⑴ 电子商务安全隐患有哪些
恩，都对吧，应该就是这些了。以下是对目前国内电子商务站点普遍存在的几个严重的安全问题的一些分析。
1、 客户端数据的完整性和有效性检查
1.1、特殊字符的过滤
在 W3C 的 WWW Security FAQ 中关于CGI安全编程一节里列出了建议过滤的字符： &;`'\"|*?~<>^()[]{}$\n\r
这些字符由于在不同的系统或运行环境中会具有特殊意义，如变量定义/赋值/取值、非显示字符、运行外部程序等，而被列为危险字符。W3C组织强烈建议完全过滤这些特殊字符。但在许多编程语言、开发软件工具、数据库甚至操作系统中遗漏其中某些特殊字符的情况时常出现，从而导致出现带有普遍性的安全问题。1.1.1、CGI和Script编程语言的问题
在几种国内常见的WEB编程语言中，ASP和Cold Fusion 脚本语言对特殊字符的过滤机制不够完善，例如没有对单引号做任何处理等。Perl和php对特殊字符的过滤则较为严密，如忽略或加上“\”（取消特殊字符含义）处理。C语言编写的cgi程序对特殊字符的过滤完全依赖于程序员的知识和技术，因此也可能存在安全问题。
1.1.2、Microsoft ASP脚本
普遍存在的问题是程序员在编写ASP脚本时,缺少或没有对客户端输入的数据/变量进行严格的合法性分析。无意或有意输入的特殊字符可能由于其特殊含义改变了脚本程序，从而使脚本运行出错或执行非法操作。例如，当脚本程序需要进行数据库操作时，恶意用户可以利用嵌入特殊字符来突破脚本程序原先的限制。
因此,如果攻击者输入某些特定sql语句,可能造成数据库资料丢失/泄漏/甚至威胁整个站点的安全。比如攻击者可以任意创建或者删除表（如果可以猜测出已存在的表名），清除或者更改数据库数据。攻击者也可能通过执行一些储存过程函数,将sql语句的输出结果通过电子邮件发送给自己，或者执行系统命令。
1.1.3、PHP和Perl
虽然提供了加上”\”（取消特殊字符含义）处理的手段，但是处理一些数据库时依然可以被改写。（我们本地的测试证实了这情况。）请阅读下面关于数据库问题的分析。对于MySQL则没有问题，\'不会与前面的单引号封闭，而当作一个合法的字符处理。针对oracle和informix等数据库暂时未进行相关测试。
另外，对于PHP或者Perl语言，很多程序对于数字类型的输入变量，没有加单引号予以保护，攻击者就有可能在这种变量中加入额外的SQL语句，来攻击数据库或者获得非法控制权限。1.2、数据库问题
不同的数据库对安全机制的不同认识和实现方法，使它们的安全性也有所不同。最常见的问题是利用数据库对某些字符的不正确解释，改写被执行的SQL语句，从而非法获得访问权限。例如，Microsoft SQL Server和Sybase对 \'当作了两个不同字符，所以仅仅在程序中加上”\”仍然可能通过一些特殊手段改写 SQL语句突破数据库的安全防线。Microsoft SQL Server也将”—“作为注释符号，这个符号以后的SQL语句均被忽略，攻击者可能利用这个来屏蔽掉某些用来认证的SQL语句(例如口令验证)，获得对合法用户帐号的控制权。MySQL则将\'作为一个可操作的正常字符，不存在利用\'改写的可能。其它数据库如Oracle、Informix和MiniSQL等也必须注意防止各种改写SQL语句的可能。（注：另外，迄今为止，各种数据库都或多或少地被发现存在不同程度上的安全漏洞。如Microsoft SQL拒绝服务漏洞，MySQL GRANT权限可改变任意用户口令的漏洞，MySQL 远程绕过口令限制的漏洞，MiniSQL远程缓冲区溢出漏洞，Oracle Web Listener 非授权访问漏洞，Oracle dbsnmp符号连接漏洞，Sybase PowerDynamo目录遍历漏洞，等等。由于数据库数据资料是电子商务网站的最重要部份，关系到电子商务网站的生死存亡，因此修补各种安全漏洞，保证数据库免受各种攻击，是绝对必要的！）
2、 Cookie或用户身份的常用认证问题
对于一个网站会员而言，经常存在需要一次注册，多次认证的问题，一般采用手段为cookie或input type=hidden来传递认证参数。这里面有几点隐患：
I. 所携带内容必须完整包含帐号密码，或类似的完整安全信息，如果只携带帐号信息或用某种权限标志来认证，极容易造成非法入侵，我们检测了一些电子商务网站，很多都有此类安全隐患。例如某站点中的会员更新页面中携带的认证信息是两个，用户名和Uid(均为明文传送)已知Uid对于每个会员是唯一的。由于我们只需要知道对方的帐号和Uid就可以更改对方信息（不需要知道密码！），只要攻击者知道Uid（攻击者可以通过暴力猜测的方法来得到Uid，有时候站点本身也会泄露用户的Uid,例如在论坛等处）那么，攻击者就可以通过遍历攻击完成对任意一个帐号的信息更改。
II. 必须所有需要权限操作的页面都必须执行认证判断的操作。如果任何一页没有进行这种认证判断，都有可能给攻击者以恶意入侵的机会。
III. 很多网站为了方便，将用户名以及口令信息储存在Cookie中，有的甚至以明文方式保存口令。如果攻击者可以访问到用户的主机，就可能通过保存的Cookie文件得到用户名和口令。
3、 大量数据查询导致拒绝服务
许多网站对用户输入内容的判断在前台，用JavaScript判断，如果用户绕过前台判断，就能对数据库进行全查询，如果数据库比较庞大，会耗费大量系统资源，如果同时进行大量的这种查询操作，就会有Denial of Service（DoS —— 拒绝服务）同样的效果。
解决方法：
1、客户端数据完整性和有效性检查的解决办法
根据目前国内电子商务网站普遍存在的安全问题，主要的原因是未对某些特殊字符——例如单引号（’）进行过滤，或过滤机制不够完善。因此较为根本的解决方法是加强过滤机制，对用户输入数据进行全面的检查。以对ASP + Microsoft SQL Server类型的网站危害比较大的单引号（’）为例。目前可以肯定的是仅仅通过加上”\”或双引号处理是不健全的，必须杜绝单引号在处理程序的SQL语句中出现。I. 对于从客户端接收的数据变量应该用"’"(单引号)来引用；
II. 对用户输入的所有数据进行合法性检查（尽可能放在后台校验），包括数据长度和数据内容，将其中的特殊意义字符替换或不予往下执行。例如，将"’"替换成"’’" (两个单引号)号或用双字节中文单引号替换；而对于数字型变量，要检查输入的数据是否全为数字。
III. 对象数据库不使用系统默认的dbo用户。并尽量减少新增用户的权限；以ASP为例，具体的实现可以通过函数Replace函数来实现，如：<%
username=Replace(trim(Request.Form(“username”)),”’”,”’”)
password=Replace(trim(Request.Form(“password”)) ,”’”,”’”)
%>
以上例子将变量username与password中的字符”’”(单引号)替换成双字节中文单引号。如希望用户能使用单字节单引号”’”，可参考使用如下函数：
<%
function CheckStr(str)
dim tstr,l,i,ch
l=len(str)
for i=1 to l
ch=mid(str,i,1)
if ch="’" then
tstr=tstr+"’"
end if
tstr=tstr+ch
next
CheckStr=tstr
end function
%>该函数将需要校验的数据中的单字节单引号后添加了"’"，这样，送入SQL中的"’"就变成了"’’"，当输出该字段数据时，该项内容中的"’’"输出为"’"。对于其他的CGI编程语言，可以参照上述方法的思路进行处理。2、 Cookie或用户身份的常用认证问题的解决办法
由于session （会话）机制主要由服务器控制，比利用cookie传递认证参数更为安全可靠，因此可使用session会话取代cookie认证。如果必须使用Cookie传递参数，必须将参数内容进行加密，并正确设置Cookie的有效时间。3、 大量数据查询导致拒绝服务的解决办法
为了安全起见，应该将可能导致出现这种拒绝服务攻击的Javascript移植到由服务器端执行，防止客户端向服务器提交过量的数据库操作。4、 若对本次安全公告有不明之处，请与我们联系获得进一步的帮助。
鉴于此漏洞的严重性，我们将向国内站点提供解决这个安全问题的免费技术支持
⑵ 当下中国电子商务法规的漏洞有哪些
电子商务的出现和发展推动了人类社会经济的迅速发展，但由于电子商务的回发展具有一定的超前答性，目前许多制度、法律还不能满足电子商务的要求。
电子商务引起消费者权益保护的法律问题
1. 网上广告的法律问题
网络广告就是指在互联网的站点上发布的以数字代码为载体的各种经营性广告。与传统方式的广告相比，网上广告具有互动性、快速反应、适用便利、分类鲜明等特点，同时，网上广告还具有一些传统广告所没有的优势，比如说形式新颖、变化快速、锁定族群、大量传送等。近年来，随着计算机技术与互联网的不断发展，使得网络广告已经成长为广告中的一种新生力量。网络广告作为第四媒体下的产物具有以下基本特征：一、独特的表现性，它是利用数字技术制作的；二、可链接性，只要网络用户点击被链接的网页，就一定会看到广告，这是任何传统广告无法相比的；三、强制性，难以拒绝被人为地塞进电子信箱中或打开网站的界面即跳出映入眼帘。比如说，网吧里打开电脑映入眼前的就是一些游戏画面，这都是属于网络广告的强制性特征。
⑶ 电子商务中存在的安全隐患有哪些
1.电子商务面临的网络系统安全问题
电子商务系统是依赖网络实现的商务系统，需要利用Internet基础设施和标准，所以构成电子商务安全框架的底层是网络服务层，它提供信息传送的载体和用户接入的手段，是各种电子商务应用系统的基础，为电子商务系统提供了基本、灵活的网络服务。
电子商务网络系统安全问题包括以下几个方面:
(1)网络部件的不安全因素。
(2)软件不安全因素。
(3)工作人员的不安全因素。
(4)自然环境因素。
2.电子商务面临的电子支付系统安全问题
众所周知，基于Internet平台的电子商务支付系统由于涉及到客户、商家、银行及认证部门等多方机构，以及它们之间可能的资金划拨，所以客户和商家在进行网上交易时必须充分考虑其系统的安全。
目前网上支付中面临的主要安全问题有以下几方面:
(1)支付账号和密码等隐私支付信息在网络传送过程中被窃取或盗用。
(2)支付金额被更改。
(3)不能有效验证收款人的身份。
3.电子商务面临的认证系统安全问题
1.信息泄漏
在电子商务中表现为商业机密的泄漏,主要包括两个方面:交易双方进行交易的内容被第
三方窃取；交易一方提供给另一方使用的文件被第三方非法使用。如信用卡的账号和用户名被人获悉，就可能被盗用。
2.篡改
在电子商务中表现为商业信息的真实性和完整性的问题。电子的交易信息在网络上传输的过程中，可能被他人非法修改、删除或重改,这样就使信息失去了真实性和完整性。假如两公司签订了一份由一公司向另一公司供应原料的合同，若赶上原料价格上涨，供货方公司篡改价格将使自己大幅受益，而采购公司将蒙受损失。
3.身份识别
在网络交易中如果不进行身份识别,第三方就有可能假冒交易一方的身份,以破坏交易、破坏被假冒一方的信誉或盗取被假冒一方的交易成果等,进行身份识别后,交易双方就可防止相互猜疑的情况。
4.蓄意否认事实
由于商情的千变万化，商务合同一旦签订就不能被否认，否则必然会损害一方的利益。因此，电子商务就提出了相应的安全控制要求。
(1)电子商务中面临的法律安全问题。随着国际信息化、网络化进化的不断发展，在电子商务领域利用计算机网络进行犯罪的案件与日俱增，其犯罪的花样和手段不断翻新。
(2)电子合同中的法律问题。电子商务合同的订立是在不同地点的计算机系统之间完成的。许多国家的法律要求必须有书面形式的交易单证作为证明交易有效和作为交易的证据；否则，这种合同属于无效合同。关于电子合同能否视为书面合同，并取得与书面文件同等的效力，是各国法律尚未解决的问题，与传统书面文件相比，电子文件有一定的不稳定性，一些来自外界的对计算机网络的干扰，都可能造成信息的丢失、损坏、更改。
(3)银行电子化服务的法律问题。银行是电子支付和结算的最终执行者，起着联结买卖双方的纽带作用，但对一些从事电子货币业务的银行来说，犯罪分子伪造电子货币，给银行带来了直接经济损失。
(4)电子资金转账的法律问题。电子资金转账的法律是个特殊问题，但是我国现行的《票据法》并不承认经过数字签名认证的非纸质的电子票据支付和结算方式。并且支付不可撤消，付款人或第三人不能要求撤消已经完成的电子资金转账。
(5)电子商务中的知识产权保护问题。电子商务活动中交易的客体及交易的行为经常涉及传统的知识产权领域。
(6)电子商务中的消费者权益保护问题。电子商务等新的交易方式给消费者权益保护带来各种新的维权问题。随着科技进步，新产品的大量出现，消费知识滞后的矛盾也更加突出。
⑷ 电子商务面临哪些安全问题
支付安全，用户隐私，系统安全，系统漏洞，像前段支付宝就出现过被迫捐款事件，就是影响到一些人的电子商务安全问题。
⑸ 在电商网站开发中有哪些常见漏洞
一、常见PHP网站安全漏洞
对于PHP的漏洞，目前常见的漏洞有五种。分别是Session文件漏洞、SQL注入漏洞、脚本命令执行漏洞、全局变量漏洞和文件漏洞。这里分别对这些漏洞进行简要的介绍。
1、session文件漏洞
Session攻击是黑客最常用到的攻击手段之一。当一个用户访问某一个网站时，为了免客户每进人一个页面都要输人账号和密码，PHP设置了Session和Cookie用于方便用户的使用和访向。
2、SQL注入漏洞
在进行网站开发的时候，程序员由于对用户输人数据缺乏全面判断或者过滤不严导致服务器执行一些恶意信息，比如用户信息查询等。黑客可以根据恶意程序返回的结果获取相应的信息。这就是月行胃的SQL注入漏洞。
3、脚本执行漏洞
脚本执行漏洞常见的原因是由于程序员在开发网站时对用户提交的URL参数过滤较少引起的，用户提交的URL可能包含恶意代码导致跨站脚本攻击。脚本执行漏洞在以前的PHP网站中经常存在，但是随着PHP版本的升级，这些间题已经减少或者不存在了。
4、全局变量漏洞
PHP中的变量在使用的时候不像其他开发语言那样需要事先声明，PHP中的变量可以不经声明就直接使用，使用的时候系统自动创建，而且也不需要对变 量类型进行说明，系统会自动根据上下文环境自动确定变量类型。这种方式可以大大减少程序员编程中出错的概率，使用起来非常的方便。
5、文件漏洞
文件漏洞通常是由于网站开发者在进行网站设计时对外部提供的数据缺乏充分的过滤导致黑客利用其中的漏洞在Web进程上执行相应的命令。
二、PHP常见漏洞的防范措施
1、对于Session漏洞的防范
从前面的分析可以知道，Session攻击最常见的就是会话劫持，也就是黑客通过各种攻击手段获取用户的Session ID，然后利用被攻击用户的身份来登录相应网站。为此，这里可以用以下几种方法进行防范:一是定期更换Session ID，更换Session ID可以用PHP自带函数来实现；二是更换Session名称，通常情况下Session的默认名称是PHPSESSID，这个变量一般是在cookie中保存的，如果更改了它的名称，就可以阻档黑客的部分攻击;三是对透明化的Session ID进行关闭处理，所谓透明化也就是指在http请求没有使用cookies来制定Session id时，Sessioin id使用链接来传递.关闭透明化Session ID可以通过操作PHP.ini文件来实现；四是通过URL传递隐藏参数，这样可以确保即使黑客获取了session数据，但是由于相关参数是隐藏的，它也很难获得Session ID变量值。
2、对SQL注入漏洞的防范
黑客进行SQL注入手段很多，而且灵活多变，但是SQL注人的共同点就是利用输入过滤漏洞。因此，要想从根本上防止SQL注入，根本解决措施就是加强对请求命令尤其是查询请求命令的过滤。具体来说，包括以下几点:一是把过滤性语句进行参数化处理，也就是通过参数化语句实现用户信息的输入而不是直接把用户输入嵌入到语句中。二是在网站开发的时候尽可能少用解释性程序，黑客经常通过这种手段来执行非法命令；三是在网站开发时尽可能避免网站出现bug，否则黑客可能利用这些信息来攻击网站；仅仅通过防御SQL注入还是不够的，另外还要经常使用专业的漏洞扫描工具对网站进行漏洞扫描。
3、对脚本执行漏洞的防范
黑客利用脚本执行漏洞进行攻击的手段是多种多样的，而且是灵活多变的，对此，必须要采用多种防范方法综合的手段，才能有效防止黑客对脚本执行漏洞进行攻击。这里常用的方法方法有以下四种。一是对可执行文件的路径进行预先设定。
4、对全局变量漏洞防范
对于PHP全局变量的漏洞问题，以前的PHP版本存在这样的问题，但是随着PHP版本升级到5.5以后，可以通过对php.ini的设置来实现，设置ruquest_order为GPC。另外在php.ini配置文件中，可以通过对Magic_quotes_runtime进行布尔值设置是否对外部引人的数据中的溢出字符加反斜线。为了确保网站程序在服务器的任何设置状态下都能运行。
5、对文件漏洞的防范
对于PHP文件漏桐可以通过对服务器进行设置和配置来达到防范目的。这里具体的操作如下:一是把PHP代码中的错误提示关闭，这样可以避免黑客通过错误提示获取数据库信息和网页文件物理路径;二是对open_basedir尽心设置，也就是对目录外的文件操作进行禁止处理;这样可以对本地文件或者远程文件起到保护作用，防止它们被攻击，这里还要注意防范Session文件和上载文件的攻击;三是把safe-made设置为开启状态，从而对将要执行的命令进行规范，通过禁止文件上传，可以有效的提高PHP网站的安全系数。
⑹ 电子商务存在什么安全问题
电子商务的复安全问题主要制有以下几点： 1.交易信息内容被篡改 从贸易活动角度上看，交易信息是商务活动中进行贸易活动所形成的一种信息，包括了客户订单信息、订单确认信息、客户个人信息等。这些信息具有一定机密性，在信息传递过程中利用Internet或电话网对这些交易信息进行篡改或截获与恶意破坏。 2.电子支付信息盗取 电子支付信息是在商务活动中进行一种支付方式。支付信息包括客户银行账户、密码、个人银行识别码等信息。这些信息具有绝对机密性，防止非法者盗用信息，伪造假身份进入系统，利用这些信息进行非法活动，是电子商务活动中必须要解决的问题。 3.系统漏洞 非法者借助电子商务系统存在的漏洞进行进入系统，对系统中的数据进行篡改，取消用户订单信息，生成虚假信息等方式。 二、引起电子商务信息不安全的主要因素 电子商务是建立在互联网应用平台上一种商务活动，它在为电子商务提供网络技术保证的同时，也是引起电子商务信息不安全的主要因素，产生这些不安全的主要因素包括： 1.互联网的开发性和共享性 由于电子商务是建立互联网技术平台上的一种商务活动，它继承了互联网的开放性和共享性，打破地域之间的界限
⑺ 电子商务的交易安全隐患有哪些
电子商务是现代信息技术和传统商务活动相结合的产物。它已经逐渐成为人们进行商务活动的新模式，越来越多的人们通过Internet进行商务活动,而安全问题也变得越来越突出。电子商务的载体是互联网，但互联网的共享性、开放性和匿名性却给电子商务安全问题带来了极大的隐患，使得电子商务受到威胁、攻击的可能性大大增加。
1.电子商务安全内涵
电子商务的安全主要是指用户方和提供产品服务方的安全,即双方信息都要保密,用户账号不能被第三方获知,提供产品或服务方的订货和付款信息等商业秘密也不能为竞争对手所知,并且商务活动一旦达成,相关信息未经双方协定,不可更改、不能否认。
2.电子商务的安全需求
电子商务主要依托运作的环境是当前的国际互联网和未来的国际信息基础设施。网络是从事电子商务机构安身立命的工作环境，其安全需求也表现在以下几个方面：
(1)网站的安全维护。
（2)电子商务中安全支付。
（3)商业秘密的安全保护。
（4)电子商务中知识产权 的保护。
电子商务中存在的安全问题
1.电子商务面临的网络系统安全问题
电子商务系统是依赖网络实现的商务系统，需要利用Internet基础设施和标准，所以构成电子商务安全框架的底层是网络服务层，它提供信息传送的载体和用户接入的手段，是各种电子商务应用系统的基础，为电子商务系统提供了基本、灵活的网络服务。电子商务网络系统安全问题包括以下几个方面:（1)网络部件的不安全因素。(2)软件不安全因素。(3)工作人员的不安全因素。(4)自然环境因素。
2.电子商务面临的电子支付系统安全问题
众所周知，基于Internet平台的电子商务支付系统由于涉及到客户、商家、银行 及认证部门等多方机构，以及它们之间可能的资金划拨，所以客户和商家在进行网上交易时必须充分考虑其系统的安全。目前网上支付中面临的主要安全问题有以下几方面:
(1)支付账号和密码等隐私支付信息在网络传送过程中被窃取或盗用。
(2)支付金额被更改。
(3)不能有效验证收款人的身份
此外还存在信息泄漏隐患
在电子商务中表现为商业机密的泄漏,主要包括两个方面:交易双方进行交易的内容被第三方窃取；交易一方提供给另一方使用的文件被第三方非法使用。如信用卡的账号和用户名被人获悉，就可能被盗用。
⑻ 涉及哪些电子商务的安全问题原因和解决办法
电子商务活动中存在着很多安全问题，安全问题已成为电子商务成功与否的版关键。要保证电子商权务的正常发展，必须高度重视电子商务安全问题，应从技术、管理、法制等多方面健全电子商务安全保障体系，让电子商务安全地发展起来。