如果有接觸過網頁設計或曾經嘗試在網站、部落格放入表格，應該會覺得表格（Tables）是一個非常難搞的東西，不但原始碼複雜，沒有所見即所得編輯器似乎也很難直接寫出來，而在瀏覽器上使用的網頁編輯器又很難修改表格內容，有時候從其他文書處理工具直接複製貼上就會自帶很多用不到的程式碼，程式碼看起來很髒又無法符合當前的頁面風格，總之表格一直是很多人的痛，我也很少在網頁中用到表格，不過表格還是呈現一些數據相當好的方式。

若你要在網頁上用到表格語法，本文要介紹的「Tables Generator」會對你有幫助，這是一款線上表格語法產生器，可產生 LaTeX、HTML、純文字、Markdown 和 MediaWiki 表格語法，是個非常方便好用的工具。

這個表格產生器內建所見即所得編輯器，使用者可匯入資料，或是直接從其他來源像是 Google Docs、LibreOffice、網頁複製貼上表格內容，也能在網站中編輯表格欄位，最終產生適合使用的程式碼。Tables Generator 適合不熟悉 HTML、CSS 的朋友使用，如果你想為網站或是部落格（WordPress、Drupal 或任何支援 HTML 程式碼的平台）加入表格，那麼可以透過這個工具產生程式碼。

網站名稱：Tables Generator
網站鏈結：http://www.tablesgenerator.com/

使用教學

STEP 1

開啟 Tables Generator 網站，從上方選單選擇要產生的原始碼類型，前面有提到網站支援的語法包括 LaTeX、HTML、純文字、Markdown 和 MediaWiki。

STEP 2

如果你的表格是 .csv 檔案，可點選上方的「Import CSV file…」快速匯入資料，或將表格資料貼上等等，依照使用者切換的語法類型不同，也會顯示不一樣的功能選單。

主要的表格功能也可以從上方選單選取，包括新增、插入欄位、刪除欄位，文字樣式相關設定也能從編輯器上方功能列找到。

STEP 3

Tables Generator 最大優勢是可直接在網頁中編輯表格內容，包括各個欄位的文字、數值等等，編輯完成後點選下方「Generate」就會產生對應程式碼，預設情況下會帶入 CSS 樣式表，如果不需要（或是網頁部落格本身就有相關樣式）勾選 Do not generate CSS 就不會產生樣式程式碼。

STEP 4

最後，複製 Tables Generator 產生的原始碼貼到網頁或部落格就能看到表格效果，下方還有一些功能像是讓表格支援自適應設計、表格水平置中、第一個欄位是表格表頭（Table header）、啟用表格排序，勾選會即時更新上方的原始碼。

值得一試的三個理由：

1. 線上建立表格或從其他地方將表格資料貼上處理
2. 產生 LaTeX、HTML、純文字、Markdown 等表格語法
3. 可選擇是否帶入 CSS 樣式，針對細部選項進行調整

• 按一下以分享至 Facebook(在新視窗中開啟)
• 分享到 Twitter(在新視窗中開啟)
• 分享到 LinkedIn(在新視窗中開啟)
• 分享到 Pinterest(在新視窗中開啟)
• 分享到 Pocket(在新視窗中開啟)

相關文章

本站聲明:網站內容來源免費資源網路社群https://free.com.tw,如有侵權,請聯繫我們,我們將及時處理

【精選推薦文章】

自行創業 缺乏曝光? 下一步"網站設計"幫您第一時間規劃公司的門面形象

網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司，幫您輕鬆架站!

評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

台北網頁設計公司這麼多，該如何挑選?? 網頁設計報價省錢懶人包"嚨底家"

根據 W3Techs 統計，全世界有 33.9% 網站使用 WordPress 架設，在內容管理系統中坐擁超過六成的市佔率，WordPress 無疑是當前最受歡迎的部落格軟體和網站平台，你目前正在閱讀的免費資源網路社群也是使用 WordPress 技術。對於一般使用者來說，WordPress 提供非常廣泛、全面的特性，包括更改佈景主題、安裝外掛以擴展網站功能，本身亦有很好的搜尋引擎最佳化（SEO）效果和內建編輯器 Gutenberg，當然 WordPress 還提供中文在內等多國語言，對於不同語言來說有著相當好的相容性。

WordPress 最廣為人知的特色是「五分鐘快速安裝」，也就是可以在支援的環境下快速將網站建構出來，如果是有經驗的開發者，從無到有讓 WordPress 上線並不會花太多時間，對於要進行測試來說，也能在一個乾淨的網站進行，避免影響到現有網站運作。

以前我介紹過 Poopy.life 是一個可以快速建立 WordPress 測試環境的免費服務，這個工具對開發者非常有用，快速產生 WordPress 網站，而且提供使用者最高管理員權限，讓我們可直接在網站中測試 WordPress 相關功能。

本文要推薦的「DemosWP」是一個免費 WordPress 開發測試網站服務，只要註冊就能在幾秒內快速建立一個全新 WordPress 網站，同時附上 MySQL、SFTP 帳號密碼和 SSL 功能，也能複製、備份網站，安裝佈景主題或外掛程式等等。DemosWP 建置於 SiteGround，如果有在研究虛擬主機的話應該對這空間不陌生（想自己架一個網站嗎？請參考使用 SiteGround 虛擬主機一鍵快速安裝 WordPress 教學）。

比較特別的是 DemosWP 提供 MySQL 資料庫（含 phpMyAdmin）和 SFTP 帳號密碼，可進行的測試更多，在建立網站時能夠預先匯入測試資料，幫使用者填充原本沒有的內容，以便更快使用。目前註冊後

網站名稱：DemosWP
網站鏈結：https://demoswp.com/

使用教學

STEP 1

開啟 DemosWP 網站點選「Register」免費註冊一個帳號，依序填入使用者名稱、Email 後設定密碼即可完成註冊，不用進行身分驗證會直接跳轉到控制台。

STEP 2

接著點選「Create my first site」建立第一個 WordPress 測試網站。

建立網站時要設定網站名稱（網址）、使用者名稱、密碼、Email、WordPress 版本，記得在最下方語言部分選擇「正體中文」才能預先設定為中文介面，這邊設定的資料都是使用於接下來要安裝的 WordPress 網站，和 DemosWP 帳號密碼是不一樣的。

要注意的是設定時盡量使用英文數字，避免使用中文，否則在建立時可能發生問題。

之後還可以重新設定 WordPress 使用者帳號密碼或刪除重新建立網站，若忘記密碼也可透過 WordPress 內建功能重設。

在建立網站前按下「顯示進階選項」功能，可預先安裝外掛或佈景主題，其中有個非常方便的功能「Demo Content」，可以在安裝時順便把選擇的測試用資料匯入 WordPress，這裡提供的測試資料包括 WordPress 官方提供的內容、WPTest.io、Genesis 和 WooCommerce。

這些測試資料我曾經介紹過，如果你想用在其他地方可參考這幾篇文章：

• 如何下載、匯入 WordPress 佈景主題開發測試範例元件（Theme Unit Test）？
• WP Test 測試 WordPress 最棒範例內容，填充各種內容協助開發佈景主題

STEP 3

設定完成按下「Create Site」就會開始建立網站，大約一兩分鐘左右即可完成，等待網站狀態顯示為 Ready 就能開始使用。右側有一整排的設定選項，包括：檢視資訊、開啟網站首頁、開啟 WordPress 控制台、修復檔案權限、複製網站、搜尋取代網址、建立和備份資料庫、暫停網站、變更 WordPress 使用者密碼，如果要刪除網站只要點選最後方的刪除按鈕即可。

當前 DemosWP 允許使用者一次建立最多五個 WordPress 測試網站。

點選後可以看到網站使用的容量、剩餘容量、MySQL 資料庫帳號密碼、SFTP 使用者帳號密碼等資訊，就跟一般虛擬主機提供的資訊大同小異，DemosWP 還預先提供資料庫管理工具 phpMyAdmin 可以協助使用者從網頁端進入資料庫進行相關操作。

如果測試用的環境全部設定就緒，可透過「Clone Site」功能複製一個一模一樣的網站，這個功能非常好用，在 WordPress 主機服務也經常能看到類似功能。

STEP 4

下面幾張圖就是透過 DemosWP 建置出來的 WordPress 測試網站，可以看到我選擇預先匯入的測試內容已經在網站內，包括各種類型的文章、圖片、格式等等能反映出佈景主題設計。

當然在 WordPress 控制台部分跟一般自己找主機架設出來的網站一樣。

前面有提到 DemosWP 內建 phpMyAdmin 功能，透過提供的網址、MySQL 帳號密碼就能登入資料庫存取相關資料表。

既然是一個測試用的網站服務，記得不要在 DemosWP 儲存重要資料，因為這些內容可能會被刪除或無法使用，當然做為測試服務來說確實很方便，使用者不用從頭到尾自己安裝、建置 WordPress，可以快速給出一些測試用的資訊，對於在開發或測試 WordPress 佈景主題和外掛來說非常有用。

值得一試的三個理由：

1. 快速產生開發測試用途的 WordPress 網站
2. 提供 SFTP、MySQL、phpMyAdmin 和 SSL 等功能
3. 可預先匯入測試用內容

• 按一下以分享至 Facebook(在新視窗中開啟)
• 分享到 Twitter(在新視窗中開啟)
• 分享到 LinkedIn(在新視窗中開啟)
• 分享到 Pinterest(在新視窗中開啟)
• 分享到 Pocket(在新視窗中開啟)

相關文章

本站聲明:網站內容來源免費資源網路社群https://free.com.tw,如有侵權,請聯繫我們,我們將及時處理

【精選推薦文章】

智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

帶您來看台北網站建置，台北網頁設計，各種案例分享

廣告預算用在刀口上，網站設計公司幫您達到更多曝光效益

什麼是Sprint規劃？

Sprint規劃是scrum中用來啟動Sprint的事件。迭代規劃的目標是定義Sprint可以交付的內容，以及如何完成各項工作。迭代規劃需要整個scrum團隊合作完成。

與體育概念中的最後衝刺不同，scrum中的‘衝刺’（sprint）要求團隊一直保持極速狀態以提供可工作的軟件，與此同時還需要不斷學習和提高。

在scrum中，Sprint是所有工作都得以完成的一段時間。只是在開始行動前，需要設置Sprint的相關條件：例如要決定時間周期的長度、Sprint目標以及從何處開始行動。Sprint規劃會圍繞Sprint中的應辦事項和工作重點展開。如果組織得當，Sprint規劃會還能夠為團隊營造一個充滿激情和挑戰並指引團隊走向成功的環境。糟糕的Sprint規劃可能會因為設定不切實際的目標，而導致團隊的失敗。

• 做什麼——Product Owner闡述Sprint目標以及對實現目標有益的PBI。Scrum團隊據此決定在即將開始的Sprint中需要做什麼，以及要做哪些才能實現Sprint目標。
• 怎樣做——開發團隊根據需要交付的Sprint目標來規劃具體工作。經開發團隊和Product Owner協商一致后，最終得到一個基於價值和工作量的Sprint計劃。
• 誰來做——Sprint規劃必須要有Product Owner和開發團隊的參與。Product Owner根據產品的價值取向來制定Sprint目標。而開發團隊則需要弄清楚能否實現該目標。二者都必須參與，缺一不可，任何一方的缺席都將導致Sprint計劃無法進行。
• 輸入——Product Backlog是Sprint計劃中非常重要的一個出發點，因為它提供了可能會成為當前Sprint一部分的“基本特徵”表。除此之外，團隊還需要查看增量中已完成的工作，以了解進度和剩餘工作量。
• 輸出——Sprint規劃會議最重要的目的是讓團隊闡述Sprint目標，以及如何實現這個目標。這些內容將體現在Sprint的Backlog中。

Sprint規劃會的前期準備

要舉辦一場精彩的Sprint規劃會需要滿足一些基本要求。Product Owner要做好充足的準備，結合前一次的Sprint Review會議中總結的經驗教訓、利益相關者的反饋以及他們對產品的願景，奠定Sprint的基礎背景。透明度方面，Product Backlog應是更新后的版本，確保清晰精準。Backlog Refinement是scrum中一個可選事件，因為有些backlog不需要進行梳理優化的。但對大多數團隊而言，最好在sprint規劃會前將團隊聚在一起對backlog進行review並做出優化。

專家提示：
周期為2周的Sprint，要在中期舉行一次backlog梳理會議。跳出當前的Sprint來思考下一個對團隊來說大有裨益。這樣不僅能夠為Sprint規劃做準備，還可以為評估當前的工作提供不同的視角。

限制Sprint規劃的時間

Sprint規劃的時長應限制在每周兩小時以內。所以，一個為期兩周的Sprint，其規劃會議將不會超過兩個小時。這叫做“timeboxing”，即設定團隊完成一項任務所需的最長時間，在這個前提下，進行Sprint規劃。Scrum Master負責確保會議在規定時間內完成。如果團隊在限定時間內達到了滿意的效果，就可以認為會議順利完成。時間限制僅強調最長時間，對最短時間沒有限制。

專家提示：
將Sprint目標作為Sprint規劃的重點，不要將過多的精力放在Backlog的細節上。 聚焦目標而非具體的工作，才能讓團隊有更多的精力找到實現目標的最佳方案。

聚焦結果而非具體工作

在做Sprint規劃時，團隊很容易陷入“細節困境”，糾結於哪個任務應該先做，由誰做，以及完成這項任務需要多少時間等。對於比較複雜的工作，初期掌握的信息有限，且大部分判斷都是基於假設。Scrum是一個完全根據經驗的過程，這就意味着很多工作沒辦法提前規劃，而是要通過實踐來學習，然後將學習到的信息反饋到整個開發流程中。
Sprint目標以一個比較高的水平對Sprint的目標進行闡述，而backlog列表也可以用結果導向的思維來編寫。用戶故事是一種從用戶角度描述工作的非常好的方式。如下圖所示，用戶故事應該將焦點放在客戶最終想要實現的效果的缺陷、問題和改進上，而非觀察到的問題。

通過在用戶故事中添加清晰、可測量的結果，團隊可以清楚地衡量輸出結果，知道什麼時候才算完成。盡可能提前了解團隊聚焦的工作，這樣團隊中每個人在啟動工作時就不至於一無所知。例如，團隊可以將無法確定的事情定為需要在Sprint期間回答的問題，也好過讓其保持不清不楚的狀態。

專家提示：
無法確定某事和讓其保持不清不楚的狀態是兩回事。不要忽視未知事件，因為它們就是團隊必須腳踏實地完成的艱苦工作。但也不要使用含糊不清的描述來掩蓋或隱藏它們。相反，當你不了解某些事情時，要認清自己的無知，並將其列為需要進一步了解的工作。

預估是必要的，但不代表要假裝了解未知事項

Sprint規劃需要一定程度的預估。團隊需要明確Sprint中能或者不能完成的任務，即：預估工作量和實際工作量。工作量的預估經常與承諾相混淆。預估本質上是團隊根據當前掌握的知識做出的預測。衡量工作量大小的方法如故事點（story points）和T恤尺碼分類法（t-shirt sizing）分別為團隊提供了不同的視角來分析和看待問題。而它們並非神器，不能幫助團隊在尚未掌握足夠信息的前提下發現真相。因此，未知因素越多，預估的正確性就越低。
良好的預估要基於相互信任的環境，在這種環境下，團隊可以自由交換信息，在不斷的學習和改進中對假設進行論證。如果工作完成后證明前期的預估是錯誤的，那麼以後的預估要麼變得大很多，以確保不再出錯；要麼花更長的時間來進行預估，以避免再次出錯。

專家提示
團隊可以嘗試用不同的預估方法，如T恤尺碼分類法（t-shirt sizing）或故事點（story points）。因為不同的方法分析問題的角度不同。

Sprint規劃最佳實踐

Sprint規劃期間，團隊很容易陷入“細節困境”，導致他們忘了Sprint規劃的重點是為接下來的Sprint制定一個“恰到好處”的計劃。規劃不應成為團隊的負擔，而應該幫團隊專註於有價值的結果，並確保團隊保持正常的運行軌跡。好的Sprint規劃通過定義輸出的結果和清晰的計劃來獲得成功。但也要小心過猶不及，Sprint規劃中，要聚焦目標和恰到好處的Sprint Backlog，而不是面面俱到的規定Sprint中每一分鐘的工作計劃。接下來，就是確定Product Backlog的順序，以便團隊提前完成Sprint目標時能接着進入後續的工作中。
Scrum是一個旨在解決複雜問題的流程框架，而複雜問題的解決需要一個經驗積累的過程（即邊做邊學）。經驗積累的過程很難預先計劃，所以不要自欺欺人——要承認我們不可能制定完美的計劃。相反，可以專註於結果並投入到實際的工作中去，哪怕我們正在嘗試解決非常困難的問題，啟動工作仍可以是一件易事。

文章來源：Worktile敏捷博客

歡迎訪問交流更多關於技術及協作的問題。

文章轉載請註明出處。

【精選推薦文章】

自行創業 缺乏曝光? 下一步"網站設計"幫您第一時間規劃公司的門面形象

網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司，幫您輕鬆架站!

評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

台北網頁設計公司這麼多，該如何挑選?? 網頁設計報價省錢懶人包"嚨底家"

網站內容來源http://server.it168.com/

安全從業者談互聯網金融的安全隱患

2015-07-29 10:17    原創 　作者: 付蓉潔　編輯:
0購買

　　【IT168 案例】那些年，我嘗過的互聯網的鮮

　　我是一個數據庫安全從業者，儘管每天會聽到、看到、處理該領域相關的安全事件，但基於僥倖心理，從概率角度來推斷，從未想過，從未發生過，這種事情真的會落到自己的頭上。儘管我每天有數通電話是來自各種銀行擔保、投資理財、外匯交易，但這些，都沒有能夠足夠觸動到我那根敏感的神經，直到一個與往常一樣的下午，這件事的發生。。。

　　我同時是一個互聯網模式的擁躉，各種與此相關的新鮮事務，最新應用，我都會勇於去嘗試，期間不吝惜提供個人相關信息，這些信息包括，姓名、電話、郵箱，甚至與此關聯的身份證號碼(用過手機銀行的都知道，不提供是無法享受其服務的)，誰知道呢?即使我不說，聚集了一些字段后，按照現在大數據身份識別分析技術，恐怕早已經能夠智能解決“我是誰“這個哲學領域的複雜問題，而在現實身份認證中，關於“我是誰”早已迎刃而解。

　　手機銀行一出，我被深深吸引。直接手機下載App，我對這種方式，贊不絕口，屢試不爽，工資第一時間查看，理財線上操作，轉賬分分鐘的事情，不用排大隊，不用看四大行姑娘們養尊處優的臉色。緊接着，互聯網金融來了，別忘了，我是個互聯網的擁躉，自然不會錯過嘗鮮的機會，於是宜人貸、盈盈理財等各路APP被我嘗試了個遍。這些信息，都是需要身份證信息的，我統統貢獻出來，相信金融行業各家銀行保險機構的安全性。直到有一天，一連串的來電詢問，我整個人都毛了。

　　自作孽，不可活，終於攤上事兒了

　　就在近期，7月的一個下午，準確時間16點10分，我收到一封郵件，以我個人名義的註冊的一個外匯金融交易賬號註冊成功，且姓名、電話、郵箱地址完全吻合。本故事毫無虛構，完全真實，有圖有真相。接下來，在每一個時間點，奇妙的事情均在發生，而我的小心臟，也逐步加速跳動。

▲

　　接着，第二封郵件來襲，這次是獲取到金融賬戶登陸名密碼信息。　　

▲

　　緊接着4分鐘后，接到金融外匯公司的客服來電，但前兩次均因不明電話而未接聽。

　　2分鐘過後，郵件繼續追剿，金融外匯機構請求我與其聯繫。

▲

　　當日下午18點31分，因為對方多次來電，我便接聽了電話。客服詢問我是否為我本人，手機號是本人么，是不是在今天的幾點幾分用什麼郵箱賬號進行過怎樣的操作。這通電話中的一系列問題完成后，嚇了自己一身冷汗。對方的專業，直覺告訴我她不是個騙子，而且經我的核實確認后，發現不是本人操作，直接消除了此賬號，未能有更進一步實際操作。這個詢問過程結束了，我的聯想並未結束，關聯此前在銀行留下的諸多信息，開通過的諸多互聯網賬號，哪一個都綁着我的錢袋子， 怎能不擔憂?　　

　　整個事件，我的個人信息暴露無遺，在我毫不知情的情況下，被動完成了外匯交易平台註冊全過程，如果沒有人工核實校驗環節，以我名義被註冊的賬號，將開展系列交易動作，很可能還會和我現有的銀行賬戶掛鈎，那麼這個平台下所產生的交易盈虧，均將和我的賬戶做對應。或者我馬虎一些，直接對該賬戶進行存款操作，對方直接可獲漁翁之利。

　　站在數據庫安全行業的肩頭眺望

　　上文提到了，我是一個數據庫安全從業者，我們每天會面對銀行、保險、基金、互聯網金融各類企業用戶，在金融領域整體信息化建設的過程中，信息安全建設緊隨其後，但是黑客的能力也是在不斷進步的，而且系統越複雜，自身的漏洞也會越多，漏洞越多伴隨着的是黑客的攻擊手段也會越來越多。傳統的安全防護思維已經無法適應現在安全態勢的發展，原有部署的防病毒、網關類基礎安全產品，已經不足以抵禦愈變愈複雜的攻擊行為。這就好比我們把財富放在家裡，就覺得相對安全了，然後你把家裡的防盜門裝好，便認為家裡的東西本身就不需要再做什麼安全措施了。這就好比數據庫都是放到企業內部或者內網當中，在外圍加上防火牆，再加一些控制就變得很安全了。實際上這個是遠遠不足夠的，就拿銀行的內部系統來看，第一個就是內部很多第三方開發人員，他們可以直接訪問數據庫，有一些好一點，弄一個測試庫，但是測試庫又與真實數據庫中的數據相同，實際上在這種情況下數據庫中的數據是可以直接被開發人員拿走的;第二種情況就是運維人員，銀行內部大多也沒有足夠的運維人員，運維也是外包服務，這就造成外部的運維人員可以直接接觸到系統的生產庫，所以這些外部的運維人員是可以直接把數據庫中的數據拿走的。另外還有一些更可笑的，有一年，香港花旗銀行做裝修，裝修過程中由於安全防護沒做好，數據庫服務器丟了。數據庫服務器丟失以後，實際上後端的那些數據存儲是完全有手段還原成明文的。那個時候數據自身的一些防護措施已經不起作用了，花旗銀行的所有客戶資料都泄露了。

　　新興的互聯網金融業，多金，多用戶，更是在忙着業務，忙着系統如何快速支撐和運轉，對安全問題的重視程度並不是第一位考慮的因素，但站在個人用戶的角度，風險低、安全才是第一前提，然後才是如何在安全基礎上財務增值。從數據存儲的介質來看，核心數據最終都會落到數據庫里，如果數據庫被顛覆了，一切歸零，對於互聯網金融企業來講，損失不可預估。因此說，安全是一個水桶原理，往往是從最短板的地方流出，那麼現在發生的信息泄露事件90%以上都和數據庫有關，數據庫安全這塊最短的木桶短板，在互聯網金融這個新興領域仍不可忽視。

　　數據庫安全這個領域，因為新，因為尚未形成網絡安全同等的市場規模，業內基本的認知還停留在數據庫安全審計與防護，目前市面上被認知較多、用戶接受度較高較多的也是數據庫審計產品，該類事後追蹤審計產品確實在金融行業應用較多，但從安全防護的過程來看，數據庫安全同樣包含事前的數據庫安全體檢、事中的數據庫安全訪問控制防禦、庫內數據的加密和事後的行為監測與審計。而事後的追溯反映，快也要3到6個月，企業才會知道，而散落在外面的數據，在這個時間里，不知道已經被傳閱和販賣了多少次了。因此，事前的防禦和事中的過程控制不可或缺。通常數據庫防火牆和數據路加密產品，可以解決此類問題。

　　現在訪問數據的途徑變多了，那麼在系統中留下的後門和竊取數據的途徑也變多了，用戶數據的價值增大了，所以現在數據泄露事件頻發也是一個必然的現象，數據庫安全也在逐漸被企業提高維護意識。企業的安全意識在提高，涉及到個人的隱私信息，更是需要嚴格保密。真正讓用戶在享受互聯網金融便捷服務的同時，感到安心。

,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

自行創業 缺乏曝光? 下一步"網站設計"幫您第一時間規劃公司的門面形象

網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司，幫您輕鬆架站!

評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

台北網頁設計公司這麼多，該如何挑選?? 網頁設計報價省錢懶人包"嚨底家"

網站內容來源http://server.it168.com/

安華金和：從安全攻擊實例看數據庫安全

2015-08-31 01:30    原創 　作者: 廠商投稿　編輯:
0購買

　　【IT168 案例】兵法曰：知彼知己，百戰不殆。功與防的對抗是信息安全的主題，了解安全攻擊才能更好地進行安全防禦。本文通過對網絡信息安全攻擊的實例考察，了解黑客攻擊的路徑及技術手段，讓大家初步建立信息安全攻擊威脅的感性認識，同時也使安全從業者更多站在攻擊者的視角思考安全防護。

　　以上這個故事發生在一個發達國家，時間也並不久遠，主人公卡爾是一個曾做過軟件開發工程師，深諳信息安全攻擊之術，他實施信息安全攻擊的意圖非常明顯，就是要獲取經濟利益，而不只是通過惡作劇來達到炫耀自己的目的。

　　卡爾從報紙上看到好運公司發展迅猛，近一年時間銷售網點已遍布全國各地，根據卡爾的開發經驗，會有大量信息系統支持好運公司繁忙的銷售任務。卡爾推測，好運公司可能在快速發展過程中，忽視了信息安全建設，系統有可能存在一些漏洞，同時這些漏洞有可能帶來巨大的經濟利益，所以卡爾計劃把好運公司作為他的進攻對象。

　　誘惑與行動

　　在發動攻擊之前，卡爾需要收集好運公司的更多資料，他立刻開始了針對好運公司的偵察行動。首先想到的是通過域名管理系統找到好運公司網絡系統的地址(IP地址)，通過瀏覽網站，分析都有哪些業務系統可能存有敏感信息，甚至可以用網民的身份瀏覽或註冊好運公司的宣傳網站和論壇，通過普通賬戶登錄，就能很輕鬆的掌握使用何種開發技術完成的信息系統。卡爾通過互聯網就能知道這些開發技術可能存在的漏洞，比如：asp、php、jsp文件上傳控件存在的漏洞、SQL注入漏洞等。

　　技術性攻擊試探

　　卡爾首先針對好運公司的IP進行掃描，為了盡可能避免IDS(入侵偵測系統)的發覺和IPS(入侵防禦系統)的攔截，卡爾在互聯網上找到一個可當替罪羊利用的系統，安裝了FragRouter軟件(Fragrouter可以幫助黑客逃避入侵檢測后發起基於IP的攻擊)，避免自己的系統直接暴露在掃描通信的前方。

　　卡爾使用Nmap軟件(Nmap提供四項基本功能主機發現、端口掃描、服務與版本偵測、OS偵測，繞開防火牆/IDS/IPS，掃描web站點)。發現好運公司網絡的DMZ(隔離區)中TCP端口80開放的是web服務器，UDP 53端口開放的是DNS服務器，同時發現有個數據包過濾防火牆，至此，基本摸清了好運公司web服務器區的一般結構。

　　接着，卡爾用Nessus軟件對系統漏洞進行掃描與分析，想找到存在的安全漏洞或沒有打安全補丁的服務可以利用，但是，用Nessus軟件沒有發現好運公司網絡的DMZ區中有什麼可利用的漏洞。

　　尋找安全突破口

　　首戰未果並沒有打消卡爾攻擊好運公司的念頭，他通過瀏覽好運公司網站，希望獲得採取下一步行動的啟發。在網站描述中，卡爾很快發現該公司的一個銷售網點在離他家不遠的地方(銷售點A),真是天賜良機。於是，帶上自己安裝Linux的筆記本電腦，運行Wellreinter(是一個無線網絡查找工具，掃描器可以用來發現無線網絡)，其中有一個SSID叫goluco041的接入點，估計041是這個銷售點的編號。接着，用Linux的ifconfig命令修改本機的MAC地址解決MAC地址綁定措施，進入到銷售點A的內部網絡，並由該網絡根據DHCP協議分配了動態IP地址。

　　卡爾再次使用Nmap掃描到銷售點A的服務器打開了22端口，一般是SSH服務(管理員用來遠程管理Linux操作系統的服務)，具有系統控制功能。卡爾運行Hydra口令猜測工具(Hydra linux下暴力破解工具，利用密碼字典生成器生成強大的字典破解SSH)，對root、admin和operator等一系列常規的用戶賬戶進行逐個口令猜測。令卡爾高興的是opterator賬戶口令竟是rotarepo，僅僅是賬戶名字的反轉。卡爾便利用這個賬戶堂而皇之登錄到銷售點A的服務器。對系統文件進行瀏覽，找到在一個目錄下，發現有價值的文件，該文件記錄了該銷售點100天以上的交易記錄，於是卡爾獲得了超過10萬張信用卡信息，這些信息包括信用卡號，持卡人姓名，有效期截止日等，卡爾將這些信息在網絡地下黑市售賣，，以此獲利。

　　擴大戰果

　　卡爾憑藉著對銷售點A的攻擊經驗，考慮到好運公司發展速度驚人，卡爾推測各銷售點的網絡信息系統可能採用相同的模式進行部署，因而以同樣的方式攻陷了銷售點B服務器，又得到了另一批信用卡信息。但是，這種攻擊方式並不省事，因此，卡爾設法嘗試更便捷的方法。

　　登上制勝之巔

　　卡爾通過嗅探程序發現POS機與服務器間傳輸的交易信息，這是個非常有價值的信息，显示銷售點還向其他網絡中的服務器發送交易請求，而且，這些交易請求是以明文傳送的，接受授權請求信息的目的服務器地址。這一次卡爾通過銷售點A被攻陷的機器，通過VPN網絡連接到好運公司總部的中央網絡系統中的服務器，運行Nmap工具對服務器進行端口掃描，發現該服務器開放TCP443端口，這表明該服務器應該提供了一個HTTPs服務，負責處理所有的信用卡交易並管理公司的業務。

　　鑒於要攻擊web應用系統，卡爾有兩種途徑，一種是由於上傳文件類型未過濾或過濾機制不嚴可以上傳腳本文件，上傳文件漏洞通過上傳文件可達到控制網站權限的目的。第二種是通過SQLmap工具發現跨站腳本和SQL注入漏洞，利用SQL注入漏洞獲取後端數據庫的敏感數據。

　　當然了，卡爾如果是以後端數據庫為目的，還可能使用Nmap工具掃描數據庫服務器的端口號，繞過合法應用訪問數據庫，通過嘗試缺省賬戶口令登錄數據庫服務器，或者通過應用服務器找到數據庫訪問賬戶，最終卡爾獲得了200個銷售點的所有顧客信息，含有100多萬張信用卡信息。

　　尾聲

　　卡爾的攻擊已經大獲全勝，為了掩蓋蹤跡，銷毀了所有與這次信用卡信息攻擊行為有關的信息，撤離攻擊現場，享受“勝利果實”。

　　相關機構的安全響應措施也是非常及時的，在一段時間內，大量信用卡用戶遇到欺詐行為，涉案信用卡有一個共同點，那就是曾在好運公司進行過信用卡交易，由此監管機構發現好運公司出現了問題，並通知了好運公司。

　　好運公司展開內部調查，證實曾經發生過安全事件，按照有關法律，好運公司不得不告知信用卡持卡人，並履行相應的賠償。由於這次卡爾發動的信用卡信息盜竊，好運公司蒙受了慘痛的聲譽和經濟損失。

　　要想知道卡爾都使用了哪些攻擊技術，對於好運公司的內部安全運維如何進行，請關注下一篇章。

,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

智慧手機時代的來臨，RWD網頁設計已成為網頁設計推薦首選

想知道網站建置、網站改版該如何進行嗎?將由專業工程師為您規劃客製化網頁設計及後台網頁設計

帶您來看台北網站建置，台北網頁設計，各種案例分享

廣告預算用在刀口上，網站設計公司幫您達到更多曝光效益

網站內容來源http://server.it168.com/

銳雲通：當心私接AP引發無線安全隱患

2015-08-31 10:08    原創 　作者: 李蓬閣　編輯:
0購買

　　【IT168 案例】近日，一家大型公司的網管發現了一個比較棘手的問題，他在檢查無線系統運行情況時，發現2台部署在研發區的AP，無線接入速率在持續下降，丟包率增加到70%，甚至有研發同事反映無線連接有中斷現象發生。這讓小張有點摸不到頭腦，因為他之前已經對公司無線系統制定了嚴格的准入規則，可為什麼還會發生這樣嚴重的問題呢?　　

▲圖1 無線性能急劇下降

　　為了解決這個問題，小張專門從無線安全領域的專業廠商銳雲通，請來無線安全工程師一起進行檢查，銳雲通工程師發現小張公司的無線網絡存在這樣一系列問題：

　　1. AP自身帶寬使用率為55%;

　　2. AP接入用戶25人，數量在設定範圍之內(60人);

　　3. 筆記本無線信號從原來的滿格(6格)，減少到2格;

　　4. 網頁瀏覽速度比平常慢了許多，需要5秒鐘才能打開新頁面;

　　5. 從筆記本Ping網關出現了丟包(70%);

　　6. 網管平台監控發現AP自身數據流量持續降低。

　　那麼問題發生在哪呢?銳雲通工程師根據經驗猜測小張公司研發部區內可能有外部無線設備嚴重干擾了公司無線系統的正常運行。於是，銳雲通工程師採用無線安全檢測系統進行深入檢測。

　　經過對研發工作區的無線掃描與檢測，銳雲通工程師最終確認部署在該區域的兩台AP受到來自外部無線設備的同頻同信道干擾，導致其信號變差、大量丟包、連接中斷等現象。這台外部無線設備由研發部一位同事為工作方便帶來，私自接入工位上有線端口，設備無線發射功率達到500mW，相距研發區內部AP僅5米，直接導致研發區域內公司無線系統性能急劇下降　　

▲圖2 糟糕的無線使用環境

　　找到了“病根”，問題也就不難解決了。不過為了以後杜絕此類問題的發生，小張諮詢銳雲通工程師：“能在問題發生前，就能對外部無線設備的非法接入進行有效阻止，實現全天不間斷檢測呢?”

　　銳雲通工程師表示，這是可以實現的，只需要啟用AP的無線入侵防禦探測(即wIPS)功能就可以了。即當發生外部無線設備非法接入時，能立即檢測到，並且可以實時阻斷，使它無法對公司無線網絡正常運行產生射頻信號干擾和安全攻擊。

▲圖3 雙頻啟用wIPS防禦能力

　　銳雲通工程師同時指出，AP有單頻和雙頻(同時支持2.4G和5G頻段)之分，其中雙頻AP可以在兩個頻段可以同時開啟wIPS與無線接入功能，單頻AP，根據需要檢測的環境，依據一對多的原則(最高1：8，在覆蓋區域內，監測至少8台接入AP的運行狀態)，部署wIPS AP。　　

▲圖4wIPS防禦體系拓撲

　　按照銳雲通工程師建議，小張在接下來的安全無線網絡管理工作中，開啟了雙頻AP的wIPS功能，同時在單頻AP覆蓋區域內，部署了少量的wIPS AP，建立了完整的物理射頻安全無線區域，有效避免了外部無線設備非法接入公司無線網絡的事件發生。

　　針對小張公司的事例，銳雲通工程師特彆強調，私接AP安全隱患較大，主要是因為用戶在企業網絡中接入弱密碼(甚至無密碼)的私用AP，形成無線被非法用戶侵入，而導致企業信息發生泄漏，在今年初發生的天河一號安全事件就是非常典型的這類非法入侵事件。

　　在此，銳雲通工程師也強烈建議：企業無線環境複雜，除了制定完善的無線准入規則，也要建立真正安全可靠，持續穩固的無線入侵防禦體系，才能根本保障企業無線通訊信息安全。

, ,
網站內容來源http://safe.it168.com/網站內容來源http://safe.it168.com/

【精選推薦文章】

自行創業 缺乏曝光? 下一步"網站設計"幫您第一時間規劃公司的門面形象

網頁設計一頭霧水??該從何著手呢? 找到專業技術的網頁設計公司，幫您輕鬆架站!

評比前十大台北網頁設計、台北網站設計公司知名案例作品心得分享

台北網頁設計公司這麼多，該如何挑選?? 網頁設計報價省錢懶人包"嚨底家"