网页安全论文范文第1篇

随着现代高速发展的网络技术和不断兴起的电子商务，针对计算机网络的攻击不断出现，设计人员在进行网页设计时必须充分考虑网络安全的问题。当一个网站建立之后，相应的配套程序有很多，由于网页设计的独特性，所以，程序的漏洞会不断的增加，这样就给网站带来了一定的安全隐患。

2网页设计安全漏洞

网页设计中常用的服务器端网页设计技术包括ASP、PHP或JSP等脚本语言，这些网页技术为网站的技术开发人员提供了便利。在网页的开发设计中，设计人员使用上面的脚本语言可以高效的管理现有的网站资源，加强了浏览者和网站的交互。在交互之间，漏洞就在慢慢的形成，这主要是因为浏览者在输入信息时的不可确定性，如果程序考虑的不周全，用户输入的信息就有可能成为对网页的攻击，无论这些信息是否是有意的还是无意的。网页的编程与服务器直接打交道，它和系统的相关设置、网站数据库设置等有关，若程序设计之中存在漏洞，那么也称之为网站漏洞。

3网页设计中存在的漏洞

3.1在登陆验证中存在的漏洞像人们常常使用的论坛、会员区、聊天室等带有交互性的网站，登陆验证是必须完成的部分，虽然登陆验证只是整个网站运行中的一小部分，但却是整个网站的安全之口。网络设计者在设计时很容易疏忽这个关口的设计，安全关口的验证程序如果没有设计好，就会让别人有空可钻，从而造成不必要的损失。很多网站在设计安全关口中都存在登陆验证的漏洞，设计人员在设计时编程的不严谨造成了这个漏洞。

3.2直接进入页面而绕过验证的漏洞在许多的敏感页面中，用户必须进行身份验证，但是这个页面无需对用户的身份验证，一旦用户在知道相关的网页设计页面的文件名和路径时，用户就会直接绕过登陆的界面，进入设计页面。在这样的状况下，网站的设计人员必须对相关的页面进行身份的验证，设计相应的身份验证程序，来达到网站页面的安全可靠程度。

3.3网站病毒的广泛传播计算机中存在的病毒是人们故意设计制造的计算机应用程序，它的特点就是感染性和自制性，在日益扩大的网络规模下，计算机的病毒的种类和数量也在不断的增加，这样也对计算机的的安全造成了很大的威胁。如果网站的终端服务器被计算机病毒传染，就会破坏网站信息的可靠安全性，甚至影响了整个网站的正常运行。

3.4一些网站的非受权在网站的建设中，程序设计人员往往会采用较为复杂的安全配置，这样就会在网络服务的应用中存在非常巨大的安全缺陷，因而给远程的黑客有了可乘之机，侵入到网络服务器的内部，给网站的安全带来了巨大的危害，网络系统中的应用软件的缺陷、密码过于简单等等的系统漏洞，都会让黑客非常容易的侵入。

4解决网站安全隐患的方法

4.1充分考虑网站登陆验证的安全性在相关的论坛和聊天室中，验证身份在登陆时是必要的一步。所以，网站设计人员可以使得程序在生成SQL查询语句之前，验证用户的用户名和密码，或者是设计人员要求用户在进入网页时先对其用户名进行查询再验证密码。而在进入比较敏感的页面时，设计人员可以设计相应的程序要求用户再一次进行身份的验证，这样就增加了网页的安全可靠性。

4.2充分考虑源代码的泄漏程序设计人员对网页的代码加密后可以有效的减少网站源代码泄漏的机会，设计人员可以利用组件技术将编程逻辑密封在ADLL中，或者是对ASP进行加密，这其中利用的是微软的ScriptEncoder，这个方法有操作性强、编辑性强等优点，这样就可以降低源代码泄漏的机率。

4.3充分考虑文件在上传时的安全性许多的网站具有文件上传、图片上传等多种功能，比如一些论坛、邮箱系统、校园网这些用户量很大的网站，但是这样的网站，程序设计人员在设计时没有对用户提交的数据和参数进行充分的过滤，导致了黑客能够对其进行远距离的攻击，从而造成了相关数据库的破坏。所以，设计人员在用户上传图片文件之前，可以插入文件类型模式的模块，对用户上传的文件格式进行筛选，这样就可以将一些可能带来病毒的文件筛选出去，提高了用户使用网页的安全性。

网页安全论文范文第2篇

关键词：网址,加密,网络安全,活动服务器页面,服务器端网页设计

0引言 随着网络技术和网络规模的不断发展以及电子商务的兴起，许多企业都建立了自己的商务网站，针对网络和计算机系统的攻击已经屡见不鲜,在构建网站的时候，都会考虑网络安全问题，对于网络安全的投入较大，如使用防火墙、入侵检测、企业防病毒等安全产品，但网站还是有被攻击,甚至完全被控制的可能。因为企业的网站一般都采用ASP、PHP或JSP等脚本语言来连接数据库，取得数据库里面的数据生成动态网页。当一个网站完全建立后，程序会很多，特别是网页设计的特殊性，服务器与用户的交互程序更多，所以，程序的漏洞也会增多，给网站带来不可估量的安全隐患，这些程序漏洞比网站服务器的漏洞更为严重 [1][2][3] 。

1网页设计安全漏洞的形成ASP、PHP或JSP等脚本语言作为典型的服务器端网页设计技术，为网站开发人员提供了简单高效的动态Web应用程序开发方法。在网站设计时，使用上述脚本语言编程可以更好地管理网站资源，增加网站与浏览者之间的交互，如新闻系统、产品管理系统、会员管理系统、论坛反馈系统、在线调查系统、在线订单系统和留言板系统等，其共同点是用户输入很多资料，与其他浏览者交流或者与网站管理者交流。。而交互正是漏洞形成的一大原因，因为用户输入信息不可预测，如果程序没有考虑或者考虑不全面，用户输入就有可能成为攻击事件，且不管有意还是无意。网页编程直接和服务器打交道，与网站目录、网站数据库设置、系统设置相关，通过这些程序访问网站目录、设置等所有服务器内容，若程序设计有漏洞，即网站有漏洞。

2网页设计的安全漏洞及对策2.1登陆验证漏洞凡带有交互性的网站，包括论坛、聊天室、信息网会员区、网上影院等，登陆验证是必不可少的组成部分。。虽然登陆的验证程序只是网站整体的一部分，但却是网站的安全关口。网站设计者容易疏忽这一点，没有处理好口令验证程序的关口，以至他人趁虚而进，甚至造成重大影响与经济损失。许多网站都存在一个登陆验证的漏洞，而这个漏洞是在编写程序验证账号密码时由于程序不严谨而造成。。如在设计网站会员区时，都会将账号、密码放在一个叫“User”的数据表中，并设置“username”和“password”两个字段分别表示用户的登录名称和登录密码。当验证时，检查用户输入的两个参数是否存在于这个数据表，如果存在，证明这个用户合法；不存在，证明用户不合法，而漏洞就出现在这段验证代码上。

在登陆验证(以asp为例)中常会用SQL查询语句来判断该用户是否为站点的合法会员。

<!--连接数据库-->

<!--#include file=dbconn.asp -->

<%

Dim rs

Set rs=CreateObject(“Adodb.Recordset”) ‘定义一个Ado数据集实例

rs.source='select * from user whereusername=’” & username & “’and password=’” & password & “’”

‘连接登陆验证语句字串

rs.open rs.sourc,conn,1,1 ‘执行查询语句

...

%>

当根据以上的SQL语句构造一组特殊的用户名和密码，例如用户名为该网站任意一个存在的用户名Admin，密码为a' or 'a'='a，则程序中SQL变量的值将会变成sql=“select* from username where username=’a’ and password=’a’ or ’a’=’a’” 显然，该查询语句的逻辑原意已被彻底改变，一个逻辑运算符or使用整个逻辑条件为真，即这条SQL口令验证语句已经失去了效用，只要知道了任意一个存在的用户名就可以成功地进入到敏感区域。

解决漏洞的方案如下：

1） 生成SQL查询语句之前，对用户输入的参数(用户名和密码)进行过滤；

2）先查询用户名再进行密码验证。

2.2绕过验证直接进入设计页面漏洞每个敏感的页面必须进行身份验证，如果用户知道了一个设计页面（如用ASP）的路径和文件名，而这个页面又没有验证的程序，则用户可直接输入这个设计页面的文件名，即绕过了登陆验证，直接进入了指定的页面。。网站设计者除了登陆验证外还必须在有关页面进行身份验证，才能提高站点的安全指数。。

2.3桌面数据库被下载漏洞在ASP＋Access应用系统中，如果获得Access数据库的存储路径和数据库名，则该数据库可以被下载到本地。。如对于网上图书馆的Access数据库，一般命名为Library.mdb等，而存储的路径一般为“URL/database”或放在根目录（“URL/”）下。这样，只要在浏览器地址栏中输入地址 “URL/database/Library.mdb”，就可以轻易地把Library.mdb下载到本地的机器中。

在ASP程序设计中，应尽量使用ODBC数据源，不直把数据库名直接写在程序中，否则数据库名将随ASP源代码的失密而一同失密，例如：

DBPath = Server.MapPath(“./akkjj16t/kjhgb661/acd/avccx55/faq19jhsvzbal.mdb ”)

conn.Open “driver={Microsoft Access Driver (＊.mdb)};dbq=” ＆ DBPath

可见，ASP源代码失密后，数据库也很容易被下载。如果使用ODBC数据源，则不会存在 conn.open

“ODBC－DSN名”。2.4 源代码泄露漏洞为有效防止源代码泄露，可以对页面代码进行加密。

一般有以下两种方法对ASP页面进行加密：

1) 使用组件技术将编程逻辑封装入DLL中；

2) 使用微软的Script Encoder对ASP页面进行加密。

使用组件技术存在的主要问题是每段代码均需组件化，操作比较烦琐，工作量较大，而使用Script Encoder对ASP页面进行加密，操作简单、收效良好。Script Encoder方法具有以下优点：

1）HTML具有很好的可编辑性，Script Encoder只加密在HTML页面中嵌入的ASP

代码，其他部分仍保持不变，故仍可以使用FrontPage或Dreamweaver等常用网页编辑工具对HTML部分进行修改、完善，但不能对ASP加密部分进行修改，否则将导致文件失效；

2） 作较简单，只要掌握几个命令行参数即可，Script Encoder的运行程序是

screnc.exe，其使用方法如下：screnc [/s] [/f] [/xl] [/l defLanguage ] [/e:defExtension] inputfileoutputfile，其中 s为屏蔽屏幕输出；f为指定输出文件是否覆盖同名输入文件；xl指是否在.asp文件的顶部添加@Language指令；l为defLanguag指定缺省的脚本语言；e为defExtension 指定待加密文件的扩展名；

3） 用Script Encoder可以对当前目录中所有的ASP文件进行加密，并把加密

后的文件统一输出到相应的目录中，例如：screnc ＊.asp c: emp；

4） cript Encoder是免费软件，该加密软件可以从微软网站

http://msdn.microsoft.com/scripting/vbscript/download/x86/sce10en.exe下载，下载后，运行安装即可，利用Session对象进行注册验证。

2.4文件上传漏洞许多网站如论坛、同学录、邮件服务系统都提供了文件上传的功能，但设计者在设计用户提交参数缺少充分过滤，以至远程攻击者利用这个漏洞可以上传恶意文件，甚至造成系统数据库破坏或以Web权限在系统上执行任意命令。例如iXmail包含的“ixmail_attach.php”脚本对用户提交的附件缺少充分过滤，攻击者可以通过操作URL参数上传恶意文件(如php文件)到服务器上，虽然文件放置在Web目录下的/tmp目录中，但可以远程访问，因此攻击者可能以Web进程权限在系统上执行任意命令，故在文件上传之前，加入文件类型判断模块，并进行过滤。如要求用户上传图片时，对上传的文件格式进行判断，如果是指定的图片文件格式(如JPG、GIF)允许上传，其他格式诸如*.EXE,*.PHP，*.ASP，*.JSP等可执行或可解释的程序文件就禁止上传。

3 结论本文介绍了网站建设中网页设计容易出现的漏洞和解决方法，安全概念要贯穿在整个网页设计过程中，只有随时考虑安全的问题，网站才会有更强的安全性。

参考文献[1] 希利尔 S著. Active Server Pages编程指南[M]. 董启雄译. 北京: 宇航出版社, 1998.

[2] 沈文智. Microsoft IIS 网页技术[M]. 北京: 人民邮电出版社,1998.

[3] 张小斌, 严望佳. 黑客分析与防范技术[M].北京: 清华大学出版社, 1999

网页安全论文范文第3篇

注册“随随”护照

要想使用上述功能，必须先申请一个“随随”护照。打开“随随”主页面：省略，点击“注册Maikr”按钮，在打开的页面中输入相关注册信息，成功注册后将会得到一个“随随”护照，同时也会免费得到400MB左右的免费空间，可以用来保存个人日记、图片、视频、音乐等。

布置自己的个性页面

当成功注册一个账号后，就立即拥有一个现成的“个人主页”了（图1）。只是这个现成的网页没有添加任何内容，下面还需要我们自己为其添砖加瓦。上面能看到的每个小方块都代表一个功能模块，我们可以用鼠标随意拖动这个模块并放置到该页面的任何一个位置。每个模块的编辑操作都不相同，但都非常简单。例如，在Blog模块中可以通过点击“添加新文章”链接向Blog中添加新文章。添加图片、视频、音频等都按照类似的方法即可。另外，如果嫌当前页面上默认的组件数目少，可以通过点击页面左上角的“模块＋”按钮来添加更多的模块。

当然，这么轻松地拥有了一个免费而漂亮的个人主页，如何让别人访问到这个页面呢？其实，只要你注册了“随随”通行证，就有一个对应的个人主页地址了，例如你以“abc”注册，对应的个人主页地址便是abc.省略/，直接在浏览器中访问这个地址便可快速打开abc这个用户的个人主页了。

随处收藏自己的最爱

细心的读者朋友们可能已经发现了，在每个账户对应的个人主页页面上都有一个“我的收藏”项，这个是用来做什么的呢？当用户在网上冲浪时看到好的内容、图片时，可以通过它快速收藏。使用此功能需要先下载安装“随随”的客户端组件，安装完成后可以在浏览器右键菜单中看到“！Maikr随随”项，点击后开启相应的工作工具栏（图2）。点击上面的“收藏”按钮便可收藏当前页面，收藏后的项目将会自动显示在主页中的“我的收藏”列表中。而大家看到的“ā照”是指去除当前页面上的HTML元素，只单独显示相应的文本，适合于低网速环境下使用。另外，还有一个功能比较特别，就是“评论”功能，通过它可以在当前页面上添加评论，只要用鼠标点击任何一个点便会在此添加一个评论点，再用鼠标点击它便会弹出添加评论消息的窗口，然后将相应的评论信息输入进去即可（效果见图2）。以后想查看收藏的页面，只要在自己的“随随”主页上点击“我的收藏”中的对应项目就可以了。

除了上面的这么多玩法外，利用“随随”还可以与其他网友聊天，而“随随”的开发者们还在开发更多的其他功能。随着时间推移，我们将会在“随随”中享受到更多的Web2.0式的服务，使我们网上冲浪更加“随”心所欲！

网页安全论文范文第4篇

1、360安全卫士、360杀毒、360木马防火墙、360系统急救箱、360帐号保险箱等360系列产品共截获各类新增木马病毒样本1.01亿个，上半年平均每天新增55.5万个，相比去年同期数量增长了3.5倍。究其原因，大批不良网址导航站收买木马渠道进行推广，造成木马持续泛滥的情况。今年1月至7月，360安全中心日均截获的新增木马病毒样本量高达150万；

2、平均每天约有263万中国网民电脑感染木马病毒和恶意软件，其中超过70%是由不良网址导航站的流氓推广行为造成的，如IE浏览器首页被篡改、电脑桌面生成“删不掉”的广告图标；

3、木马病毒主要传播途径依次为网络下载、USB设备感染、挂马网页攻击。相比去年同期，挂马网页攻击数量大幅缩水至2009年的1/9，每天约有130万人次受到挂马网页攻击，超过80%的挂马网页一旦检测到访问者电脑安装了360安全卫士，会主动放弃攻击。不良下载站的恶意下载链接则一跃成为木马病毒感染网民电脑的最主要方式；

4、全球最大的云安全体系——360云安全体系极大地压缩了木马的生存空间，并大幅缩短了其存活周期，于是木马开始“进化”其攻击手段：第一，对抗能力更强，破坏安全软件、屏蔽云安全服务器；第二，转向攻击流行应用软件，利用寄生、感染、改装等方式，木马把输入法、浏览器、聊天工具、下载工具等热门应用软件当成了逃避查杀、隐蔽启动的“保护伞”，其威胁程度已超过Windows操作系统漏洞攻击；

5、钓鱼、欺诈成为仅次于木马的网络安全威胁。今年上半年，钓鱼网站数量平均每月新增11630家，360安全卫士、360安全浏览器、360木马防火墙、360网盾等产品平均每天为用户拦截约500万次钓鱼、欺诈网页访问，而这两项数据仍处于高速增长状态，目前每月新增钓鱼网站数量已超过4万家。

6、在“流氓网站”产业链中，不良网址导航站为木马团伙输送金钱，作为开发和制作木马的经济后盾；不良下载站为木马传播提供了主要通道；钓鱼欺诈网站则是通过不良网址导航站上投放广告、搜索引擎等方式从事非法诈骗活动，直接骗取受害网民的钱财。

据360安全中心上半年统计，目前国内共计有上百家不良网址导航站通过木马渠道进行推广，累计影响上亿网民电脑，代表着年产值超过30亿的灰色经济利益；每天活跃的钓鱼网站数量在10万家以上，根据其诈骗手段和攻击数量、攻击成功率估算，网络钓鱼给网民和社会带来的直接与间接经济损失超过了120亿元。

目录

一、2010年上半年木马病毒疫情

1、木马病毒的增长趋势

2、网民电脑受木马病毒攻击的情况

3、360查杀木马病毒数量

4、主要木马种类及流行性分析

5、360查杀量最高的木马TOP10

6、木马“进化论”和典型案例

二、木马病毒的传播方式

1、木马传播途径统计

2、遍布“地雷”的不良下载站

3、数码产品普及加剧U盘木马和病毒传播

4、挂马网页攻击缓解

5、重要安全漏洞

三、2010年上半年钓鱼网页统计分析

1、钓鱼网页诈骗手段解析

2、钓鱼网页的类型

3、钓鱼网页的传播方式

4、新增钓鱼网页数量

5、钓鱼网页服务器地域分布

一、2010上半年木马病毒疫情

1、木马病毒的增长趋势2010上半年，360“云安全”系统共截获各类新增木马病毒样本1.01亿个(以新增的恶意程序文件指纹数量计算)，相比去年同期增长了3.5倍。尤其在5月和6月，流氓广告程序带动了新增木马病毒数量大幅上升。

2、网民电脑受木马病毒攻击的情况通过360“云安全”系统的监测数据、国内安全软件普及情况以及木马病毒的传播范围测算，国内平均每天约有263万网民电脑感染木马病毒。

3、360查杀木马病毒数量以清除的恶意程序文件数量计算，360安全卫士和360杀毒在2010年上半年累计为用户查杀了88亿次木马病毒，而去年同期的这项数据为20亿次，增长3.4倍，和木马病毒的新增倍数基本符合(后者相比去年同期增长了3.5倍)。

4、主要木马种类及流行性分析按照木马病毒的流行度统计，以恶意点击器为代表的流氓广告程序、网游盗号木马、QQ盗号木马、远程控制木马(控制“肉鸡”)、木马下载器、恶意脚本程序、伪装文件(文件夹)类U盘病毒是感染量感染量最高的七大类木马病毒。

其中，流氓广告程序是网民最常遇的一类木马，它的主要危害是绑架浏览器首页和桌面图标，强制访问不良网址导航。在网民电脑遇到的各种安全问题中，流氓广告程序所占的比例约为70%。

2010上半年，超过100家大大小小的网址导航站使用了木马渠道进行推广，强制篡改中招用户浏览器首页。此外，大量木马恶意推广淘宝客、网页游戏、在线影院等网赚项目，在电脑桌面制造广告图标，使用技术手段让用户难以删除。

流氓广告程序之所以在2010年数量暴涨，一个重要原因是“小耗子”木马案引发连锁反应。2009年底，警方通过“小耗子”木马案挖出完整木马产业链，有着国内最大“黑客培训基地”之称的黑鹰安全网关闭，大批从事计算机犯罪活动的不法分子入狱。在严打震慑下，很多木马团伙转向法律风险相对较低的流氓广告程序，而不良网址导航站则成为这类木马的经济后盾。

5、360查杀量最高的木马TOP10榜

在2010年上半年十大木马病毒中，排名第一的Win32/Lmir.KB是一类专门劫持dll文件的木马程序，常见于“犇牛”等恶性木马下载器中，360对这类木马的查杀量约为3833万次；排名第二的TR/Hijacker.Gen则是一类对抗安全软件的顽固木马；其它查杀量较高的木马包括了多种篡改IE首页木马和盗号类木马。

6、木马“进化论”和典型案例

在巨大经济利益驱动下，尽管新木马源源不断出现，但是在3亿用户和上万台服务器的360云安全体系下，木马生存空间越来越小，存活周期越来越短。

主要原因在于，360安全卫士和360杀毒的“云查杀引擎”采用了白名单和黑名单相结合的机制。传统杀毒技术是基于病毒库黑名单的防护和查杀，而360云查杀一方面能查杀黑名单中的已知木马病毒，另一方面对系统敏感位置采用了“非白即黑”策略，也就是说，白名单以外的未知程序无法自动运行并产生危害，使用户电脑的安全性得到革命性的提升。

同时，360白名单覆盖了99%以上国内网民常用的操作系统和软件的各个版本，在大幅超越传统杀毒技术查杀能力的情况下，还能有效防范误报误杀。在此背景下，木马技术也悄然发生了一些“进化”：

1)从各个方面破坏安全软件，比如阻止安全软件的安装和运行，暴力关闭安全软件的监控，屏蔽云安全服务器，使用户无法正常使用云查杀功能。

典型案例：“呜呜祖拉”木马下载器。该木马在世界杯期间流行，电脑一旦中招，该木马会自动阻止用户下载安装360安全卫士、360杀毒以及360系统急救箱等专业安全软件，并通过劫持DNS解析的方式屏蔽云安全服务器。

2)攻击流行应用软件。利用寄生、感染、改装等方式，木马把输入法、浏览器、聊天工具、下载工具等流行应用软件当成了逃避查杀、隐蔽启动的“保护伞”，甚至某些安全软件的漏洞也被木马利用，篡改锁定受害网民电脑的浏览器首页。

典型案例：金锁木马。从今年4月份开始，一类名为金锁的木马开始流行，它们利用某安全软件的漏洞，把该软件的Kwssp.dll、kwsui.dll、KSWBC.dll、kswebshield.dll、KSWebShield.exe提取出来，再在配置文件kws.ini中写入了黑客想推广的任意恶意网址，就会让中招用户电脑每天被迫访问这些恶意网址，而且很难修复。

3)MBR感染(感染系统引导区)，格式化硬盘也无法清除。电脑硬盘在分区时会预留一部分空间用来存放一些缓存文件，由于这个空间是隐藏的，杀毒软件无法对此进行扫描，一些木马开始采用Rootkit技术感染这一系统引导区。

典型案例：鬼影/魅影木马。该系列木马通常和“飓风影音”播放器捆绑在一起，通过MBR感染具备了极强的复活能力，能够反复下载盗号木马和流氓广告程序攻击中招电脑。

4)利用数字签名来逃避查杀，相当于有“身份证”的木马。由于大多数杀毒软件会信任带有真实数字签名的文件，一些木马也开始利用数字签名进行掩护。木马使用数字签名有两种情况，一种是盗用正规软件厂商外泄的签名，另一种是专门为作恶而注册签名。

典型案例：2009年底，360安全中心率先截获了首个具有真实数字签名的“执照凶手”木马。进入2010年，这类带有数字签名的木马仍然在不断涌现，例如一个名为“桌面推广助手”的木马下载器，它在运行后会自动下载两个木马程序，并自动下载安装某款浏览器以及某款网络游戏大厅客户端。

新生代木马对安全行业提出了严峻挑战，为此，360安全卫士推出能够全方位、多层次安全防护的“木马防火墙”，在“系统防护”之外新增了“应用软件防护”，同时针对木马的传播途径、攻击手段、感染方式进行全面拦截，并不断强化安全软件的自我保护能力，修复防御弱点，目前已经取得了良好的成效。

二、2010上半年木马病毒的传播方式

1、木马传播途径统计

根据360安全中心监测的情况，2010上半年，木马病毒主要传播途径依次为网络下载、USB设备感染、挂马网页攻击。

网络下载包括不良下载站的恶意下载链接和其它文件共享/传输方式，是目前木马病毒感染网民电脑的最主要方式，比例约为55%。

其次为USB设备感染，主要是移动硬盘、U盘、数码相机、手机存储卡等USB设备和电脑间交叉感染，比例约为30%。

得益于360安全卫士的普及和网民打补丁意识的增强，今年上半年通过挂马网页传播的木马病毒比例仅为10%左右。值得注意的是，黑客已经发现挂马攻击对于360用户徒劳无功，绝大多数挂马网页(超过8成)会自动检测访问者电脑中是否装有360安全卫士，如果是360用户则主动放弃攻击。

2、遍布“地雷”的不良下载站

这是某家知名软件下载站的下载页面。当网友想下载Adobe Photoshop软件时，面前的下载链接让人眼花缭乱，上图中标注了编号为1、2、3、4、5的五个图片按钮，鼠标点哪个钮能下载到Photoshop呢？

答案是：都不能！这五个图片下载按钮全部指向了一个共同的流氓广告程序，也就是近期非常流行的金锁木马。

无论点哪一处，网友以为下载了Photoshop，其实一打开却是金锁木马。它会篡改并锁定中招电脑IE首页为67160网址导航，并在电脑桌面生成恶意广告图标。

为什么下载站敢于如此肆无忌惮地传播流氓广告程序？利益诱惑恐怕是少不了的。另外，流氓广告程序本身也缺乏相应的法律监管，比传播盗号木马等直接盗取帐号和隐私的木马病毒风险小得多。有了大批下载站助纣为虐，这才是广大网民IE首页频繁中招的真实原因。

对于网络下载风险加剧的情况，360全线产品相继完善了防护功能。其中：360杀毒软件支持迅雷、快车等主流下载工具，即时扫描下载文件的安全性，并支持QQ、MSN、阿里旺旺等聊天工具的文件传输扫描；

360安全卫士的“360网盾”模块具备“下载云安全”功能，可以快速检测鉴定IE、迅雷等下载的文件是否安全，并作出相应的操作建议；

360安全浏览器3.5Beta版自身也推出了能够检测下载链接的防护功能，在文件下载之前对危险下载行为进行预警。

3、数码产品普及加剧U盘木马和病毒传播

手机、数码相机、移动硬盘等数码产品普及，手机和电脑间、数码相机和电脑间少不了传输文件，比如音乐、照片等等；移动硬盘则被用来拷贝影视剧视频、大型游戏；对很多办公族和学生族来说，在打印店打印资料时也不得不用到U盘。

在日益频繁的应用中，USB移动存储设备成了仅次于网络下载的第二大木马病毒传播途径，如果有一台电脑或是移动存储带有木马病毒，就会在接入USB设备时发生“接触”感染，继而就是大面积的交叉感染。目前U盘病毒主要以两种方式传播：

第一种是伪装U盘上的正当文件或者文件夹，把真正的用户资料隐藏起来，再诱使用户打开病毒的程序或是脚本；第二种则是利用系统“自动播放”功能的autorun类U盘病毒，但由于很多安全软件会提示用户关闭“自动播放”，这类U盘病毒已经不再流行。

所幸的是，360杀毒软件针对U盘病毒的传播方式独创了“U盘病毒监控技术”，只允许经过安全认证的可信程序在USB设备中运行，其它陌生程序和脚本则一律禁止运行。因此即便是最新病毒，也无法通过USB设备感染360杀毒用户的电脑。

4、挂马网页攻击缓解

2010上半年，每天约130万人次受到挂马网页攻击，仅为去年同期的1/9，黑客通过挂马网页传播木马的势头已经大为减缓，但并不排除在新的高危0day漏洞爆发时，挂马网页会重新成为木马传播的主流途径。

黑客在使用挂马网页传播木马时，挂马网页是木马攻击网民电脑的前线，通常是黑客通过入侵、收买等方式挂马，一般是人气较高的网站；木马网站则是黑客用于存放和部署木马下载、更新的网络站点。

也就是说，如果一台电脑既没有打补丁修复漏洞，也没有安装360安全卫士进行防护，当它访问挂马网页时，电脑就会自动下载运行黑客存在木马网站上的木马。

360安全中心监测到：今年1至6月间，国内共有80.53万个网站存在挂马情况，恶意链接最多的不再是.cn域名，而是.com域名，这和国家有关部门对CN域名加大管理力度有关。此外，gov.cn和edu.cn的安全情况不容乐观，各有2千多个网站被挂马。

从挂马网页的地域分布来看，北京、江苏、广东、上海、浙江、福建是比例最高的几个地区。同期，360安全中心共捕获到18364个木马网站。木马网站使用最多的是org域名，比例为49.10%，如3322.org、8866.org等二级免费域名是木马网站经常使用的。今年上半年，木马网站也转向了更多其他域名上，比如fr、co、cc等等。

5、重要安全漏洞

IE极光漏洞：2010年1月，Google等高科技公司被曝遭到黑客攻击，始作俑者就是IE极光漏洞。1月17日，国内互联网出现攻击该漏洞的挂马网站；1月18日，360紧急提供临时补丁；1月22日，微软正式补丁修复了漏洞。

HCP协议漏洞：2010年3月，微软证实IE浏览器存在一个“F1按键漏洞”，该漏洞需要网民主动按下F1键才能触发攻击，因此互联网上仅出现了少量针对该漏洞的零星攻击，360通过升级拦截规则进行防御。4月，微软正式补丁修复了该漏洞。

IE内存破坏漏洞：2010年3月，IE浏览器再次曝出“内存破坏”0day漏洞，并成为今年国内挂马网站最热衷攻击的对象，而360网盾无需升级即可拦截该漏洞攻击。在漏洞曝光20天之后，微软于3月31日修复了IE内存破坏漏洞。

HCP协议漏洞：2010年6月，微软证实Windows XP系统存在HCP协议漏洞，利用该漏洞，挂马网页的恶意脚本会自动打开Windows“帮助和支持中心”，从而下载并运行木马，360再度临时补丁屏蔽了该漏洞攻击。根据微软公布的数据，中国网民受该漏洞影响极小。在漏洞曝出后一个月，微软于7月中旬补丁进行修复。

三、2010年上半年钓鱼网站统计分析

钓鱼欺诈成为仅次于木马的严重危害。今年上半年，钓鱼网站数量平均每月新增11630家，360平均每天为用户拦截约500万次钓鱼欺诈网页访问，而这两项数据仍处于高速增长状态，目前每月新增钓鱼网站数量已超过4万家。

1、钓鱼网站诈骗手段解析

以前，钓鱼网站就是指一些假冒官方网站页面的网站，比如假冒的银行登录页面、假冒的网络游戏官网等等。这些都是利用人们很熟悉的软件、网站、公司或机构的信息，来构造一个假的页面，等人们在这些网站上输入自己的帐号密码来达到钓鱼的目的。

近年来，随着网络应用的不断丰富，人们开始习惯于在网络上浏览、查找信息、购买商品，于是各种新的钓鱼形式开始不断涌现，而且这些网站也不仅仅是通过模仿官方页面来钓鱼，而更多的涉及虚假信息来达到欺诈的目的。

2010年上半年，360安全中心共截获超过10万个域名涉及钓鱼欺诈，其中虚假中奖、各种预测、股票预测、虚假购物是钓鱼欺诈中最多的类型。钓鱼产业链十分巨大，通过搜索、IM、广告，很容易进行传播，普通网民往往缺乏对钓鱼网站的了解，在交易或追逐金钱利益的过程中往往自投罗网。

更有甚者，一些不法分子用群发短信、语音电话等方式，把很多原本不熟悉互联网的人也拖下水。相对于木马，钓鱼欺诈给网络安全带来的问题更为复杂，商业利益经济利益掺杂其中，也给反钓鱼欺诈带来很多困难。

为此，360安全中心正在不断加大反钓鱼欺诈的力度，通过360安全卫士和360安全浏览器拦截网上的各种钓鱼欺诈信息，保护用户的财产安全。

2、钓鱼网页的类型

(1)各种中奖骗局

这些网站的内容以模仿游戏网站、QQ、CCTV等知名栏目、门户网站等中奖、奖励信息为主，冒充官方活动专区，页面和官方网站极为相似，用来骗取访问者的QQ、游戏账号密码或者是骗中奖者支付领取奖品的相关费用。

(2)各种预测网站

这些网站会利用彩民梦想中大奖的心理，进行各种收费预测，网站上会列出很多预测准确的记录来骗取彩民信任，吸引彩民加入会员，购买所谓专家的预测资料，大部分网站还会打出中国福利的官方字样，甚至还有不少是涉及、方面的网站。彩民如果相信了他们所谓的预测号码、操纵比赛、预测比赛结果的骗局，往往都会损失惨重。

(3)黑马股票的骗局

这些网站会使用知名证券公司的名称，或者干脆使用一些不存在的证券公司名称来构建网站，网站以提供保证高额利润为诱饵，向股民推荐涨停股、黑马股，向被骗股民收取高额会员费、保密费，甚至是直接让股民投资给他们做炒股。受骗股民往往会损失几万或数十万。

(4)虚假购物网站

这类网站会在网民购物时出现在买家或卖家的QQ/旺旺上，买卖双方经常发送各种与商品有关的链接，而钓鱼网站就会掺杂其中，页面通常会模仿淘宝、拍拍、支付宝、财付通等与购物有关的网站，骗取账号密码或钱财。另外还有一些用极低价格来吸引顾客的购物网站，钻石、手表、手机、充值卡，也是涉及购物欺诈的一种。

(5)仿冒官方网站登录

无论我们在网络上做什么，最常遇到的就是需要输入注册账号，输入用户名、密码。各种模仿官方网站登录的钓鱼，仿真度非常高，和官方网站几乎是一模一样，IM、网络游戏、邮箱、购物网站、银行，几乎只要是可以登录的网站，就有相应的钓鱼网站。

(6)仿冒的医疗、药品相关网站

近年来，销售假药、劣质药品、假冒医疗机构的现象也时有发生，这类网站也是钓鱼欺诈的重要类型。这些网站的危害不止是骗人钱财，更重要的是会影响人的健康。

(7)假冒的下载站

这类假冒的下载站，往往有着和官方下载页面相似的页面，但是却提供含有木马的下载链接，这属于用钓鱼的方式来推广木马。

3、钓鱼网页的传播方式

(1)通过QQ、MSN、旺旺等IM客户端，发送钓鱼链接，链接往往具有迷惑性，会用与官方网站域名很相似的链接

(2)在论坛、博客、微博、问答类网站等链接，往往会用“我知道一个特别好的网站”等等的推荐方式。

(3)通过邮件，假冒管理员来发送钓鱼网站。

(4)在网站上制作假的仿冒QQ、360等知名软件的弹窗，吸引用户进入钓鱼网站。

(5)在搜索引擎或一些专给钓鱼网站做广告的网站中投放广告，在用户搜索某些关键词时，容易进入广告链接。

4、新增钓鱼网页数量

从360安全中心对钓鱼网站的拦截情况来看，在2009年，360每个月发现新增钓鱼网站数量大约是2000-3000个；到了2010年，这个数字暴涨了10倍。虽然很多钓鱼网站的生存周期很短，甚至几天就会废弃掉，但钓鱼网站的整体数量还是超过了10万家。今年上半年，360安全卫士平均每天拦截钓鱼网站访问人次达到了4747668人次，根据钓鱼网站暴增的趋势，这个数据在年底必然会突破500万次。

网页安全论文范文第5篇

目前,广播网站还在不断增加中,而且在网络功能方面日趋完善,成为传统广播电台的有益补充。本文就目前江西省已建成的南昌、赣州、上饶、鹰潭四家电台网站和吉安电台井冈之声网站进行综合分析,归纳其发展的现状和不足,尝试探讨电台网站的发展方向,旨在引起新闻界同行对广播网站的重视和研究,以期能把市级广播电台的“网络蛋糕”做大,为市级电台发展寻求新的活力和增长点。

特色:栏目丰富精彩

首页是网站访问量最多的地方,也是一个网站能否吸引受众的关键所在。纵观江西这五家网站,除了吉安台井冈之声、鹰潭台简洁专业外,其他三家网站的栏目都较为丰富精彩,如南昌台设新闻、时尚、旅游、美食、交友、求职、购销等栏目;赣州台网站除了各个频道的文字新闻、在线直播,还有播客・博客、听友之家、精品回放、影视频道、趣味闪客、交通、天气、日历、航班、词典等服务内容,俨然是一个小型的门户网站,成为当地全面、综合资讯与服务的提供者。

南昌台、上饶台、赣州台网站非常重视标识(logo)的作用,广播网站的标识都非常引人注目,其中有电台的台标,也有网站的专用标识。大部分市级广播网站的首页,基本上是一个地方的小型门户网站,总的都能做到编排精心、内容丰富、栏目精彩。一是栏目的安排上科学有序,在版面安排上往往突出信息的海量,从要闻到深度报道,从生活小常识、聊天室到BBS,内容丰富,包罗万象。二是普遍重视对本台的宣传,网站首页上对本台节目和主持人的介绍导航占了不少空间,有的还移动播出主持人的图片,点击后可进入主持人页面。如南昌台网站主页上有“主持人风采”的图文栏目,而在频率介绍的栏目里面也能进入主持人介绍页面;上饶台网站在主页上方就设立主持风采栏目,不仅有“本期推荐”的明星主持,其他主持名字也以循环滚动形式出现。三是重视音频收听。江西市级电台网站首页上,展示电台各套节目的音频播放器格外醒目。如南昌台“直播室”放在首页醒目的右上角,分别是新闻、交通、音乐、财富四个频道的直播板块,而节目介绍、主持人、广告价格紧贴下方,非常实用。南昌台网站还将精品节目“声音”放在首页下方,便于网友随时收听回放;吉安台设有“DJ风采”,同样引人注目。上述市级广播网站广泛运用动态画面和游动字幕,以绚丽的色彩、简洁的单元、醒目的照片等,给受众以视觉震撼力,吸引受众眼球。

亮点:互动意识提高

从栏目设置看,江西现有的市级广播网站,普遍重视加强受众与网站之间的互动与沟通。电台网络互动的手段方法多种多样,如BBS电子论坛、网上调查、网络聊天室、留言板新闻跟贴、E-mail方式等的节目交流等。比较典型的有南昌台网站的“南广论坛”“博客家园”“访客留言”等栏目;吉安台井冈之声在首页设了“收听调查”;赣州台网站设立“用稿统计”栏目,让电台与通讯员互动;上饶台网站的首页上方有一个醒目的“我写祝语”的“听众留言”栏目,人气特别旺,经常有在外地的上饶人留言,说明分布在全国各地的上饶乡亲对上饶电台的关注,网上收听率很高。上饶台网站还设了一个“听友家园”的栏目,让天南海北的上饶人在这里发帖。里面的内容有建言献策、娱乐人生、民生话题等,已成为上饶人的地方论坛,这是网站最为成功的闪光点之一。

市级电台网站通过网上论坛的建立,听取听众对节目的反馈意见和看法,以便改进节目、提高质量。网站建立后,使用互联网技术,实现了上网听众对节目提出要求和看法,对节目质量、收听率、受欢迎度等进行评定和投票,以促进主持人与听众的双向互动。同时听众也可以通过网络将一些信息提供给电台,使电台的节目更贴近百姓生活,更具有可听性。

不足:呼唤新闻立站

新闻栏目无疑是市级广播网站的主打。市级电台网站报道形式以文字和在线收听为主,有的还推出在线专访、热点追踪和现场直播等报道方式。报道内容突出本市新闻,兼顾本省和国内。江西市级广播网站在首页上设立新闻栏目的有南昌台网站“要闻”、上饶台网站的“上饶新闻联播”和“国内、国际新闻”、吉安台井冈之声网站的“新闻”和赣州台网站的“本台新闻”“新闻广播”“赣南新闻”“国内新闻”“国际新闻”等。值得一提的是赣州台网站的“新闻广播”,实际上是带有舆论监督性质的广播新闻调查,如6月初在栏目上的新闻就有医生收红包、钢筋安全质量、技师和退伍兵工资、液化气、经济适用房、公益林补偿、农村电压等问题的采访调查,这些都是深受听众和网友欢迎的新闻。

市级电台网站的新闻栏目,成为各市受众了解全市新闻的窗口。但是总体来说,市级电台网站新闻内容单薄、信息量少、形式苍白、缺乏厚度。互联网最大的优点在于时效性强、容量大。但浏览各地市级电台网站,其首页所提供的新闻信息大都只有一二十条左右,新闻量和时效性均不足,更新速度偏慢,自采新闻量不足,电台网站还没有完全摆脱介绍性网站的框架。

市级电台网站的方向应该重新定位网站,新闻立台,内容为王,将市级广播网站打造成当地的“主流网站”。广播网站有多媒体的传播优势,网站不仅有报纸媒体的文字、图片,也有广播媒体的声音。作为地方新闻媒体,电备的新闻采编机制,与政府机构的紧密联系和广泛的通讯员基础,是网站以新闻立足的信息资源优势和保障。电台网站完全可以充分发挥这些采编优势,以来自第一手最全面、最详细、最鲜活的新闻报道和权威的信息,与电台同步报道发生在网民身边的新闻。电台记者采写新闻的同时,还可以兼顾新闻摄影,给尽可能多的节目配上有视觉冲击力的图片,使新闻图文并茂。因此,电台网站应当确立内容为王的理念,充分利用电台的新闻采编网络优势,加大网站的新闻信息容量,加快新闻的更新速度,抢占地方小型综合门户网站高地。

在搞好地方特色新闻的同时,应尽快做到所有栏目、电台的所属部门和公司资料全部上网,不断丰富网站的内容。电台应加大网络硬件投入,成立专门的部门负责网站的经营和协调工作,同时还要培养一批懂得新闻传播规律的网络管理经营人员及网页制作维护等专业技术人员,充分利用互联网的互动优势,用网络互动性来弥补电台单向传播不足,加强与听众的双向交流与沟通。通过电子信箱、聊天室、BBS论坛、网上收视调查等多种形式,接受听众对节目的信息反馈,扩大信息来源,让名主持、名记者、栏目主创人员与听众在网上直接对话。名牌栏目可设制专门的网页,让听众提出题材建议,评说热点话题,必然会大大提升网站的号召力和影响力。