浅析电子商务网站对CSRF攻击的防范
河北建材职业技术学院 陈慧宁 赵克宝
摘 要：在互联网飞速发展的今天，网上交易和在线电子支付成为一种新型的商业运营模式——电子商务，作为消费者，交易安全是首要问题。本文介绍了电子商务网站对安全性的要求和防范的重要性，应该如何防范CSRF攻击，以构成一个安全的电子商务系统。
关键词：电子商务网站 CSRF攻击 Cookie JSON
中图分类号：F724.6 文献标识码：A 文章编号：1005-5800(2010)11(b)-129-02
1 背景
在科学技术大发展的今天，随着信息化的浪潮席卷全球，传统的商务模式受到巨大的冲击。越来越多的企业和个人消费者，在Internet开放的网络环境下，基于浏览器/服务器应用方式，实现消费者网上购物、商户之间网上交易和在线电子支付的一种新型的商业运营模式——电子商务。更由于电子商务本身的开放性、全球性、低成本、高效率等特征，使得它不仅仅是一种新的贸易形式，更将会影响到整个社会的经济运行机构。
电子商务将传统的商务流程电子化、数字化，一方面以电子流代替了实物流、资金流，可以大量减少人力、物力，降低了成本；另一方面突破了时间和空间的限制，使得交易活动可以在任何时间、任何地点进行，从而大大地提高了效率。电子商务在现代社会占据如此重要的地位，而Internet自身的开放性、广泛性和匿名性，给电子商务带来诸多的安全隐患，对于电子商务网站本身，更是要做好网络安全防范。
2 防范CSRF攻击
2.1 什么是CSRF攻击
CSRF(Cross-site request forgery)跨站请求伪造，是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS)，但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF 则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行，正因为如此，对其进行防范的资源也相当稀少，使其变得难以防范，所以被认为比XSS更具危险性，现如今，CSRF的防范已被越来越多的网站所重视。
如果一个电子商务网站使用了大量AJAX技术(Asynchronous JavaScript and XML即异步JavaScript和XML，是一种创建交互式网页应用的网页开发技术)，很容易产生CSRF攻击，使用户电脑中毒，造成网银账户失窃等严重后果。不要小看CSRF，早先Google的那个CSRF漏洞，很可能导致邮件泄漏，当时的Google电子邮件系统很容易受到CSRF攻击中的“更改密码”攻击。另外，CSRF还可能导致蠕虫爆发。
2.2 CSRF攻击分类
CSRF是伪造客户端请求的一种攻击，这种攻击方式是国外的安全人员于2000年提出，国内直到2006年初才被关注，2008年CSRF攻击方式开始在BLOG、SNS等大型社区类网站的脚本蠕虫中使用，造成网民隐私泄露严重。
CSRF的定义是强迫受害者的浏览器向一个易受攻击的Web应用程序发送请求，最后达到攻击者所需要的操作行为。CSRF漏洞的攻击一般分为站内和站外两种类型：
CSR F站内类型的漏洞在一定程度上是由于程序员滥用Request类变量造成的，一些敏感的操作本来是要求用户从表单提交发起POST请求传参给程序，但是由于使用了Request等变量，程序也接收GET请求传参，这样就给攻击者使用CSRF攻击创造了条件，一般攻击者只要把预先准备好的请求参数放在站内一个贴子或者留言的图片链接里，受害者浏览了这样的页面就会被强迫发起请求。作为网上交易用户，我们可能只点了几个这样的链接和图片，自己的帐户密码和个人隐私就被盗取了。
CSRF站外类型的漏洞其实就是传统意义上的外部提交数据问题，一般程序员会考虑给一些留言评论等的表单加上水印以防止SPAM问题，但是为了用户的体验性，一些操作可能没有做任何限制，所以攻击者可以先预测好请求的参数，在站外的Web页面里编写java script脚本伪造文件请求或和自动提交的表单来实现GET、POST请求，用户在会话状态下点击链接访问站外的Web页面，客户端就被强迫发起请求。
2.3 浏览器的安全缺陷
Web应用程序几乎都是使用Cookie来识别用户身份以及保存会话状态，但是所有的浏览器在最初加入Cookie功能时并没有考虑安全因素，从WEB页面产生的文件请求都会带上Cookie，浏览器的这种安全缺陷给CSRF漏洞的攻击创造了最基本的条件，因为Web页面中的任意文件请求都会带上Cookie，所以我们将文件地址替换为一个链接的话，用户访问Web页面就相当于会话状态下自动点击了链接，而且带有SRC属性具有文件请求的HTML标签，如图片、FLASH、音乐等相关的应用都会产生伪造GET请求的CSRF安全问题。一个Web应用程序可能会因为最基本的渲染页面的HTML 标签应用，而导致程序里所有的GET类型传输参数都不可靠。
2.4 浏览器的会话安全特性
现今浏览器支持的Cookie实际上分为两种形式：一种是内存Cookie，在没有设定Cookie值的expires参数，也就是没有设置Cookie的失效时间情况下，这个Cookie在关闭浏览器后将失效，并且不会保存在本地。另外一种是本地保存Cookie，也就是设置了expires参数，Cookie的值指定了失效时间，那么这个Cookie会保存在本地，关闭浏览器后再访问网站，在Cookie有效时间内所有的请求都会带上这个本地保存的Cookie。
Internet Explorer有一个隐私报告功能，其实这是一个安全功能，它会阻挡所有的第三方Cookie，比如甲区域Web页面嵌入了乙区域的文件，客户端浏览器访问了甲区域的Web页面后对乙区域所发起的文件请求所带上的Cookie会被IE拦截。除去文件请求情况，甲区域的Web页面如果使用IFRAME帧包含乙区域的Web页面，访问甲区域的Web页面后，乙区域的Web页面里的所有请求包括文件请求带上的Cookie同样会被IE拦截。不过Internet Explorer的这个安全功能有两个特性，一是不会拦截内存Cookie，二是在网站设置了P3P头的情况下，会允许跨域访问Cookie，隐私报告功能就不会起作用了。
129
《中国商贸》 CHINA BUSINESS&TRADE
E-business电子商务
如何在电子商务环境下提高顾客忠诚度
江苏财经职业技术学院 陆霞
摘 要：如今，电子商务市场竞争激烈程度正在日趋加剧，网络商家都在争相寻获取得竞争优势的方法。而顾客的忠诚作为最有效的重要途径，已经成为了学者和企业家非常关注的核心点。本文就当今的电子商务环境，分析一下怎样才能有效地提高顾客忠诚度。
关键词：电子商务 忠诚度 信任
中图分类号：F272.3 文献标识码：A 文章编号：1005-5800(2010)11(b)-130-02
顾客的忠诚度对企业的成本、企业的利润甚至是市场占有率和企业的信誉度等等都会产生很大的影响。片面来讲，客户的离开会直接影响企业的盈利能力。然而，顾客的忠诚度受到很多种因素的影响，电子商务时代的到来，迫使着商家必须学会怎样运用电子商务这一便利工具来培育顾客的忠诚度，因为顾客的忠诚才是企业获得长期竞争优势的最有效保障。
在激烈的商场战争中，任何细节都是我们必须得认真关注的。就好象美国的经济学家威德仑曾经说过：
“顾客就像工厂和设备一样，也是一种资产。”这就很明显地告诉我们，顾客忠诚度的重要性。就比如顾客对品牌的一种感情，也是一种量度，这就是品牌的忠诚度，从表象上可以看出顾客转向另一个品牌的可能性。为了保持利润的持续增长和长期利润，必须将目光从市场占有率的数量转向质量，而这必须通过创立和做好品牌忠诚度这一途径。一个相对完整的网站资产包括名气、外形、内涵、优良品质以及客户对网站的忠诚度，而这其中忠诚度绝对是网站的一个核心资产，这绝对是紧密地与使用经验相连，并受到名气、外形、内容、品质的影响。
1 电子商务的特征
互联网的信息流动更是不受限制的，是可以自由连接的，而且具有包含文字、声音、图像、动画在内等功能。所以电子商务有着传统商务所没有的优势，个性化互联网对于收集用户的各种信息资料更加方便快捷，会对顾客有更多了解，从而满足用户的需求，通过信息搜集与相互沟通，完全实现了一对一的人性化服务，比起传统商务更加具有针对性，也更容易与消费者建立长期良好的关系。销售信息在网络上以数字化的形式存在也是电子商务的一大特征，用很少的成本发送并能随时按照需求进行修改，为促销节省了大量的费用。
商家不用花很多钱就可以提高顾客忠诚度，这也是电子商务的另一项优势，这就是运用网络技术建立属于顾客的资料数据库。把做过买卖的顾客，以及未来可能购买的潜在顾客的相关资料，存入资料数据库，通过数据挖掘等技术，探测顾客的消费需求和消费心理。
2 如何在电子商务环境下提高顾客忠诚度
2.1 让顾客产生信任感
作者简介：陆霞(1960-)，女， 江苏睢宁人，江苏财经职业技术学院经济贸易系主任，副教授，本科学历，主要从事电子商务、
经济管理、市场营销研究。
所以在Internet Explorer的这个安全特性的前提下，攻击者要进行站外的CSRF攻击使用文件请求来伪造GET请求的话，受害者必须在使用内存Cookie也就是没有保存登陆的会话状态下才可能成功。而Firefox浏览器并没有考虑使用这样的功能，站外的CSRF 攻击完全没有限制。因此我们在进行网上交易时要选择好浏览器。
2.5 Java script劫持技术
近年来的Web程序频繁使用A JA X技术，JSON也开始取代X M L做为A JA X的数据传输格式，JSON实际上就是一段JavaScript，大部分都是定义的数组格式。Fortify软件公司的三位安全人员在2007年提出了JavaScript劫持技术，这是一种针对JSON动态数据的攻击方式，实际上这也是一种变相的CSRF攻击。攻击者从站外调用一个Script标签包含站内的一个JSON动态数据接口，因为