【文章內容簡介】 息中可能包含大量操作系統(tǒng)版本、 Web 服務器版本、網站在服務器上的絕對路徑等敏感信息。此類型漏洞攻擊者可能無法直接利用，但和其他漏洞結合起來，就會對成功入侵起到很大的幫助。 還有一類是由于網站維護人員的疏忽，或者管理不規(guī)范，使得一些測試頁面或者備份頁面未及時刪除，或者網頁源代碼中的注釋過于詳細，都可以不同程度的泄漏網站的信息。為攻擊者獲取網站權限創(chuàng)造便利條件。 面向應 用層新 型攻擊特點 ? 隱蔽性強：利用 Web 漏洞發(fā)起對 WEB 應用的攻擊 紛繁復雜，包括 SQL 注入，跨站腳本攻擊等等，一個共同特點是隱蔽性強，不易發(fā)覺。 ? 攻擊時間短：可在短短幾秒到幾分鐘內完成一次數(shù)據竊取、一次木馬種植、完成對整個數(shù)據庫或 Web 服務器的控制，以至于非常困難做出人為反應。 ? 危害性大：目前幾乎所有銀行，證券，電信，移動，政府以及電子商務企業(yè)都提供在線交易，查詢和交互服務。用戶的機密信息包括賬戶，個人私密信息（如身份證），交易信息等等，都是通過 Web 存儲于后臺數(shù)據庫中， 這樣，在線服務器一旦癱瘓，或雖在正常運行，但后臺數(shù)據已被篡改或者竊取， 都將造成企業(yè)或個人巨大的損 失。據權威部門統(tǒng)計，目前身份失竊（ identity theft）已成為全球最嚴重的問題之一。 ? 造成非常嚴重的有形和無形損失：目前，很多大型企業(yè)都是在國內外上市的企業(yè)， 一旦發(fā)生這類安全事件， 必將造成人心惶惶，名譽掃地， 領先的應用安全及數(shù)據庫安全整體解決方案提供商 8 / 23 上海睿宏電子 科技 發(fā)展 有限公司 以至于造成經濟和聲譽上的巨大損失，即便不上市，其影響和損失也是不可估量的。 2 防篡改總體方案設計 防篡改系統(tǒng)部署方式 系統(tǒng)組成 安恒網站衛(wèi)士網頁防篡改系統(tǒng)由管理控制端 (server)、監(jiān)控端 (agent)和發(fā)布端(push)三大模塊組成。 管理控制端程序可安裝在任何一臺服務器上，主要用于配置、管理和查看監(jiān)控端、發(fā)布端的各種信息，并下發(fā)站點安全規(guī)則到監(jiān)控端；監(jiān)控端程序是安裝在web 服務器上的，主要是對站點進行保護備份和監(jiān)測；發(fā)布端程序安裝在更新服務器上，主要對站點文件進行實時更新。 管理控制端主要用來配置和下發(fā)安全策略，提供管理員管理操作監(jiān)控端和發(fā)布端的 Web 管理界面，并通過傳輸服務模塊和通訊模塊負責和監(jiān)控端的文件傳輸、日志報警、系統(tǒng)狀態(tài)等數(shù)據。監(jiān)控端主要包含文件防篡改模塊和 web 防攻擊模塊。文件防篡改模塊主要對站點網頁文件或文件夾進行實時保 護，實現(xiàn)的是站點靜態(tài)區(qū)域文件的保護； web 防攻擊模塊主要對網頁訪問進行保護，如防止非法網頁請求和 SQL 注入攻擊等，實現(xiàn)的是站點動態(tài)區(qū)域文件的保護。 系統(tǒng)部署 在部署網頁防篡改系統(tǒng)時，首先需要架設管理控制端，然后，在 Web服務器上安裝監(jiān)控端軟件，通過在管理控制端的配置監(jiān)控端認證信息，即可實現(xiàn)管理控制端和監(jiān)控端之間的安全連接。站點管理員通過管理控制端可以查看監(jiān)控端的運行情況及日志信息。發(fā)布端部署在更新服務器上，負責所有網頁內容的更新。 領先的應用安全及數(shù)據庫安全整體解決方案提供商 9 / 23 上海睿宏電子 科技 發(fā)展 有限公司 由于管理控制端有著 管理控制、站點備份的權力，一般在管理控制端前架設一臺應用網關設備，用于站點管理員安全地連到管理控制端。 根據用戶狀況、需求、提供環(huán)境的不同，網站衛(wèi)士可采用不同的部署方式。 簡單部署方式 簡單部署方式如圖 21 所示，即把網站衛(wèi)士系統(tǒng)的監(jiān)控端、發(fā)布端和管理控制端軟件僅部署在一臺 Web 服務器上。 Web 服務器既接收網頁發(fā)布，也對外提供Web 服務。另外，如果網站管理員需要遠程到 Web服務器進行維護和更新，可以采用 VPN 或 FTP 的方式。這種部署環(huán)境比較適合哪些小型的、需要租用專門機構的 Web 服務器的機構。 圖 21 簡單部署方式示例 在安全考慮上，由于 Web 服務器對外提供 Web服務，需要暴露在外網中。因此， Web 服務所在的網頁目錄更容易遭到攻擊。這種部署方式能夠在一定程度上防止對網頁的直接篡改。但是，由于發(fā)布目錄和 Web 服務目錄都在 Web 服務器上（雖然在不同目錄上），手段極其高明的黑客有可能找到這個目錄并加以篡改。因此，這種部署方式并不能完全發(fā)揮網站衛(wèi)士的安全防護作用。一般情況下，并不建議這種部署方式。 基本部署方式 基本部署方式需要兩臺服務器。即把網站衛(wèi)士系統(tǒng)的監(jiān)控端軟件安裝在一臺Web 服務器上， 發(fā)布端和管理控制端軟件安裝在另一臺服務器上，用來發(fā)布、更 領先的應用安全及數(shù)據庫安全整體解決方案提供商 10 / 23 上海睿宏電子 科技 發(fā)展 有限公司 新站點文件的內容，如圖 22所示。 圖 22 基本部署方式示例 一般來說，發(fā)布服務器位于內網中，處于相對安全的環(huán)境中。所有網頁的合法變更（包括增加、修改、刪除、重命名）都在發(fā)布端進行，啟用監(jiān)控端的自動發(fā)布功能，發(fā)布服務器上的任何文件 /目錄的變化都會自動和立即反映到 Web 服務器上的相應位置。因此，這種方式具有很好的 Web 安全防護效果。另外，如果網站管理員需要遠程到 Web服務器進行維護和更新，可以采用 VPN或 FTP的方式。這樣，發(fā)布服務器會自動對前段 站點進行更新，同時也保證了數(shù)據傳輸?shù)陌踩浴? 基本部署方式既可以實現(xiàn)具有統(tǒng)一網站編輯部門的組織或機構的集中發(fā)布，也可以滿足具有多個下屬部門獨立制作，需要通過互聯(lián)網遠程發(fā)布的組織或機構的分布式發(fā)布要求。 擴展部署方式 這種部署方式是基本部署方式的擴展，它把網站衛(wèi)士系統(tǒng)的發(fā)布端和管理控制端軟件分別裝到了兩臺獨立服務器上，如圖 23 所示。 領先的應用安全及數(shù)據庫安全整體解決方案提供商 11 / 23 上海睿宏電子 科技 發(fā)展 有限公司 圖 23 擴展部署方式示例 標準部署方式 由于現(xiàn)今大多數(shù)網站都使用了內容管理系統(tǒng)（ CMS）進行網頁的編輯、審核、簽發(fā)和合成等工作，為了滿足這些機構組織的需求， 安恒提供了這種環(huán)境的標準部署方式。如圖 24所示，該部署方式把網站衛(wèi)士系統(tǒng)的監(jiān)控端軟件安裝在一臺Web 服務器上，發(fā)布端和管理控制端直接安裝在 CMS 上，把 CMS發(fā)布的目錄作為發(fā)布端的發(fā)布目錄，這樣，無需更改 CMS的端口，即可實現(xiàn)發(fā)布端對 Web 服務器文件 /目錄的更新。 領先的應用安全及數(shù)據庫安全整體解決方案提供商 12 / 23 上海睿宏電子 科技 發(fā)展 有限公司 圖 24 標準部署方式示例 多 Web 服務器部署方式 多 Web服務器部署方式適合大型的門戶網站，它具有多臺獨立的 Web服務器，它們的網絡地址、網絡內容是不一樣的，甚至操作系統(tǒng)也不一樣。它們可以使用一套內容管理系統(tǒng)，也可以使用不同的內容管理系統(tǒng) 。部署方式如圖 25 所示，在 CMS 上安裝安恒網