多层次网站防篡改技术研究

姜延凯

摘 要：本文就网站安全保护技术进行相关探讨，并利用现有的防篡改技术构建了多层次网站防篡改系统，实验证明，该系统对网站的保护功能得到了大幅度提升。

關键词：多层次防篡改；网站安全；事件触发技术；核心内嵌技术

1 概述

根据国家互联网应急中心（CNCERT/CC）的中国互联网网络安全态势报告可知，我国网站被篡改的数量达到36000多个，其中涉及政府网站高达2800多个，除政府网站外，银行、工业控制系统的安全性同样也受到威胁，而部分个人的信息网站更是黑客攻击的主体。

2 网站防篡改技术发展阶段

第一，人工对比检测。派专人负责监控、管理网站，发现异常，以人工方式将其复原。这种方法花费精力较大，且实时性极差。第二，外挂轮询技术。该技术实现了自动化检测，利用网页检测程序对网站实施保护，将网站与备份进行对比，查看其完整性，当网站被篡改后可发生报警，并对其进行自动回复。该技术实时性仍存在较大局限性，且Web服务器负载过大，无法对动态网页进行有效保护。第三，核心内嵌技术。相对于外挂轮询技术，在安全性方面有了提高，这种内嵌技术在网页最终交付给用户前进行截查和检测，保证网页不被篡改。该技术稳定性高，处理效果好，但对服务器形成的负担过重。第四，事件触发技术。将篡改检测的核心技术植入到Web服务器中，当被保护的网站发生添加、删除或修改操作时，根据预先设定的规则对篡改操作的合法性进行判断，若为非法操作，监测程序发出警告，并对网页进行恢复。该技术实时性较高，反应快，减少了内存和CPU的占有率。

各类技术的性能可参见表1。

表1 防篡改技术特性对比

3 多层次防篡改系统构建

3.1 技术选择 由表1中各项技术的性能对比可知，外挂轮询技术的服务器负载较高、响应时间短、安全性能较差，无法满足现代防篡改系统的技术要求；而其他两种技术在各个方面各具特色，互有优势，因此可将两种技术相结合，开发具有多层次、高性能的防篡改安全系统。

3.2 系统功能需求分析 多层次防篡改系统可实现的功能有：监控受保护网站下的文件，防止SQL注入和XSS攻击功能、篡改后及时恢复功能、网站文件备份功能、遭篡改后的实时报警功能、日志与审计功能、分布式监控和集中式管理的功能。

3.3 多层次防篡改系统结构 根据逻辑部署位置和功能的不同，多层次网站防篡改系统可分为监控端（Agent）和管理端（Sercer）两部分。各部分模块划分及结构之间的关系，可参见图1。

根据图1可知，多层次防篡改系统改变了以往单个系统分别部署防御的模式，改为由Server管理端集中管理。

而Agent端则主要起到保护、监控、备份与恢复的功能。其中事件出发模块对网站文件的改变进行监控，对不同的行为进行判断，然后采取相应的恢复措施，是保护网站的重要手段；核心内嵌模块对流出服务器的网页进行过滤，检查网页的完整性，是事件触发模块不可获取的补充；而防注入模块、黑白名单模块等均从不同的角度为网站提供全方位的保护措施。

Agent端的几个模块构成了事前预防、事中监控、事后拦截的三层防御系统。当含有注入攻击的请求到达服务器时，首先由注入模块对其进行检测，若检测证实请求为恶意请求时，对其进行有效拦截；如果黑客使用其他技术或绕过防注入模块的监控时，事件触发模块仍可对其恶意请求进行监控，一经发现恶意篡改，即可做出恢复网页的反应（当前的反应速度已经提升至毫秒级）。若侵入者绕过事件触发模块的监测，核心内嵌模块则会继续发挥其保护功能，避免受损害的网页被用户访问。

3.4 功能测试 对防注入模块、事件触发模块以及核心内嵌模块的安全保护功能进行测试，以防注入功能测试为例进行详细说明，具体测试方法如下：从网站前台的64处交互输入框中，选择其中的47处，分别在关闭防注入功能和开启防注入功能中输入正确数据和带有SOL注入攻击（或XSS攻击）的数据。结果如表2所示：

表2 防注入功能测试结果

4 多层次防篡改系统评价

多层次防篡改系统的分布式部署和集中式管理，可大大简化工作人员的工作强度，采用的多种技术可对网站进行事前、事中和事后三层防御；系统通过Filter技术，对网站服务器遇到的请求进行检测，过滤其中的非法注入和攻击，以事件基础技术为基础，对网站内所有的文件进行监控；而核心内嵌技术则是整个系统的最后一层安全保障，从而最终阻止遭篡改的文件流出服务器。该系统的利用，使网站安全得到了有效保障，但其在具体的实施过程中，仍存在一系列问题，需要进一步改进和优化。

基金项目：本文系河北省科技计划项目重点课题“基于J2EE面向服务（SOA）的食品防伪及安全追溯预警系统”的研究成果之一。