剔除二級網(wǎng)站安全隱患

文/張子蛟 高金峰 胡宏偉等

剔除二級網(wǎng)站安全隱患

文/張子蛟 高金峰 胡宏偉等

為了徹底消除校園網(wǎng)站群的“信息孤島”，除了使二級網(wǎng)站內(nèi)容管理系統(tǒng)與主網(wǎng)站群的后臺數(shù)據(jù)庫統(tǒng)一之外，還需要將二級網(wǎng)站的信息發(fā)布系統(tǒng)與學(xué)校的門戶網(wǎng)站實現(xiàn)整合。

網(wǎng)站群安全問題頻發(fā)

校園網(wǎng)的安全主要包含三個層面，第一是網(wǎng)絡(luò)運行安全，第二是網(wǎng)站群的安全，第三是校園網(wǎng)用戶計算機的安全。其中，網(wǎng)站群的安全問題最為突出。

一般來說，校園網(wǎng)網(wǎng)站群分主網(wǎng)站群和二級網(wǎng)站群。主網(wǎng)站群主要由學(xué)校門戶網(wǎng)站、新聞網(wǎng)站等校級網(wǎng)站組成，一般由學(xué)校網(wǎng)絡(luò)管理中心集中維護管理，安全問題不是很突出。二級網(wǎng)站群則不然。

每個高校的校園網(wǎng)上都運行有若干個二級網(wǎng)站，以鄭州大學(xué)為例，目前建設(shè)有三百多個二級網(wǎng)站，包括院系、行政部門、黨群機構(gòu)、科研院所、教師個人主頁、精品課程等。二級網(wǎng)站已成為學(xué)校網(wǎng)站群的重要組成部分和網(wǎng)絡(luò)信息資源的重要提供者。

根據(jù)各高校信息化管理權(quán)限的分工，二級網(wǎng)站的建設(shè)和管理模式是：網(wǎng)絡(luò)管理中心提供網(wǎng)絡(luò)空間、技術(shù)指導(dǎo)和服務(wù)器管理，各二級網(wǎng)站由所屬的單位和個人自己制作，自己管理維護。若干個二級網(wǎng)站共用一臺服務(wù)器。如此一來，隨著二級網(wǎng)站群的規(guī)模擴大和應(yīng)用的日益豐富，在安全和管理方面就暴露出較大問題。

1.網(wǎng)站設(shè)計制作先天不足

各單位二級網(wǎng)站的設(shè)計制作渠道五花八門，有花錢找公司來做的，有花錢找個人做的，有找本校計算機專業(yè)學(xué)生來做的，也有自己做的。網(wǎng)站制作人員技術(shù)水平和責任心也參差不齊。

2.網(wǎng)站采用的技術(shù)不統(tǒng)一

各二級網(wǎng)站采用的動態(tài)內(nèi)容實現(xiàn)技術(shù)種類繁多，常見的包括ASP、JSP、ASP.net、php、ISAPI等等。后臺數(shù)據(jù)庫有Access、SQL Server、MySQL、Oracle、Paradox、Sybase、Foxpro等。所用的信息發(fā)布和管理程序有自己開發(fā)的，更多的是從網(wǎng)上下載和改裝的免費程序，注入式漏洞大量存在于網(wǎng)站的后臺管理程序中。這些都給二級網(wǎng)站的運行埋下了安全隱患。

3.網(wǎng)站管理方面的問題

從網(wǎng)絡(luò)管理中心的角度，不給予這些二級網(wǎng)站足夠的權(quán)限，會影響其正常運行。給其足夠的權(quán)限，服務(wù)器安全無法保證。由于多個網(wǎng)站共用同一臺服務(wù)器，一個網(wǎng)站的犧牲，可能意味著這臺服務(wù)器上所有網(wǎng)站的犧牲。網(wǎng)站本身在內(nèi)存管理方面的缺陷也會停掉一臺服務(wù)器。

4.“信息孤島”問題

由于各個二級網(wǎng)站的設(shè)計是分別獨立進行的，其信息維護和數(shù)據(jù)庫也各自獨立，因此，二級網(wǎng)站之間，學(xué)校主網(wǎng)站群與二級網(wǎng)站之間，形成了事實上的“信息孤島”，信息無法有效流通，對整個學(xué)校整體上深入信息化形成制約。

5.二級網(wǎng)站被黑

近幾年來，鄭州大學(xué)發(fā)生了多起二級網(wǎng)站被黑掉的案例，攻擊者有我校的學(xué)生，也有外部的人員；有單個網(wǎng)站的犧牲，也有整臺服務(wù)器的犧牲。對此，我們也采取了一些措施，例如部分服務(wù)器視需要封掉fso權(quán)限、每個網(wǎng)站使用獨立的AppPool、按照網(wǎng)站的技術(shù)特點分服務(wù)器、使用服務(wù)器反向代理、安裝防火墻、禁止上載可執(zhí)行文件等，由于網(wǎng)站先天不足，無法從根本上解決二級網(wǎng)站的安全問題。

6.出現(xiàn)“死網(wǎng)站”

隨著二級網(wǎng)站的長期運行，網(wǎng)站的制作者，有的學(xué)生畢業(yè)了，有的公司倒閉了，有的教師崗位調(diào)動了。如此，由于大部分二級網(wǎng)站都缺少維護文檔，部分二級網(wǎng)站成為“死網(wǎng)站”，網(wǎng)站無人維護，信息無人管理，內(nèi)容長期不更新，管理員賬號密碼丟失等。

7.校園網(wǎng)“定時炸彈”

2009年12月份的一天下午，突然大量校園網(wǎng)用戶反映無法正常訪問我校網(wǎng)站。經(jīng)過跟蹤和調(diào)查，發(fā)現(xiàn)我校約有20%的用戶安裝了國內(nèi)某免費安全軟件，只要安裝了該軟件的計算機均不能訪問我校的WWW3服務(wù)器群。該服務(wù)器群主要提供我校的新聞和公告服務(wù)，通過檢查六臺WWW3服務(wù)器，未發(fā)現(xiàn)異常。后經(jīng)核實和分析，發(fā)現(xiàn)WWW3被該軟件列入了黑名單，從而導(dǎo)致安裝該軟件的計算機拒絕訪問W W W 3。

通過與該軟件所屬的公司聯(lián)系，對方反映是我們的WWW3下的一個小網(wǎng)站的幾個網(wǎng)頁有惡意代碼，因此將WWW3列入了黑名單。我們經(jīng)過查實并迅速解決了該問題，然后要求該公司更新其黑名單庫，但其答復(fù)說不能馬上更新。鑒于這件事情對我校師生影響很大，我們連夜調(diào)整軟件和服務(wù)器，放棄了WWW3，換為其他域名，才使問題得以解決。第二天，該公司發(fā)布了新的黑名單庫，將W W W 3剔除了。

問題雖然解決了，先不討論這件事情誰是誰非，但的確使我們出了一身冷汗：原來我們的校園網(wǎng)埋了顆“定時炸彈”！這意味著，不管出于什么樣的原因，這個安全軟件隨時可以使我們的校園網(wǎng)絡(luò)用戶封掉我們的網(wǎng)站，隨時解除我們校園網(wǎng)用戶對我校網(wǎng)站的訪問權(quán)。進一步，從技術(shù)上講，安裝該軟件的計算機的信息也沒有秘密和安全可言，軟件的所有者可以隨時查看、復(fù)制或刪除其文檔。并且，從技術(shù)上，我們還沒找到很有效的辦法處理這種情況。作為校園網(wǎng)絡(luò)的管理者，對此感到非常被動和無力。

類似的“定時炸彈”在各個高校中都普遍存在，不知道什么時候會“爆炸”。在此寫出來，供大家思考對策。

8.域名劫持

今年1月12日發(fā)生的百度域名被劫持事件影響深遠。對各高校和教育科研網(wǎng)來說，在現(xiàn)有的DNS協(xié)議和體系下，這種危險性隨時存在。

校園網(wǎng)網(wǎng)站群安全對策

為了從根本上解決二級網(wǎng)站群的諸多問題，特別是安全問題，我們從2009年起著手實施二級網(wǎng)站改造升級工程。

開發(fā)或引進一套功能豐富的網(wǎng)站內(nèi)容管理系統(tǒng)，由網(wǎng)絡(luò)管理中心集中維護管理，每個二級網(wǎng)站均作為該系統(tǒng)的一個用戶，通過選擇相應(yīng)的網(wǎng)站模板，填寫一整套表單，來實現(xiàn)自己二級網(wǎng)站的建設(shè)和管理。從訪問者和網(wǎng)站管理者的角度，是個一個完全獨立的網(wǎng)站。從網(wǎng)站內(nèi)容管理系統(tǒng)和網(wǎng)管中心的角度，是一個用戶的獨立空間和網(wǎng)站實例。所有的二級網(wǎng)站使用統(tǒng)一的的后臺管理程序和數(shù)據(jù)庫，信息交換格式統(tǒng)一。所有二級網(wǎng)站的管理人面對的是網(wǎng)站的數(shù)據(jù)和信息，而非文件和軟件，因此從根本上解決了網(wǎng)站的安全問題和“信息孤島”問題。同時，各二級網(wǎng)站的管理員僅僅是內(nèi)容的管理者，而非技術(shù)方面的管理者，對網(wǎng)站制作、網(wǎng)站維護等沒有要求，只要是責任心強既可勝任此工作。

我們認為，實施該方案的關(guān)鍵有四個，詳述如下。

1.網(wǎng)站內(nèi)容管理系統(tǒng)的功能必須足夠完善和靈活

使用戶在建設(shè)和管理自己的網(wǎng)站時，與原來的獨立網(wǎng)站模式相比，不會感到任何的不便。一個正常網(wǎng)站所需要的功能不能欠缺，例如計數(shù)器、網(wǎng)站Logo、留言簿、欄目定制、訪問統(tǒng)計、應(yīng)用系統(tǒng)登錄、實名制網(wǎng)站論壇、站內(nèi)搜索、友情鏈接等等。要能支持多種格式的內(nèi)容，包括文字、表格、公式、圖片、動畫、音頻、視頻；并支持Word、Excel、PowerPoint、WPS、Html等格式的自動識別和轉(zhuǎn)換；支持基于文件的上傳和下載，并具備對這些文件進行惡意代碼和病毒檢測的能力。

2.網(wǎng)站模板和網(wǎng)頁模板足夠豐富

網(wǎng)站管理員只要愿意，能夠通過網(wǎng)站模板、網(wǎng)頁模板、欄目定制、風格選擇、色彩選擇、圖片定制等手段，表達出完全不相同的網(wǎng)站，網(wǎng)站多樣性不亞于老模式。由于網(wǎng)站模板和網(wǎng)頁模板均為專業(yè)制作，因此從美觀、界面、功能上應(yīng)更優(yōu)于分頭制作的老網(wǎng)站。我們擬基于學(xué)校的整體網(wǎng)站風格，分門別類設(shè)計若干專用的二級網(wǎng)站模板。包括8個黨群機構(gòu)網(wǎng)站模板、8個行政機構(gòu)網(wǎng)站模板、6個人文院系網(wǎng)站模板、6個理工院系網(wǎng)站模板、3個醫(yī)科院系網(wǎng)站模板、2個綜合院系網(wǎng)站模板、7個科研機構(gòu)網(wǎng)站模板、10個個人主頁網(wǎng)站、10個其它二級網(wǎng)站網(wǎng)站模板。每個網(wǎng)站模板均從欄目、布局、色彩、風格、圖片上區(qū)別于其它模板，具有足夠的差異性。

3.現(xiàn)有二級網(wǎng)站的內(nèi)容集中轉(zhuǎn)移

新的二級網(wǎng)站平臺啟用后，需要將現(xiàn)有三百多個網(wǎng)站的內(nèi)容轉(zhuǎn)移到新的二級網(wǎng)站平臺中，這是一項工作量較大的工作。若由各二級網(wǎng)站的管理者完成此工作，實施難度較大，進度難以控制。特別是包含數(shù)據(jù)庫的網(wǎng)站，需要技術(shù)人員轉(zhuǎn)移其數(shù)據(jù)。因此，我們擬集中人力，對三百多個網(wǎng)站的內(nèi)容和數(shù)據(jù)進行集中轉(zhuǎn)移，全部完成后再將管理網(wǎng)站的賬號和密碼交給網(wǎng)站所屬的單位和個人，進行正常的內(nèi)容更新。

4.與學(xué)校的門戶網(wǎng)站和統(tǒng)一身份驗證系統(tǒng)整合

為了徹底消除校園網(wǎng)站群的“信息孤島”，除了使二級網(wǎng)站內(nèi)容管理系統(tǒng)與主網(wǎng)站群的后臺數(shù)據(jù)庫統(tǒng)一之外，還需要將二級網(wǎng)站的信息發(fā)布系統(tǒng)與學(xué)校的門戶網(wǎng)站實現(xiàn)整合。二級網(wǎng)站的信息發(fā)布后，發(fā)布者可以根據(jù)需要，申請將其信息提交給學(xué)校，由學(xué)校相關(guān)部門審核后，發(fā)布到學(xué)校門戶網(wǎng)站上。

二級網(wǎng)站內(nèi)容管理系統(tǒng)與學(xué)校的統(tǒng)一身份驗證系統(tǒng)整合后，可以實現(xiàn)信息發(fā)布的普遍化，即每位教職工都可以使用自己的賬號申請發(fā)布信息，經(jīng)過網(wǎng)站管理員的審核批準后即可發(fā)布到二級網(wǎng)站上。并可以實現(xiàn)信息的針對性發(fā)布，在發(fā)布時指定閱讀對象，只有符合條件的教職工或?qū)W生才可閱讀此信息。每個教職工和學(xué)生所看到的網(wǎng)站內(nèi)容各不相同。各二級網(wǎng)站管理員的管理賬號也使用統(tǒng)一身份驗證系統(tǒng)中的賬號，由網(wǎng)絡(luò)管理中心統(tǒng)一管理。

總之，二級網(wǎng)站群的管理須從技術(shù)上集中，從內(nèi)容上分散，才能徹底解決二級網(wǎng)站的安全問題。

（作者單位為鄭州大學(xué)網(wǎng)絡(luò)管理中心）

瑞典成全球信息化程度最高經(jīng)濟體

世界經(jīng)濟論壇3月25日發(fā)布報告稱，北歐國家名列今年世界上信息化程度最高的經(jīng)濟體，瑞典則在這項名為“全球信息技術(shù)報告”的排名中位居首位，新加坡位于第二位，中國香港排名第八。

瑞典取代丹麥，坐上今年該報告的頭把交椅，丹麥則下降到第三位。其他北歐國家均躋身前十，其中芬蘭第六，挪威第十。新加坡進步明顯，排名從去年的第四位，提高到今年的第二位。

中國香港同樣排名大幅靠前，今年排名第八，而去年是第12位。

這個“信息化能力指數(shù)”顯示各國運用信息通訊技術(shù)的能力水平，主要測算指標包括各國的技術(shù)水平、國民運用信息技術(shù)能力、信息技術(shù)使用普及度等。