗內容。

2、按照實驗報告要求書寫報告并按時上交。實驗內容及過程： 1.網站的測試

性能測試

（1）連接速度測試。用戶連接到電子商務網的速度與上網方式有關，他們或許是電話撥號，或是寬帶上網！

（2）負載測試。負載測試是在某一負載級別下，檢測電子商務系統的實際性能。也就是能允許多少個用戶同時在線！可以通過相應的軟件在一臺客戶機上模擬多個用戶來測試負載。

（3）壓力測試。壓力測試是測試系統的限制和故障恢復能力，也就是測試電子商務系統會不會崩潰！

姓

名：李曉雪 實驗地點： 1S401 安全性測試 它需要對網站的安全性（服務器安全，腳本安全），可能有的漏洞測試，攻擊性測試，錯誤性測試。對電子商務的客戶服務器應用程序、數據、服務器、網絡、防火墻等進行測試！用相對應的軟件進行測試！

基本測試

包括色彩的搭配，連接的正確性，導航的方便和正確，CSS應用的統一性

網站優化測試

好的電子商務網站是看它是否經過搜索引擎優化了，網站的架構、網頁的欄目與靜態情況等。

客戶端兼容性測試

1、平臺測試市場上有很多不同的操作系統類型，最常見的有Windows、Unix、Macintosh、Linux等。Web應用系統的最終用戶究竟使用哪一種操作系統，取決于用戶系統的配置。這樣，就可能會發生兼容性問題，同一個應用可能在某些操作系統下能正常運行，但在另外的操作系統下可能會運行失敗。因此，在Web系統發布之前，需要在各種操作系統下對Web系統進行兼容性測試。

2、瀏覽器測試瀏覽器是Web客戶端最核心的構件，來自不同廠商的瀏覽器對Java、JavaScript、ActiveX、plug-ins或不同的HTML規格有不同的支持。例如，ActiveX是Microsoft的產品，是為Internet Explorer而設計的，JavaScript是Netscape的產品，Java是Sun的產品等等。另外，框架和層次結構風格在不同的瀏覽器中也有不同的顯示甚至根本不顯示不同的瀏覽器對安全性和Java的設置也不一樣。測試瀏覽器兼容性的一個方法是創建一個兼容性矩陣。在這個矩陣中，測試不同廠商、不同版本的瀏覽器對某些構件和設置的適應性。

2.網站的維護

維護內容：

1、網頁文字、圖片進行修改以及企業新聞內容每天都能更新，不改動網站的原來結構和網頁模板。信息應隨著公司的發展情況及時予以更新，固定檢查周期為一個星期。

2、如需要修改Flash，請提供Flash源文件。

3、域名和虛擬主機空間維護。

4、網站推廣維護以及供求信息的發布。

5、包括文章撰寫、頁面設計、圖形設計、廣告設計等服務內容，把 企業的現有狀況及時地在網站上反映出來，以便讓客戶和合作伙伴及時的了解到最新動態，管理員也可以及時得到相應的反饋信息，以便做出及時合理的處理。

工作流程：

1、拿到客戶資料，核對需求；

2、當天判斷工作量后，商定完成時間；

3、當天，簽發網站維護工作單 工作開展：

免費為客戶提供網站整站優化服務，增加客戶的網站搜索引擎親和度； 使搜索引擎更多的關顧和收錄客戶網站頁面 網站優化：

網站進行META標記優化,W3C標準優化,搜索引擎優化等合理優化操作，確保企業網站的頁面布局、結構和內容對于訪問者和搜索引擎都更加親和，使得您的企業網站能夠更多的被搜索引擎收錄，以及贏得更多潛在消費者的注目和好感。

網站改造：

伴隨著互聯網網絡技術的發展以及服務器環境的改變，企業原有網站可能會出現兼容性、整體視覺、功能實現等方面的缺陷，網站改造可以彌補以上不足。

網站安全： 選配合適的防火墻系統并對防火墻進行定期管理和維護，制定安全策略，修補安全漏洞，消除安全隱患;采取有效措施防止黑客入侵，造成網站破壞，數據損壞，商業機密泄露，客戶資料丟失等損失。

病毒防治：

選擇合適的防病毒軟件，并在客戶端和服務器端進行安裝調試和升級;提供病毒預警服務，隨時提示病毒發作信息，降低病毒感染傳播機會，避免病毒發作造.成破壞在企業網站遭受病毒感染后，及時進行病毒清除，使網站盡快恢復運營。

日常維護：

配備最佳性價比的網站資源優化方案，提高網絡運行效率;幫助企業建立系統安全管理和計算機使用管理制度;幫助企業建立計算機技術檔案，為設備管理和維護提供依據;幫助企業進行網站內容更新調整，網頁垃圾信息清理，網絡速度提升等網站維護操作定期檢查企業網絡和計算機工作狀態，降低系統故障率，為企業提供即時的現場與遠程技術支持并提交系統維護報告。故障恢復：建立全面的資料備份以及災難恢復計劃，做到有備無患在企業網站系統遭遇突發嚴重故障而導致網絡系統崩潰后，在最短的時間內進行恢復在重要的文件資料、數據被誤刪或遭病毒感染、黑客破壞后，通過技術手段盡力搶救，爭取恢復。

3.網站安全防護的方法

1網站的通用保護方法

針對黑客威脅，網絡安全管理員采取各種手段增強服務器的安全，確保WWW服務的正常運行。象在Internet上的Email、ftp等服務器一樣，可以用如下的方法來對WWW服務器進行保護： 安全配置

關閉不必要的服務，最好是只提供WWW服務，安裝操作系統的最新補丁，將WWW服務升級到最新版本并安裝所有補丁，對根據WWW服務提供者的安全建議進行配置等，這些措施將極大提供WWW服務器本身的安全。

防火墻 安裝必要的防火墻，阻止各種掃描工具的試探和信息收集，甚至可以根據一些安全報告來阻止來自某些特定IP地址范圍的機器連接，給WWW服務器增加一個防護層，同時需要對防火墻內的網絡環境進行調整，消除內部網絡的安全隱患。

漏洞掃描

使用商用或免費的漏洞掃描和風險評估工具定期對服務器進行掃描，來發現潛在的安全問題，并確保由于升級或修改配置等正常的維護工作不會帶來安全問題。入侵檢測系統

利用入侵檢測系統（IDS）的實時監控能力，發現正在進行的攻擊行為及攻擊前的試探行為，記錄黑客的來源及攻擊步驟和方法 這些安全措施都將極大提供WWW服務器的安全，減少被攻擊的可能性。

2、網站的專用保護方法

盡管采用的各種安全措施能防止很多黑客的攻擊，然而由于各種操作系統和服務器軟件漏洞的不斷發現，攻擊方法層出不窮，技術高明的黑客還是能突破層層保護，獲得系統的控制權限，從而達到破壞主頁的目的。這種情況下，一些網絡安全公司推出了專門針對網站的保護軟件，只保護網站最重要的內容--網頁。一旦檢測到被保護的文件發生了{非正常的}改變，就進行恢復。一般情況下，系統首先需要對正常的頁面文件進行備份，然后啟動檢測機制，檢查文件是否被修改，如果被修改就需要進行恢復。我們對以下幾個方面的技術進行分析比較：

監測方式 ：

本地和遠程：檢測可以是在本地運行一個監測端，也可以在網絡上的另一臺主機。如果是本地的話，監測端進程需要足夠的權限讀取被保護目錄或文件。監測端如果在遠端的話，WWW服務器需要開放一些服務并給監測端相應的權限，較常見的方式是直接利用服務器的開放的WWW服務，使用HTTP協議來監測被保護的文件和目錄。也可利用其它常用協議來檢測保護文件和目錄，如FTP等。采用本地方式檢測的優點是效率高，而遠程方式則具有平臺無關性，但會增加網絡流量等負擔。定時和觸發：

絕大部分保護軟件是使用的定時檢測的方式，不論在本地還是遠程檢測都是根據系統設定的時間定時檢測，還可將被保護的網頁分為不同等級，等級高的檢測時間間隔可以設得較短，以獲得較好的實時性，而將保護等級較低的網頁文件檢測時間間隔設得較長，以減輕系統的負擔。觸發方式則是利用操作系統提供的一些功能，在文件被創建、修改或刪除時得到通知，這種方法的優點是效率高，但無法實現遠程檢測。比較方法 ：

在判斷文件是否被修改時，往往采用被保護目錄和備份庫中的文件進行比較，比較最常見的方式全文比較。使用全文比較能直接、準確地判斷出該文件是否被修改。然而全文比較在文件較大較多時效率十分低下，一些保護軟件就采用文件的屬性如文件大小、創建修改時間等進行比較，這種方法雖然簡單高效，但也有嚴重的缺陷：{惡意入侵者}可以通過精心構造，把替換文件的屬性設置得和原文件完全相同，{從而使被惡意更改的文件無法被檢測出來}。另一種方案就是比較文件的數字簽名，最常見的是MD5簽名算法，由于數字簽名的不可偽造性，數字簽名能確保文件的相同。

恢復方式 ：

恢復方式與備份庫存放的位置直接相關。如果備份庫存放在本地的話，恢復進程必須有寫被保護目錄或文件的權限。如果在遠程則需要通過文件共享或FTP的方式來進行，那么需要文件共享或FTP的帳號，并且該帳號擁有對被保護目錄或文件的寫權限。

3、網站保護的缺陷

盡管網站保護軟件能進一步提高系統的安全，仍然存在一些缺陷。首先這些保護軟件都是針對靜態頁面而設計，而現在動態頁面占據的范圍越來越大，盡管本地監測方式可以檢測腳本文件，但對腳本文件使用的數據庫卻無能為力。

第二篇：網站安全常見問題及防護建議

網站安全常見問題及如何防止黑客入侵方案

1、SQL注入漏洞。這種漏洞在網上很普遍，通常是由于程序員對SQL注入攻擊不了解，程序過濾不嚴格，或者某個參數忘記檢查所產生的。這就導致入侵者通過構造特殊的SQL語句，而對數據庫進行跨表查詢攻擊，通過這種方式很容易使入侵者得到一個WebShell，然后利用這個WebShell做進一步的滲透，直至得到系統的管理權限，所以這種漏洞產生的危害很嚴重。

2、一種比較特殊的Sql注入漏洞，也有人稱之為萬能密碼漏洞。之所以說比較特殊，是因為它同樣是通過構造特殊的SQL語句，來欺騙鑒別用戶身份代碼的，但與Sql注入的提交方式不同。比如入侵者找到后臺管理入口后，在管理員用戶名和密碼輸入“'or '1'='1'”、“'or''='”、“')or('a'='a”、““ or ”a“=”a”、“' or 'a'='a”、“' or 1=1--”等這類字符串（不包含引號），提交，就有可能直接進入后臺管理界面。這個漏洞比較老了，但還是在一些網站存在著。解決這個漏洞的辦法是對“’”這類特殊字符進行過濾或者替換。

3、對提交的特殊字符不過濾。對于網友在網站注冊用戶信息和留言時，也要過濾提交的特殊字符，防止入侵者提交HTML語句，對頁面掛馬。

4、上傳文件格式限制不嚴謹。盡量不要使用無組件上傳，很容易被黑客利用上傳木馬。BBSXP、動網等網站都曾經存在此漏洞，入侵者通過修改一句話木馬的頭部分，可以直接將木馬上傳。不少網站后臺管理使用的是ewebeditor字符編輯器，而這種編輯器有上傳漏洞，只對類似于“asp”、“php”、“apsx”這類常見文件做了限制，而沒有對“asa”格式的文件做限制，入侵者可以將一句話木馬（對于一句話木馬的防范，參考：http://www.tmdps.cnews.asp?id=1（%5c是“”的十六進制代碼）這樣的地址，就有可能暴出數據庫在服務器上的絕對地址，被入侵者下載到本地瀏覽。解決這個漏洞方法很簡單，在數據庫連接文件conn.asp中加上On Error Resume Next就可以了，具體如下：

<% on error resume next dim conn dim dbpath set conn=server.createobject(“adodb.connection”)DBPath = Server.MapPath(“fdsasdffdsa/db/fdsafdsafds.mdb”)conn.Open “driver={Microsoft Access Driver(*.mdb)};dbq=” & DBPath %>

10、數據庫安全問題。如果網站使用的是Access數據庫，就涉及到數據庫有可能被下載的問題。解決這個問題的方法很多，比較簡單的做法就是在數據庫名前加“#”符號，這樣就無法下載該數據庫了。如果數據庫是SQLServer、Oracle等數據庫，建議數據庫連接用戶一定不要使用Sa等擁有很高權限的用戶，一旦數據庫的Sa密碼泄露了，別說網站的安全無法保證，服務器都有可能被入侵者拿下

韓廉國

第三篇：網站安全防護方案

關于互聯網站漏洞防護和安全

習總書記說，“網絡安全和信息化是相輔相成的。安全是發展的前提，發展是安全的保障，安全和發展要同步推進。”，他特別指出，“網絡安全是動態的而不是靜態的。信息技術變化越來越快，過去分散獨立的網絡變得高度關聯、相互依賴，網絡安全的威脅來源和攻擊手段不斷變化，那種依靠裝幾個安全設備和安全軟件就想永保安全的想法已不合時宜，需要樹立動態、綜合的防護理念。”

網站工作人員需要配合安全專員，從頂層設計上解決網絡安全、平臺安全和信息安全的問題，集中調度資源解決網絡安全保障問題。

1、網頁掛馬與外鏈檢測

每天定時檢查自己的網站是否有JavaScript掛馬，及時做好網站漏洞的修復，及時更新網站內容。

2、實時監測網站是否被篡改

3、敏感關鍵詞檢測

對網站所有網站頁面，檢測可疑關鍵字詞。關鍵詞模版和個性化關鍵詞及時查找更換，4、典型漏洞

對網站日志進行監查是否有SQL注入、SQL盲注、XSS(跨站腳本)，并做詳盡的記錄報告。以便后期修改做準備。

5、WEB應用狀態監控

定時訪問網站，分析返回頁面，檢測錯誤信息，及時發現網站訪問異常。當網站不可用或不穩定時管理員及時修復，本地修復不了的及時跟服務器商聯系修復。

6、服務能力和性能監測

應用各大站長工具，定時檢測網站訪問延時，對網站訪問響應時間進行監測，訪問延時波動歷史和趨勢做統計。當訪問延時超過指定時間，及時檢查網站是否有超大圖片，如果不是圖片問題就要檢查是否是js代碼問題。

7、關于已知威脅漏洞

及時了解腳本、數據庫等信息，針對常見WEB服務器軟件(Apache、IIS、Tomcat 等)漏洞通告，及時升級或更新軟件，采取應對措施規避風險。

8、網站優化

網站內容優化，關鍵字密度分析，提高引擎友好度。頁面標題欄(Title)的內容優化。添加并優化網站各頁面的keywords及description信息(META)。分析網站代碼，精簡結構，減少冗余，使網站性能更優，加載更流暢。全站診斷，改進各流程操作的交互體驗，有針對性的進行體驗優化，降低用戶操作成本，提高用戶友好度。優化網站靜態資源，減少帶寬及服務器請求數節約帶寬成本、提高服務器性能。

第四篇：網站信息維護及安全管理辦法

為加強本機關門戶網站的信息維護工作，促使各部門及時采集發布信息，充實網站內容，特制定本機關門戶網站信息維護及安全管理辦法。

一、安全管理制度

（一）網絡安全管理

1、接入電子政務平臺的計算機，必須安裝并啟用趨勢網絡防病毒軟件，不得自行關閉或刪除。

2、嚴禁下載、安裝、使用各種黑客程序、木馬程序、病毒等有礙計算機安全的軟件和程序，嚴禁使用任何方式對網絡中的計算機、服務器、交換機進行攻擊。

3、加強對本人（本單位）在電子政務平臺上使用的用戶名、密碼的保密和管理。密碼必須是8位以上的字符和數字的組合，不得將密碼寫在紙上或其它介質上，不得將本人（本單位）的用戶名、密碼告知他人。一旦發現泄密情況，應及時報告市委市政府網絡信息中心，并及時更換用戶名和密碼。嚴禁盜用他人用戶名和密碼。

（二）應用安全管理

1、工作人員離開崗位時應退出應用系統界面，防止未經授權的用戶進入各業務應用系統。

2、嚴禁在Intermet上瀏覽、下載、發布有害信息（如反黨反政府的反動網站、黃色網站等）。

3、電子政務平臺運行過程中出現異常情況或發現故障現象，應及時報告單位公務員之家http://www.tmdps.cn領導和市委市政府網絡信息中心，及時檢查維護。

4、嚴禁在連接辦公網絡的計算機上安裝、運行游戲軟件。

（三）數據安全管理

1、禁止將計算機上的文件夾或文件設置為完全共享。

2、各種業務數據和應用程序一律要求定期做好備份。

3、未經批準，不得擅自將本單位的程序、文件、數據等拷貝或傳輸給他人。

4、不得擅自將涉密信息或重要的數據資料發布在內部網或因特網上，嚴禁在網絡中傳遞、存儲、處理涉密文件資料。

5、電子政務平臺上的公文、信息應按有關文件管理的規定處理，不得任意擴大閱讀范圍，或向非權限用戶單位和個人傳送。

6、嚴格做好計算機病毒防范工作，對外來軟盤、硬盤和光盤等必須經檢測無毒后方可使用。

第五篇：網站建設及網站維護合同

網站建設及網站維護合同

甲方在此委托乙方進行___________網站的建設。為明確雙方責任，經友好協商，雙方達成以下協議：

第一條：項目的內容、價款、開發進度、交付方式

由附件一載明。

第二條：甲方的權利和義務

1.提供專人與乙方聯絡。

2.提供所有需要放到網上的資料交給乙方，并保證資料的合法性。

3.按照附錄一的要求，及時支付費用。

4.甲方將在著作權法的范圍內使用本合同標的及相關作品、程序、文件源碼，不得將其復制、傳播、出售或許可給其它第三方。

5.甲方對本合同標的中的網頁、圖像享有排他的使用權。

第三條：乙方的權利和義務

1.提供專人與甲方聯絡。

2.按附錄一的要求，使用甲方資料，進行網站的開發。

3.在附錄一要求的期限內，完成網站的開發，并通知甲方進行驗收。

4.在驗收期內甲方要求下，對不合格地方進行修改。

5.負責網站在合同期限內的維護。

6.在附錄一要求進行網站更新的情況下，在接到甲方要求網站更新的傳真的2日內，按要求對網站進行更新。

7.在附錄一要求進行培訓的情況下，對甲方1-3名技術人員進行培訓。

8.協助甲方辦理網站的經營許可或備案登記。

9.本合同標的及相關作品、程序、文件源碼的版權屬乙方所有。

第四條：驗收

1.驗收標準有以下幾條：

a.甲方可以通過任何上網的計算機訪問這個網站。

b.主頁無文字拼寫及圖片（以甲方提供的材料為準）錯誤。

c.網絡程序正常運行。

2.驗收期為5天時間。

第五條 違約責任

1.任何一方有證據表明對方已經、正在或將要違約，可以中止履行本合同，但應及時通知對方。若對方繼續不履行、履行不當或者違反本合同，該方可以解除本合同并要求對方賠償損失。

2.因不可抗力而無法承擔責任的一方，應在不可抗力發生的3 天內，及時通知另一方。

3.一方因不可抗力確實無法承擔責任，而造成損失的，不付賠償責任。本合同所稱不可抗力是指不能預見、不能克服并不能避免且對一方當事人造成重大影響的客觀事件，包括但不限于自然災害如洪水、地震、火災和風暴等以及社會事件如戰爭、**、政府行為等。

第六條 保密條款

雙方應嚴格保守在合作過程中所了解的對方的商業及技術機密，否則應對因此造成的損失承擔賠償。

第七條 其它

1.如果本合同任何條款根據現行法律被確定為無效或無法實施，本合同的其他所有條款將繼續有效。此種情況下，雙方將以有效的約定替換該約定，且該有效約定應盡可能接近原約定和本合同相應的精神和宗旨。

2.附錄一規定的有效期滿，本合同自動失效。屆時雙方若愿繼續合作，應重新訂立合同。

3.本合同經雙方授權代表簽字并蓋章，自簽訂日起生效。

4.本合同一式兩份，雙方當事人各執一份，具有同等法律效力。

甲方：乙方：

代表：代表：

附錄一 項目的內容、價款、開發進度、交付方式

1.合同金額

《完全網站建設方案》：_______個，_________元

域名： _______個，__________元/年

主機空間： _______M web空間

__________元/年

費用合計： __________________元

2.付款方式

本合同涉及總金額為人民幣 __________________元，合同簽訂后，甲方支付合同金額的____%，即 __________________元作為定金，驗收之后一次性支付合同余款即 __________________元。

3.開發周期

甲方在20___年___月___日之前，將資料交給乙方，將定金匯至乙方帳戶。

乙方在20___年___月___日之前，完成網站的建設。

甲方在20___年___月___日之前，對網站進行驗收。

甲方在20___年___月___日之前，將余款匯至乙方帳戶。

乙方在20___年___月___日至20___年___月___日內，負責網站的維護。

4.合同期限

本合同有效期為20___年___月___日至20___年___月___日。