客户端安全设置

新世纪高职高专电子商务类课程规划教材电子商务安全技术与应用主编梁永生e电子商务安全技术与应用学习情境1客户端安全设置新世纪高职高专电子商务类课程规划教材学习情境2网络通信安全构建学习情境3信息传输安全构建学习情境4服务器安全设置学习情境5电子支付安全实现学习情境描述

子学习情境1

WindowsXP操作系统安全设置目录新世纪高职高专电子商务类课程规划教材学习情境1客户端安全设置子学习情境2

Web浏览器安全设置子学习情境3

反病毒软件WindowsXP操作系统安全设置学习情境1子学习情境1子学习情境任务描述本情境对WindowsXP操作系统的安全特性进行详细分析，并根据其特性进行安全设置。通过学习，学生可以理解并掌握如何对WindowsXP操作系统进行安全设置，以保证电子商务客户端安全。WindowsXP操作系统安全设置学习情境1子学习情境11.1.1Windows操作系统概述

微软桌面操作系统经历了MS-Dos和Windows两个阶段，Windows阶段的发展经过Windows3.0、Windows98、Windows2000、WindowsXP、Windows2003、Windows2008等众多版本，并逐步占据了桌面操作系统90%以上的市场份额。随着Windows系列操作系统的不断升级，其安全性能也在不断得到增强，并达到基于美国可信计算机系统评测标准中的EAL4+级。本情境就以Windows桌面操作系统的安全特性，以及系统的安全设置为例，介绍电子商务客户端的安全性。WindowsXP操作系统安全设置学习情境1子学习情境11.1.2Windowsxp操作系统的安全特性

WindowsXP操作系统采用了多种措施来加强自身的安全特性，包括加密文件系统、本地安全策略、Internet协议安全(IPSec)、Internet连接防火墙、软件限制策略、服务、安全事件日志、智能卡等。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

1.用户账户管理（1）默认系统账户改名WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

1.用户账户管理（1）默认系统账户改名WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

1.用户账户管理

（2）删除不必要的用户帐户

无用的帐户有可能成为黑客入侵的突破口，系统帐户越多，黑客得到合法用户的权限可能性一般也就越大。为了安全起见，限制系统中的用户数量是必要的，因此可以将系统中的一些无用的帐户删除。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

1.用户账户管理

（3）禁用或激活用户帐户

以管理员的身份登陆，选择“开始”→“程序”→“管理工具”→“计算机管理”，打开“计算机管理”窗口。依次展开窗口左侧列表中的“计算机管理（本地）”→“系统工具”→“本地用户和组”→“用户”，这时在左侧窗口中列出了系统中的所有用户帐户。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（1）停止默认的共享

①单击“开始”→“程序”→“管理工具”→“计算机管理”→“共享文件夹”→“共享”，如图1-3所示。对话框中右键单击某个共享名称，在出现的右键快捷菜单中，单击“停止共享”，出现如图1-4所示的对话框，单击“确定”即可。WindowsXP操作系统安全设置学习情境1子学习情境1图1-3默认的共享WindowsXP操作系统安全设置学习情境1子学习情境1图1-4停止共享WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（1）停止默认的共享

②利用注册表来停止共享。方法是单击“开始”→“运行”输入“regedit”，打开注册表，在\HKLM\System\CurrentControlSet\Service\LanManServer\Parameters新建一个名为AutoShareServer的键值，类型为DWORD，并且值为0，来禁止这些管理用的共享。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（1）停止默认的共享

③利用“服务”来关闭默认共享，方法是单击“开始”→“程序”→“管理工具”→“服务”，在如图1-5所示的右侧列表中找到“Server”条目，双击出现如图1-6所示的“常规”对话框，将原来的“启动类型”由“自动”改为“已禁用”，然后单击下面“服务状态”的“停止”按钮，按“确定”。这样可以永久的关闭默认共享。WindowsXP操作系统安全设置学习情境1子学习情境1图1-5利用服务关闭共享服务WindowsXP操作系统安全设置学习情境1子学习情境1图1-6

server的属性WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（1）停止默认的共享

④利用组策略编辑器停止共享。选择“开始”→“运行”菜单，输入gpedit.msc，确认后打开组策略编辑器。选择“用户配置”→“Windows设置”→“脚本（登录/注销）”菜单，双击“登录”脚本，在出现的“登录属性”窗口中单击“添加”按钮，如图1-7所示。在出现的图1-8窗口“脚本名”栏中，输入delshare.bat，然后单击”确定“按钮即可

WindowsXP操作系统安全设置学习情境1子学习情境1图1-7组策略WindowsXP操作系统安全设置学习情境1子学习情境1图1-8添加脚本WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（2）关闭不必要的端口

关闭端口意味着减少功能，开放端口就有威胁存在，因此用户可以根据自己的需要对端口进行开放和关闭。为了能够知道自己有那些端口是开放的，可以利用端口扫描工具查看。在系统目录中的\system32\drivers\etc\service文件中有知名的端口和服务对照表可供参考。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（2）关闭不必要的端口

单击“网络邻居”，右键“属性”出现“本地连接属性”对话框，如图1-9所示，单击“Internet协议（TCP/IP）”，然后单击“属性”出现“Internet协议（TCP/IP）属性”对话框，如图1-10所示。

WindowsXP操作系统安全设置学习情境1子学习情境1图1-9本地连接属性WindowsXP操作系统安全设置学习情境1子学习情境1图1-10Internet协议(TCP/IP)属性WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（2）关闭不必要的端口

单击设置面板里“高级（V）”选项，然后选择“选项”卡，如图1-11所示，接着点选“IP安全机制”，再单击“属性”出现如图1-12所示的对话框，选中“使用此IP安全策略”就可以限制IP的访问。在图1-11的对话框中点选“TCP/IP筛选”，再单击“属性”，出现如图1-13所示的对话框，在TCP端口点选“只允许”，然后点击“添加”，出现如图1-14所示的对话框，就可以添加想要开放的服务的端口了。WindowsXP操作系统安全设置学习情境1子学习情境1图1-11高级TCP/IP设置图1-12IP安全设置WindowsXP操作系统安全设置学习情境1子学习情境1图1-13TCP/IP筛选

WindowsXP操作系统安全设置学习情境1子学习情境1图1-14添加筛选器WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（3）禁用服务

WindowsXP系统中提供了许多服务，为了系统的安全，对于有些服务建议关闭。比如：①建议关闭Alerter——通知所选用户和计算机有关系统管理级警报；②建议关闭ClipBook——启用“剪贴簿查看器”储存信息并与远程计算机共享；③建议关闭IndexingService——提供本地或远程计算机上文件的索引内容和属性；④建议关闭Messenger——信使服务；WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（3）禁用服务

WindowsXP系统中提供了许多服务，为了系统的安全，对于有些服务建议关闭。比如：⑤建议关闭NetMeetingRemoteDesktopSharing——允许受权用户通过NetMeeting在网络上互相访问；⑥建议关闭RemoteDesktopHelpSessionManager——远程帮助服务；⑦建议关闭RemoteRegistry——使远程计算机用户修改本地注册表；WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（3）禁用服务

WindowsXP系统中提供了许多服务，为了系统的安全，对于有些服务建议关闭。比如：⑧建议关闭Server——支持此计算机通过网络的文件、打印、和命名管道共享（如果不需要共享文件打印机）；⑨建议关闭Telnet——允许远程用户登录到此计算机并运行程序；⑩建议关闭TerminalServices——远程登录到本地电脑。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（3）禁用服务

关闭方法是：单击“开始”→“控制面板”→“管理工具”→“服务”打开服务对话框，如图1-5所示。如果想关闭哪个服务双击该条目，例如关闭Telnet服务，双击该条目出现如图1-15所示的对话框，在启动类型的下拉列表中选择“已禁用”，按“启动”完成。WindowsXP操作系统安全设置学习情境1子学习情境1图1-15Telnet的属性WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（4）使用文件加密系统EFS并加密temp文件夹

WindowsXP提供了文件加密功能，可以给文件和文件夹加上一层安全保护，这样可以防止别人把用户的硬盘挂到别的机器上读出里面的数据。一些应用程序在安装和升级的时候，会把一些内容复制到temp文件夹下，但是当程序升级完毕或关闭时，并不会自动清除temp文件夹中的内容。所以应该对temp文件夹进行加密，从而使系统得到进一步的保护。加密方法可参看实训项目。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（5）利用“帐户策略”设置可靠的密码

单击“开始”→“程序”→“管理工具”→“本地安全策略”→“帐户策略”，展开“密码策略”，在这里建立一个完备的密码策略，使密码可以得到最大的保护。详细的设置方法参看实训项目。（6）备份系统

利用Ghost软件可以对系统磁盘进行备份，还要用KV2008、PQ等软件将硬盘的分区表进行备份。同时还需要制作一张启动盘以便必要时使用。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（7）审核和日志的启用

进入“本地安全策略”→“本地策略”→“审核策略”，可以对系统的许多事件进行审核，比如系统事件、帐户登录事件、帐户管理事件等，选择某一项，双击该项对其进行设置，选择成功或失败，单击“确定”按钮即可完成。建议对审核策略进行如下设置：①审核策略更改—选择成功失败；②审核登录事件—选择成功失败；③审核对象访问—选择失败；④审核跟踪过程—无审核；WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（7）审核和日志的启用

进入“本地安全策略”→“本地策略”→“审核策略”，可以对系统的许多事件进行审核，比如系统事件、帐户登录事件、帐户管理事件等，选择某一项，双击该项对其进行设置，选择成功或失败，单击“确定”按钮即可完成。建议对审核策略进行如下设置：⑤审核目录服务访问—选择失败；⑥审核特权使用—选择失败；⑦审核系统事件—选择成功失败；⑧审核帐户登陆时间—选择成功失败；⑨审核帐户管理—选择成功失败。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（7）审核和日志的启用

为了便于用户监测当前系统的运行状况，Windows系统中设置了审核日志功能。当有攻击者尝试对系统进行某些方式的攻击时，都会被安全审核功能记录下来，写入到日志中。可以利用事件查看器（EventViewer）来控制审核日志的属性，要启动审核日志只需要打开“开始”→“程序”→“管理工具”→“事件查看器”即可，如图1-16所示。WindowsXP操作系统安全设置学习情境1子学习情境1图1-16事件查看器WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（7）审核和日志的启用

右键单击图1-16中“安全性”，再单击“属性”，出现图1-17所示对话框，可以对日志存放的位置以及最大日志文件的大小等进行设置，其他日志也可以进行此设置。左键单击图1-16中的应用程序日志，可以在对话框的右栏中看到记录的日志文件信息，如图1-18所示。双击任何一个事件或右键单击任何一个事件，在出现的快捷菜单里，单击“属性”，出现事件属性对话框，就可以看到事件的详细信息，如图1-19所示。WindowsXP操作系统安全设置学习情境1子学习情境1图1-17安全日志属性WindowsXP操作系统安全设置学习情境1子学习情境1图1-18应用程序日志事件WindowsXP操作系统安全设置学习情境1子学习情境1图1-19事件属性WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（8）本地策略

为了操作系统的安全，对本地策略的一些项目应进行如下设置：①交互式登陆：不需要按Ctrl+Alt+DeL—禁用；②交互式登录：不显示上次的用户名—启用；③网络访问：不允许SAM帐户的匿名枚举—启用；④网络访问：可匿名的共享—将策略设置里的值删除；⑤网络访问：可匿名的命名管道—将策略设置里的值删除；⑥网络访问：可远程访问的注册表路径—将策略设置里的值删除。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（8）本地策略

设置方法是：打开“管理工具”→“本地安全设置”→“本地策略”→“安全选项”，如图1-20所示。双击“交互式登录：不显示上次的用户名”条目，出现如图1-21所示的对话框。选择“已启用”，按“确定”即可。其它条目设置类同。WindowsXP操作系统安全设置学习情境1子学习情境1图1-20本地安全设置WindowsXP操作系统安全设置学习情境1子学习情境1图1-21交互式登录属性WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

2.系统安全设置

（9）更改TTL值

（10）禁止终端服务

在WindowsXP系统里关闭“终端服务”的方法如下：右键选择“我的电脑”→“属性”，选择“远程”选项卡，去掉“允许用户远程连接到这台计算机”前面的“√”即可，如图1-22所示。WindowsXP操作系统安全设置学习情境1子学习情境1图1-22系统属性WindowsXP操作系统安全设置学习情境1子学习情境1图1-23运行组策略命令（11）禁用媒体自动播放WindowsXP操作系统安全设置学习情境1子学习情境1图1-24组策略（11）禁用媒体自动播放WindowsXP操作系统安全设置学习情境1子学习情境1图1-25关闭自动播放属性（11）禁用媒体自动播放WindowsXP操作系统安全设置学习情境1子学习情境1图1-26组策略远程协助（12）禁用远处协助/桌面

WindowsXP操作系统安全设置学习情境1子学习情境1图1-27请求的远程协助属性（12）禁用远处协助/桌面

WindowsXP操作系统安全设置学习情境1子学习情境1图1-28提供远程协助属性（12）禁用远处协助/桌面

WindowsXP操作系统安全设置学习情境1子学习情境1（13）禁止IPC$空连接

在“开始”→“运行”对话框中输入regedit命令，把注册表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa位置上的RestrictAnonymous值由0改为1，需重新启动系统生效。但是上面的注册表修改后，重启系统只是禁止建立空连接，IPC$服务还是会启动，如果想完全禁止，可以直接把“控制面板”→“管理工具”→“服务”，将右侧server服务先停止掉，然后“禁用”即可，不过这样也会影响网络共享等，需要共享时还可以再启动该服务。WindowsXP操作系统安全设置学习情境1子学习情境1（14）安装系统补丁程序

一定要及时安装最新系统的补丁程序，Microsoft会经常发布一些已知漏洞的修补程序，现在的WindowsXP系统会自动检查更新，并在后台下载，完成后通知下载完成，并询问是否开始安装。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

3.软件限制策略

（1）安全级别

图1-29本地安全设置图WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

3.软件限制策略

（1）安全级别

1-30本地安全策略安全级别WindowsXP操作系统安全设置学习情境1子学习情境1图1-31不允许的属性WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

3.软件限制策略

（2）“其他规则”

单击“开始”→“程序”→“管理工具”→“本地安全设置”→“软件限制策略”节点下的“其他规则”，可以在右侧的窗口中看到一些系统预设的规则。由于系统的不同以及其他策略的设置，这里可能会出现不同数量的默认规则。通常情况下，这些规则都是为了保证操作系统可以正常使用而准备的，因此如果不是特别必要，最好不要删除或者修改这些系统自建的规则。我们可以按照需要创建自定义的规则。WindowsXP操作系统安全设置学习情境1子学习情境1图1-32其它规则图（3）创建规则

①点击“软件限制策略”下的“其它规则”，在“其他规则”上单击右键，或在右侧窗格的空白区域单击右键，选择“新散列规则”。如图1-32所示。WindowsXP操作系统安全设置学习情境1子学习情境11-33新散列规则（3）创建规则

②点击“浏览”，指定要标识的文件或程序，例如skype.exe，确认后，在文件散列中可以看到计算出来的散列，在“安全级别”中选择“不允许的”或“不受限的”。点击“确定”，在“其它规则”中就可以看到新增的一条类型为散列的规则。如图1-33所示WindowsXP操作系统安全设置学习情境1子学习情境1图1-34”强制”属性（4）策略设置①强制

该策略决定了软件限制策略的适用范围。在图1-29所示的窗口中，双击“强制”策略后可以看到如图1-34所示的对话框。WindowsXP操作系统安全设置学习情境1子学习情境1图1-35指派的文件类型属性图（4）策略设置②指派的文件类型WindowsXP操作系统安全设置学习情境1子学习情境11-36受信任的出版商属性（4）策略设置③受信任的出版商WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

4.Internet连接防火墙

在WindowsXP系统中，单击“网上邻居”→“本地连接”属性，如图1-37所示，点击“高级”选项卡，出现如图1-38所示的Windows防火墙对话框，该窗口有三个选项卡，“常规”、“例外”和“高级”。（1）“常规”选项卡在常规选项卡中有“启用（推荐）”和“关闭（不推荐）”两个主项，还有一个子项“不允许例外”。选择“启用（推荐）”选项，表示启用防火墙，并且勾选“不允许例外”选项，表示防火墙将拦截所有连接该计算机的网络请求，包括在“例外”选项卡中列出的“程序和服务”，按“确定”按钮完成设置。WindowsXP操作系统安全设置学习情境1子学习情境1图1-37本地连接属性WindowsXP操作系统安全设置学习情境1子学习情境1图1-38windows防火墙WindowsXP操作系统安全设置学习情境1子学习情境1图1-39例外（2）“例外”选项卡WindowsXP操作系统安全设置学习情境1子学习情境1图1-40添加程序图（2）“例外”选项卡1-41添加端口WindowsXP操作系统安全设置学习情境1子学习情境1图1-42更改范围（2）“例外”选项卡WindowsXP操作系统安全设置学习情境1子学习情境1图1-42更改范围（3）“高级”选项卡WindowsXP操作系统安全设置学习情境1子学习情境1图1-44高级设置服务（3）“高级”选项卡①网络连接设置WindowsXP操作系统安全设置学习情境1子学习情境1图1-45日志设置

（3）“高级”选项卡②安全日志记录WindowsXP操作系统安全设置学习情境1子学习情境1图1-46ICMP设置（3）“高级”选项卡③ICMPWindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

5.Internet协议安全(IPSec)

（1）创建IP安全策略单击“开始”→“程序”→“管理工具”→“本地安全设置”→“IP安全策略，在本地机器”，右键单击出现如图1-47所示的快捷菜单，选择“创建IP安全策略”，出现IP策略向导对话框，单击“下一步”，出现如图1-48所示的对话框，然后输入一个策略描述，如“noPing”。单击“下一步”，选中“激活默认响应规则”复选项，单击“下一步”。出现如图1-49所示的对话框，开始设置身份验证方式，选中“此字符串用来保护密钥交换（预共享密钥）”选项，然后随便输入一些字符（下面还会用到这些字符）。WindowsXP操作系统安全设置学习情境1子学习情境11.1.3Windowsxp安全设置

5.Internet协议安全(IPSec)

（1）创建IP安全策略单击“下一步”出现如图1-50所示的对话框，提示已完成IP安全策略，确认选中了“编辑属性”复选框，单击“完成”按钮，会打开其属性对话框。如图1-51所示。此步骤只是创建了IP的一个安全策略，还没有对其进行配置。WindowsXP操作系统安全设置学习情境1子学习情境1图1-47本地安全设置WindowsXP操作系统安全设置学习情境1子学习情境1图1-48IP安全策略向导WindowsXP操作系统安全设置学习情境1子学习情境1图1-49IP策略验证方法WindowsXP操作系统安全设置学习情境1子学习情境1图1-50IP安全策略向导完成（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-51noping属性（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-52安全规则向导（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-53选择网络类型（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-54身份验证方法（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-55IP筛选器列表（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-56添加IP筛选器列表（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-57IP筛选器源地址（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-58IP筛选器目的地址（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-59IP协议类型（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-60IP筛选器列表（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-61IP筛选器列表（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-62IP筛选器操作（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-63新筛选器操作属性（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-64新增安全措施（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-65筛选器操作（2）配置安全策略和规则WindowsXP操作系统安全设置学习情境1子学习情境1图1-66新规则属性（2）配置安全策略和规则Web浏览器安全设置学习情境1子学习情境2子学习情境任务描述通过本子学习情境学习，学生可以了解客户端浏览器存在的安全问题，cookie和会话管理的知识，并能够利用浏览器自身的安全特性对浏览器进行安全设置。Web浏览器安全设置学习情境1子学习情境21.2.1Web浏览器的安全问题

1.浏览器的安全问题（1）辅助程序（2）Java、JavaScript和ActiveX（3）图形文件、插件和电子函件的附件（4）日志文件和Cookie技术Web浏览器安全设置学习情境1子学习情境21.2.1Web浏览器的安全问题

2.Cookie和会话管理

（1）Cookie简介

Netscape公司在Navigator2.0版本中引入了“Cookie”规范。Cookie的原本目的是为了让Web服务器通过多方的http请求来追踪客户。Cookie是一些Web服务器可以传送到使用NetscapeNavigator的用户事件的ASCII文本。一旦接收了它，Web浏览器就会在每次发出一个新的文件请求的时候发出一个Cookie。Cookie被存储Web浏览器的内存里面，永久的Cookie会被保存到浏览器中。Web浏览器安全设置学习情境1子学习情境21.2.1Web浏览器的安全问题

2.Cookie和会话管理

（2）会话管理

Web会话由各种服务器端脚本技术实现，但它们一般都是当用户进入Web站点时启动，当用户关闭浏览器或会话超时的时候结束。会话用于跟踪用户操作，例如用户向购物车添加条目等。对Web服务器来说，如何进行安全的会话管理也是非常重要的。Web浏览器安全设置学习情境1子学习情境21.2.2常见攻击

1.脆弱脚本攻击随着Internet重要性的不断增长，越来越多的应用程序都被放在Web上运行。如果编写的应用程序脚本本身存在缺陷，并且被攻击者利用，那么用户的计算机就处于危险之中。因此，当编写应用程序的时候，一定要假设编写的代码将会运行在最具有敌意的环境中，根据这个条件来设计、编写并测试代码，以便编写安全的脚本文件。如果想检查Web服务器上是否运行着脆弱脚本，可以运行脆弱扫描器（免费版或商业版都可以）。如果发现有这种脆弱脚本，应当升级该版本（用非脆弱版本）或换用另一种脚本。Web浏览器安全设置学习情境1子学习情境21.2.2常见攻击

2.强行登录攻击强行登录是攻击者利用密码字典侵入系统的一种常见方式。通过不断的尝试各种常见的用户名和密码组合来试图侵入系统。由于很多系统管理员采用的用户名和密码组合过于简单，很容易使整个系统处于危险中，这会造成系统被非法访问。可以通过强制用户选择强壮的口令；限制每个IP地址每秒连接数（在防火墙级或在服务器端脚本级定义），来抵御强行登录攻击。Web浏览器安全设置学习情境1子学习情境21.2.2常见攻击

3.缓冲区溢出攻击在缓冲区溢出的情况中，服务器端的接收服务或者应用程序无法很好的处理过长的字符串。总的来说，缓冲区溢出可以发生在一些特殊的元素、字段或者消息上。如果接收系统没有准备好处理未知长度的字段和消息，应用程序就会处在一个比较危险的境地。它有可能造成系统的崩溃，也有可能被黑客利用获得对Web服务器的控制。黑客会通过发送脆弱脚本，让服务器端运行一个由黑客控制的特洛伊木马，来实现他们入侵的目的。Web浏览器安全设置学习情境1子学习情境21.2.3浏览器的安全设置

1.设置“常规”选项卡启动IE，单击菜单栏“工具”→“Internet选项”，打开常规选项卡，如图1-67所示，单击“Internet临时文件夹”条目里的“设置”按钮，出现图1-68所示的窗口，首先对“检查所存网页的较新版本”进行设置，这里设置为“自动”。在下面Internet临时文件夹条目，可以设置临时文件夹使用的磁盘空间大小和存放位置。单击“删除Cookie”或者“删除文件”按钮，都可以将Cookie文件删除。在“历史记录”条目中可以设置网页保存在历史记录中的天数，还可以清除历史记录。Web浏览器安全设置学习情境1子学习情境2图1-67Internet选项Web浏览器安全设置学习情境1子学习情境2图1-68设置”临时文件夹”Web浏览器安全设置学习情境1子学习情境21.2.3浏览器的安全设置

2.设置“安全”选项卡（1）“Internet”区域设置：启动IE，单击菜单栏“工具”→“Internet选项”，打开“安全”选项卡，如图1-69所示，在“请为不同区域的Web内容指定安全设置”条目中，选择“Internet”选项，在该窗口的下面就相应的显示了该区域的安全级别。默认的情况下，该区域的安全级别是“中”。如果想设置成为默认安全级别，单击“默认级别”即可。如果用户想根据自己的需要自行设置，就单击“自定义级别”可以对“ActiveX控件和插件”、“脚本”、“其他”和“用户验证”项目进行相应设置。Web浏览器安全设置学习情境1子学习情境2图1-69安全选项卡Web浏览器安全设置学习情境1子学习情境2图1-68设置”临时文件夹”Web浏览器安全设置学习情境1子学习情境21.2.3浏览器的安全设置

2.设置“安全”选项卡（2）受信任的站点设置：有时不能按照上述设置把Internet区域的安全级别设置的太低，则可以把一些信任的站点添加到“受信任的站点去”中去。在图1-69窗口中，单击“请为不同区域的Web内容指定安全设置”条目中“受信任的站点”，出现如图1-71所示的窗口。单击“默认的级别”出现如图1-72所示的窗口，该区域的安全级别是“低”，也可以自行设置安全级别，单击“自定义级别”进行设置，设置内容和“Internet区域”的设置相同，还可以利用滑块直接设置四个安全级别。Web浏览器安全设置学习情境1子学习情境2图1-71受信任的站点Web浏览器安全设置学习情境1子学习情境2图1-72默认的安全级别Web浏览器安全设置学习情境1子学习情境2图1-73可信站点Web浏览器安全设置学习情境1子学习情境2图1-74可信站点添加完成Web浏览器安全设置学习情境1子学习情境21.2.3浏览器的安全设置

2.设置“安全”选项卡（3）“受限站点”设置对一些有可能损害计算机的站点，就把它加入到“受限站点”，并且将该区域的安全级别设置为“高”。方法是单击图1-71窗口中“受限站点”，出现图1-75的窗口，对该区域的安全级别进行设置，设置方法同上，然后单击“添加”按钮，在出现的图1-76窗口的文本框中，输入要添加的站点域名，再单击“添加”即可完成对受限站点的安全级别设置。Web浏览器安全设置学习情境1子学习情境2图1-75受限站点Web浏览器安全设置学习情境1子学习情境2图1-76受限站点添加完成Web浏览器安全设置学习情境1子学习情境21.2.3浏览器的安全设置

3.设置“隐私”选项卡（3）“受限站点”设置单击“工具”→“Internet选项”→“隐私”，如图1-77所示，可以利用鼠标滑动滑块来改变对隐私的设置，该设置共有六个级别，不同的级别对Cookie有不同的限制，可以根据用户自己的情况进行设置，也可以利用该窗口中的“高级”按钮进行“高级隐私策略设置”。单击“站点”，在出现的如图1-78所示的窗口文本框中，输入网址，就可以对该站点设置“允许”或“拒绝”使用Cookie。Web浏览器安全设置学习情境1子学习情境2图1-77隐私Web浏览器安全设置学习情境1子学习情境2图1-78每个站点的隐私操作Web浏览器安全设置学习情境1子学习情境21.2.3浏览器的安全设置

4.设置“内容”选项卡（1）分级审查可以帮助用户控制在计算机上看到的内容。单击“工具”→“Internet选项”→“隐私”，如图1-80所示，在“分级审查”栏目里，单击“启用”，出现图1-81所示的窗口。拉动滚动条可以进行四个级别的设置。单击“许可站点”选项卡可以创建网站列表，使其任何时候都可以看，或无论如何分级都不允许看，如图1-82所示。单击“常规”选项卡，如图1-83所示，可以创建监督人的密码，单击“创建密码”，在出现的1-84窗口中输入密码，按“确定”即可完成。Web浏览器安全设置学习情境1子学习情境2图1-79弹出窗口阻止程序Web浏览器安全设置学习情境1子学习情境2图1-80内容Web浏览器安全设置学习情境1子学习情境2图1-81内容审查程序Web浏览器安全设置学习情境1子学习情境2图1-82许可站点Web浏览器安全设置学习情境1子学习情境2图1-83监督人密码Web浏览器安全设置学习情境1子学习情境2图1-84创建监督人密码Web浏览器安全设置学习情境1子学习情境2图1-85证书Web浏览器安全设置学习情境1子学习情境2图1-86自动完成设置

Web浏览器安全设置学习情境1子学习情境21.2.3浏览器的安全设置

4.设置“内容”选项卡（3）个人信息自动完成功能可以帮助用户节省时间，但也同时带来很大的安全隐患。单击图1-80的“自动完成”按钮，出现图1-86窗口，在“自动完成”条目里，可以设置“Web地址”、“表单”和“表单上的用户名和密码”，勾选“Web地址”会保存IE地址栏中输入过的内容；勾选“表单”会保存网页上填写的信息；勾选“表单上的用户名和密码”会保存