网站的测试、维护及安全防护

实验报告
实验名称：网站的测试、维护及安全防护实验班级：信管Ｂ1201 学号：123629 姓名：李晓雪
实验仪器：计算机实验地点：1S401
实验目的：
1、掌握网站的测试、维护的方法；
2、掌握网站安全防护的常用方法。

实验要求：
1、要求每位同学独立完成实验内容。

2、按照实验报告要求书写报告并按时上交。

实验内容及过程：
1.网站的测试
性能测试
（1）连接速度测试。

用户连接到电子商务网的速度与上网方式有关，他们或许是电话拨号，或是宽带上网！
（2）负载测试。

负载测试是在某一负载级别下，检测电子商务系统的实际性能。

也就是能允许多少个用户同时在线！可以通过相应的软件在一台客户机上模拟多个用户来测试负载。

（3）压力测试。

压力测试是测试系统的限制和故障恢复能力，也就是测试电子商务系统会不会崩溃！
安全性测试
它需要对网站的安全性（服务器安全，脚本安全），可能有的漏洞测试，攻击性测试，错误性测试。

对电子商务的客户服务器应用程序、数据、服务器、网络、防火墙等进行测试！用相对应的软件进行测试！
基本测试
包括色彩的搭配，连接的正确性，导航的方便和正确，CSS应用的统一性
网站优化测试
好的电子商务网站是看它是否经过搜索引擎优化了，网站的架构、网页的栏目与静态情况等。

客户端兼容性测试
1、平台测试市场上有很多不同的操作系统类型，最常见的有Windows、
Unix、Macintosh、Linux等。

Web应用系统的最终用户究竟使用哪一种操作系统，取决于用户系统的配置。

这样，就可能会发生兼容性问题，同一个应用可能在某些操作系统下能正常运行，但在另外的操作系统下可能会运行失败。

因此，在Web系统发布之前，需要在各种操作系统下对Web系统进行兼容性测试。

2、浏览器测试浏览器是Web客户端最核心的构件，来自不同厂商的浏览
器对Java、JavaScript、ActiveX、plug-ins或不同的HTML规格有不同的支持。

例如，ActiveX是Microsoft的产品，是为Internet Explorer而设计的，JavaScript是Netscape的产品，Java是Sun的产品等等。

另外，框架和层次结构风格在不同的浏览器中也有不同的显示甚至根本不显示不同的浏览器对安全性和Java的设置也不一样。

测试浏览器兼容性的一个方法是创建一个兼容性矩阵。

在这个矩阵中，测试不同厂商、不同版本的浏览器对某些构件和设置的适应性。

2.网站的维护
维护内容：
1、网页文字、图片进行修改以及企业新闻内容每天都能更新，不改动网
站的原来结构和网页模板。

信息应随着公司的发展情况及时予以更新，固定检查周期为一个星期。

2、如需要修改Flash，请提供Flash源文件。

3、域名和虚拟主机空间维护。

4、网站推广维护以及供求信息的发布。

5、包括文章撰写、页面设计、图形设计、广告设计等服务内容，把企
业的现有状况及时地在网站上反映出来，以便让客户和合作伙伴及时的了解到最新动态，管理员也可以及时得到相应的反馈信息，以便做出及时合理的处理。

工作流程：
1、拿到客户资料，核对需求；
2、当天判断工作量后，商定完成时间；
3、当天，签发网站维护工作单
工作开展：
免费为客户提供网站整站优化服务，增加客户的网站搜索引擎亲和度；
使搜索引擎更多的关顾和收录客户网站页面
网站优化：
网站进行META标记优化,W3C标准优化,搜索引擎优化等合理优化操作，确保企业网站的页面布局、结构和内容对于访问者和搜索引擎都更加亲和，使得您的企业网站能够更多的被搜索引擎收录，以及赢得更多潜在消费者的注目和好感。

网站改造：
伴随着互联网网络技术的发展以及服务器环境的改变，企业原有网站可能会出现兼容性、整体视觉、功能实现等方面的缺陷，网站改造可以弥补以上不足。

网站安全：
选配合适的防火墙系统并对防火墙进行定期管理和维护，制定安全策略，修补安全漏洞，消除安全隐患;采取有效措施防止黑客入侵，造成网站破坏，数据损坏，商业机密泄露，客户资料丢失等损失。

病毒防治：
选择合适的防病毒软件，并在客户端和服务器端进行安装调试和升级;
提供病毒预警服务，随时提示病毒发作信息，降低病毒感染传播机会，避免病毒发作造.成破坏在企业网站遭受病毒感染后，及时进行病毒清除，使网站尽快恢复运营。

日常维护：
配备最佳性价比的网站资源优化方案，提高网络运行效率;帮助企业建立系统安全管理和计算机使用管理制度;帮助企业建立计算机技术档案，为设备管理和维护提供依据;帮助企业进行网站内容更新调整，网页垃圾信息清理，网络速度提升等网站维护操作定期检查企业网络和计算机工作状态，降低系统故障率，为企业提供即时的现场与远程技术支持并提交系统维护报告。

故障恢复：建立全面的资料备份以及灾难恢复计划，做到有备无患在企业网站系统遭遇突发严重故障而导致网络系统崩溃后，在最短的时间内进行恢复在重要的文件资料、数据被误删或遭病毒感染、黑客破坏后，通过技术手段尽力抢救，争取恢复。

3.网站安全防护的方法
1网站的通用保护方法
针对黑客威胁，网络安全管理员采取各种手段增强服务器的安全，确保WWW
服务的正常运行。

象在Internet上的Email、ftp等服务器一样，可以用如下的方法来对WWW服务器进行保护：
安全配置
关闭不必要的服务，最好是只提供WWW服务，安装操作系统的最新补丁，将WWW服务升级到最新版本并安装所有补丁，对根据WWW服务提供者的安全建议进行配置等，这些措施将极大提供WWW服务器本身的安全。

防火墙安装必要的防火墙，阻止各种扫描工具的试探和信息收集，甚至可以
根据一些安全报告来阻止来自某些特定IP地址范围的机器连接，给WWW服务器增加一个防护层，同时需要对防火墙内的网络环境进行调整，消除内部网络的安全隐患。

漏洞扫描
使用商用或免费的漏洞扫描和风险评估工具定期对服务器进行扫描，来发现潜在的安全问题，并确保由于升级或修改配置等正常的维护工作不会带来安全问题。

入侵检测系统
利用入侵检测系统（IDS）的实时监控能力，发现正在进行的攻击行为及攻击前的试探行为，记录黑客的来源及攻击步骤和方法这些安全措施都将极大提供WWW服务器的安全，减少被攻击的可能性。

2、网站的专用保护方法
尽管采用的各种安全措施能防止很多黑客的攻击，然而由于各种操作系统和服务器软件漏洞的不断发现，攻击方法层出不穷，技术高明的黑客还是能突破层层保护，获得系统的控制权限，从而达到破坏主页的目的。

这种情况下，一些网络安全公司推出了专门针对网站的保护软件，只保护网站最重要的内容--网页。

一旦检测到被保护的文件发生了{非正常的}改变，就进行恢复。

一般情况下，系统首先需要对正常的页面文件进行备份，然后启动检测机制，检查文件是否被修改，如果被修改就需要进行恢复。

我们对以下几个方面的技术进行分析比较：
监测方式：
本地和远程：检测可以是在本地运行一个监测端，也可以在网络上的另一台主机。

如果是本地的话，监测端进程需要足够的权限读取被保护目录或文件。

监测端如果在远端的话，WWW服务器需要开放一些服务并给监测端相应的权限，较常见的方式是直接利用服务器的开放的WWW服务，使用HTTP协议来监测被保护的文件和目录。

也可利用其它常用协议来检测保护文件和目录，如FTP等。

采用本地方式检测的优点是效率高，而远程方式则具有平台无关性，但会增加网络流量等负担。

定时和触发：
绝大部分保护软件是使用的定时检测的方式，不论在本地还是远程检测都是根据系统设定的时间定时检测，还可将被保护的网页分为不同等级，等级高的检测时间间隔可以设得较短，以获得较好的实时性，而将保护等级较低的网页文件检测时间间隔设得较长，以减轻系统的负担。

触发方式则是利用操作系统提供的一些功能，在文件被创建、修改或删除时得到通知，这种方法的优点是效率高，但无法实现远程检测。

比较方法：
在判断文件是否被修改时，往往采用被保护目录和备份库中的文件进行比较，比较最常见的方式全文比较。

使用全文比较能直接、准确地判断出该文件是否被修改。

然而全文比较在文件较大较多时效率十分低下，一些保护软件就采用文件的属性如文件大小、创建修改时间等进行比较，这种方法虽然简单高效，但也有严重的缺陷：{恶意入侵者}可以通过精心构造，把替换文件的属性设置得和原文件完全相同，{从而使被恶意更改的文件无法被检测出来}。

另一种方案就是比较文件的数字签名，最常见的是MD5签名算法，由于数字签名的不可伪造性，数字签名能确保文件的相同。

恢复方式：
恢复方式与备份库存放的位置直接相关。

如果备份库存放在本地的话，恢复进程必须有写被保护目录或文件的权限。

如果在远程则需要通过文件共享或FTP的方式来进行，那么需要文件共享或FTP的帐号，并且该帐号拥有对被保护目录或文件的写权限。

3、网站保护的缺陷
尽管网站保护软件能进一步提高系统的安全，仍然存在一些缺陷。

首先这些保护软件都是针对静态页面而设计，而现在动态页面占据的范围越来越大，尽管本地监测方式可以检测脚本文件，但对脚本文件使用的数据库却无能为力。