多層次網(wǎng)站防篡改技術(shù)研究

姜延凱

摘 要：本文就網(wǎng)站安全保護技術(shù)進行相關(guān)探討，并利用現(xiàn)有的防篡改技術(shù)構(gòu)建了多層次網(wǎng)站防篡改系統(tǒng)，實驗證明，該系統(tǒng)對網(wǎng)站的保護功能得到了大幅度提升。

關(guān)鍵詞：多層次防篡改；網(wǎng)站安全；事件觸發(fā)技術(shù)；核心內(nèi)嵌技術(shù)

1 概述

根據(jù)國家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT/CC）的中國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢報告可知，我國網(wǎng)站被篡改的數(shù)量達到36000多個，其中涉及政府網(wǎng)站高達2800多個，除政府網(wǎng)站外，銀行、工業(yè)控制系統(tǒng)的安全性同樣也受到威脅，而部分個人的信息網(wǎng)站更是黑客攻擊的主體。

2 網(wǎng)站防篡改技術(shù)發(fā)展階段

第一，人工對比檢測。派專人負責監(jiān)控、管理網(wǎng)站，發(fā)現(xiàn)異常，以人工方式將其復原。這種方法花費精力較大，且實時性極差。第二，外掛輪詢技術(shù)。該技術(shù)實現(xiàn)了自動化檢測，利用網(wǎng)頁檢測程序?qū)W(wǎng)站實施保護，將網(wǎng)站與備份進行對比，查看其完整性，當網(wǎng)站被篡改后可發(fā)生報警，并對其進行自動回復。該技術(shù)實時性仍存在較大局限性，且Web服務(wù)器負載過大，無法對動態(tài)網(wǎng)頁進行有效保護。第三，核心內(nèi)嵌技術(shù)。相對于外掛輪詢技術(shù)，在安全性方面有了提高，這種內(nèi)嵌技術(shù)在網(wǎng)頁最終交付給用戶前進行截查和檢測，保證網(wǎng)頁不被篡改。該技術(shù)穩(wěn)定性高，處理效果好，但對服務(wù)器形成的負擔過重。第四，事件觸發(fā)技術(shù)。將篡改檢測的核心技術(shù)植入到Web服務(wù)器中，當被保護的網(wǎng)站發(fā)生添加、刪除或修改操作時，根據(jù)預先設(shè)定的規(guī)則對篡改操作的合法性進行判斷，若為非法操作，監(jiān)測程序發(fā)出警告，并對網(wǎng)頁進行恢復。該技術(shù)實時性較高，反應(yīng)快，減少了內(nèi)存和CPU的占有率。

各類技術(shù)的性能可參見表1。

表1 防篡改技術(shù)特性對比

3 多層次防篡改系統(tǒng)構(gòu)建

3.1 技術(shù)選擇 由表1中各項技術(shù)的性能對比可知，外掛輪詢技術(shù)的服務(wù)器負載較高、響應(yīng)時間短、安全性能較差，無法滿足現(xiàn)代防篡改系統(tǒng)的技術(shù)要求；而其他兩種技術(shù)在各個方面各具特色，互有優(yōu)勢，因此可將兩種技術(shù)相結(jié)合，開發(fā)具有多層次、高性能的防篡改安全系統(tǒng)。

3.2 系統(tǒng)功能需求分析 多層次防篡改系統(tǒng)可實現(xiàn)的功能有：監(jiān)控受保護網(wǎng)站下的文件，防止SQL注入和XSS攻擊功能、篡改后及時恢復功能、網(wǎng)站文件備份功能、遭篡改后的實時報警功能、日志與審計功能、分布式監(jiān)控和集中式管理的功能。

3.3 多層次防篡改系統(tǒng)結(jié)構(gòu) 根據(jù)邏輯部署位置和功能的不同，多層次網(wǎng)站防篡改系統(tǒng)可分為監(jiān)控端（Agent）和管理端（Sercer）兩部分。各部分模塊劃分及結(jié)構(gòu)之間的關(guān)系，可參見圖1。

根據(jù)圖1可知，多層次防篡改系統(tǒng)改變了以往單個系統(tǒng)分別部署防御的模式，改為由Server管理端集中管理。

而Agent端則主要起到保護、監(jiān)控、備份與恢復的功能。其中事件出發(fā)模塊對網(wǎng)站文件的改變進行監(jiān)控，對不同的行為進行判斷，然后采取相應(yīng)的恢復措施，是保護網(wǎng)站的重要手段；核心內(nèi)嵌模塊對流出服務(wù)器的網(wǎng)頁進行過濾，檢查網(wǎng)頁的完整性，是事件觸發(fā)模塊不可獲取的補充；而防注入模塊、黑白名單模塊等均從不同的角度為網(wǎng)站提供全方位的保護措施。

Agent端的幾個模塊構(gòu)成了事前預防、事中監(jiān)控、事后攔截的三層防御系統(tǒng)。當含有注入攻擊的請求到達服務(wù)器時，首先由注入模塊對其進行檢測，若檢測證實請求為惡意請求時，對其進行有效攔截；如果黑客使用其他技術(shù)或繞過防注入模塊的監(jiān)控時，事件觸發(fā)模塊仍可對其惡意請求進行監(jiān)控，一經(jīng)發(fā)現(xiàn)惡意篡改，即可做出恢復網(wǎng)頁的反應(yīng)（當前的反應(yīng)速度已經(jīng)提升至毫秒級）。若侵入者繞過事件觸發(fā)模塊的監(jiān)測，核心內(nèi)嵌模塊則會繼續(xù)發(fā)揮其保護功能，避免受損害的網(wǎng)頁被用戶訪問。

3.4 功能測試 對防注入模塊、事件觸發(fā)模塊以及核心內(nèi)嵌模塊的安全保護功能進行測試，以防注入功能測試為例進行詳細說明，具體測試方法如下：從網(wǎng)站前臺的64處交互輸入框中，選擇其中的47處，分別在關(guān)閉防注入功能和開啟防注入功能中輸入正確數(shù)據(jù)和帶有SOL注入攻擊（或XSS攻擊）的數(shù)據(jù)。結(jié)果如表2所示：

表2 防注入功能測試結(jié)果

4 多層次防篡改系統(tǒng)評價

多層次防篡改系統(tǒng)的分布式部署和集中式管理，可大大簡化工作人員的工作強度，采用的多種技術(shù)可對網(wǎng)站進行事前、事中和事后三層防御；系統(tǒng)通過Filter技術(shù)，對網(wǎng)站服務(wù)器遇到的請求進行檢測，過濾其中的非法注入和攻擊，以事件基礎(chǔ)技術(shù)為基礎(chǔ)，對網(wǎng)站內(nèi)所有的文件進行監(jiān)控；而核心內(nèi)嵌技術(shù)則是整個系統(tǒng)的最后一層安全保障，從而最終阻止遭篡改的文件流出服務(wù)器。該系統(tǒng)的利用，使網(wǎng)站安全得到了有效保障，但其在具體的實施過程中，仍存在一系列問題，需要進一步改進和優(yōu)化。

基金項目：本文系河北省科技計劃項目重點課題“基于J2EE面向服務(wù)（SOA）的食品防偽及安全追溯預警系統(tǒng)”的研究成果之一。