企业网站服务之建置与管理

企業網站服務之建置與管理國立暨南國際大學資訊管理學系陳彥錚大綱1.技術簡介•(1945)VannevarBush發表“AsWeMayThink”(AtlanticMonthly)–超連結(Hyperlink)•(Mar.1989)服務於CERN之TimBerners-Lee發表“InformationManagement:AProposal”–Aclient/servermodelforadistributedhypertextsystemCERN:EuropeanOrganizationforNuclearResearch技術發展•(1990)TimBL撰寫第一個Web瀏覽器:–WorldWideWeb•(Sep.1993)NCSA發表Mosaicbrowser.•(Mar.1994)MarcAndreessen&JimClark開設MosaicCommunicationsCorp.(後改名Netscape)•(Dec.1994)Netscape發表NetscapeNavigator–只支援HTMLNCSA:NationalCenterforSupercomputingApplicationsHTMLandHTTP2.HTTPResponse1.HTTPRequestHTMLDocumentClientPCWebServerBrowserWebServerApplication•Browser–IE(~49%)–Firefox(~43%)–GoogleChrome(~3%)–Safari,Opera,…•WebServer–Apache(~50%)–MicrosoftIIS(~35%)–GoogleGWS(~6%)–…://://web2.im.ncnu.edu.tw/ycchen/技術發展-JavaScript•(Dec.1995)NetscapeNavigator2.0支援JavaScript–可於Brower中解譯執行的程式語言scriptfor(i=0;i10;i++){document.write(hrsize=+2*i+width=+40*i+color='red');}alert(WelcometoJavaScriptTest!\nSeeyou!);/scriptAdvantagesofUsingJavaScript•Validateuser'sinput.•Performaggregratecalculations.•Easilypromptauserforconfirmation,alert,pop-upinformation.•ControlofWebbrowser'sbehaviorsandHTMLpagecomponent'sproperties.•ConditionalizeHTML.•Performoperationsindependentofserverinformation.•ControlofDynamicHTML.://web2.im.ncnu.edu.tw/ycchen/•(Jan.1996)Sun公司發表Java程式語言–Java應用程式編譯成Bytecode，可在支援JVM(JavaVirtualMachine)之環境執行•JavaApplet–可在Web瀏覽器執行的Java小程式HTMLtitle歡迎使用校務自動化系統/titleappletcodebase=.code=NCNUTeacherApplet“archive=“width=800height=450/applet/HTMLCascadingStyleSheets(CSS)•樣式表(Stylesheet)語言•提供網頁設定樣式功能，讓網頁能以更精確與結構化方式顯示網頁版面•DynamicHTML:JavaScript+CSS{text-decoration:none;}td{background-color:Ivory;}ul{list-style-image:url(gball.gif);}h2{color:white;background-color:black;font-size:1in}…/style其他Browser端Web技術•瀏覽器之plug-in(附加元件)功能–Flash()–PDF,WindowsMediaPlayer,QuickTime,…•XML(ExtensibleMarkupLanguage)•AJAX:AsynchronousJavaScriptandXML?xmlversion=1.0encoding=UTF-8?departmentmemberidtype=StuCards96211341/idnameChia-ChiaLiu/[e-mail]/email/member/department://chinese.engadget.com/2010/05/10/opera-hakon-wium-lie-and-von-tetzchner-talk-web/網頁設計應注意事項•兼顧美工與內容•避免使用橫向捲軸•從216種SafetyColor選用顏色•考慮瀏覽器的差異性(JavaScript,ActiveX,CSS,…)•超連結之正確性–file:///C:/–端Web技術•CommonGatewayInterface(CGI)–WebServer與Server端應用程式之介面•Server端Web程式語言–ASP,JSP,Perl,Php•Database–MSSQLServer,MySQL,mSQL,OracleWebContentManagementSystem(CMS)•Joomla!––•WordPress•Drupal•Xoops2.企業網站建置•網頁(程式)設計–靜態網頁、Flash多媒體、動態網頁程式–電子商務•會員制•付款機制:信用卡、ATM轉帳、貨到付款•網站架設–自行架設–虛擬主機(VirtualHosting)–主機代管(Co-Location)自行架設網站•硬體：–機櫃式Server、RAID硬碟?、不斷電系統•軟體：–作業系統、Web伺服器程式、資料庫–XAMPP•網路：–IP位址、主機領域名稱–對外頻寬–網路安全及防火牆虛擬主機(VirtualHosting)•由ISP出租架設網站所需之硬體、軟體、網路服務。–專屬領域名稱及網路位址–磁碟空間–網路頻寬–Server端Web程式語言支援–資料庫–後台管理主機代管(Co-Location)•ISP提供機房與網路，供企業客戶放置自己的主機與網路設備。•IDC(InternetDataCenter)服務–機房空間–網路頻寬–提供IP位址–網路管理：流量監測、障礙管理–網路安全:DDoS攻擊、掃毒3.安全WebsecurityisimportantforE-Commerce.Previousstudies:–SSL–SET–WebserversecurityApplication-levelsecurity–Webapplicationsmistakenlytrustdatareturnedfromaclient.OWASP•OpenWebApplicationSecurityProject(OWASP)•十大Web資安漏洞列表A1.跨站腳本攻擊(CrossSiteScripting，簡稱XSS)A2.注入缺失(InjectionFlaw)：SQLInjection與CommandInjectionA3.惡意檔案執行(MaliciousFileExecution)A4.不安全的物件參考(InsecureDirectObjectReference)A5.跨網站的偽造要求(Cross-SiteRequestForgery，簡稱CSRF)A6.資訊揭露與不適當錯誤A7.遭破壞的鑑別與連線管理A8.不安全的密碼儲存器A9.不安全的通訊(InsecureCommunication)A10.疏於限制URL存取(FailuretoRestrictURLAccess)資料來源：OWASP台灣分會OWASP:OpenWebApplicationSecurityProject(2007)TheTenMostCriticalWebApplicationSecurityVulnerabilities1.UnvalidatedParameters2.BrokenAccessControl3.BrokenAccountandSessionManagement4.Cross-SiteScripting(XSS)5.BufferOverflows6.CommandInjectionFlaws7.ErrorHandlingProblems8.InsecureUseofCryptography9.RemoteAdministrationFlaws10.WebandApplicationServerMisconfiguration(1).UnvalidatedParameters•Informationfromwebrequestsisnotvalidatedbeforebeingusedbyawebapplication.•Attackerscanuset