首页 理论教育 财务软件综述:特洛伊木马的账号口令窃取攻击

财务软件综述:特洛伊木马的账号口令窃取攻击

时间:2023-05-16 理论教育 版权反馈
【摘要】:典型的特洛伊木马是窃取别人在网络上的账号和口令,它有时在用户合法的登陆前伪造登陆现场,提示用户输入账号和口令,然后将账号和口令保存到一个文件中,显示登陆错误。

财务软件综述:特洛伊木马的账号口令窃取攻击

第三节 财务软件综述

一、什么是财务软件

财务软件指为财务核算提供的软件;通过财务软件进行财务核算有以下优点:

1.有助于会计核算的规范化,有助于带动财务管理乃至企业管理的规范化,从而提升企业管理水平,提高企业效益。

2.提高会计核算的工作效率,降低会计人员在账务处理方面的工作强度,改变“重核算轻管理”的局面。

3.减少工作差错,便于账务查询,等等。

随着市场经济的发展,信息时代的到来,企业竞争加剧,企业生存的外部环境发生了变化,这种变比要求企业对市场的反应更及时、更准确。为了及时与市场沟通,企业越来越需要管理信息,这已成为企业成败的关键。财务软件系统的开发和应用正符合了这一趋势的发展,它对实现财务管理信息化、提高财务管理质量、提升财务管理水平产生重要的影响。

二、财务软件在财务管理中的作用

1.提高了企业在市场的竞争力

企业的管理人员通过财务管理信息系统,可以方便、快速地查询各分公司的经营状况和财务收支情况,及时了解国内甚至世界各地的市场行情。这样,公司的管理人员可以及时把握市场商机,进行正确的决策,把握投资的时机,对经营策略进行调整、及时了解市场的动态以及人才的流动趋势,从而大大提高市场竞争力。比如上海实华国际旅行社在用了用友通财务软件后,财务部能够及时准确的给公司领导提供公司运营报表,控制好各个环节的成本费用,提高了企业竞争力

2.有利于企业营造高增加值的价值链

财务软件系统对客户和供应商这两个企业价值链上的重要环节提供特别支持。原来如果需要查一笔账,需要一张张的翻凭证或者翻账本。使用财务软件后,现在只要在账表查询中输入一下知道的金额或者日期或者会计科目就可以快速的查出来,并且可以通过账簿联查到凭证各种往来账款也可以按照科目、供应商或者客户进行汇总,以便与客户及供应商的对账各团队各部门的预收、预付款及时反映并实现财务之间共享,并且能及时反映出团队收支情况。其不仅有利于强化往来双方款项的管理,减少坏账损失,加速资金周转,提高企业的经济效益,而且还有利于企业营造高增加值的价值链。

3.有利于提高企业财务管理工作的效率

财务软件依托计算机以及有关网络进行数据处理。其速度是人工所不可比拟的,将使企业财务管理信息的提供更加及时。同时企业财务软件管理内部网络的建立,使部门之间的工作衔接更加紧密,大大加快了业务办理的速度,也在一定程度上促进了资金周转速度的加快。还有通过财务的信息系统,可方便、快捷地进行会计核算,自动产生各种会计报表和分析报表,使得财务处理的差错率和财务会计的不规范现象明显减少,财务的数据可靠性、准确性增强。

4.促进了财务管理的规范化

随着企业财务管理信息化水平的提高,企业的财务核算、财务管理以及财务核算的水平也会进一步的规范和提高。比如在财务软件的具体应用中,对数据的来源、格式会提出一系列规范化的要求,在很大程度上解决了手工操作中不规范、易出错等现实问题。同时,财务违纪违规问题在很大程度上得到了有效的控制和防范,这为企业的内部审计工作和外部会计师的审计工作创造了良好的条件。

(《财务软件在财务管理中的作用和意义》刘文斌《金融经济》2008年第20期)

三、财务软件缺陷

虽然财务软件能为企业带来诸多帮助,但由于技术发展限制以及软件开发商能力的良莠不齐,现在市场中的各种财务管理软件都还或多或少存在一些缺陷。财务软件是会计电算化系统的核心,电算化会计系统是否遵循国家的财经政策和制度,它对经济业务的处理是否真实、合法等,都体现在财务软件中。财务软件陷阱可以造成资财的大量流失,甚至可能造成整个会计电算化系统崩溃,使国家和集体蒙受巨大经济损失。财务软件陷阱主要包括以下二种形式:

1.财务软件处理功能陷阱

(1)逻辑炸弹

逻辑炸弹并不是真正意义上的炸弹,它是蓄意埋设在信息网络系统内部的一段固有程序,又称“电脑定时炸弹”。它通过网络、软件、芯片、扩展卡和外设备等进入计算机系统,一旦符合一组特定的逻辑条件,就可以被激活,它能以极快的速度,大面积地进行自我复制或在预定时间内“苏醒”,从一个系统传入另一个系统,“吞噬”信息网络中数据,造成系统爆炸性混乱或系统泄露。

逻辑炸弹可以编入计算机财务软件中,然后根据可能发生或引发的具体条件对数据产生破坏。如果逻辑炸弹爆发,可以摧毁财务软件系统,使会计数据难以恢复。

(2)截尾术

从大量资产中窃取一小部分,这种手法称为截尾术,也就是只对构成总数的明细项目进行调整,而保持总数不变,以达到取走一部分而又不会在总体上被发现的目的。实际上,这种截尾术已经出现多年,甚至在计算机会计出现之前就已存在。例如:某些银行计算机会计系统,可对活期存款账户系统加以改动,从而使得几万个账户无规律的减少1分到10分,再将这部分钱存入特定的账户,这样就可以通过正常的手段提取使用。由于资金并没有从账户系统中销去,而仅仅是这一小部分的重新安排,所以,并没有破坏任何控制环节。基于这一点,计算机会计程序员能够在计算机会计系统中设置陷阱,为自己积累数量可观的钱财,不宜被发现,他们只需对程序稍加改动,便可将累计尾数记入自己的账户,而不是分别记入其他账户。这就是计算机会计中使用的一种被称作“近似法”的截尾方法。

(3)特洛伊木马(www.xing528.com)

“特洛伊木马”是在计算机程序中,暗中编进指令,使之执行未经授权的功能。是黑客常用的攻击方法,通过在电脑系统中隐藏一个能够在Windows启动时悄悄运行的程序,采用服务器/客户机的运行方式,从而达到控制电脑的目的。黑客可以利用它窃取口令、修改文件、登录注册表等。典型的特洛伊木马是窃取别人在网络上的账号和口令,它有时在用户合法的登陆前伪造登陆现场,提示用户输入账号和口令,然后将账号和口令保存到一个文件中,显示登陆错误。用户以为自己输错了,再试一次时,已经是正常的登陆了。用户也就不会怀疑。而特洛伊木马已经获得了有价值的信息躲到一边去了。

例如,某企业是外商投资性生产企业,生产经营期限20年,并且属于高新技术产业,根据国家税法规定,享受“免二减三”的所得税优惠政策。该企业1997年成立,至2003年已满“免二减三”优惠期,需要缴纳企业所得税。于是该企业利用“木马”获取登陆口令,在税务部门的电算化系统中编进指令,令其自动在年底将利润生成“负数”,以达到逃税的目的。

(4)陷门

从CPU、操作系统到应用程序,任何一个环节都有可能被开发者留下“后门”,即“陷门”。陷门是一个模块的秘密入口,这个秘密入口并没有记入文档,因此,用户并不知道陷门的存在,在程序开发期间陷门是程序员为了测试这个模块或是为了将来更改和增强模块的功能而设定的。在软件交付使用时,有的程序员没有去掉它,这样居心不良的人就可以隐蔽地访问它了。

(5)仿造与模拟

仿造与模拟是指舞弊人员利用计算机模拟某个计算机会计系统的一部分功能,以达到非法的目的。

在一件百万元的贪污案件中,某会计师负责自己部门的工作,他在个人计算机上仿造公司的会计对总账系统进行模拟,先输入正确的会计数据,然后对会计数据进行修改,以便观察修改后在总账上的效果。另外,他还采用输入自己需要的总账数据的方法,用一程序逆向运行得出仿造的内容,再将仿造的内容顺向输入计算机会计系统运行,以得出应收、应付账款中的假数据,这些假数据最终被列入所需要的总账中以达到舞弊目的。

2.财务软件运行与维护陷阱

(1)岗位责任制陷阱

有些单位的会计电算化主管在对操作员分配任务时,由程序员兼任系统的操作员,有的系统凭证输入与审核不分离。

(2)审批制度陷阱

有些单位的财务软件在使用过程中出现问题后,不经领导和上级主管部门批准,由程序员擅自修改,修改之前没有制定详细的修改计划,修改后也没有经过周密的调试,结果导致会计数据错误。

(3)软件容易被非法修改陷阱

有些单位自行开发的财务软件以源程序的方式运行,操作人员在操作出现问题时,可以轻而易举地调出源程序进行修改,有些单位的会计电算化计算机所有的人员都可以使用,这样的财务软件很容易被非法修改。

以上对财务软件陷阱造成的会计信息失真进行了分析。我们必须清醒地认识到,财务软件类陷阱对系统的破坏性极大,且具有高智能和隐蔽性,设置此类陷阱的主体大部分是计算机高手。系统软件陷阱主要利用下列内部控制的弱点:

(1)电算部门与用户部门职责分离不恰当

例如,有的计算机会计系统,程序员兼任操作员;有的计算机会计系统,凭证输入、凭证审核、登账工作由一人承担。

(2)系统开发控制不严

例如,有的计算机会计系统,在开发过程中,用户单位没有对开发过程进行监督,对开发过程中产生的文档也没有进行详细的调查,这样的系统往往会给不法分子留下“陷门”或埋下“逻辑炸弹”。

(3)系统维护控制不严

例如,有的计算机会计系统,没有征得有关部门的批准,程序员就擅自修改程序,甚至随时调用机内程序。

(4)接触控制不完善

例如,有的单位的计算机会计系统,操作员可以接触系统的源程序及程序的设计文档,程序员可接触到已投入运行的计算机会计系统。

综上所述,财务软件陷阱必须引起各级部门的高度重视。我们要加强管理控制,建立起一整套内部控制制度,包括组织机构的管理、责任划分、上机管理、档案管理设备管理等,确保会计信息的完整性、有效性、正确性。

免责声明:以上内容源自网络,版权归原作者所有,如有侵犯您的原创版权请告知,我们将尽快删除相关内容。

我要反馈