煙草網上訂貨系統安全防護思路

賴如勤，于閩

福建省煙草公司南平市公司,信息中心,福建南平市濱江中路389號 353000

煙草網上訂貨系統安全防護思路

賴如勤，于閩

福建省煙草公司南平市公司,信息中心,福建南平市濱江中路389號 353000

隨著互聯網Web應用的發展,Web應用所面臨的安全威脅越加嚴峻,當前Web應用系統面臨的安全威脅主要是應用層攻擊、拒絕服務攻擊?；赪eb應用的煙草網上訂貨系統同樣面臨著這兩種安全威脅,如何有效防范非法攻擊成為煙草商業企業信息安全工作的重要內容,在對網上訂貨系統面臨的安全威脅分析的基礎上,提出相關的防護思路。

Web應用；SQL注入；XSS；DDoS；SDL；安全防護

互聯網的快速發展,改變了傳統商業的生產關系和產業鏈格局,互聯在線應用創造出全新的產業生態和經濟模式,目前互聯在線應用業務都依托于Web服務進行,在Web 2.0技術趨勢下,網站的功能還在不斷增加,尤其是增加互動應用,以提供更好的用戶體驗,Web技術承載著越來越多的核心業務。由于缺乏對Web系統的足夠重視和安全評估,大部分網站系統存在著安全漏洞[1]。據中國互聯網網絡安全報告顯示,目前75%以上的網絡攻擊都瞄準了網站Web應用系統,因Web應用系統漏洞導致的信息泄露、網頁篡改、網頁掛馬等安全事件頻發,Web應用安全引起全社會的廣泛關注和重視[2]。

為順應互聯網經濟的潮流,煙草商業企業適時推出了基于Web應用服務的煙草網上訂貨系統,網上訂貨已成為當前卷煙零售客戶訂貨的主要方式,為客戶提供方便、快捷的信息互動業務平臺,以福建煙草為例,目前全省網上訂貨率達90%。網上訂貨系統作為Web站點,可以被互聯網上所有用戶訪問,因其公開性導致了網站服務器極易被入侵者作為第一目標進行入侵,當入侵者利用網站存在的漏洞控制了Web服務器之后,以其為跳板,進一步滲透數據庫服務器,導致信息泄露、數據破壞、網絡癱瘓等后果,嚴重影響煙草商業企業業務的正常開展,給客戶和行業帶來經濟和社會損失,加強網上訂貨系統的安全防護成為當前行業信息安全建設的重要內容[3]。

1 網上訂貨系統面臨威脅分析

從Web技術應用及網絡入侵攻擊的分析來看,當前網上訂貨系統面臨的攻擊主要有兩大類：應用層攻擊、拒絕服務攻擊。

1.1 應用層攻擊

應用層攻擊非常復雜,其根源是軟件漏洞。因為Web應用是一個組合而成的軟件包,其中包含眾多的軟件,而且來自不同的開發者,由于管理上的不足,開發過程中未以相關的安全標準作為指引,導致所開發的Web應用漏洞情況很難控制,與此同時,在新的業務需求驅動下不斷引入新的Web技術,造成漏洞和攻擊形勢越發嚴峻[4]。

常見的針對Web應用層的攻擊主要有SQL注入、XSS跨站腳本攻擊、文件包含、CSRF跨站請求偽造、敏感信息泄露等[5]。據著名IT咨詢機構Gartner統計,SQL注入、XSS跨站腳本攻擊占據了所有Web應用層攻擊手段的50%以上,SQL注入和XSS以其攻擊成本低,攻擊效果顯著得到了越來越多黑客的青睞,這些攻擊困擾著網站系統管理者并威脅著網站及用戶信息的安全。

近年來因應用層漏洞導致網上訂貨系統被攻陷的事件時有發生。只有了解這些針對Web應用層的攻擊方式和過程,才能有針對性地對系統應用層威脅做出相應的防護措施,現以SQL注入和XSS跨站腳本攻擊為例對網上訂貨系統的威脅加以分析。

1.1.1 SQL注入

SQL注入,就是通過把SQL命令插入到Web表單的輸入域或頁面請求的查詢字符串中,最終達到欺騙服務器執行惡意SQL命令的目的,即通過在Web表單中輸入惡意SQL語句得到一個存在安全漏洞的網站上的數據,而不是按照設計者意圖去執行SQL語句[6]。

圖1 網站系統拓撲示意圖Fig. 1 Web site system topology diagram

圖1是一個簡單的網站系統拓撲,由用戶端（客戶端）、Web服務器（IIS、Apache、Tomcat等）、數據庫服務器（MSSQL、MYSQL、ORACLE等）組成,當前中大型網站都是采用該架構搭建Web服務器。以網上訂貨系統為例,外部用戶查詢訂單信息時,一個完整的請求和響應主要包含以下步驟：

（1）首先外部用戶通過Web方式登錄網上訂貨系統,登錄之后發起一次訂單查詢的請求,輸入訂單編號20151111,點擊查詢,提交發送到Web服務器。

（2）網上訂貨Web服務器收到外部用戶發送的請求數據包時,經過腳本引擎解析,獲取外部用戶提交的訂單編號20151111參數,此時通過動態構造SQL語句：Select * from database where id=20151111,向數據庫發起查詢請求。

（3）網上訂貨數據庫收到Web服務器發送過來的查詢請求,在數據庫中查詢id為20151111訂單的所有信息,并將查詢結果返回給網上訂貨Web服務器。

（4）網上訂貨Web服務器處理返回的所有訂單信息,如過濾和編碼特殊字符等,生成靜態網頁并返回給客戶端,外部用戶瀏覽器對返回的頁面進行解析,將訂單編號為20151111的訂單信息呈現在瀏覽器頁面供用戶查看。

該請求內容過程如圖2所示。

圖2 請求內容過程示意圖Fig. 2 Request content process diagram

通過分析一個完整的請求和響應的過程可以看出,外部用戶在向網上訂貨應用服務器發起訂單查詢請求時,存在訂單編號的輸入點,訂單編號會被帶到數據庫里執行并進行查詢。也就是說外部惡意攻擊者可以構造任意的SQL語句作為訂單編號的值,發送到應用服務器上,此時如果應用服務器在收到客戶端發送的請求時沒有對用戶輸入的數據或者是頁面中所攜帶的信息進行必要有效的合法性判斷或過濾,則會將惡意攻擊者構造的SQL語句放入到網上訂貨系統數據庫里進行查詢,并將查詢的結果返回給惡意攻擊者,攻擊者根據返回的信息進行進一步的SQL語句注入攻擊,導致企業和客戶重要信息泄露甚至威脅到整個數據庫的安全。攻擊過程如圖3所示。

圖3 SQL注入攻擊示意圖Fig. 3 SQL injection attacks diagram

隨著Web掃描器以及SQL注入工具越來越智能化,SQL攻擊的成本越來越低。從上面的分析可知,一旦網上訂貨系統存在SQL注入漏洞風險,數據就有可能遭到破壞和泄露的風險,攻擊者甚至可以利用數據庫本身的擴展功能控制服務器操作系統,使得SQL注入的危害被進一步放大,給企業和客戶帶來極其重大的損失。

1.1.2 XSS（跨站腳本攻擊）

跨站腳本攻擊（XSS）又稱CSS（Cross Site Script）,XSS攻擊是由于動態網頁的Web應用對用戶提交的請求參數未做充分檢查過濾,允許用戶在提交的數據中摻入HTML代碼（最主要的是“＞”、“＜”）,然后未加編碼地輸出到第三方用戶的瀏覽器,攻擊者惡意提交的代碼會被受害用戶的瀏覽器解釋執行。如用戶在瀏覽網站、使用即時通訊軟件、閱讀電子郵件時,通常會點擊其中的鏈接,攻擊者通過在鏈接中插入惡意代碼,網站在接收到包含惡意代碼的請求之后會生成一個包含惡意代碼的頁面,而這個頁面看起來就像是那個網站應當生成的合法頁面一樣。假設用戶甲發表了一篇包含惡意腳本的帖子,那么用戶乙在瀏覽這篇帖子時,惡意腳本就會執行,盜取用戶乙的信息[7]。

網上訂貨系統是零售客戶進行網上訂貨的門戶,如果網上訂貨系統存在XSS漏洞,則惡意攻擊者可以利用該漏洞竊取客戶的用戶名和密碼,造成信息泄露,威脅到客戶訂單和資金的安全。同時惡意攻擊者很可能會利用網上訂貨系統的XSS漏洞,通過插入掛馬代碼誘騙客戶執行木馬程序,造成客戶電腦被木馬劫持,給客戶和企業帶來損失。

XSS 跨站腳本攻擊借助網站進行傳播,使網站的大量用戶受到攻擊。如圖4所示,假設網上訂貨系統頁面存在XSS漏洞,攻擊者通過留言、電子郵件或其他途徑向受害者發送一個精心構造的惡意 URL,該URL已被注入惡意的JS代碼,攻擊者將該惡意URL發送給用戶,用戶如果安全意識薄弱,則很容易受騙并打開該 URL ,該URL在瀏覽器上打開之后惡意腳本會在用戶的計算機上悄悄執行,使用戶電腦出現異常,或者無法正常使用,甚至造成用戶重要信息泄露或者重要信息被刪除等不可意料的嚴重后果。

圖4 XSS 跨站腳本攻擊示意圖Fig. 4 XSS cross-site scripting attacks diagram

1.2 拒絕服務攻擊

分布式拒絕服務攻擊DDoS（Distributed Denial of Service）,通常稱為拒絕服務攻擊,是黑客利用DDoS攻擊器控制多臺機器,發送指令,在控制機器的同時把大量看似合法的TCP、UDP、ICMP包發送至目標主機,造成目標設備負載過高,最終導致網絡帶寬或者設備資源耗盡。通常,被攻擊的路由器、服務器和防火墻等設備運行處理能力和負載能力都是有限的,當攻擊超過負載,它們就無法處理正常的合法訪問,導致服務拒絕[8]。

由于全球各種寬帶網絡建設的迅速發展,使得攻擊者掌握較大的帶寬資源成為可能,實際發生的一些萬兆甚至上百Gbps流量的攻擊已成常見。目前網絡中觀測到的最大規模攻擊流量已經突破450G,如2014年2月,美國一家名為Cloud fl are的云安全服務公司遭受DDoS攻擊,攻擊者通過僵尸網絡和NTP反射技術進行攻擊,攻擊流量達到400G,攻擊時包括4chan和維基解密在內的78.5萬個網站安全服務受到了影響；2014年12月24號阿里云官微發出聲明：在12月20-21日,部署在阿里云上的一家知名游戲公司,遭遇了全球互聯網史上最大的一次DDoS攻擊。攻擊時間長達14個小時,攻擊峰值流量達到每秒453.8Gb。這些攻擊實例表明,由于各類DDoS工具和技術的不斷發展,使得實施DDoS攻擊變得非常簡單。各類攻擊工具可以從網絡中隨意下載,只要使用者稍有網絡知識,便可發起攻擊。國內外的一些網站上“僵尸網絡”甚至被標價出售,這些新的趨勢都使得發動大規模DDoS攻擊越來越容易,經濟利益驅動下的DDoS攻擊地下產業鏈活動更加猖獗。

DDoS攻擊產生的流量非常驚人,網上訂貨系統作為煙草商業企業客戶網上訂貨的門戶,實時為客戶提供服務,當前網上訂貨網絡出口帶寬一般為50M或更大,在目前DDoS的攻擊環境下,一旦發生大流量DDoS攻擊,將會導致出口帶寬全部被惡意攻擊流量所占用,使客戶無法正常登錄和使用訂貨系統。DDoS攻擊對網上訂貨系統造成的不良后果主要有以下四點：

（1）線路帶寬被全部占用,網上訂貨系統對外服務中斷；

（2）攻擊流量超過網絡設備的處理能力,出現服務中斷或延遲,客戶體驗變差；

（3）網上訂貨系統服務能力下降或中斷,客戶無法正常訂貨,給客戶帶來直接的經濟損失；

（4）造成煙草商業企業信譽下降,品牌受損,給企業帶來社會的和經濟的損失。

2 網上訂貨系統面臨的挑戰及攻防目標分析

2.1 面臨的挑戰

從上面分析可看出,當前網上訂貨系統面臨著異常嚴峻的安全威脅,加強網上訂貨系統的安全防護已刻不容緩。不管攻擊方采用應用層攻擊還是拒絕服務攻擊,煙草商業企業作為防護方,需要從以下兩個方面分析存在的問題。

2.1.1 網上訂貨系統開發測試階段

（1）在網上訂貨系統軟件開發過程中是否融入安全的考量？

（2）網上訂貨系統上線前是否進行上線測試？（3）網上訂貨系統網絡架構是否合理？

2.1.2 網上訂貨系統上線運行階段

（1）在攻擊發起前,能否先于攻擊者發現系統存在的漏洞？

（2）在被攻擊過程中,能否快速地發現、響應和控制攻擊？

（3）安全運維團隊的效率和能力怎樣？

通過以上問題描述可看出,決定上述問題的關鍵是時間。不管是攻擊方還是防護方,占據了時間優勢和主動的一方將獲得最終的成功。

2.2 攻防目標分析

2.2.1 攻擊方目標分析

對于攻擊方來說,如果先于煙草防護方發現網上訂貨系統中存在漏洞,就可以用最短和最有效的方式攻擊入侵系統,獲取敏感信息或破壞系統。同時,時間因素在黑客的攻擊過程中同樣重要,當防護方發現網上訂貨系統遭受攻擊,并針對攻擊采取了一定的防護措施后,如果攻擊者越早發現他的攻擊受阻并轉換攻擊手段,則攻擊方就可以獲得更高的攻擊成功率[9]。

2.2.2 防護方目標分析

對于未上線系統,如果在網上訂貨系統開發過程中引入系統安全開發生命周期理念,在需求和設計開發階段就著手對系統安全漏洞進行管理,則可成倍降低漏洞修復成本,在修復手段的選擇上也具有最大的靈活性,能夠有效避免應用系統漏洞,將安全威脅降到最低[10]。

對于已上線系統,如果煙草防護方先于攻擊者發現網上訂貨系統中存在的漏洞,并盡早修復它們,就可以降低因系統漏洞所帶來的安全風險。同時在攻擊發生后,運維人員能否在最短的時間發現攻擊并做出響應是決定防御成敗的關鍵,越早發現攻擊,留給響應處置的時間就越充裕；響應速度越快,部署有效的控制手段所需時間就越短,網上訂貨系統受到的損失就越小。從發現到響應再到控制,是一個遞進的關系。從應急響應流程上來說,任何一個環節效率出現問題都會直接影響防御的效果。

因此,盡可能地將安全防護時間點前移,提高檢測效率,提升防護的能力,加快響應處理的速度是至關重要的,安全防護時間點的把握是防護成敗的關鍵所在。

3 網上訂貨系統防護思路及策略分析

在對當前煙草商業企業信息系統開發技術及網絡架構進行綜合分析的基礎上,從三個方面對網上訂貨系統提出防護思路及策略。

3.1 打造安全可靠的Web應用系統

3.1.1 建設基于安全開發生命周期的網上訂貨系統

近年來隨著業務的發展,部分煙草商業企業開始重新規劃開發網上訂貨系統以滿足業務需要,如智能移動終端APP訂貨、手機微信訂貨系統等；已上線運行的網上訂貨系統在新的業務需求驅動下也在不斷引入新的Web技術和網站功能以提供更好的用戶體驗,但是早期大部分網上訂貨系統從開發到上線運行缺少對安全需求的分析融入和系統漏洞的審計,導致因系統漏洞引發的安全事件時有發生,針對這種情況,建議在新開發網上訂貨系統或者系統功能模塊新增時引入系統安全開發生命周期管理方法。

系統安全開發生命周期SDL（Security Development Lifecycle）,是以生命周期的架構對系統開發過程中涉及到的安全操作進行概括、補充和完善,將安全設計、安全編碼、安全測試及安全事件響應等安全技術活動融入到系統需求分析、架構設計、開發實現、測試運行和人員知識傳遞等系統開發生命周期的典型階段,系統地識別和消除各個階段可能出現的來自于人員知識技能、開發環境、業務邏輯所帶來的信息安全風險和系統缺陷,從而提高軟件的質量[11]。

系統安全開發生命周期包括安全需求分析階段、設計階段、實施開發階段、測試驗證階段、上線發布和運維階段,以下結合網上訂貨系統對這五個階段功能目標進行簡要分析。

（1）安全需求分析階段：分析網上訂貨系統面向的環境、需求和安全成本,通過威脅建模找到攻擊界面,分析和歸類安全威脅,定義網上訂貨系統的安全功能。

（2）安全功能設計階段：針對安全需求分析,提出緩解和降低安全威脅的措施,定義網上訂貨系統的安全功能和安全策略,并進行概要設計和詳細設計。

（3）安全功能實現和驗證階段：通過編程規約和培訓開發人員,配合源代碼審計工具,保證網上訂貨系統開發代碼都是以良好的安全習慣得以實施,減少安全問題。通過安全測試,確保安全需求階段定義的安全功能、安全設計階段定義的安全策略和威脅緩解措施都得以實現。通過測試盡量找出可定性的安全漏洞或攻擊點,提供給開發團隊修復,避免系統發布后的0day帶來的安全損失。

（4）測試驗證階段：通過Web漏洞掃描設備對訂貨系統進行漏洞安全掃描,或者請專業公司對系統進行上線前的全面評估,發現潛在的安全風險并及時修復。如有需要可進行源代碼審計,針對網上訂貨系統源代碼,從結構、脆弱性以及缺陷等方面進行審查。

（5）發布和維護階段：在系統上線發布后,應用系統集成到真實環境,需再次對系統整體進行安全性測試,以發現系統運行中存在的安全問題。通過安全產品如Web應用防火墻、入侵防御系統、網站安全監測系統等配置完善的網上監測規則并進行嚴密的檢測,在發現可疑行為時進行安全告警并及時進行判斷和處理。安全不是一成不變的,防護與威脅一直處在博弈之中,本階段需要建立定期安全評估機制,及時發現和處理最新的安全威脅。

3.1.2 建立基于長效修復和加固機制的網上訂貨系統

當前煙草商業企業大部分網上訂貨系統已上線運營較長時間,這些系統大都未經過完整的系統安全開發生命周期管理,導致系統整體的安全漏洞無法控制,針對已上線運行的網上訂貨系統,安全防護的策略是建立漏洞發現和修復的長效機制。

漏洞的發現可以通過Web漏洞掃描設備對系統進行漏洞安全掃描,或者請專業公司定期對系統進行全面的安全壓力和滲透測試,這是借助外力進行專業評估,是發現系統漏洞的一種有效方法。漏洞修復最直接的方式是修改程序或網頁代碼,但一旦漏洞需要在系統部署上線后修復,除相對固定的漏洞修復成本外,還將伴隨著企業一定程度上的業務能力損失,修復成本相對較大。對于一些暫時不能修復或需要投入較長時間才能修復的漏洞,可通過部署專業的安全防護設備和設置相應的規則進行防護。通過安全設備的實時防護能力獲得網上訂貨系統安全防護能力的提升,以達到更好的防護效果,例如對于基于Web應用的訂貨系統來說,應用層攻擊主要包括諸如SQL注入、跨站腳本等攻擊,這時應當通過在網上訂貨系統前端部署Web應用防火墻,進行實時防護[12]。威脅是動態的,在不同時期、不同應用、不同技術、不同用戶及不同環境條件下,會暴露出不同隱患,因而定期對系統進行安全測試評估、對安全設備進行動態配置和策略升級管理是信息安全防護中必須開展的常規而又重要的工作。

3.2 優化網絡結構

為保證網上訂貨業務的連續順暢,避免線路和設備單點故障,一般采用雙運營商或多運營商線路接入模式。如圖5所示。

3.2.1 建立DMZ區

DMZ是“demilitarized zone”的縮寫,稱為“隔離區”,也叫“非軍事化區”。 是為了解決安裝防火墻后,外部網絡的訪問用戶不能訪問內部網絡服務器的問題而設立的一個非安全系統與安全系統之間的緩沖區。該緩沖區位于企業內部網絡和外部網絡之間的小網絡區域內。在這個網絡區域內可以放置一些必須公開的服務器設備系統,如企業Web服務器、FTP服務器和論壇等。通過這樣一個DMZ區域,可以更有效地保護內部網絡[13]。

為保證網上訂貨系統的安全,同時有效保護內網的安全,當前網上訂貨系統部署在DMZ區,DMZ區負責對外提供網上訂貨Web網站服務,同時起到安全邊界的作用。DMZ區直接面對外網,受到的安全威脅最大,所以對網絡安全性要求很高,對DMZ區采取如下策略。

（1）在DMZ區通過兩道防火墻進行安全區域隔離,網上訂貨Web服務器放置在DMZ區內,外網用戶只能訪問DMZ區,不能訪問內網區。兩道防火墻（不同品牌）的作用主要是便于在防火墻上進行安全策略部署,可以進一步提高系統安全性。這里可考慮將防火墻升級為高性能的下一代防火墻,同時開啟防火墻防病毒過濾、郵件過濾、DDoS洪泛過濾功能等應用管理模塊；

（2）在DMZ區部署IPS防入侵檢測設備,由于網上訂貨Web服務易受應用層攻擊,如病毒、木馬等,導致網頁篡改、網站癱瘓、信息泄密等不良后果,通過部署IPS主動監測,實時阻斷非法攻擊或病毒等惡意行為；

（3）在訂貨系統Web服務器前端部署Web應用防火墻,該設備提供網站安全運維過程中的一系列控制手段,可以對到達網上訂貨系統的所有流量進行雙向檢測,及時阻斷攻擊者對網上訂貨系統的惡意行為,為訂貨系統提供實時的防護。

網上訂貨DMZ區部署拓撲如圖5所示。

圖5 網上訂貨系統DMZ區拓撲示意圖Fig. 5 Topology diagram for the DMZ area of online ordering system

3.2.2 建立抗拒絕服務策略

對于拒絕服務攻擊的防護,可考慮在網絡出口端部署流量清洗設備ADS（Anti-DDoS System）,并協同流量上游運營商如電信、移動、聯通等共同防護,運營商端的ADS設備做旁路部署,采用流量牽引技術,做大流量監測過濾,以實現煙草商業企業端和運營商端分層防護效果,最大程度減少拒絕服務攻擊帶來的影響[14]。網上訂貨系統抗拒絕服務部署拓撲如圖6所示。

圖6 抗拒絕服務部署拓撲示意圖Fig. 6 Anti-DDoS System deployment topology diagram

3.3 全面安全管理

信息安全管理必須遵循木桶原理,要求補齊短板,全面執行到位。

管理上,制定信息安全管理制度。重視信息安全應急預案和細案的制定并定期開展演練；建立日常信息安全巡查機制；加強系統賬號的安全審計及權限管理；定期對用戶開展安全技能培訓,提高用戶安全防范意識和水平。

技術上,完善安全軟硬件的配備。通過部署防病毒軟件、升級系統補丁保證服務器操作系統的安全；通過漏洞掃描、威脅檢測系統發現和識別各種漏洞和攻擊行為；合理配置入侵防御系統、Web應用防火墻、抗拒絕服務系統等產品的安全策略；建立協同防護機制,各種防護設備不應該是彼此孤立的,攻擊流量應在不同防護設備之間進行調度,安全設備之間協同工作配合的效率越高,則防護效果越好；通過部署運維審計和數據庫審計設備及時發現入侵行為、非合規操作行為等,使運維管理員能更有效地對系統和數據安全進行監控和管理；通過部署準入控制系統,阻止外來終端隨意接入內網,提高內網終端安全[15]。

4 結語

一個基于完整的系統安全開發生命周期管理方法能夠極大提高網上訂貨系統的安全質量,有效控制系統的漏洞威脅。安全開發生命周期理念同樣適用于行業其它應用系統的開發,隨著系統安全開發生命周期管理方法的推行,信息系統安全質量將得到明顯提高。

在網上訂貨系統安全防護上需要建立以安全管理與安全技術相結合的縱深防護體系,才能防范和抵御各種攻擊。一個全天候、主動的、分層的、協同的、高效的網上訂貨系統安全防護體系是建立在快速發現、快速響應和快速防護基礎上的。具體來說,通過對訂貨系統的有效檢測和修復將防護提前到攻擊發起之前,通過分層防護實現對系統拒絕服務攻擊的有效處理,高效的防護調度及設備間的協同配合,可以極大地提高處理攻擊的響應速度和防護效果。只有把握這一防護思路,才能為煙草商業企業網上訂貨系統提供有力的安全保障。

[1] Michal Zalewski.Web之困：現代Web應用安全指南[M].朱筱丹 譯. 北京：機械工業出版社,2013.Zalewski M. The Tangled Web: A Guide to Securing of Modern Web Applications[M]. Beijing：China Machine Press,2013.(in Chinese)

[2] 2014年中國互聯網網絡安全報告[EB/OL].[2015-06-02].http://www.cert.org.cn/publish/main/46/index.html.2014 China Internet Network Security Report[EB/OL].[2015-06-02].http://www.cert.org.cn/publish/main/46/index.html.(in Chinese)

[3] 從安全攻擊實例看數據庫安全[EB/OL].[2015-06-05].http://www.youxia.org/attack-database-security.html.Database security from security attack case[EB/OL].[2015-06-05].http://www.youxia.org/attack-database-security.html.(in Chinese)

[4] 當我們談Web應用安全的時候主要談哪些[EB/OL].[2015-01-29].http://sec.chinabyte.com/34/13164034.shtml.What do we talk about Web application security? [EB/OL].[2015-01-29].http://sec.chinabyte.com/34/13164034.shtml.(in Chinese)

[5] 陳小兵,范淵,孫立偉.Web滲透技術及實戰案例解析[M]. 北京：電子工業出版社,2012.Chen XB, Fan Y, Sun LW. Web penetration technology and case analysis[M].Publishing House of Electronics Industry,2012.(in Chinese)

[6] 克拉克.SQL注入攻擊與防御[M]. 北京：清華大學出版社,2010.Clarke J. SQL Injection Attack and Defense[M]. Tsinghua University Press,2010. (in Chinese)

[7] 邱永華.XSS跨站腳本攻擊剖析與防御[M]. 北京：人民郵電出版社,2013.Qiu YH. XSS Cross-site Scripting Attacks and Defense Analysis[M].Posts & Telecom Press,2013. (in Chinese)

[8] 如何正確的防范應用層拒絕服務攻擊[EB/OL].[2014-09-13].http://www.2cto.com/Article/201409/332513.html.How to properly prevent application-layer denial of service attacks [EB/OL].[2014-09-13].http://www.2cto.com/Article/201409/332513.html. (in Chinese)

[9] 在線攻擊的幕后場景：對利用Web漏洞行為的分析[EB/OL].[2015-06-08].http://www.youxia.org/online-attackweb.html.Online attacks behind the scene: To analyze the behavior of Web vulnerability[EB/OL].[2015-06-08].http://www.youxia.org/online-attack-web.html.(in Chinese)

[10] 李銳.新環境下的信息系統安全開發與測試[J].計算機安全,2012(10):63-65.Li R. Information System Security Development and Testing In Current Environment Analysis and Discussion [J].Computer Security,2012(10):63-65. (in Chinese)

[11] Michael Howard,Steve Lipner.軟件安全開發生命周期[M]. 李兆星,原浩,張鋮 譯. 北京：電子工業出版社,2008.Howard M, Lipner S. The Security Development Lifecycle[M].Publishing House of Electronics Industry,2008.(in Chinese)

[12] 為什么要部署Web應用防火墻[EB/OL].[2014-11-24].http://www.searchsecurity.com.cn/showcontent_86318.html.Why do you want to deploy a Web Application Firewall[EB/OL].[2014-11-24].http://www.searchsecurity.com.cn/showcontent_86318.html. (in Chinese)

[13] 怎樣在不同網絡安全需求下創建DMZ區[EB/OL].[2013-08-20].http://security.ctocio.com.cn/358/12697858.shtml.How to create a DMZ area under di ff erent network security requirements[EB/OL].[2013-08-20]. http://security.ctocio.com.cn/358/12697858.shtml. (in Chinese)

[14] 王會梅,鮮明,王國玉.網絡抗拒絕服務攻擊性能的集對評估方法[J].計算機科學,2012(4):53-55.Wang HM, Xian M, Wang GY. Set Pair Analysis Method for Evaluating Denial of Service Attack Resistance Ability[J].Computer Science,2012(4):53-55. (in Chinese)

[15] 張繼彬.計算機網絡信息安全及其防護策略研究[J].網絡安全技術與應用,2014(7):132-132.Zhang JB. Computer network information security and protection strategy research[J].Network Security Technology & Application, 2014(7):132-132. (in Chinese)

Re fl ection on the protection of online ordering system for cigarettes

LAI Ruqin，YU Min
Information Centre, Fujian Nanping Municipal Tobacco Company, Nanping 353000, China

With the development of web application, security threats including application layer attacks and denial of service attacks are increasingly serious. The online ordering system for cigarettes is also faced with such threats. This paper put forward some thoughts on the methods of safety protection by reviewing those threats for tobacco commercial enterprises.

Web application; SQL injection; XSS; DDoS; SDL; security protect

賴如勤,于閩. 煙草網上訂貨系統安全防護思路[J]. 中國煙草學報,2016,22（2）

賴如勤(1969—),研究生,工程師,主要研究方向為信息技術應用及管理,Email：423853967@qq.com

2015-07-28

：LAI Ruqin,YU Min. Reflection on the protection of online ordering system for cigarettes [J]. Acta Tabacaria Sinica,2016,22(2)