淺談網(wǎng)頁防篡改技術(shù)

福建省科學(xué)技術(shù)信息研究所，福建省信息網(wǎng)絡(luò)重點實驗室 劉懷北

?

淺談網(wǎng)頁防篡改技術(shù)

福建省科學(xué)技術(shù)信息研究所，福建省信息網(wǎng)絡(luò)重點實驗室 劉懷北

互聯(lián)網(wǎng)時代，建立網(wǎng)站是各組織機構(gòu)通過網(wǎng)絡(luò)擴展其原有服務(wù)和渠道的最普遍做法之一。這不僅使得各類網(wǎng)站爆炸式增長，也引發(fā)了網(wǎng)頁篡改這一安全問題。該文基于網(wǎng)站信息安全的現(xiàn)狀，對各類防網(wǎng)頁篡改技術(shù)進行歸納，并對一些關(guān)鍵技術(shù)進行介紹。

網(wǎng)頁防篡改 事件觸發(fā) 水印 文件過濾驅(qū)動

進入21世紀(jì)以來，互聯(lián)網(wǎng)可以說是對人類社會影響最大的發(fā)明之一。聯(lián)合國國際電信聯(lián)盟在2011年1月26日發(fā)布的數(shù)據(jù)表明，全球網(wǎng)民的數(shù)量由2000年初的2.5億突破至20億，占全球人口的近三分之一?；ヂ?lián)網(wǎng)已經(jīng)深入地滲入各行各業(yè)，改變了人們生活、工作和社交的方式，也給各行各業(yè)帶來了一個新的市場和無限的商機。然而，巨大的潛在利益和監(jiān)管機制的不成熟，也使得各種網(wǎng)絡(luò)犯罪暗流洶涌。

網(wǎng)站作為互聯(lián)網(wǎng)時代最古老與最重要的信息發(fā)布和訪問方式之一，已經(jīng)成為互聯(lián)網(wǎng)不可或缺的基石。截至2011年底，全球網(wǎng)站數(shù)量已經(jīng)達到5.5億。大量的商業(yè)活動與買賣交易都是通過各種網(wǎng)站完成的。對于一個公司而言，其網(wǎng)站能夠吸引客戶、傳播品牌、發(fā)布廣告，成為其銷售渠道，甚至可以成為其核心價值。因此，保護網(wǎng)站的信息和內(nèi)容不受篡改就顯得至關(guān)重要[1]。

計算機網(wǎng)絡(luò)技術(shù)發(fā)展到今天，雖然各種軟硬件防火墻以及權(quán)限控制、入侵檢測等安全機制也在不斷發(fā)展進步，但要建立一種長期有效的防止網(wǎng)頁篡改方法仍然是一項十分艱巨的任務(wù)。其主要原因在于網(wǎng)絡(luò)操作系統(tǒng)的復(fù)雜性、網(wǎng)絡(luò)結(jié)構(gòu)的多樣性和各類網(wǎng)站的不規(guī)范性。據(jù)《2011年中國互聯(lián)網(wǎng)網(wǎng)絡(luò)安全態(tài)勢報告》，2011年我國受攻擊被篡改的網(wǎng)站數(shù)量達36000多個，涉及到政府網(wǎng)站.gov.cn為2800多個，政府網(wǎng)站被篡改的比例與往年同比下降。一方面，反映了政府組織等機構(gòu)對于網(wǎng)絡(luò)安全意識的加強，另一方面也反映出網(wǎng)頁篡改問題的嚴(yán)重性。

1 網(wǎng)頁被篡改的危害性

根據(jù)篡改者目的的不同，網(wǎng)頁篡改事件可以分為經(jīng)濟性質(zhì)和政治性質(zhì)。以獲取經(jīng)濟利益為目的的網(wǎng)頁篡改事件所占的比例最大，主要針對商業(yè)網(wǎng)站，其直接危害是造成消費者或商家的經(jīng)濟損失，同時也損害商家在消費者心中的形象。如果處理不好，對于商家多年經(jīng)營的品牌可能產(chǎn)生致命的打擊。目前，大部分遭受網(wǎng)絡(luò)攻擊和網(wǎng)頁篡改的商業(yè)機構(gòu)對該問題的危害性意識不夠，存有僥幸心理，缺乏專業(yè)技術(shù)能力，是造就當(dāng)前局面的主要原因。

相比之下，政治性質(zhì)的網(wǎng)頁篡改可能造成的危害要大得多，它主要針對政府機構(gòu)、宗教組織或民間組織的網(wǎng)站發(fā)起，這類網(wǎng)站頁面的受眾比較多，具有較強的傳播性，權(quán)威性強，轉(zhuǎn)載量大，一旦篡改發(fā)生并形成病毒式的傳播，將會造成極大的影響，嚴(yán)重的可能上升成政治事件，甚至導(dǎo)致公眾恐慌。隨著政府機構(gòu)對于危害性的重視以及在網(wǎng)絡(luò)安全方面的不斷投入，近年來政府機構(gòu)網(wǎng)頁被篡改的事件呈下降趨勢。

對于被篡改網(wǎng)頁的訪問者而言，除了可能帶來經(jīng)濟損失、接受虛假錯誤的信息之外，還存在其他潛在的風(fēng)險。被篡改的網(wǎng)頁中一旦被插入病毒或木馬程序，將會感染訪問者，從而導(dǎo)致木馬病毒的傳播，造成數(shù)據(jù)損壞、銀行密碼被盜、甚至引發(fā)系統(tǒng)崩潰等嚴(yán)重后果；網(wǎng)頁被植入木馬，電腦中的各種文檔可能被木馬程序搜集并傳走，從而引發(fā)泄密事件。

2 網(wǎng)頁防篡改技術(shù)介紹

網(wǎng)頁防篡改技術(shù)的發(fā)展經(jīng)歷了兩個不同的階段，最初的人工比對檢測和時間輪詢技術(shù)[2]是一種相對滯后的補救機制，它們在篡改發(fā)生后的一段時間里才被激活，因此對于從篡改發(fā)生到完成糾正的時差內(nèi)所造成的損失無能為力。隨著技術(shù)的發(fā)展，事件觸發(fā)技術(shù)和文件過濾驅(qū)動技術(shù)[3]的出現(xiàn)，能夠?qū)⑦@段時間差縮短到毫秒級。

2.1 人工對比檢測

人工對比檢測即指派專人監(jiān)控網(wǎng)站，一旦發(fā)現(xiàn)篡改，即通過人工的方式將網(wǎng)頁修改還原。從本質(zhì)上來講，這并不能算作一種網(wǎng)頁防篡改技術(shù)，而只是一種對付網(wǎng)頁篡改的手段。這種手段不僅原始效果也比較差，往往存在很大的滯后性和不確定性，很大程度依賴于個人的經(jīng)驗，容易出現(xiàn)判斷失誤，即使發(fā)現(xiàn)了篡改事件，也難以做到快速的還原。

2.2 時間輪詢技術(shù)

時間輪詢技術(shù)又被稱為外掛輪詢技術(shù)，被認(rèn)為是第一代網(wǎng)頁防篡改技術(shù)。與人工對比檢測不同，它已經(jīng)是具有了自動檢測和還原功能的機器技術(shù)。

簡單來說，時間輪詢技術(shù)通過一個監(jiān)控程序，對被監(jiān)控的網(wǎng)頁進行輪詢掃描與樣本網(wǎng)頁內(nèi)容進行比較，判斷其是否被篡改，一旦發(fā)現(xiàn)篡改，即立刻進行報警并恢復(fù)。該項技術(shù)很好地避免人工方式的主觀性和不穩(wěn)定性，其最大的問題在于輪詢掃描的時間間隔。通常出于系統(tǒng)性能考慮，這個間隔時間被設(shè)置為數(shù)十分鐘，意味著一旦篡改發(fā)生在某次輪詢之后，將等待數(shù)十分鐘后才能被下一次掃描所發(fā)現(xiàn)，而在此期間的訪問者將訪問到被篡改過的網(wǎng)頁。對于一些流量大的網(wǎng)頁，數(shù)十分鐘可能導(dǎo)致成千上萬的訪問者遭受損失。該項技術(shù)的另一個局限性在于難以應(yīng)用于大型網(wǎng)站，這些網(wǎng)站往往擁有幾十甚至上百個頁面，輪詢掃描耗費的時間過長，占用的系統(tǒng)資源太大。

2.3 事件觸發(fā)技術(shù)+核心內(nèi)嵌技術(shù)

事件觸發(fā)技術(shù)，顧名思義，是利用操作系統(tǒng)的文件系統(tǒng)接口添加相應(yīng)的中斷事件，當(dāng)文件被修改時進行合法性檢查，發(fā)現(xiàn)篡改操作并進行恢復(fù)和報警。這種技術(shù)最大的進步在于解決了輪詢掃描的時間間隔問題，它總是在文件可能被篡改時即刻進行檢測。其有效性基于這樣一個前提，即篡改者不可能繞開操作系統(tǒng)，在不觸發(fā)中斷事件的情況下完成對網(wǎng)頁文件的篡改。事件觸發(fā)技術(shù)起到的作用是即時監(jiān)控疑似篡改事件的發(fā)生，需要與后續(xù)的比較判斷技術(shù)結(jié)合才能有效確保不出現(xiàn)誤判或漏判的現(xiàn)象。通常情況下，判斷一個文件是否被篡改可以通過比較文件大小或者修改時間等文件屬性，但這種比較并未針對文件內(nèi)容，因此無法完全確保文件真正未被篡改。

想要進一步確保訪問者所訪問的網(wǎng)頁是正確有效的，則需要其他技術(shù)在內(nèi)容上對文件進行審核和控制。核心內(nèi)嵌技術(shù)（即密碼水印技術(shù)），能夠通過加密和解密來達到這一目的。首先，網(wǎng)頁內(nèi)容通過非對稱加密存放，當(dāng)訪問請求發(fā)生時需要先進行加密驗證，只有驗證通過后才進行解密對外發(fā)布。因此在很大程度上保證了訪問者所訪問到的頁面內(nèi)容是正確有效的。當(dāng)這種技術(shù)與事件觸發(fā)技術(shù)結(jié)合使用時既能夠保證即時的發(fā)現(xiàn)篡改行為，又可以有效地保證對篡改文件恢復(fù)的有效性和正確性。其主要的缺點在于加密和解密過程往往需要耗費較大的系統(tǒng)資源，對于網(wǎng)站服務(wù)器的負(fù)載要求提出了較高的要求。

2.4 文件過濾驅(qū)動技術(shù)

文件過濾驅(qū)動技術(shù)是伴隨保密系統(tǒng)誕生的，最初主要應(yīng)用于軍方和政府保密機構(gòu)，用于各類機密文件操作的審計和保護。該項技術(shù)是一把雙刃劍，也有不少流氓軟件使用它來搜集和窺探用戶隱私。在網(wǎng)頁防篡改方面，文件過濾驅(qū)動技術(shù)有著獨特的優(yōu)勢。與之前介紹的所有方式不同，文件過濾驅(qū)動技術(shù)不是在篡改發(fā)生后進行文件恢復(fù)，而是試圖阻止篡改動作的發(fā)生。

該技術(shù)可以將篡改監(jiān)控程序嵌入到Web服務(wù)器中，通過操作系統(tǒng)底層文件過濾驅(qū)動接口攔截并分析IRP流，預(yù)判寫操作的目標(biāo)文件，一旦發(fā)現(xiàn)試圖改寫受保護的網(wǎng)站目錄下的文件即立即進行截斷。這種技術(shù)最大的優(yōu)點來自于其與操作系統(tǒng)緊密結(jié)合，可以監(jiān)控任意類型的文件，無論是一個html文件還是一段動態(tài)代碼，執(zhí)行準(zhǔn)確率高。不僅完全避免了時間輪詢技術(shù)掃描時間間隔的問題，而且相對核心內(nèi)嵌式技術(shù)大大降低了對系統(tǒng)資源的占用，增加了服務(wù)器的效率。相比之下，是一種相當(dāng)高效而安全的一種防篡改技術(shù)。

然而，依賴于操作系統(tǒng)的文件過濾驅(qū)動技術(shù)并不意味著嚴(yán)絲合縫，毫無破綻。實際上，由于操作系統(tǒng)的復(fù)雜性，往往存在多種可以讀寫文件的方式，而文件過濾驅(qū)動也僅僅是其中的一種，仍然存在其他的方式繞過其對文件進行篡改的可能。例如一般人都用過的“文件粉碎機”，就是利用相關(guān)原理來達到強制刪除頑固文件的功效。因此，一旦篡改者找到方法繞開文件過濾驅(qū)動層，就意味著該防篡改技術(shù)完全失效，可以想象其潛在的危害性。

3 結(jié)束語

本文對網(wǎng)頁防篡改技術(shù)的發(fā)展過程進行了回顧，并對現(xiàn)存的幾種技術(shù)做了簡要的介紹，分析了其各自的優(yōu)缺點。目前，這些技術(shù)大多只是適用于靜態(tài)網(wǎng)頁的防篡改保護。對動態(tài)網(wǎng)頁保護的研究目前還比較少，隨著電子商務(wù)、BBS、論壇、動態(tài)新聞等動態(tài)網(wǎng)頁的具體應(yīng)用越來越重要，研究如何開展動態(tài)網(wǎng)頁保護技術(shù)將成為網(wǎng)絡(luò)安全的下一個熱點。

[1] 王海濤，杜宏偉. 網(wǎng)站內(nèi)容安全防護技術(shù)淺析[J].信息化研究, 2010, 36(12):1-3.

[2] 陳善利, 姚瀅．網(wǎng)頁防篡改系統(tǒng)的研究與設(shè)計方案[J]．科技信息，2010(9X): 61.

[3] 申建明．網(wǎng)頁防篡改技術(shù)探討[J]．山西電力，2008 (5):44-45.