第一篇：網絡安全漏洞總結報告

大總結

來到這個公司實習了近兩周，今天是實習的最后一天，下面我就把我這兩周的收獲進行一個系統的總結。

首先第一周我主要學習了一些主要安全漏洞的成因，危害以及防范手段。雖然安全漏洞有很多，但是我學習了其中幾個最為常見的，下面我進行下總結。

第一周學習的安全漏洞有如下幾個：

SQL注入，跨站點腳本，登陸管理，文件上傳，敏感信息泄露，連接注入與URL重定向，目錄列表，明文傳輸，文件遺留，http響應分割和不安全的http方法的啟用。從SQL注入到敏感信息泄露屬于常見重要漏洞；連接注入到目錄列表屬于中級常見漏洞；最后幾個則屬于低級常見漏洞。劃分等級的標準是他們的危害程度。下面我分別對他們進行總結：

先來說說登陸管理，登陸管理我的理解是有兩個成因，一是由于不安全的應用編碼或者是不安全的配置造成的，它主要的表現形式是不限制錯誤登錄的嘗試次數，這會使應用程序暴露于蠻力攻擊。另一個就是弱口令，即一些簡單有規律，易被人猜出來的密碼。因此，攻擊者的主要攻擊手段就是蠻力攻擊和猜口令。防范登陸管理，從用戶的角度出發，應當設置復雜的密碼，不應該讓密碼過于規律化。從服務器管理的角度出發，應該限制嘗試登陸次數或者發放驗證碼，這都是對蠻力攻擊的有效遏制手段，當然，對于錯誤信息提示，也應該盡量模糊化，比如攻擊者猜對了用戶名，但猜錯了密碼，那么系統提示不應該是密碼錯誤，而應當是用戶名或者密碼錯誤。

再來說說文件上傳，它的主要是web應用在提供上傳服務時對 上傳者的身份或上傳的文件類型控制不正確造成的。攻擊者可以通過這種存在疏漏的上傳，將自己編寫的實現某些特定功能的jsp文件放到網站服務器的web目錄中，相當于一個后門，為自己的入侵打開便利之門。對此，網站管理方應該從三方面預防，首先是要驗證上傳者的信息，不允許匿名上傳；其次是要限制上傳的格式，不能允許用戶上傳任意格式的文件；最后是要指定上傳的位置，不能隨意上傳到任何目錄下，比如web目錄就應該拒絕訪問。

接下來談談SQL注入，敏感信息泄露以及目錄列表這一類，為什么我把他們歸為一類呢？因為首先，他們都是對web應用造成了威脅，SQL注入正是一個故意犯錯和猜的過程，通過錯誤的輸入得到存在漏洞的網站反饋的錯誤信息報告，尋找有用的信息，再通過猜解，一步步得到表名字段名，進而通過SQL語句的使用達到控制后臺數據庫的目的；而敏感信息泄露也是因為沒有對錯誤的輸入進行有效的處理，導致一些重要信息暴露給攻擊者；目錄列表存在的現象比較少，但是危害也很大，相當于敏感信息泄露，為其他漏洞的攻擊提供了便利。我現在分開總結下這三個安全性漏洞。

SQL注入是客戶端提交特殊的代碼，從而收集程序及服務器的信息，獲取想得到的資料的過程。首先攻擊者要判斷注入環境，即這個網站是否有可能存在SQL注入漏洞；接著是尋找注入點，通常方法是單引號法或者1=1,1=2法；然后是猜表名和字段名；再通過工具，尋找web管理后臺入口；最后進行破壞。至于攻擊手段有三種，其一是由于服務器未能進行有效的過濾和轉義用戶輸入的字符，導致攻擊者篡改SQL語句，進行入侵；其二是由于對用戶提供的字段沒有實施類型強制，比如id=，后面應該填寫整型數據，而攻擊者可以在后面添加，和一系列SQL語句，違背了設計者的初衷，到達了入侵目的；最后就是盲目攻擊，通過不斷嘗試，根據網頁顯示的不同內容，判斷自己輸入語句的正確性。對此，要防范SQL注入，我們不但要使用參數化的過濾語句，防止入侵者鉆空子，還要避免反饋一些詳細的錯誤信息。因為SQL注入就是一個故意出錯和猜的過程，通過出錯得到的反饋，為猜這個過程提供便利，如果我們反饋的錯誤信息越少，那么SQL注入就會越艱難。

敏感信息泄露就是由于對異常信息控制不當造成的。比如直接將后臺服務器的SQL語句堆棧了出來，這樣為其它入侵提供了相當大的便利。之所以存在這個隱患，是因為沒有設置errorPage或者程序員為調試方便刻意在errorPage打印堆棧信息。對此，我們應該正確配置errorPage，并嚴格控制errorPage中顯示的信息，避免敏感信息泄露。

目錄列表是由于部署web應用的應用服務器沒有正確配置造成的。存在該漏洞的網站，如果URL指定的web目錄下不存在index.html，（也可能不叫index）則該目錄下所有文件被自動列出。他也是為其它漏洞的攻擊提供便利，對此，我們應該當修改web目錄的配置。

然后來說說跨站點腳本以及鏈接注入與URL重定向，之所以把他們放在一起，是因為這幾個安全漏洞雖然不會對網站本身造成什么危害，但是會給用戶帶來打擊。

鏈接注入與URL重定向俗稱網絡釣魚，但他們也有著不同的地方。URL重定向是因為http 參數保留 URL 值，這容易導致 Web 應用程序將請求重定向到指定的 URL。攻擊者可以將 URL 值改成指向惡意站點，然后通過給大量用戶發郵件等方式，誘導用戶登錄惡意站點，并竊取用戶憑證或賬號密碼，對此，我們應該嚴格限制重定向的網站，將它限制在允許訪問的范圍內。而鏈接注入與URL重定向有著異曲同工之處，只是它不是在網址處做文章，而是在動態網頁的輸入出做文章，通常是指Web應用的重定向機制控制不合理，從而可能被攻擊者利用誘導用戶訪問惡意網站，欺騙用戶敏感信息或在用戶計算機上部署木馬等。舉個列子，攻擊者依然會制作一個詐騙網站，并將這個網站以重定向的方式記錄下來輸入到動態頁面的輸入框并且執行，這樣，這個網址會在后臺服務器留下記錄，那么后面如果有不幸的用戶看到這個網址并對此感到好奇點擊了這個網址，那么他的賬號就可能被竊取，他的電腦可能被安裝木馬病毒。對此我們要從三方面下手，一是對用戶輸入進行清理；二是不允許輸入Javascript腳本，非法SQL語句，各種操作系統命令等；最后對用戶提交的參數值中包含的<>等進行過濾或者轉碼。

接下來說說跨站點腳本，我覺得他和鏈接注入有著相似的地方，存在這個問題的網站，就是因為將外部輸入不加任何處理就直接輸出到了客戶端而導致腳本的執行，攻擊者在正常的網址后面添加自己編寫的實現某種功能的腳本，將這個帶有腳本的網址發給大量用戶，如果用戶點擊了這個網址，那么雖然看到的網頁和原來網頁沒什么不同，但腳本已經運行，將用戶的重要數據發給了攻擊者。因此防范該漏洞的主要方法就是對用戶輸入進行過濾和驗證并在輸出時進行轉義處理。

總之，以上漏洞都是在動態網頁中存在的，對于靜態網頁均不存在以上漏洞。而且我認為，計算機與網絡后臺服務器之間是一個簡單而又危險的交互過程，程序員必須要為用戶輸入的數據進行轉義和過濾，對服務器返回的數據應該進行包裝（比如errorpage）將最少最有效的信息反饋給用戶，中間一旦有哪個環節疏漏，很容易被攻擊者利用，造成損失。

最后說說明文傳輸，文件遺留，http響應分割和不安全的http方法的啟用這四個安全性漏洞。相比于前幾個漏洞，這幾個可以說是低級別漏洞，但是我們不能因為它們不如前幾個漏洞重要就忽視它們，我們依然要對它們保持警惕。

先來說說明文傳輸和文件遺留，這兩個漏洞因為提供了參考資料，所以我沒有花太大功夫，通過資料，我把我的理解贅述一下。首先明文傳輸是由于對傳輸的用戶口令數據進行保護不足，可能被攻擊者非法竊聽，因而非法獲取系統的訪問權限。攻擊者可利用此缺陷，從網絡傳輸的數據中竊取該系統的用戶名、口令信息，使攻擊者可以獲取訪問系統的權限，執行任意非法操作。通過‘竊聽’這個詞，我認為明文傳輸就是指用戶與服務器在交互時由于保密措施不當，導致一些重要數據沒有加密直接表現了出來，被攻擊者竊取，造成危害，對此，采用加密方式傳輸是最好的防范手段。

接下來說說文件遺留，這個漏洞是由于開發者在生產環境中留下臨時文件導致。公共用戶可以通過簡單的沖浪（即按照 Web 鏈接）來訪問站點上的特定頁面。不過，也有頁面和腳本可能無法通過簡單的沖浪來訪問（即未鏈接的頁面和腳本）。攻擊者也許能夠通過猜測名稱（例如 test.php、test.asp、test.cgi、test.html 等）來訪問這些頁面。換句話說，文件遺留也是敏感信息泄露的一種，沒有清理干凈的文件如果被攻擊者發現，獲取里面有價值的信息，會給攻擊者的下一步進攻提供便利。對此，我們不可將測試/暫時腳本遺留在服務器上，確保服務器上沒有非正常操作所必備的其他腳本。最后說說后兩種漏洞，因為這兩個漏洞沒有提供資料，我上網查詢雖然最后找到了一些相關資料，但也頗費周折，下面我總結下我對后兩種漏洞的見解，如果有不恰當的地方，還望指正。

http響應分割，這是一種試圖通過惡意內容“毒害”代理服務器緩存，從而攻破通過代理服務器訪問應用程序的其他用戶的攻擊技巧。例如，如果一個企業網絡中的所有用戶通過緩存代理服務器訪問某個應用程序，那么，在代理服務器的緩存中注入惡意內容（顯示給任何請求受影響頁面的用戶），攻擊者就可以向它們實施攻擊。我覺得它的危害就在于，通過代理服務器注入木馬，威脅用戶的網絡安全。對于它的防治我覺得有如下幾種方法：

不將用戶控制的輸入插入到應用程序返回的HTTP消息頭中。如果不可避免地要在HTTP消息頭中插入用戶控制的數據，那么應用程序應采取以下這種雙重深層防御方法防止漏洞產生。

輸入確認。應用程序應根據情形，對插入的數據進行盡可能嚴格的確認。

輸出確認。應對插入消息頭的每一個數據進行過濾，檢測可能的惡意字符。

通過對所有應用程序內容使用 HTTPS，應用程序即可防止攻擊者利用任何殘留的消息頭注入漏洞“毒害”代理服務器緩存。

http方法有許多種，除標準的GET與POST方法外，HTTP請求還使用其他各種方法。許多這類方法主要用于完成不常見與特殊的任務。如果低權限用戶可以訪問這些方法，他們就能夠以此向應用程序實施有效攻擊。這就是不安全的http方法的啟用，它主要對web服務器與web安全造成危害。資料上沒有說如何防范，但我個人認為，對于這一類漏洞，我們應該對一些重要而特殊的http方法進行限制，不允許低級別用戶使用這類方法，并且對使用這些方法的用戶進行身份驗證。

第一周的學習成果基本如上，在寫這些漏洞的同時我也把他們再次鞏固了一遍，加深了印象。第二周我主要是對安全性漏洞的操作工具進行了學習，主要學習了操作方法以及它的不足與完善，還有如何認定檢測結果，首先，工具大致的操作方法如下：

首先是新建工程，選擇Regular Scan即可。

這個直接點擊下一步。

接下來只要輸入你想檢測的地址即可。如果想掃描其它站點，可以在其他服務器和域中進行輸入。之后選擇下一步。

這里點擊記錄，出現要檢測的地址后點擊下一步。

這里其實可以直接點擊下一步，不過有兩個地方可以進行設置，一個是將該模式作為會話中狀態的證明，這是用來讓服務器區分登陸與未登錄的，不過建議不使用，因為如果對網頁進行增刪改操作的類型不一樣，那么這個工具會識別為自動退出再重新登錄，這樣無法完成操作；另一個就是左下角的完全掃描設置，這里可以進行更高級的設置，不過我們這里直接跳過也無妨。

這一步直接點擊下一步。

點擊完成即可。

不過這個工具雖然方便使用單也存在著不足，不足的地方有兩個，一個是網絡爬蟲有著友好性，換句話說有些生成鏈接他是檢測不到的，這樣就導致了鏈接覆蓋性的不全面；另一個就是有些問題這個工具是檢測不出來的，比如說A給B發送一個帶有惡意腳本的鏈接，這個東西是寫進數據庫了的，在A看來沒什么區別，可是對于B，惡意腳本就開始進行了，檢測時候，AppScan使用攻擊的方式檢測，那么他收到的回復必然是呈現給自己，也就是A的，對于B的呈現結果這個工具并不能檢測出來，還有就是如果錯誤頁面設置成空白頁，也同樣無法檢測問題。這就需要我們用手工的方式來檢測。

下面就來說說手工檢測，這也是我今天最后學習的內容，手工檢測主要分為三個內容，分別是弱口令，用戶口令的明文傳輸以及文件上傳。前兩個是需要開發者提供URL或者用戶名與口令，有我們來進行評估，第三個則是需要我們登陸相應的文件上傳頁面，來看看文件上傳是否需要驗證上傳者的信息，是否限制上傳的格式是否指定了上傳的位置。做到以上三點就不存在該風險。除此之外，有些不需要檢測的地址我們應該記錄下來，在掃描配置中的排除選項里進行排除，左邊目錄欄里如果有紅色叉子的網頁我們也應該記錄下來，對其進行手工檢測（各個漏洞都要進行手工檢測）。

最后的分析結果，我們應該通過模擬請求與響應，找到出現問題的語句所在，與開發者進行討論。

最后說下如何做好安全測試，我覺得這和前期準備是分不開的，首先開發者要告訴我們要檢測的范圍，即是前臺或者后臺，還是說兩者都要檢測，如果是都要檢測，我們應該先檢測前臺再檢測后臺，這樣可以避免造成干擾。其次開發者要取消驗證碼和登陸錯誤次數限制；最后開發者要確定檢測的環境是實際環境還是專用環境，如果是實際環境那開發者要做好備份，避免造成不必要的損失，如果是專用環境那開發者要確定這個環境與原環境具有一致性，避免造成檢測上的偏差。

最后附上我自己在學習是查找的一些資料：

http://wenku.baidu.com/view/9fc10d6c1eb91a37f1115c86.html http協議詳解

http://hi.baidu.com/popotang/blog/item/1fff0a55cda6cacab645aef8.html

tomcat下禁止不安全的http方法

http://book.51cto.com/art/200907/138980.htm http響應分割 http:// 網絡安全小結 http://book.51cto.com/art/200907/139049.htm 危險的http方法 http://lalalabs.blog.163.com/blog/static/***11234135/ 跨站點請求偽造

總結：

這兩周的學習我主要掌握了一些常見的安全性漏洞的原理以及防范手段，掌握了AppScan的基本使用方法，并且能夠對一些環境進行檢測和分析，總的來說收獲還是很大的。回去我會繼續學習這方面的相關知識，爭取在這方面有所突破。

第二篇：網絡安全漏洞檢測和系統升級管理制度

網絡安全漏洞檢測和系統升級管理制度

為保證校園網的正常運行，防止各類病毒、黑客軟件對我校聯網主機構成的威脅，最大限度地減少此類損失，特制定本制度：

一、各接入科室計算機內應安裝防病毒軟件、防黑客軟件及垃圾郵件消除軟件，并對軟件定期升級。

二、各接入科室計算機內嚴禁安裝病毒軟件、黑客軟件，嚴禁攻擊其它聯網主機，嚴禁散布黑客軟件和病毒。

三、網絡中心應定期發布病毒信息，檢測校園網內病毒和安全漏洞，并采取必要措施加以防治。

四、校園網內主要服務器應當安裝防火墻系統，加強網絡安全管理。

五、門戶網站和部門網站應當建設網絡安全發布系統, 以防止網絡黑客對頁面的非法篡改, 并使網站具備應急恢復的能力。網絡安全發布系統占用系統資源百分比的均值不得超過5%, 峰值不得超過15%。

六、要及時對操作系統、數據庫等系統軟件進行補丁包升級或者版本升級, 以防黑客利用系統漏洞和弱點非法入侵。

七、網絡與信息中心定期對網絡安全和病毒檢測進行檢查，發現問題及時處理。

2010年4月

第三篇：網絡安全漏洞檢測和系統升級管理制度

病毒檢測及網絡安全漏洞檢測制度

為保證我院局域網的正常運行，防止各類病毒、黑客及其它非法軟件對互聯網及聯網主機構成威脅，最大限度地減少、降低損失，特制定本制度。

一、局域網各接入科室計算機內應安裝防火墻軟件系統及防病毒軟件并定期進行升級，保證設備的正常、安全使用；

二、局域網各接入部門計算機應安裝防病毒軟件、防黑客軟件及其它安全保護軟件，并對軟件定期升級；

三、嚴禁各接入部門計算機安裝病毒軟件、黑客軟件，嚴禁攻擊其它聯網主機，嚴禁散布黑客軟件、病毒和其它非法軟件；

四、微機室應定期發布病毒預報信息等各種安全公告，定期檢測互聯網內的病毒和安全漏洞，發現問題及時處理；

五、微機室應采用合理的技術手段對網絡安全運行進行有效的監控，利用各種有效的安全檢測軟件定期對網絡安全隱患進行檢測；

六、對于通過網絡或各種介質傳遞的軟件、數據、信息等必須進行有效的安全檢測，以防止病毒等潛在的安全問題發生和擴散，對于新發現的病毒等要及時進行查殺。無法查殺的要備份染毒文件、上報，同時追查病毒來源；

七、微機室應定期檢查防火墻、防病毒軟件等網絡安全設備、設施的配置，以防止網絡安全設備、設施漏洞對網絡及設備安全穩定運行造成影響；

八、微機室應制訂有效的網絡安全配置管理策略。各聯網單位或

用戶要及時報告新發現的網絡安全漏洞；

九、嚴禁局域網的任何上網計算機對全網絡范圍內進行網絡掃描、IP欺騙等非法活動，一經發現，將按情節予以中斷網絡連接或取消上網資格的處理。

十、嚴禁局域網用戶對網絡主機進行任何形式的非法攻擊或入侵。對于有意傳播病毒、非法攻擊或入侵的網絡用戶，一經查實網絡運行管理部門將暫?；蛉∠渖暇W資格，情節嚴重的將送交公安機關處理。

第四篇：病毒檢測和網絡安全漏洞檢測制度

病毒檢測和網絡安全漏洞檢測制度

為保證我校校園網的正常運行，防止各類病毒、黑客軟件對我校聯網主機構成的威脅，最大限度的減少此類損失，特制定本制度：

1、各接入單位計算機內應安裝防病毒軟件、防黑客軟件及垃圾郵件消除軟件，并對軟件定期升級。

2、各接入單休計算機內嚴禁安裝病毒軟件、黑客軟件，嚴禁攻擊其它聯網主機，嚴禁散布黑客軟件和病毒。

3、網管中心應定期發布病毒信息，檢測校園網內病毒和安全漏洞，并采取必要措施加以防治。

4、校園網內主要服務器應當安裝防火墻系統，加強網絡安全管理。

5、網管中心定期對網絡安全和病毒檢測進行檢查，發現問題及時處理。

第五篇：流通領域食品安全漏洞

流通領域食品安全漏洞、監管風險及化解

監管風險對策

新頒布的《中華人民共和國食品安全法》于2009年6月1日已開始實施，新《食品安全法》涵蓋了“從農田到餐桌”食品安全監管的全過程，對涉及食品安全的相關問題作出了全面規定，從機制體制上全方位構筑食品安全法律屏障。但是各地監管部門依舊周期性地曝光問題食品黑名單，在流通領域每期食品例行檢查中，不合格的食品仍源源不斷地進入流通市場。如何堵塞流通領域食品安全漏洞及化解工商監管風險，在當前形勢下顯得尤為緊迫。

一、當前流通領域食品安全的漏洞

（一）法律上的漏洞

首先現行的食品安全的法律法規體系不夠完整。在流通領域有農業、衛生、質檢、商務等多部門參與。其次內容不夠全面。如食品安全風險評估制度、食品安全預警制度、食品安全危機處理制度、食品安全事故處理制度等重要內容尚未納入法律的調整范圍，食品安全保障制度還存在一些空白。

在法律法規方面還存在著一些盲區，比如仍沒有針對批發市場的法規。由于生產過于分散，如果完全靠從生產環節抓食品安全管理，漏洞太多。

對場外交易的馬路流動攤點食品安全的檢測處于真空狀態。在現行的食品安全監管體系中，路邊流動攤點由城管部門負責取締，但是城管部門只管場外交易行為，并不管所售食品的安全狀況。

與《食品安全法》相配套的法規尚未出臺。該法29條規定：食品生產加工小作坊和食品攤販從事食品生產經營活動，??具體管理辦法由省、自治區、直轄市人民代表大會常務委員會依照本法制定，但直到現在我省仍未出臺相關管理辦法。

（二）管理上的漏洞

1、政府對“食品安全”經費投入不足。

近年來，我國在流通領域食品安全監管方面投入經費少，檢測設備很少或根本沒有添置，一些檢測設備嚴重老化，未能及時更新，同時還缺少一些必備的檢測設備；抽檢經費嚴重不足，難以及時檢驗食品質量的真偽，檢查中經常出現一些無法認定的質量問題；還有食品流通許可證的發放要求免費，所需費用由財政列入預算給予保障，但實際上經費卻難以保障，這些都大大制約了食品安全監管工作的開展。

2、工商機關監管能力不足。近年來，各級工商行政管理機關雖然不斷加大人員、經費投入，加大監管力度，但是面對流通領域眾多的食品和經營單位，其監管能力明顯不足。主要表現在：

一是推行的進銷貨臺賬臺帳等制度，在實際工作中落實難。

當前工商部門在對食品安全監管中，要求食品經營戶實行進貨查驗、索證索票、進銷貨臺賬等五項制度，但在實際檢查中發現，有相當比例的食品經營業主限于種種原因難以落實，如進銷貨臺賬雖然建立了，但是填寫不完整、不及時、不規范的現象較為普遍，基本上是做了一些應付工商部門檢查的表面文章。

二是市場主體經營方式不規范，導致農村市場監管難。當前農村普遍采用作坊式生產形式，大都實行分散經營，存在著農村食品生產源頭“小、亂、散”的現象，生產經營者絕大多數系本地村民或外來人員，以租賃房屋和家庭作坊式的個體加工業為主，守法意識不強，相當一部分無衛生許可證和營業執照，生產條件差，加工水平低，產品質量難以保證。三是工商部門監管手段不足，導致無縫監管難。由于工商部門職能有限，又加上人手短缺、經費不足、裝備落后等原因，造成食品安全監管力不從心。工商部門對食品安全的監管的一項重要手段，就是對流通領域的食品安全檢測，檢測的基本程序一般是：確定監測對象———首先懷疑可能存在問題的食品———然后送法定鑒定部門檢驗（因為我們自己的檢測儀檢驗不具有法律效力）———如果有問題，可以處罰，檢驗費由經營者承擔；如果沒問題，檢驗費工商部門也要承擔。因此，檢測的力度越大，承擔的風險也就越大。

3、職能部門之間缺乏有效的信息交流機制，導致全方位監管難。

從“農田到餐桌”的安全食物鏈分屬工商、衛生、質監、農牧等多個部門監管，由于這些部門管理體制不同，人、財、物的主管部門各有其主，有的在該唱主角時卻當了配角，有的在該當配角時卻唱了主角。特別是農貿市場中的米、面、肉、菜等日常食用農產品的監管，工商部門無權抽檢，農業部門抽檢的力度和頻次又達不到要求，并且難以做到將抽查結果及時向工商部門通報，往往是等工商部門知道了再去查扣時，問題食品早以銷售一空。同時在整合執法力量、協同執法步調、密切配合作戰、信息互通等方面仍然存在問題。

（三）認識上的漏洞。

一是食品安全知識普及及安全意識不高。食品安全宣傳的聲勢不大、氛圍不濃，力度不夠。城鎮居民對食品安全的認識相對較高，農村消費者食品安全意識較低，加之消費能力有限，間接造成了違法食品有市場需求、違法者有生存空間。

二是消費者對安全優質食品的認知水平不高。在廣大農村地區，持“不干不凈，吃了沒病”的陳舊觀念的消費者為數不少。并且農村消費者維權意識薄弱，自我保護意識不強，在遇到問題食品時，農村消費者的投訴率比較低。

三是市場經營者素質普遍不高。部分食品經營者法律意識、道德意識淡薄，唯利是圖思想嚴重，不講求誠信道德，不注重食品質量；部分食品經營者在進貨時不認真履行法定進貨查驗義務，很少去注意商品的商標、廠名、廠址，甚至生產日期及合格證等內容；而有些消費者在消費時，受個人收入低等因素的制約，首先考慮的也是價格因素，忽視產品的內在品質，即便是在自身的合法權益受到損害時，大多是沒吃出問題不維權。

二、工商部門在流通領域監管過程中存在的風險

（一）流通許可風險：包括登記許可程序出錯、許可資料審查出錯、實質審查出錯等風險。

（二）日常監管風險。包括日常巡查不到位、巡查工作流于形式、督促食品經營者履行法定義務、完善食品質量準入制度不到位。

（三）專項整治風險。除了日常監管，還會根據實際情況開展一系列的專項整治工作，比如對重點商品、重點地域、重點時節的食品安全整治工作。

（四）食品安全執法風險。包括行政處罰程序不當、采取強制措施越權、行政處罰中的不廉潔行為、濫用自由裁量權。不該罰的罰了，該嚴查的卻不嚴查，該取締的不取締，結果是以罰代管，縱容不法當事人繼續從事非法食品經營活動。

（五）食品抽樣檢驗風險。包括越權抽檢、抽樣檢驗程序違法、抽樣超時。

（六）突發食品安全事故處置風險。包括處置不力、處置不及時、處置不當等方面。

（七）食品安全信息發布風險。工商部門，對重大食品安全信息沒有發布權，對食品安全監管的重大信息也必須通過市級以上工商部門批準。

三、堵塞食品安全漏洞化解監管風險的措施及對策：

（一）加大對食品安全工作的宣傳力度，提高全民的食品安全意識。加大食品安全宣傳教育力度，增強食品經營者食品安全意識和消費者的自我保護能力。

一是學透食品安全法規，讓全系統工商干部，增強責任感、使命感，引起高度重視。

二是基層工商所推行“月聯系”制度，以管轄區為單位，組織市場業主、食品超市、部分食雜店經營者等進行食品安全集中培訓，有針對性地提高食品經營者的食品安全意識。

三是結合網格式監管，上門服務。如將《食品安全法規》摘錄成宣傳單，以《通知》的形式挨家挨戶散發到食品經營者手中，讓每個食品經營者知法、懂法。

四是運用現代化網絡技術，在紅盾信息網上開辟食品安全專欄，宣傳相關法律知識、信息、案例。

五是借助“五進”活動開展送法進學校、進社區、進企業等活動，宣傳法律法規，維權知識，增強消費者防范能力。

六是借助“3.15”、“法制宣傳月”東風，普及食品鑒別常識，公布典型案例，散發食品安全宣傳圖片、資料，進行消法有獎知識問答等，增強消費者自我保護能力。

七是運用簡報、板報、設點擺攤等常規宣傳手法，提高全縣人民食品安全意識，努力營造良好的流通領域食品安全氛圍。

（二）加大對食品質量責任落實和責任追究力度，提高工商、市場開辦者、經營者的守責意識。

1、強化工商干部的問責制。要成立相應領導小組和機構，制訂和完善食品安全制度。完善《食品安全監管工作經濟獎懲辦法》，教育廣大工商干部職工要把食品安全當作高壓線，千萬馬虎不得。要以前所未有的嚴厲態度實行責任追究，把食品安全責任制落實到最基層，工商所在轄區內出現食品安全問題，除追究責任片區執法人員的責任外，還要一并追究工商所長的連帶責任。

2、強化主辦單位的連責制。就是明確市場主辦單位是市場第一責任人，增強他們對轄區市場經營者的管理責任。要與轄區內市場主辦單位簽訂市場食品安全責任狀。建立市場開辦者內部管理制、經營資格審查制、開辦者與經營者簽訂管理協議制、消費者購不合格商品賠付制這四項制度來落實市場開辦者的責任。一旦出現區域性食品安全和嚴重食品質量違法行為將限期整改，必要時取消該市場及該市場內所有經營者及其產品申領榮譽稱號的資格，直至吊銷市場開辦者的營業執照，為食品安全監管又增設一道“關口”。

3、強化經營主體的主責制。工商部門要按照《食品安全法》的要求督促監管區內的所有經營者全面履行法定義務，簽訂《食品質量安全承諾書》和《誠信經營協議書》，要求每個經營者建立進貨查驗、進銷貨臺帳、食品質量承諾、不合格商品退市、召回的五項制度來落實經營者的責任，強化食品經營者的食品安全自律意識。在食品經營場所醒目位置張貼或懸掛食品安全管理制度及公示牌，使消費者對食品質量、投訴服務等一目了然，也便于接受社會監督和群眾舉報。

（三）圈定“五大重點”，加大食品安全巡查和執法力度。

1、圈定重點食品，做到目標明確。按照國務院食安辦2011的工作重點，我們要重點管好乳制品、食用油、保健品、肉制品、酒類等幾大類食品，要對這些重點食品要定期或不定期地進行專項檢查。

2、圈定重點區域，做到重點盯防。重點區域就是城鄉結合部、學校周邊及廢棄廠房、城區出租屋等地域。這些地點是管理相對薄弱的地方，應作為巡查的重點，對這些地方要做到巡而有查、巡而不漏，及時發現和清除這些敏感地點的食品安全“隱患”。

3、圈定重點對象，做到心中有數。重點對象就是各類食品批發商、農貿市場、商場超市以及小作坊等風險較大的食品生產經營單位。對這些重點對象，應加強信用及檔案管理，對有“前科”的單位要開展多次回訪，重點“關照”，防止他們“故伎重演”、死灰復燃。

4、圈定重點時段，做到知己知彼。每年的元旦、春節、中秋節、國慶節既是購物的旺季，也是制假、售假的旺季。少數不法食品分子乘沒上班這個空當，制假售假，開展“零點交易”。相關監管人員要采取針鋒相對的監管措施，加大巡查密度和頻次，組織“夜貓隊”來對付這類“碩鼠”，不給食品造假者以可乘之機。

5、圈定重點案件，做到震懾一方?！爸蝸y必用重典”，在查辦食品安全案件時，針對消費者投訴和自身巡查中發現案源后就追根搠源，一抓到底。決不以案論案，以簡就簡，而是采取并案、串案一起抓，機關、基層一起上，對情節嚴重的堅決移交司法機關追究其刑事責任。

同時還要精選典型案例，通過報紙、電臺等方式予以曝光，切實做到處理一個，震懾一方，有力打擊制假售假者的囂張氣焰。

（四）針對市場消費熱點難點，抓好食品質量檢測。

一是加強日常快速檢測工作。按照湖北省工商局《工商所流通環節食品安全監督管理工作規范（試行）》的要求制定快速檢測實施方案，開展快速檢測工作，及時排查可疑線索，篩選問題食品，確保全縣食品消費安全。

二是加強流通領域商品質量監測。嚴格落實省、市局下達的監測計劃，確保被抽食品具有代表性、針對性、不盲目抽檢；在后處理階段，對生產經營不合格食品的違法行為嚴肅處理，絕不手軟。

（五）加大規范力度，建立食品安全信用監管機制。要建立健全食品安全監管長效機制，完善食品安全信用體系，對守信企業和失信企業建立檔案，并及時錄入信用信息監管情況，失信企業將列入“黑名單”。對“問題食品”和列入“黑名單”的企業進行重點監管

1、強化源頭管理，全面推行“食品批發商備案管理”制度。為深入貫徹落實《食品安全法》等法律法規，切實加強流通環節食品批發商監督管理，規范食品市場的源頭治理工作，打造我縣食品市場“來源可塑、安全可控、去向可查”的食品安全監管新機制，維護廣大消費者的合法權益，要制定《流通環節食品批發商管理辦法》，對食品批發業商的人、車、貨、票、庫等重點環節進行備案管理。同時推行“一票通”制度。對食品批發業戶全面使用符合法定要求的制式銷售票據；統一實行、統一備案、集中印刷。新的制式銷售票據需要按名稱、規格、數量、生產批號、保質期、購貨者名稱及聯系方式、銷售日期等內容如實登記，在樣式和登記內容上做到了統一，實現了“一票通”。

2、強化網上監管，推行遠程自動化管理。對大型食品超市、食品批發企業批發商實行遠程電子監管。按照省、市局要求，我局全面推行網上監管。電子監管軟件是在進貨查驗是通過條碼錄入，從而詳細記載經營業戶進貨、銷貨、存貨的全部信息，并直接發送到工商局業務網絡終端備案。通過工商局的電子監控平臺，足不出戶就可以對經營業戶進貨、銷貨以及存貨情況實時監控，食品銷售的名稱、品種、數量、去向等信息一目了然。還可以對臨界保質期的食品發出預警報。便于經營業戶自行下架和工商監控人員巡查。

3、加強分類指導，推行信用等級監管。分類細化，制定信用標準。根據主體準入、違法記錄等方面的信用信息，把食品經營主體信用情況具體劃分為守信、一般守信、失信3大類，分別用綠色標牌、黃色標牌、紅色標牌標示在食品經營分類監管示意圖上。對評出的不同信用等級的食品經營主體，以不同的監管頻率和措施進行分類監管。一是對綠牌經營主體除專項市場巡查和消費者投訴、舉報外，4個月至少巡查一次。二是對黃牌經營主體兩個月至少巡查一次，有一般違法行為的進行案后回查，有特別輕微或輕微違法行為的提出警示、限期整改。三是對紅牌經營主體每個月至少巡查一次以上，在一定范圍內曝光，重點跟蹤巡查，密切監控其是否停止違法經營活動。對因特別嚴重違法行為被工商部門依法吊銷營業執照的食品經營者，發布營業執照吊銷公告，曝光其違法行為。

（六）、暢通舉報途徑，加大對假冒偽劣商品的處罰力度。建立、完善、暢通消費維權舉報途徑，進一步擴大消費維權網絡的社會覆蓋面。建立以12315申訴舉報指揮系統為窗口，市、縣、所三級互聯互通，信息共享的12315綜合執法平臺，形成“一個中心受理、二個層次分辦、三級機構執法”的12315執法維權體系。并在鄉村、學校、社區、大型超市等經營場所設立“一會三站”，就近方便消費者申訴、投訴、舉報。每年對投訴站點進行一次審核，取消不再符合要求的投訴站點，新增需要增設的投訴站點，做到及時、快捷地化解消費糾紛，及時查處假冒偽劣商品，切實加大假冒偽劣商品的處罰力度，維護消費者的合法權益。

五、改善食品安全監管工作的建議

一是亟待政府加大領導力度?！妒称钒踩ā返谖鍡l規定：“縣級以上地方人民政府統一負責、領導、組織、協調本行政區域的食品安全監督管理工作，建立健全食品安全全程監督管理的工作機制??” 上述規定既指明了縣級人民政府在食品安全監督管理工作中的組織、領導責任，又規定了縣人民政府對工商等食品安全監督管理部門進行評議、考核的職責，還規定由縣級人民政府確定本級工商等部門的食品安全監督管理職責。因此，在新的形勢下，工商部門一定會全面貫徹《食品安全法》，嚴格執行政府、縣人大確立的工商部門的食品安全監督管理職責，盼望政府、人大進一步加大對工商工作的領導，切實解決工商部門在食品安全監管工作中遇到的難題，把《食品安全法》貫徹好、落實好。

二是建立健全食品安全預警機制?！妒称钒踩ā返谄呤畻l規定：“縣級以上地方人民政府應當根據有關法律、法規的規定和上級人民政府的食品安全事故應急預案以及本地區的實際情況，制定本行政區域的食品安全事故應急預案??” 為有效防范和及時應對突發的食品安全事故，政府應盡快制定我縣食品安全預警機制，成立 相應領導小組，添置相關設備，舉行應急演練，切實做到防患于未然，及時消除食品安全事故隱患。

三是亟待建設一個食品檢測機構。當前，困擾縣級食品安全監督管理部門的一大難題就是本地缺少一個食品檢測機構，許多食品安全案件和消費者投訴事件因難以做到快辦快結，把小事件拖成了大隱患。

四是亟待政府設立食品安全專項資金。按照《食品安全法》的規定，為減輕食品經營戶負擔，工商部門對頒證實行零收費。為推進零收費工作的全面落實，盼望縣政府設立食品安全專項資金，解決許可證核發的經費保障問題；同時還要加強對食品安全工作的投入，強化對技術和執法人員的培訓，配齊、配全、配優執法裝備，提供必要的抽檢經費，加強食品質量監測，要建立以市場主辦單位自檢為基礎、消費者復檢為補充、執法部門抽檢為保障的“三方互動”的監測體系。

除此以外還應設立食品安全獎勵基金，用以激勵那些為保障我縣食品安全工作作出了突出貢獻的相關人員以及投訴舉報有功人員。