① 实现数据完整性有那些方法
数据的完整性靠添加约束实现。实现完整性约束的方法依类别不同而不同。完整性约束可以分为两大类：静态约束和动态约束。
1、静态约束
静态约束是对数据库状态的约束，有可分为固定约束、隐含约束和显示约束。
2、固定约束
是数据模型固有的约束，如关系的属性是原子的，即满足INF的约束。固有约束在DBMS实现时已经考虑。
3、隐含约束
指隐含于数据模式中的约束，一般用数据定义语言（DDL）语句说明，并存于数据目录中。例如，域完整性约束、实体完整性以及参照完整性约束，都由相应的DDL语句说明。
4、显示约束
固有约束、隐含约束是最基本的约束，但概括不了所有的约束。数据完整性是多种多样的，且依赖于数据的语义与应用，这些约束只有显式地说明，故称显式约束。显式约束的说明一般有三种方法：
①用过程说明约束。这种方法不约束的说明和检验交给应用程序，应用程序中可以插入一些过程，以检验数据库更新是否违反给定的约束，如果违反约束，则回滚事务。检验约束的过程一般用通用高级程序语言编写，可以表达各式各样的约束。这是一种普遍方法。
②用语言说明约束。断言指数据库状态必须满足的逻辑条件。数据库完整性约束可以看成一系列断言的集合。为了表示约束，DBMS须提供断言说明语言。
③用触发子表示约束。触发子是一个软件机制，其功能相当于WHENEVERTHEN，即一旦给定条件成立，系统就引发相应的动作。利用触发子可以表示约束，以违反约束作为条件，以违反约束的处理作为动作。
动作不限于回滚事务，也可以给用户一个消息或过程。在系统中定义一批触发之后，就会监督数据库状态，一旦出现违反约束的更新，就会引发相应的动作。
5、动态约束
动态约束不是对数据库状态的约束，而是数据库从一个状态变为另一个状态时应遵守的约束，例如在更新职工表时，工资、工龄这些属性值一般只会增加，不会减少。动态约束一般也是显式说明的。
在上述约束中，固有约束必然实施，隐含约束在大部分现代DBMS中基本实施或部分实施，显式和动态约束只在个别DBMS中实施。
(1)web保证数据完整性扩展阅读
知识点①：对数据操作语句来说，数据存储到数据库中，如果我们不对其进行分析和处理的话那么数据就是没有价值的，这种用户对数据中数据的操作大多数查询和修改的，修改包括了增加新的数据删除旧的数据以及更改已有的数据。
那么SQL语言提供了功能强大的数据查询以及修改功能，那么他的查询功能是html语言的核心功能，这是数据库中使用得最多的操作，那么查询语句也是SQL语言中比较复杂的一个语句。
知识点②：其实查询语句是数据库操作中最基本和最重要的女婿之一，它的功能是从数据库中检索满足条件的数据，查询的数据源可以来自一张表也可以来自多张表甚至是仕途，那么他的查询功能是由领航。
或者多煮几路组成的一个记录集合，并允许选择一个或多个字段来作为，输出字段了，查询语句的基本结构可以描述，在一些结构中，我们可以对指定的输出字段以及用于指定数据的来源，那么他有什么单表查询呢，数据源只设计一张表查询的话是为了帮助读者更好地理解SQL语句中的执行情况，这里指大部分查询语句均列出来返回了结果。
② Web数据库的层次体系
当前，Internet/Intranet技术发展异常迅速，越来越多的数据库应用软件运行在Internet/Intranet环境下。在此之前，数据库应用系统的发展经历了单机结构、集中式结构、客户机/服务器（C/S）结构之后，随着Internet的普及，又出现了浏览器/服务器（B/S）结构与多层结构。在构造一个应用系统时，首先考虑的是系统的体系结构，采用哪种结构取决于系统的网络环境、应用需求等因素。
客户机/服务器结构
1．二层C/S结构
二层C/S结构是当前非常流行的数据库系统结构，在这种结构中，客户机提出请求，服务器对客户机的服务请求做出回答。它把界面和数据处理操作分开在前端（客户端）和后端（服务器端），这个主要特点使得C/S系统的工作速度主要取决于进行大量数据操作的服务器，而不是前端的硬件设备；同时也大大降低了对网络传输速度的要求，因为只须客户端把服务请求发送给数据库服务器，数据库服务器只把服务结果传回前端。
在设计时，对数据可能有如下不同的处理形式。
（1）在处理时，客户机先向服务器索取数据，然后释放数据库，即客户机发出的是文件请求，在客户机端处理数据，最后将结果送回服务器。这种处理方式的缺点很明显：所有的应用处理都在客户端完成，这就要求客户端的计算机必须有足够的能力，以便执行需要的任何程序。更为糟糕的是，由于所有的处理均在客户端完成，每次运行时都要将文件整体传送到客户端，然后才能执行。如：Student表中有30 000条记录，客户端发出命令：
Select * From Student Where Sno='200101'
这条命令将要求服务器将Student表中的所有记录传送到客户端，然后在客户端执行查询，结果只用到一条记录；如果查询的记录不存在，网络传输的数据实际上是无 用的。如此大的数据传输量是不可想象的。因此，人们提出了在服务器中能够执行部分代码的客户机/服务器结构。
（2）在处理时，客户机接受用户要求，并发给服务器；在服务器端处理用户要求，最后将结果传回客户机显示或打印。这种处理方式网络通信量较小。客户机向服务器发出的是处理请求，而不是文件请求，处理请求中的代码在服务器端执行后向客户机传送处理后的结果。
这样，为了特定任务，客户机上的程序和服务器上的程序协同工作：客户机端的代码用于完成用户的输入输出及数据的检查，而服务器端的代码完成对数据库的操作。
客户机/服务器结构的另一个主要特点在于软件、硬件平台的无关性。数据库服务器上的数据库管理系统集中负责管理数据，它向客户端提供一个开放的使用环境，客户端通过数据库接口，如ODBC（开放数据库连接）和SQL语言访问数据库，也就是说，不管客户端采用什么样的硬件和软件，它只要能够通过网络和数据库接口程序连接到服务器，就可对数据库进行访问。
在客户机/服务器结构中，常把客户机称为前台，而把服务器端称为后台。前台应用程序的功能包括用户界面、接收用户数据、处理应用逻辑、向后台发出请求、同时接收后台返回的结果，最后再将返回的结果按一定的格式或方式显示给用户。而后台服务器则负责共享外部设备、存取共享数据、响应前台客户端的请求并回送结果等工作。前台的应用程序和数据一般是用户专用的，而后台的数据和代码是所有用户可以共享的。
由于数据库服务器不仅要管理共享数据，保证数据的完整性，还要执行一部分代码，完成客户端的一些处理请求，所以对用于服务器的计算机提出较高的要求。最好要采用一台专用的服务器，有较快的处理速度，有大容量的硬盘和内存，支持磁带等大容量的存储设备。
上面讲的客户机/服务器结构将应用分在了客户机、服务器两级，称其为两层客户机/ 服务器结构。总之，两层C/S结构的基本工作方式是客户程序向数据库服务器发送SQL请求，服务器返回数据或结果。
这种C/S结构有两种实现方式，一种是客户来完成表示部分和应用逻辑部分，而服务器完成数据访问部分，这种情况是以客户为中心的，适用于应用相对简单、数据访问量不是很大的情况。另一种是以服务器为中心的，把一些重要的应用逻辑部分放到服务器上，这样可充分利用服务器的计算能力，减少网络上需要传送的数据。通常以存储过程和触发器的形式出现，但存储过程都依赖于特定数据库，不同数据库之间很难移植，而三层C/S结构可以很好地解决这个问题。
注意：触发器（trigger）是数据库系统中，一个在插入、删除、修改操作之后运行的记录级事件代码。不同的事件可以对应不同的动作。通常有3种类型的触发器：INSERT触发器、DELETE触发器和UPDATE触发器。
2．三层C/S结构
由于两层结构的客户机/服务器系统本身固有的缺陷，使得它不能应用于一些大型、结构较为复杂的系统中，故出现了3层结构的客户机/服务器系统，将两层结构中服务器部分和客户端部分的应用单独划分出来，即采用“客户机—应用服务器—数据库服务器”结构（如图1-8所示）。典型的数据库应用可分为三部分：表示部分、应用逻辑（商业逻辑）部分和数据访问部分，三层结构便是对应于这三部分。
其中，应用服务器和数据库服务器可位于同一主机，也可位于不同主机。客户机是应用的用户接口部分，负责用户与应用程序的交互，运行在客户机端的软件也称为表示层软件。应用服务器存放业务逻辑层（也称为功能层）软件，是应用逻辑处理的核心，实现具体业务。它能响应客户机请求，完成业务处理或复杂计算。若有数据库访问任务时，应用服务器层可根据客户机的要求向数据库服务器发送SQL指令。应用逻辑变得复杂或增加新的应用时，可增加新的应用服务器。数据库服务器便是用来执行功能层送来的SQL指令，完成数据的存储、访问和完整性约束等。操作完成后再通过应用服务器向客户机返回操作结果。
浏览器/服务器结构
随着Internet技术和Web技术的广泛应用，C/S结构已无法满足人们的需要。因为在典型C/S体系中，通常为客户安装前端应用程序的做法已不再现实，并且限制客户端工作环境只能基于Windows、Macintosh或UNIX等操作系统也不切实际。于是基于浏览器/服务器结构（Browser/Server）的系统应运而生。
采用B/S结构后，在客户端只需安装一个通用的浏览器即可，不再受具体操作系统和硬件的制约，实现了跨平台的应用。
基于B/S结构的典型应用通常采用三层结构：“浏览器—Web服务器—数据库服务器”，B/S模式的工作原理是：通过浏览器以超文本的形式向Web服务器提出访问数据库的请求，Web服务器接受客户请求后，激活对应的CGI程序将超文本HTML语言转化为SQL语法，将这个请求交给数据库，数据库服务器得到请求后，进行数据处理，然后将处理结果集返回给CGI程序。CGI再将结果转化为HTML，并由Web服务器转发给请求方的浏览器，如图1-9所示。
在B/S模式中，客户端的标准配置是浏览器，如IE；业务功能处理由独立的应用服务器处理，Web服务器成为应用处理的标准配置；数据处理仍然由数据库服务器处理。
从本质上讲，B/S结构与传统的C/S结构都是以同一种请求和应答方式来执行应用的，区别主要在于：C/S是一种两层或三层结构模式，其客户端集中了大量应用软件，而B/S是一种基于超链接（HyperLink）、HTML、Java的三级或多级C/S结构，客户端仅需单一的浏览器软件，是一种全新的体系结构，解决了跨平台问题。到目前，这两种结构在不同方面都有着广泛的应用。虽然C/S结构在Internet环境下明显不如B/S结构具有优势，但它在局域网环境下仍具有优势。
Internet/Intranet信息系统的多层体系结构
多层结构应用软件与传统的两层结构应用软件相比，有可伸缩性好、可管理性强、安全性高、软件重用性好等诸多优点，如何在Internet/Intranet环境下构建应用软件体系结构就成为一个非常重要的问题，也是现今软件体系研究的一个新热点。
目前各种技术层出不穷，如最初的静态HTML页面、简单的CGI网关程序、Java Applet程序，现在的ASP等Web数据库技术，还有动态的Java在线游戏及PHP技术等。
实际上，多层的概念是由Sun公司提出来的。Sun公司提出的多层应用体系包括4层：客户层、顶端Web服务层、应用服务层和数据库层。其中顶端Web服务层是Sun公司多层体系结构中非常重要的一层，它主要起代理和缓存的作用。顶端Web服务器的作用是缓存本地各客户机经常使用的Java Applet程序和静态数据，通常被放置在客户机所在的局域网内，起到一个Java Applet主机（向Web浏览器传送Java Applet程序的计算机）和访问其他服务的代理作用。与普通代理服务器的作用相同。构建多层结构应用软件时，选用Java平台是一个很好的选择，因为它跨越各应用平台。总之，在Java平台上构建多层应用软件体系代表着今后Internet/Intranet应用的趋势。
③ 请问什么是数据的完整性如何保证数据的完整性
数据完整性（Data Integrity）是
指数据的精确性（Accuracy） 和可靠性（Reliability）。它是应防止数据库中存在不符合语义规定的数据和防止因错误信息的输入输出造成无效操作或错误信息而提出的。数据完整性分为四类：实体完整性（Entity Integrity）、域完整
性（Domain Integrity）、参照完整性（Referential Integrity）、用户定义的完整性（User-definedIntegrity）。
保证数据的完整性:
1. 用约束而非商务规则强制数据完整性
如果你按照商务规则来处理需求，那么你应当检查商务层次/用户界面：如果商务规则以后发生变化，那么只需要进行更新即可。
假如需求源于维护数据完整性的需要，那么在数据库层面上需要施加限制条件。
如果你在数据层确实采用了约束，你要保证有办法把更新不能通过约束检查的原因采用用户理解的语言通知用户界面。除非你的字段命名很冗长，否则字段名本身还不够。 — Lamont Adams
只要有可能，请采用数据库系统实现数据的完整性。这不但包括通过标准化实现的完整性而且还包括数据的功能性。在写数据的时候还可以增加触发器来保证数据的正确性。不要依赖于商务层保证数据完整性；它不能保证表之间（外键）的完整性所以不能强加于其他完整性规则之上。
— Peter Ritchie
2. 分布式数据系统
对分布式系统而言，在你决定是否在各个站点复制所有数据还是把数据保存在一个地方之前应该估计一下未来5 年或者10 年的数据量。当你把数据传送到其他站点的时候，最好在数据库字段中设置一些标记。在目的站点收到你的数据之后更新你的标记。为了进行这种数据传输，请写下你自己的批处理或者调度程序以特定时间间隔运行而不要让用户在每天的工作后传输数据。本地拷贝你的维护数据，比如计算常数和利息率等，设置版本号保证数据在每个站点都完全一致。
— Suhair TechRepublic
3. 强制指示完整性
没有好办法能在有害数据进入数据库之后消除它，所以你应该在它进入数据库之前将其剔除。激活数据库系统的指示完整性特性。这样可以保持数据的清洁而能迫使开发人员投入更多的时间处理错误条件。
— kol
4. 关系
如果两个实体之间存在多对一关系，而且还有可能转化为多对多关系，那么你最好一开始就设置成多对多关系。从现有的多对一关系转变为多对多关系比一开始就是多对多关系要难得多。
— CS Data Architect
5. 采用视图
为了在你的数据库和你的应用程序代码之间提供另一层抽象，你可以为你的应用程序建立专门的视图而不必非要应用程序直接访问数据表。这样做还等于在处理数据库变更时给你提供了更多的自由。
— Gay Howe
6. 给数据保有和恢复制定计划
考虑数据保有策略并包含在设计过程中，预先设计你的数据恢复过程。采用可以发布给用户/开发人员的数据字典实现方便的数据识别同时保证对数据源文档化。编写在线更新来“更新查询”供以后万一数据丢失可以重新处理更新。
— kol
7. 用存储过程让系统做重活
解决了许多麻烦来产生一个具有高度完整性的数据库解决方案之后，我所在的团队决定封装一些关联表的功能组，提供一整套常规的存储过程来访问各组以便加快速度和简化客户程序代码的开发。在此期间，我们发现3GL 编码器设置了所有可能的错误条件，比如以下所示：
SELECT Cnt = COUNT (*)
FROM [<Table>]
WHERE [<primary key column>] = <new value>
IF Cnt = 0
BEGIN
INSERT INTO [<Table>]
( [< primary key column>] )
VALUES ( <New value> )
END
ELSE
BEGIN
<indicate plication error>
END
而一个非3GL 编码器是这样做的：
INSERT INTO [<Table>]
( [< primary key column>] )
VALUES
( <New value> )
IF @@ERROR = 2627 -- Literal error code for Primary Key Constraint
BEGIN
<indicate plication error>
END
第2 个程序简单多了，而且事实上，利用了我们给数据库的功能。虽然我个人不喜欢使用嵌入文字（2627）。但是那样可以很方便地用一点预先处理来代替。数据库不只是一个存放数据的地方，它也是简化编码之地。
— a-smith
8. 使用查找
控制数据完整性的最佳方式就是限制用户的选择。只要有可能都应该提供给用户一个清晰的价值列表供其选择。这样将减少键入代码的错误和误解同时提供数据的一致性。某些公共数据特别适合查找：国家代码、状态代码等
④ 别人给我发的web服务端，会不会泄露数据库的数据
会，但是如果WEB服务器租用用户使用了SSL证书的话，客户端和服务端之间的通信内容已被加密，第三方再想窥探或篡改难上加难，HTTPS是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，可防止数据在传输过程中不被窃取、改变，确保数据的完整性。
所以，如果安装了SSL 证书的话，是不需要担心泄露数据的。
vTrus是天威诚信建设的通过国际WebTrust审计认证的,国产自主CA品牌,将以国际标准化的运营管理和服务水平,为中国企业网站可信认证,提供“安全”动力!
⑤ 无线路由器Web认证设置教程
作为不同网络之间互相连接的枢纽，路由器系统构成了基于TCP/IP 的国际互联网络Internet 的主体脉络，也可以说，路由器构成了Internet的骨架。目前越来越多的服务场所采用了无线路由器Web认证来实现上网登录，那么，无线路由器Web认证怎么设置?对此，本文就以TP-LINK路由器为例，来为大家介绍Web认证无线路由器的设置方法
Web认证TP-LINK路由器步骤：
Web认证的设置第一步、web认证配置
举例型号。TL-ER6520G
登录路由器管理界面，点击 认证管理 >> 认证设置 >> Web认证，具体设置如下。
注意。认证方式若选择为“一键上网”，则无需第二步“新增用户”。
Web认证的设置第二步、新增用户
点击 认证管理 >> 用户管理 >> 本地用户，点击 新增，如下。
用户设置如下。
添加完成用户后，即可开始验证认证效果。
Web认证的设置第三步、连接无线上网
1.连接无线信号
无线终端(手机)连接无线网络后，跳转到认证登录页面(部分Android手机需要打开浏览器)，如下。
2.登录上网
输入用户名、密码，点击 登录 后，无线终端就可以免费上网。
至此，Web认证设置完成，无线终端只需要连接Wi-Fi信号，输入对应的认证用户名密码即可上网。
如果您想查看通过认证的终端列表，可以点击 认证管理 >> 认证状态，如下。
相关阅读：路由器安全特性关键点
由于路由器是网络中比较关键的设备，针对网络存在的各种安全隐患，路由器必须具有如下的安全特性：
(1)可靠性与线路安全 可靠性要求是针对故障恢复和负载能力而提出来的。对于路由器来说，可靠性主要体现在接口故障和网络流量增大两种情况下，为此，备份是路由器不可或缺的手段之一。当主接口出现故障时，备份接口自动投入工作，保证网络的正常运行。当网络流量增大时，备份接口又可承当负载分担的任务。
(2)身份认证路由器中的身份认证主要包括访问路由器时的身份认证、对端路由器的身份认证和路由信息的身份认证。
(3)访问控制对于路由器的访问控制，需要进行口令的分级保护。有基于IP地址的访问控制和基于用户的访问控制。
(4)信息隐藏与对端通信时，不一定需要用真实身份进行通信。通过地址转换，可以做到隐藏网内地址，只以公共地址的方式访问外部网络。除了由内部网络首先发起的连接，网外用户不能通过地址转换直接访问网内资源。
(5)数据加密
为了避免因为数据窃听而造成的信息泄漏，有必要对所传输的信息进行加密，只有与之通信的对端才能对此密文进行解密。通过对路由器所发送的报文进行加密，即使在Internet上进行传输，也能保证数据的私有性、完整性以及报文内容的真实性。
(6)攻击探测和防范
路由器作为一个内部网络对外的接口设备，是攻击者进入内部网络的第一个目标。如果路由器不提供攻击检测和防范，则也是攻击者进入内部网络的一个桥梁。在路由器上提供攻击检测，可以防止一部分的攻击。
(7)安全管理
⑥ Web安全问题解答
很多新手都觉得自己的电脑web经常被木马侵袭，所以下面我为大家带来电脑基础知识学习之Web安全问题，让你了解下如何安全的保护好自己的电脑。
1、什么叫Web应用系统?
答：Web应用系统就是利用各种动态Web技术开发的，基于B/S(浏览器/服务器)模式的事务处理系统。用户直接面对的是客户端浏览器，使用Web应用系统时，用户通过浏览器发出的请求，其之后的事务逻辑处理和数据的逻辑运算由服务器与数据库系统共同完成，对用户而言是完全透明的。运算后得到的结果再通过网络传输给浏览器，返回给用户。比如：ERP系统、CRM系统以及常见的网站系统(如电子政务网站、企业网站等)都是Web应用系统。
2、为什么Google把我的网站列为恶意网站
答：Google在对网站内容进行搜索时，同时也会检查是否含有恶意软件或代码(这些恶意软件或代码可能威胁该网站的访问者)。如果该网站存在这样的恶意软件或代码，就会在用户搜索到该网站时，加上一个标记：“该网站可能含有恶意软件，有可能会危害您的电脑”。这将会使网站信誉受损，并导致潜在的用户流失。
3、Web威胁为什么难以防范
答：针对Web的攻击已经成为全球安全领域最大的挑战，主要原因有如下两点：
1. 企业业务迅速更新，需要大量的Web应用快速上线。而由于资金、进度、意识等方面的影响，这些应用没有进行充分安全评估。
2. 针对Web的攻击会隐藏在大量正常的业务行为中，而且使用各种变形伪装手段，会导致传统的防火墙和基于特征的入侵防御系统无法发现和阻止这种攻击。
4、黑客为什么要篡改网站页面
答：当黑客获取网站的控制权限后，往往会更改网站页面，可能的动机有：
1. 宣称政治主张;
2. 炫耀技术，建立“声望”;
3. 宣泄情绪;
4. 经济利益，通过网站释放木马，从而获取经济利益。
5、黑客实施网站挂马的目的是什么
答：网站挂马的主要目的是控制访问该网站的用户的计算机，从而可以进一步获取用户的计算机隐私信息而获利，或者将这些用户的计算机作为“肉鸡”，对 其它 服务器或网络进行DDos攻击。
6、为什么我网站的数据库表内容被大量替换?
答：如果排除了管理员误操作的可能性，则可能是网站服务器被自动化攻击工具(如SQL注入工具等)攻击的结果。目前已经有自动化的工具对网站进行攻击，如果网站存在漏洞的话，攻击工具能够获得对网站数据库访问的权限。如果发现这种情况，应该仔细核查网站服务器和数据库服务器日志，找出更改记录。
7、在Web威胁防御中防火墙的优点和不足
答：防火墙可以过滤掉非业务端口的数据，防止非Web服务出现的漏洞，目前市场上可选择的防火墙品牌也较多。但对于目前大量出现在应用层面上的SQL注入和XSS漏洞，防火墙无法过滤，因而无法保护Web服务器所面临的应用层威胁。
8、常见发布系统之IIS
答：IIS 是Internet Information Server的缩写，是由微软开发的一种Web服务器(Web server)产品，用以支持HTTP、FTP和SMTP服务发布。 它主要运行在微软的 操作系统 之上，是最流行的Web服务器软件之一。
9、常见Web服务器之Apache
答：Apache是Web服务器软件。它可以运行在几乎所有广泛使用的计算机平台上。Apache源于NCSAhttpd服务器，经过多次修改，已成为世界上最流行的Web服务器软件之一。
10、Apache是不是比IIS要安全
答：早期的IIS在安全性方面存在着很大的问题，如果使用默认设置，黑客可以轻松趁虚而入。不过在IIS6中，微软公司对其安全方面进行了大幅改进。只要保证操作系统补丁更新及时，就可以将网站安全系数尽可能地提高。
Apache在安全方面一直做得比较好，更主要的原因是很多用户都是在linux系统下使用Apache。相对于微软的操作系统，Linux系统被发布的安全按漏洞更少一些。
从技术角度讲，两个Web服务器的安全性没有本质区别，一个完整的Web系统的安全性更取决于Web程序的安全性以及Web服务器配置的正确性。
11、什么叫应用防火墙
答：应用防火墙的概念在上个世纪九十年代就已经被提出，但在最近几年才真正走向成熟和应用。应用防火墙的概念与网络防火墙相对，网络防火墙关注网络层的访问控制，应用防火墙则关注应用层数据的过滤与控制。
12、什么叫网站防篡改系统
答：网站防篡改系统通过实时监控来保证Web系统的完整性，当监控到Web页面被异常修改后能够自动恢复页面。网站放篡改系统由于其设计理念的限制，对静态页面的防护能力比较好，对动态页面的防护则先天不足。
13、我的Web服务器被访问速度变慢，经常出现连接失败的现象，可能是什么原因造成的呢?
答：这可能有两个方面的情况，一种是网络方面的原因，如运营商的线路故障，或带宽消耗型的DDOS攻击;另外一种情况是服务器方面的原因，如感染病毒，或资源消耗型的拒绝服务攻击。
14、我的Web服务器部署了木马查杀软件，为什么还被挂了木马?
答：所谓的网页被挂马，很多情况下并不是有木马程序或代码被放到了Web服务器上，而是有一段跳转代码(本身不包含攻击信息)被放在了Web服务器上网页中。当远程用户访问带有跳转代码的页面时，将会执行这段代码，从另外一个地址下载并执行木马。所以，即使在Web服务器上部署了木马查杀软件，也会由于木马本身并不存在于服务器上，而无法避免网站被挂马。
15、我的Web服务器前端部署了入侵防御产品设备，入侵防御产品设备中包含了几百条的SQL注入攻击防御特征库，为什么我的Web系统还是被SQL注入攻击成功了呢?
答：SQL注入是一种没有固定特征的攻击行为，对安全设备来说，就是属于变种极多的攻击行为。所以，基于数据特征的SQL注入检测 方法 是没有办法穷尽所有组合的，会存在大量的误报、漏报可能。如果采用的入侵防御产品设备采用的是基于数据特征的检测方法，即使包含了数百条SQL注入特征库，也会有漏报出现。
16、黑客为什么喜欢攻击网站?
答：Web业务已经成为当前互联网最为流行的业务，大量的在线应用业务都依托于Web服务进行。并且一些大型网站的日访问量可达百万之巨，不论是直接攻击网站(如网络银行，在线游戏服务器)还是通过网站挂马窃取访问者信息，都可以使黑客获得直接的经济利益。另外一方面，网站是机构的网络形象，通过攻击篡改网站页面，也可以得到最大范围的名声传播。对于那些企图出名的黑客，攻击网站是一项不错的选择。
17、如何判断自己的Web服务器是否已经成为肉鸡?
答：如果发现自己的Web服务器上开启了一些奇怪的进程，发现Web服务器总是有大量从内往外的连接，发现Web服务器不定时系统缓慢，诸如此类的现象，可使用木马清除软件进行检查和查杀。
细分攻击形式：
18、目前国内Web应用系统存在哪些最突出的安全问题?
答：Web应用程序的漏洞是很难避免的，系统的安全隐患主要在三方面：
首先是网络运维人员或安全管理人员对Web系统的安全状况不清楚。哪些页面存在漏洞，哪些页面已经被挂马，他们不能够清晰的掌握，从而及时采取改正 措施 ;
其次，在安全设备的部署方面，没有选用专业的、针对Web业务攻击的防御产品对网站进行保护，而是寄托于防火墙这种访问控制类的网关安全设备;
另外，从安全响应来看，Web安全事件发生后的应急与处理也存在欠缺。没有相应的页面恢复系统，也没有处理Web安全事件的专业安全服务团队。很多单位没有制定实时监控的网站安全管理制度。
19、什么叫SQL注入
答：SQL注入就是利用现有应用程序，将恶意的SQL命令注入到网站后台数据库引擎执行的能力。SQL注入利用的是正常的HTTP服务端口，表面上看来和正常的Web访问没有区别，隐蔽性极强，不易被发现。
20、SQL注入有哪些危害
答：SQL注入的主要危害包括：
未经授权状况下操作数据库中的数据;
恶意篡改网页内容;
私自添加系统帐号或者是数据库使用者帐号;
网页挂木马;
21、什么叫XSS
答：跨站脚本攻击(XSS)是攻击者将恶意脚本提交到网站的网页中，使得原本安全的网页存在恶意脚本;或者是直接添加有恶意脚本的网页并诱使用户打开，用户访问网页后，恶意脚本就会将用户与网站的会话COOKIE及其它会话信息全部截留发送给攻击者，攻击者就可以利用用户的COOKIE正常访问网站。攻击者有时还会将这些恶意脚本以话题的方式提交到论坛中，诱使网站管理员打开这个话题，从而获得管理员权限，控制整个网站。跨站脚本漏洞主要是由于没有对所有用户的输入进行有效的验证所造成的，它影响所有的Web应用程序框架。
22、XSS有哪些危害
答：XSS攻击的危害包括：
盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号;
控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力;
盗窃企业重要的具有商业价值的资料;
非法转账;
强制发送电子邮件;
网站挂马;
控制受害者机器向其它网站发起攻击。
23、什么叫Shellcode
答：Shellcode实际是一段代码(也可以是填充数据)，可以用来发送到服务器，利用已存在的特定漏洞造成溢出，通称“缓冲区溢出攻击”中植入进程的代码。这段代码可以是导致常见的恶作剧目的的弹出一个消息框弹出，也可以用来删改重要文件、窃取数据、上传木马病毒并运行，甚至是出于破坏目的的格式化硬盘等等。
24、什么叫网站漏洞
答：随着B/S模式被广泛的应用，用这种模式编写Web应用程序的程序员也越来越多。但由于开发人员的水平和 经验 参差不齐，相当一部分的开发人员在编写代码的时候，没有对用户的输入数据或者是页面中所携带的信息(如Cookie)进行必要的合法性判断，导致了攻击者可以利用这个编程漏洞来入侵数据库或者攻击Web应用程序的使用者，由此获得一些重要的数据和利益。
25、什么叫木马
答：木马(Trojan)这个名字来源于古希腊 传说 ，在互联网时代它通常是指通过一段特定的程序(木马程序)来控制另一台计算机。木马通常有两个可执行程序：一个是客户端，即控制端，另一个是服务端，即被控制端。木马的设计者为了防止木马被发现，而采用多种手段隐藏木马。木马的服务一旦运行并被控制端连接，其控制端将享有服务端的大部分操作权限，例如给计算机增加口令，浏览、移动、复制、删除文件，修改注册表，更改计算机配置等。
26、什么叫网站挂马
答：“挂马” 就是黑客入侵了一些网站后，将自己编写的网页木马嵌入被黑网站的主页中。当访问者浏览被挂马页面时，自己的计算机将会被植入木马，黑客便可通过远程控制他们的计算机来实现不可告人的目的。网页木马就是将木马和网页结合在一起，打开网页的同时也会运行木马。最初的网页木马原理是利用IE浏览器的ActiveX控件，运行网页木马后会弹出一个控件下载提示，只有点击确认后才会运行其中的木马。这种网页木马在当时网络安全意识普遍不高的情况下还是有一点威胁的，但是其缺点显而易见，就是会出现ActiveX控件下载提示。现在很少会有人去点击那莫名其妙的ActiveX控件下载确认窗口了。在这种情况下，新的网页木马诞生了。这类网页木马通常利用IE浏览器的漏洞，在运行的时候没有丝毫提示，因此隐蔽性极高。
27、什么叫DOS./DDOS攻击?
答：DoS即Denial Of Service，拒绝服务的缩写。DoS是指利用网络协议实现的缺陷来耗尽被攻击对象的资源，目的是让目标计算机或网络无法提供正常的服务或资源访问，使目标系统服务系统停止响应甚至崩溃。在此攻击中并不包括侵入目标服务器或目标网络设备。这些被大量消耗的服务资源包括网络带宽、文件系统空间容量、开放的进程或者允许的连接。这种攻击会导致资源的匮乏，无论计算机的处理速度多快、内存容量多大、网络带宽有多高，都无法避免这种攻击带来的后果。
DDoS(Distributed Denial Of Service)又把DoS又向前发展了一大步，这种分布式拒绝服务攻击是黑客利用在已经被侵入并已被控制的、不同的高带宽主机(可能是数百，甚至成千上万台)上安装大量的DoS服务程序，它们等待来自中央攻击控制中心的命令。中央攻击控制中心再适时启动全体受控主机的DoS服务进程，让它们对一个特定目标发送尽可能多的网络访问请求，形成一股DoS洪流冲击目标系统，猛烈地DoS攻击同一个网站。被攻击的目标网站会很快失去反应而不能及时处理正常的访问甚至系统瘫痪崩溃。
28、什么叫网络钓鱼
答：网络钓鱼(Phishing，又名钓鱼法或钓鱼式攻击)是通过传播“声称来自于银行或其他知名机构”的欺骗信息，意图引诱受害者泄漏出敏感信息(如用户名、口令、帐号 ID 、 ATM PIN 码或信用卡详细信息)的一种攻击方式。最典型的网络钓鱼攻击将受害者引诱到一个与其目标网站非常相似的钓鱼网站上，并获取受害者在此网站上输入的个人敏感信息。通常这个攻击过程不会让受害者警觉。它是“社会工程攻击”的一种形式。
29、什么叫网络蠕虫
答：一般认为：蠕虫病毒是一种通过网络传播的恶性病毒，它除具有病毒的一些共性外，同时具有自己的一些特征。如：不利用文件寄生(有的只存在于内存中)、对网络造成拒绝服务，以及与黑客技术相结合，等等。蠕虫病毒主要的破坏方式是大量的复制自身，然后在网络中传播，严重占用有限的网络资源，最终引起整个网络的瘫痪，使用户不能通过网络进行正常的工作。每一次蠕虫病毒的爆发都会给全球经济造成巨大损失，因此它的危害性是十分巨大的。有一些蠕虫病毒还具有更改用户文件、将用户文件自动当附件转发的功能，更是严重的地危害到用户的 系统安全 。
30、什么叫僵尸网络
答：僵尸网络(英文名称叫BotNet)，是互联网上受到黑客集中控制的一群计算机，往往被黑客用来发起大规模的网络攻击。如：分布式拒绝服务攻击(DDoS)、海量垃圾邮件等。同时，黑客控制的这些计算机所保存的信息也都可以被黑客随意“取用”。因此，不论是对网络安全运行还是用户数据安全的保护，僵尸网络都是极具威胁的隐患。然而，发现一个僵尸网络是非常困难的，因为黑客通常远程、隐蔽地控制分散在网络上的“僵尸主机”，这些主机的用户往往并不知情。因此，僵尸网络是目前互联网上最受黑客青睐的作案工具。
31、什么是ARP攻击
答：ARP是地址解析协议，是一种将IP地址转化为MAC地址的协议。在网络中，当A主机需要向B主机发送报文时，会先查询本地的ARP缓存表，找到与B主机IP地址对应的MAC地址后，进行数据传输。如果未找到，则会发送一个广播ARP请求报文，请求对应B主机IP的B回应MAC地址。这个广播包会被整个广播域中所有主机收到，但只有B主机会发现IP地址对应自己，才会将MAC地址回应给A。此时A收到这个回应并更新自己的ARP缓存，进行下一步的数据传输。ARP攻击应当叫做ARP欺骗，就是冒充网关地址对网络中主机给出ARP查询回应，使得本来是A->网关的数据走向，变成A->攻击者->网关。
32、ARP攻击的危害有哪些?
答：ARP攻击的危害主要有两个方面。从ARP攻击的原理来看，这种攻击使得受害主机的所有网络数据都将通过攻击者进行转发。这样一来，要窃取信息或控制流量就变得轻而易举。另一方面，由于ARP缓存会不断刷新，有的时候，真正的网关会偶尔“清醒”。当真正的网关参与到数据包转发中来时，由于做了一个切换动作，可能会有频繁的短暂掉线现象。所以，如果Web服务器所在网络中发生了ARP攻击，将导致Web服务器不可访问。
细分攻击介质：
33、WEB应用系统(网站)会面临来自哪些方面的安全问题
答：网站面临的安全问题是方方面面的，主要可概括为以下四个方面：
1)操作系统、后台数据库的安全问题
这里指操作系统和后台数据库的漏洞，配置不当，如弱口令等等，导致黑客、病毒可以利用这些缺陷对网站进行攻击。
2)Web发布系统的漏洞
Web业务常用的发布系统(即Web服务器)，如IIS、Apache等，这些系统存在的安全漏洞，会给入侵者可乘之机。
3)Web应用程序的漏洞
主要指Web应用程序的编写人员，在编程的过程中没有考虑到安全的因素，使得黑客能够利用这些漏洞发起对网站的攻击，比如SQL注入、跨站脚本攻击等等。
4)自身网络的安全状况
网站服务器所处的网络安全状况也影响着网站的安全，比如网络中存在的DoS攻击等，也会影响到网站的正常运营。
34、Web程序漏洞是怎么形成的
答：Web站点之所以存在如此众多的安全漏洞，是由下列所示的这些原因造成的：
1、 大部分的中小型网站都是使用某个建站模块建设的，而这些通用的建站模块不仅本身存在各种安全漏洞，同时一些使用它们的建站人员根本没有在建站完成后对站点进行安全加固。
2、 Web站点开发人员对安全不够重视，在编写网页时，没有对用户的输入进行验证，没有对数据的大小、类型和字符串进行规范，没有限制API函数对系统资源的使用，以及对Web服务器没有进行相应的资源限制，引起拒绝服务攻击。
3、 管理员对Web服务器主机系统及Web应用程序本身配置不当，一些中小企业自己管理的Web站点根本没有足够的技术人员来管理它们的安全。
4、 当Web站点是托管在某个电信机房时，对它们进行的远程管理存在安全风险。
5、 Web站点管理员本身技术水平的限制，对各种针对Web站点的安全攻击不了解，也没有端正工作态度，没能对站点进行认真的安全加固，以及进行日常的安全检查。
6、 Web站点所处网络大环境的安全设计不合理，以及没有将安全防范工作融入到站点整个生命周期的各个阶段。
7、 企业领导不够重视，在Web站点的安全防范方面投入的资金太少或不合理，没有制定一个有效的Web站点安全防范策略，明确Web站点日常管理流程，也没有对Web站点的管理人员和工作人员进行不断的安全培训。
35、黑客主要利用哪些方法对网站进行数据窃取和修改
答：黑客需要使用拥有一定权限的用户帐户才能对网站进行数据窃取和修改，所以可能造成用户权限泄漏或提升的漏洞，都可以被黑客利用来进行攻击，如SQL注入，溢出漏洞、暴力猜解等。
36、目前对Web服务器威胁较大的SQL注入工具有哪些?
答：网上常见的SQL注入工具有“啊D SQL注入工具”、pangolin、NBSI、HDSI、“管中窥豹注入工具”等。
37、目前对Web服务器威胁较大的XSS攻击工具有哪些?
答：网上常见的XSS攻击工具有sessionIE、Webscan、XSS Inject Scanner 等。
38、怎样应对Web业务安全事件
答：应对Web业务安全事件，从根本上的解决办法就是对Web应用程序源代码进行代码检查和漏洞修复，但是这会影响正常Web业务运行，而且费用较高。比较有效的解决方案是通过专业的Web业务安全检查工具或服务来检查网站安全状况，部署专业的Web安全产品。比如基于行为检测的入侵防御产品。同时在管理上，要求网管人员实时对网站进行监测，一旦发现网页被篡改等问题立刻进行页面恢复、删除恶意脚本等工作。
39、如何防御SQL注入
答：要想从根本上解决XSS攻击，就要对Web应用程序源代码进行检查，发现安全漏洞进行修改。但是这种方法在实际中给用户带来了不便，如：需要花费大量的人力财力、可能无法找到当时的网站开发人员、需要网站下线等。对代码进行修改后，由于增加了过滤条件和功能，同时也给服务器带来了计算压力。通常的解决方法是在数据库服务器前端部署入侵防御产品。SQL注入攻击具有变种多、隐蔽性强等特点，传统的特征匹配检测方式不能有效地进行防御，需要采用“基于攻击手法的行为监测”的入侵防御产品才能够精确地检测到SQL注入攻击。
40、如何防御XSS
答：要想从根本上解决XSS攻击，就要对Web应用程序源代码进行检查，发现安全漏洞进行修改。但是这种方法在实际中给用户带来了不便，如：需要花费大量的人力财力;可能无法找到当时的网站开发人员、需要网站下线等。对代码进行修改后，由于增加了过滤条件和功能，同时也给服务器带来了计算压力。通常的解决方法是在数据库服务器前端部署入侵防御产品。XSS攻击具有变种多、隐蔽性强等特点，传统的特征匹配检测方式不能有效地进行防御，需要采用基于攻击手法的行为监测的入侵防御产品产品才能够精确地检测到XSS攻击。
41、如何发现网站挂马
答：服务器被挂马，通常情况下，若出现诸如“弹出页面”，则可以比较容易发现，发现防病毒软件告警之类，则可以发现服务器被挂马;由于漏洞不断更新，挂马种类时刻都在变换，通过客户端的反映来发现服务器是否被挂马往往疏漏较大;正确的做法是经常性的检查服务器日志，发现异常信息;经常检查网站代码，借助于专业的检测工具来发现网页木马会大大提高工作效率和准确度。