【文章內(nèi)容簡介】 遠(yuǎn)程控制。 跨站攻擊：在托管的 Web服務(wù)器中，任意一個網(wǎng)站被黑客成功入侵后，黑客繼而獲得 Web 服務(wù)器或主機的所有權(quán)，會繼續(xù)對該服務(wù)器上的所有網(wǎng)站進(jìn)行入侵。 對于操作系統(tǒng)漏洞、 Web服務(wù)器漏洞、數(shù)據(jù)庫漏洞等，可以通過打補丁的方式解決；對于弱口令，可以通過設(shè)置復(fù)雜密碼并且通過定期更改的方式解決；對于后臺程序，可以在開始的時候，不要在 Web 服務(wù)器上上網(wǎng)、運行不可靠的程序，這樣可以避免在不經(jīng)意間感染這些程序；而對于網(wǎng)站代碼漏洞，理論上可以責(zé)成開發(fā)網(wǎng)站的人員， 檢查每行代碼，不讓代碼出問題，但實際上這幾乎是不可能的。另外，即使現(xiàn)在都解決了上述問題，但新的漏洞、新的攻擊方法不斷出現(xiàn)，現(xiàn)在網(wǎng)頁防篡改技術(shù)與系統(tǒng)設(shè)計 3 不受攻擊、不被攻破不表示將來不被攻擊、不能攻破。 （起始點）人工對比檢測 人工對比檢測，其實就是一種專門指派網(wǎng)絡(luò)管理人員，人工監(jiān)控需要保護(hù)的網(wǎng)站，一旦發(fā)現(xiàn)被篡改，就以人力對其修復(fù)還原的手段。 嚴(yán)格的說來，人工對比檢測不能算是一種網(wǎng)頁防篡改系統(tǒng)采用的技術(shù)，而只能算是一種原始的應(yīng)對網(wǎng)頁被篡改的手段。但是其在網(wǎng)頁防篡改的技術(shù)發(fā)展歷程中存在一段相當(dāng)長的時間；所以在這里我們把它作為 網(wǎng)頁防篡改技術(shù)發(fā)展的起始點，單獨拿出來講。 這種手段非常原始且效果不佳，且不說人力成本較高，其最致命的缺陷在于人力監(jiān)控不能達(dá)到即時性，也就是不能在第一時間發(fā)現(xiàn)網(wǎng)頁被篡改也不能在第一時間進(jìn)行還原，當(dāng)管理人員發(fā)現(xiàn)網(wǎng)頁被篡改再做還原時，被篡改的網(wǎng)頁已在互聯(lián)網(wǎng)存在了一段時間，可能已經(jīng)被一定數(shù)量的網(wǎng)民瀏覽。 為了達(dá)到實用性，必須采用計算量小、開銷不大、簡單的方式實現(xiàn)快速地找到文件被篡改的痕跡。 （第一代）時間輪巡技術(shù) 時間輪詢技術(shù)（也可稱為“外掛輪詢技術(shù)”）。我們在這里將其稱為網(wǎng)頁防篡改技術(shù)的第一代。從這一 代開始，網(wǎng)頁防篡技術(shù)已經(jīng)擺脫了以人力檢測恢復(fù)為主體的原始手段而作為一種自動化的技術(shù)形式出現(xiàn)。 時間輪詢技術(shù)是利用一個網(wǎng)頁檢測程序，以輪詢方式讀出要監(jiān)控的網(wǎng)頁，與真實網(wǎng)頁相比較，來判斷網(wǎng)頁內(nèi)容的完整性，對于被篡改的網(wǎng)頁進(jìn)行報警和恢復(fù)。 但是，采用時間輪詢式的網(wǎng)頁防篡改系統(tǒng)，對每個網(wǎng)頁來說，輪詢掃描存在著時間間隔，一般為數(shù)十分鐘，在這數(shù)十分鐘的間隔中，黑客可以攻擊系統(tǒng)并使訪問者訪問到被篡改的網(wǎng)頁。此類技術(shù)應(yīng)用在過去網(wǎng)頁訪問量較少，具體網(wǎng)頁應(yīng)用較少的情況下適用，目前網(wǎng)站頁面通常少則上百頁，檢測輪詢時間更長，且占用 系統(tǒng)資源較大，該技術(shù)逐漸被淘汰。 （第二代）事件觸發(fā)技術(shù) amp。核心內(nèi)遷嵌技術(shù) 我們將事件觸發(fā)技術(shù)與核心內(nèi)嵌技術(shù)兩種技術(shù)放在同一代來說，因為這兩種網(wǎng)頁防篡改技術(shù)出現(xiàn)的時間差距不大，而且兩種技術(shù)常常被結(jié)合使用。 所謂核心內(nèi)嵌技術(shù)即密碼水印技術(shù)，最初先將網(wǎng)頁內(nèi)容采取非對稱加密存放，在外來訪問請求時將經(jīng)過加密驗證過的，進(jìn)行解密對外發(fā)布，若未經(jīng)過驗證，則拒絕對外發(fā)布，調(diào)用備份網(wǎng)站文件進(jìn)行驗證解密后對外發(fā)布。此種技術(shù)通常要結(jié)合事件觸發(fā)機制對文件的部分屬性進(jìn)行對比，如大小，頁面生成時間等做判斷，網(wǎng)頁防篡改技術(shù)與系統(tǒng)設(shè)計 4 無法更準(zhǔn)確的進(jìn)行其 它屬性的判斷。其最大的特點就是安全性相對外掛輪詢技術(shù)安全性大大提高，但不足是加密計算會占用大量服務(wù)器資源，系統(tǒng)反映較慢。 （ 1） 利用文件的長度屬性和時間屬性 對于存檔文件來說，在文件修改過程中可能發(fā)生變化的一些屬性成為研究的對象。因為這些屬性的信息量小而且有固定的大小，并且能夠反映文件的變化。如文件的長度 (大小 )屬性 :當(dāng)修改了這個文件 (比如增加或刪減了若干字符 )，就當(dāng)然有可能修改了這個文件的長度。圖 7可以看出 windows 操作系統(tǒng)下的一記事本文件的長度屬性。 圖 11 文件的長度屬性 和文件屬性 操作系統(tǒng)下任 意一個存檔文件同樣也都具有修改時間、創(chuàng)建時間 等屬性，當(dāng)修改了這個文件，其最后一次修改時間也就發(fā)生了相應(yīng)變化，如圖 11所示。 （ 2） 利用 文件的冗余校驗值屬性 循環(huán)校驗碼 (Cyclic Redundancy Check, CRC)，是數(shù)據(jù)通信領(lǐng)域中最常用的一種差錯校驗碼，其特征是信息字段和校驗字段的長度可以任意選定。它是一種網(wǎng)頁防篡改技術(shù)與系統(tǒng)設(shè)計 5 高度壓縮的信息校驗方式，將一個超過數(shù)兆乃至上 G 的文件生成一個數(shù)個字節(jié)的 CRC 校驗值。當(dāng)文件在傳輸過程中出錯時， CRC 校驗碼將發(fā)生變化。此方法經(jīng)常用在壓縮文件之中。圖 12 是 WinRar 壓縮文件 中查看 CRC32 碼，每個文件都有一個 CRC32 的校驗碼，壓縮后的 CRC 校驗碼是 32bit，也就是 4 個字節(jié)的信息量。 在 WinRar 中使用到 CRC32 驗證時，計算每個解壓后文件的 CRC32 的4 個字節(jié)值，然后和壓縮文檔附帶的 CRC32 對比，發(fā)現(xiàn)差異則解壓終止。 在解壓過程中一個 bit 的差異將導(dǎo)致 CRC32 的校驗失敗，這個方式可以非常有效的解決文件傳輸過程的誤碼差錯。 CRC32 是一個 32bit 的校驗碼，不管原始的文件是多大最后生成的都是 32bit 的校驗碼。此校驗碼具有固定字節(jié)大小，可作為文件的防篡改檢測。 CRC驗證 從性能上和開銷上考慮，均遠(yuǎn)遠(yuǎn)優(yōu)于奇偶校驗及算術(shù)校驗等方式。在數(shù)據(jù)存儲和數(shù)據(jù)通一訊領(lǐng)域， CRC 無處不在 :著名的通訊協(xié)議 FCS采用的是 CRCCCITT。WinRar, ARJ 等壓縮工具軟件采用的是CRC32，生成的是 32bit 的 CRC 碼 。磁盤驅(qū)動器的讀寫采用了 CRC16。通用的圖像存儲格式 GIF、 TIFF 等也都用 CRC 作為檢錯手段。 圖 12 winrar 文件屬性 (3) 利用 文件的信息摘要值屬性 基于加密基礎(chǔ)的數(shù)字摘要技術(shù)在電子商務(wù)應(yīng)用中發(fā)揮著重大的作用。文件的信息摘要作為篡改檢測也是一 種有效的方式。常見的網(wǎng)絡(luò)上下載文件提供的校驗碼其實就是一種壓縮的數(shù)字摘要。傳輸過程或者存儲過程的修改都會導(dǎo)致其校驗碼發(fā)生變化 。 常見的有 MD5 和 SHA1。 MD5 是 RSA 數(shù)據(jù)安全公司開發(fā)的一種單向散列算法，網(wǎng)頁防篡改技術(shù)與系統(tǒng)設(shè)計 6 MD5被廣泛使用，可以用來把不同長度的數(shù)據(jù)塊進(jìn)行暗碼運算成一個 128 位的數(shù)值 。 SHA1是一種較新的散列算法，可以對任意長度的數(shù)據(jù)運算生成一個 160 位的數(shù)值。 MAC (Message Authentication Code，消息認(rèn)證代碼 )，是一種使用密鑰的單向函數(shù)，可以用它們在系統(tǒng)上或用戶之間認(rèn)證文件或消息。 HMAC(用于消息認(rèn)證的密鑰散列法 )就是這種函數(shù)的一個例子。 核心內(nèi)嵌技術(shù)避免了時間輪詢技術(shù)的輪詢間隔這個缺點。但是由于這種技術(shù)是對每個流出網(wǎng)頁都進(jìn)行完整檢查，占用巨大的系統(tǒng)資源，給服務(wù)器造成較大負(fù)載。且對網(wǎng)頁正常發(fā)布流程作了更改，整個網(wǎng)站需要重新架構(gòu)，增加新的發(fā)布服務(wù)器替代原先的服務(wù)器。 （第三代）文件過濾驅(qū)動技術(shù)＋事件觸發(fā)技術(shù) 文件過濾驅(qū)動技術(shù)最初應(yīng)用于軍方和保密系統(tǒng)，作為文件保護(hù)技術(shù)和各類審計技術(shù)，甚至被一些狡猾好事者應(yīng)用于“流氓軟件”，該技術(shù)可以說是讓人喜憂參半。 在網(wǎng)頁防篡改技術(shù)革新當(dāng)中 ，該技術(shù)找到了其發(fā)展的空間。與事件觸發(fā)技術(shù)結(jié)合，形成了今天的第三代網(wǎng)頁防篡改保護(hù)技術(shù) [25,26]。其原理是：將篡改監(jiān)測的核心程序通過微軟文件底層驅(qū)動技術(shù)應(yīng)用到 Web 服務(wù)器中，通過事件觸發(fā)方式進(jìn)行自動監(jiān)測，對文件夾的所有文件內(nèi)容，對照其底層文件屬性，經(jīng)過內(nèi)置散列快速算法，實時進(jìn)行監(jiān)測，若發(fā)現(xiàn)屬性變更，通過非協(xié)議方式，純文件安全拷貝方式將備份路徑文件夾內(nèi)容拷貝到監(jiān)測文件夾相應(yīng)文件位置，通過底層文件驅(qū)動技術(shù)，整個文件復(fù)制過程毫秒級，使得公眾無法看到被篡改頁面，其運行性能和檢測實時性都達(dá)到最高的水準(zhǔn)。 頁面防篡改 模塊采用 Web服務(wù)器底層文件過濾驅(qū)動級保護(hù)技術(shù)，與操作系統(tǒng)緊密結(jié)合，所監(jiān)測的文件類型不限，可以是一個 html 文件也可以是一段動態(tài)代碼，執(zhí)行準(zhǔn)確率高。這樣做不僅完全杜絕了輪詢掃描式頁面防篡改軟件的掃描間隔中被篡改內(nèi)容被用戶訪問的可能，其所消耗的內(nèi)存和 CPU 占用率也遠(yuǎn)遠(yuǎn)低于文件輪詢掃描式或核心內(nèi)嵌式的同類軟件?？梢哉f是一種簡單、高效、安全性又極高的一種防篡改技術(shù)。 通過對上面這幾代技術(shù)的比較，我們發(fā)現(xiàn)這幾代技術(shù)都是沿襲事后恢復(fù)的思想，即在網(wǎng)頁被篡改后依靠這些防篡改技術(shù)的檢測機制查詢出被篡改的網(wǎng)頁，然后將被篡改的 網(wǎng)頁用我們備份的網(wǎng)頁進(jìn)行替換。這些技術(shù)雖然也能夠防止網(wǎng)頁被篡改，但是缺少對網(wǎng)頁內(nèi)容的主動防護(hù)，主動防護(hù)中很重要的一個方面就是對數(shù)據(jù)庫的保護(hù)。但是目前對數(shù)據(jù)庫的保護(hù)還缺乏有效的手段。 網(wǎng)頁防篡改技術(shù)與系統(tǒng)設(shè)計 7 防篡改技術(shù)比較 和分析 首先對以上技術(shù)用表格的形式做一個總結(jié)。如表 11。 表 11 三種防篡改技術(shù)比較 外掛輪訓(xùn)技術(shù) 事件觸發(fā)技術(shù) 核心內(nèi)嵌技術(shù) 訪問篡改網(wǎng)頁 可能 可能 不能 保護(hù)動態(tài)內(nèi)容 不能 不能 能 服務(wù)器負(fù)載 中 低 低 帶寬占用 中 無 無 檢測時間 分鐘級 秒級 實時 繞過監(jiān)測機制 不能 可能 不能 防范連續(xù)篡改攻擊 不能 不能 能 保護(hù)所有網(wǎng)頁 不能 能 能 動態(tài)網(wǎng)頁腳本 不支持 支持 支持 適用操作系統(tǒng) 所有 受限 所有 上傳時檢測 不能 不能 能 斷線時保護(hù) 不能 不能 能 目前網(wǎng)頁防篡改軟件方面的主要成果主要是市場上的以下 6 個產(chǎn)品 ： (1)InforGuard— 中創(chuàng)軟件商用中間件股份有限公司。采用事件觸發(fā)、核心內(nèi)嵌、服務(wù)器聯(lián)動、以及實時阻斷四重安全保護(hù)機制，同時結(jié)合數(shù)字證書技術(shù)與安全傳輸技術(shù)，支持很多種操作系統(tǒng)和 Web 服務(wù)器。 (2)IGuard— 上海天存信息技術(shù)有限 公司。采用 web 服務(wù)器核心內(nèi)嵌技術(shù)，將篡改檢測模塊和應(yīng)用防護(hù)模塊內(nèi)嵌于 web 服務(wù)器系統(tǒng)內(nèi)部，并輔助以增強型事件觸發(fā)檢測技術(shù)，不僅實現(xiàn)了對靜態(tài)網(wǎng)頁和腳本的實時檢測和恢復(fù)，更可以保護(hù)數(shù)據(jù)庫中的動態(tài)內(nèi)容免受來自于 web 的 sql 注入式攻擊和篡改。支持很多種操作系統(tǒng)和 web 服務(wù)器。 (3)鷹眼主頁防篡改 — 廣州三零盛安信息安全有限公司。結(jié)合實時觸發(fā)和比較掃描兩種技術(shù)的優(yōu)點，采用貼近操作系統(tǒng)內(nèi)核方式的控制技術(shù)。 網(wǎng)頁防篡改技術(shù)與系統(tǒng)設(shè)計 8 (4)億賽通網(wǎng)頁防篡改系統(tǒng) — 北京億賽通科技發(fā)展有限責(zé)任公司，保護(hù)網(wǎng)站的頁面不被篡改，也解決了 HP 訪問者的身份認(rèn) 證及追蹤的困難。有 Windows、 Unix和 Solaris 等多種平臺的版本。 (5)網(wǎng)頁防篡改系統(tǒng) — 上?；W(wǎng)電腦技術(shù)有限公司。使用“網(wǎng)站監(jiān)控功能”、“網(wǎng)站發(fā)布功能”、“內(nèi)容過濾功能”及數(shù)字水印技術(shù)，保護(hù)網(wǎng)站不被篡改。 (6)LeaGuard 網(wǎng)頁防篡改與自動恢復(fù)系統(tǒng) — 深圳市聯(lián)軟科技有限公司。實現(xiàn)了阻止非法篡改網(wǎng)頁、自動恢復(fù)被篡改的網(wǎng)頁、非法網(wǎng)頁內(nèi)容屏蔽、實時報警“ 3+1”多重保護(hù)。 由于企業(yè)網(wǎng)站的規(guī)模擴(kuò)大、數(shù)量的增加，涉及的信息增多，網(wǎng)絡(luò)攻擊的日愈頻繁，具備綜合安全防范能力的網(wǎng)負(fù)防篡改軟件的研究網(wǎng)頁放篡改系統(tǒng) 的發(fā)展趨勢主要有 4 點 : (1)高的運行性能，低的系統(tǒng)消耗。 (2)高易用性，高擴(kuò)展性。 (3)整合網(wǎng)站發(fā)布管理系統(tǒng)，給企業(yè)網(wǎng)站發(fā)布維護(hù)防篡改過程提供全局的綜合的管理操作。 (4)支持復(fù)雜的網(wǎng)站系統(tǒng)，同時保護(hù)網(wǎng)站的數(shù)量較大。 篡改后恢復(fù)的實現(xiàn) 檢測到文件被篡改，這是關(guān)鍵的一個步驟，剩下的就是如何完成恢復(fù)的任務(wù)。因為 Web空間使用的是虛擬目錄， Web 訪問的目錄與操作系統(tǒng)下的普通目錄有很大的差別， Web 用戶是不能訪問這些普通目錄的，訪問和修改的權(quán)限被限制在虛擬目錄下。 當(dāng)系統(tǒng)檢測到文件被修改后，立即執(zhí) 行文件恢復(fù)操作，以免激發(fā)嵌入網(wǎng)頁的惡意病毒或者木馬?？梢詫⒒謴?fù)文件的代碼嵌入 Web 服務(wù)器，如 ASP的服務(wù)器工IS(Inter Information Services IIS，互聯(lián)網(wǎng)信息服務(wù) )，讓每個網(wǎng)頁解釋執(zhí)行的時候都必須要進(jìn)行相應(yīng)的摘要信息驗證，不符則拒絕執(zhí)行。當(dāng)然更簡單的方法是在網(wǎng)頁的頭部置入自檢代碼 (完成自身 MD5碼的計算并與原始數(shù)據(jù)比對 )，本文所采用的正是此方法。 從安全區(qū)域也就是操作系統(tǒng)目錄下 Web 用戶不可直接訪問的位置將未受篡改的文件拷貝，用來覆蓋被篡改過的文件，這個過程相對簡單，需要相 應(yīng)的讀寫操作權(quán)限，然后使用操作系統(tǒng)的文件復(fù)制功能將文件進(jìn)行覆蓋即可完成。 網(wǎng)頁防篡改技術(shù)與系統(tǒng)設(shè)計 9 虛擬化解決方案 對于使用自己的機房、自己的服務(wù)器存放網(wǎng)站的企業(yè)來說，雖然也有防火墻產(chǎn)品，但這些傳統(tǒng)的硬件防火墻工作在網(wǎng)絡(luò)層，而現(xiàn)在的一些病毒、黑客入侵，其行為主要工作在應(yīng)用層，傳統(tǒng)的硬件防火墻不能解決這些問題。 對于托管到電信、聯(lián)通機房的服務(wù)器，因為只有一臺計算機，所以，需要借助于 “ 虛擬機 ” 技術(shù)，在主機上安裝 VMware Server，然后在 VMware Server 中安裝虛擬機。網(wǎng)絡(luò)拓?fù)淙鐖D 13 所示，這樣就在只有一臺服務(wù) 器的情況下，達(dá)到了保護(hù)企業(yè)網(wǎng)站服務(wù)器的目的。 采用虛擬化解決方案，主要是解決托管服務(wù)器只有一臺 “ 物理主機 ” 的情況。采用虛擬化解決方案后，將一臺物理主機當(dāng)做多臺計算機使用，可以在不同的計算機（虛擬機）中安裝不同的軟件，再充分利用每個軟件的功能、特點，達(dá)到加固網(wǎng)站服務(wù)器，避免網(wǎng)