电商安全：谈电子商务网站及服务器防入侵的安全设置

随着电子商务的蓬勃发展，国内越来越多企业开始涉足网络营销，在网上开展公司的业务拓展，同时国内大大小小的程序开发商提供的开源建站cms程序也为电子商务的高速发展贡献了巨大的力量。

然而，由于很多国内的开发者缺乏安全常识，使得这些开源的程序出现各种各样的漏洞，小到sdcms、74cms这样的小众建站程序，大到dedecms、discuz这样的大型智能建站cms，都存在各种各样的漏洞，这不，前几天discuz1.5就爆出了一个注入漏洞，再配合后台getshell，大量的网站又该遭殃了，开源漏洞的防范可以看我的上一篇文章：《电商安全谈cms,discuz等开源建站程序漏洞防护 》，这里不再多说，今天电商圈给大家讲讲电子商务网站和服务器的安全配置技巧。

1、选择大量用户使用，官方有技术支持的程序；或者选择冷门的程序，越冷越好。

比如discuz或者dedecms都不错，虽然有各种各样的漏洞层出不穷，但是修补的也快，只要你及时打补丁，网站还是蛮安全的。当然，你也可以剑走偏锋，选择冷门的程序，没有多少人用的程序，当然研究其漏洞的人也少咯，比如安全天使开发的sablog就不错，小众化，而且本身也安全可靠，啥时候见他爆过漏洞呢？

2、有条件的自行对代码进行安全检测和二次开发。

有条件的电商们，一定要对这些开源的程序进行二次开发，二次开发不仅可以满足电子商务需求，还可以修补大量官方未发现的漏洞0day（如sql注入，跨站xss，session欺骗等漏洞），让你的网站更安全。

3、关闭服务器不必要的服务和进程。越少的服务，越少的攻击。

你啥时候见过freebsd出现过漏洞？相反的，功能强大的window那不是天天出漏洞么？功能越多，就需要在各方面都考虑安全因素，一个点没有考虑到，那就是毁灭性的打击，服务的配置可以按照以下所示进行配置：

web+数据库一机服务器：开启web服务；开启iis服务；开启SQL/MYSQL服务；安装filezilla ftp服务器软件（不要用serv-u，满是漏洞，你懂的）；防火墙通过80、21；1433或3306就不要开启了，连接数据库直接通过本地连接，不要给入侵者任何机会；

数据库单服务器：开启SQL/MYSQL服务；安装filezilla ftp服务器软件（用来上传下载备份数据库）；防火墙只通过21端口；

总之就是需要什么就开启什么，不需要的服务和软件一律关闭，端口一定要过滤好。

图示如下：

服务的开启与停用（控制面板---管理工具---服务）：

端口的开启与过滤（控制面板---防火墙）：

4、iis要配置好，目录权限也要配置好。

iis删除不必要的映射，不要给目录执行权限，每个网站对应一个guest权限账户，切忌，不要偷懒所有网站都用同一个账户！！！

配置图示如下：

iis删除映射&目前权限配置：

iis目录账户绑定设置：

做好以上这些基本安全设置后，如果企业网站是access数据库，记得做好防下载设置，另外就是把网站后台管理系统修改的复杂点，并且限制IP访问，同时把网站管理密码，以及跟服务器相关的所有账户密码都设置一个复杂的密码，并且定期更改，当然如果你怕忘记密码的话，可以用将账户密码写到纸上保存，切忌，不要保存在自己私人电脑上！！！

好了，做了以上基本工作，再给服务器安装一个杀毒软件（360杀毒即可，单独安装杀毒不安装安全卫士），定期打系统补丁，服务器就安全多了，最起码一些小菜黑客们想入侵你的网站的话，就得下点功夫才行咯。

当然，安全无绝对，只要你联网，就有被攻击的可能！因此，在这里电商圈提醒各位做电子商务的朋友，每天一定要抽出时间对服务器进行检查，并做好数据备份工作，以便遭受到攻击后能及时的恢复和做出响应！