網(wǎng)頁(yè)防篡改領(lǐng)域的孫武

1、網(wǎng)頁(yè)防篡改領(lǐng)域的孫武——InfGuard演繹網(wǎng)頁(yè)防篡改之連環(huán)計(jì)(2006092910:19:56)轉(zhuǎn)載分類：網(wǎng)絡(luò)安全網(wǎng)上介紹網(wǎng)頁(yè)防篡改相關(guān)技術(shù)的文章很多，而我以為單獨(dú)談?wù)撊魏我环N技術(shù)，都不過(guò)是逞匹夫之勇罷了。為什么這么說(shuō)呢？如果列位不嫌我聒噪，我先簡(jiǎn)要介紹一下每一種技術(shù)。輪巡掃描技術(shù)，現(xiàn)已淘汰，不再介紹了。實(shí)時(shí)阻斷技術(shù)，這種技術(shù)可以說(shuō)是真正的“防”篡改技術(shù)。它有效的阻斷大部分非法進(jìn)程對(duì)文件和目錄的“非讀操作”，這些操作包括修改文件內(nèi)容，

2、重命名文件目錄，在目錄中新建或者刪除文件等。為什么說(shuō)大部分呢？因?yàn)檫@一技術(shù)是掛接在文件驅(qū)動(dòng)層的，如果黑客程序太厲害，對(duì)文件目錄的控制進(jìn)程繞過(guò)了文件驅(qū)動(dòng)層，這一層就形同虛設(shè)了。但是它有一個(gè)最大的優(yōu)點(diǎn)就是不需要另外的一臺(tái)機(jī)器做備份機(jī)。事件觸發(fā)技術(shù)，這是一種事后恢復(fù)技術(shù)。首先它需要一臺(tái)備份機(jī)和它合作。它依賴于操作系統(tǒng)提供的接口，瞬間發(fā)現(xiàn)文件和目錄的變化，（不用擔(dān)心操作系統(tǒng)會(huì)漏掉某些變化，除非黑客忙了半天，文件和目錄卻沒(méi)有發(fā)生任何變化?。┤缓蠹?/p>

3、時(shí)還原。這種技術(shù)的優(yōu)點(diǎn)是恢復(fù)及時(shí)！但是，前提是在（備份機(jī)和網(wǎng)站服務(wù)器之間的）網(wǎng)絡(luò)情況一切正常的情況下。如果，網(wǎng)絡(luò)異常斷開(kāi)，就要分三種情況進(jìn)行討論，第一種情況篡改行為屬于新建和重命名，那么事件觸發(fā)會(huì)及時(shí)刪除，這種情況不依賴于網(wǎng)絡(luò)；第二種情況篡改行為屬于修改文件內(nèi)容，那么事件觸發(fā)會(huì)刪除該文件，然后向備份機(jī)申請(qǐng)恢復(fù)，但是因?yàn)榫W(wǎng)絡(luò)不通，所以恢復(fù)失??；第三種情況，篡改行為屬于刪除，事件觸發(fā)也會(huì)申請(qǐng)恢復(fù)，但是因?yàn)榫W(wǎng)絡(luò)不通，所以恢復(fù)失敗。綜上，在任何

4、情況下事件觸發(fā)都能保證網(wǎng)站內(nèi)不會(huì)滯留非法文件。核心內(nèi)嵌技術(shù)，這也是一種事后恢復(fù)技術(shù)。也需要一臺(tái)備份機(jī)和它合作。它在網(wǎng)站服務(wù)器里安插一個(gè)過(guò)濾器，截獲用戶請(qǐng)求，然后校驗(yàn)（通常是通過(guò)水印比對(duì)的方式）用戶請(qǐng)求文件的合法性，如果校驗(yàn)失敗，就進(jìn)行文件恢復(fù)，同時(shí)返回給用戶一個(gè)指定的頁(yè)面。這種技術(shù)能夠阻止非法網(wǎng)頁(yè)公布于眾。但是，如果指定的頁(yè)面被篡改了呢？還有一點(diǎn)核心內(nèi)嵌只對(duì)用戶訪問(wèn)的文件進(jìn)行檢驗(yàn)，如果隨便向網(wǎng)站中放幾個(gè)病毒文件進(jìn)去，核心內(nèi)嵌只會(huì)視而不見(jiàn)

5、。另外，如果水印庫(kù)被篡改了，后果更是麻煩至極。從人性化的角度來(lái)評(píng)價(jià)這幾種技術(shù)：（下面我把備份機(jī)稱為總部）實(shí)時(shí)阻斷——就像一個(gè)勇武的孤膽英雄，也許他不能殲滅所有黑客，但是對(duì)付一般的“小黑”，還是綽綽有余的。遺憾的是，萬(wàn)一遇到“大黑”，它就只能束手待斃了。事件觸發(fā)——應(yīng)該是個(gè)火爆脾氣的將軍，做事雷厲風(fēng)行。和總部聯(lián)絡(luò)正常的時(shí)候，防御得滴水不漏，但是一旦和總部失去聯(lián)系，以他的火爆脾氣，就只能簡(jiǎn)單的殺無(wú)赦，并且自認(rèn)為已經(jīng)報(bào)告過(guò)總部了，決不會(huì)再報(bào)告

6、一次。要想恢復(fù)網(wǎng)站，需要總部自行解決。（如果您關(guān)注解決方案，請(qǐng)參考《事件觸發(fā)的貼身小秘書(shū)》一文）。核心內(nèi)嵌——它絕不是個(gè)將軍，只能算作謀事一類的，而且是個(gè)臨時(shí)抱佛腳，很會(huì)逃避責(zé)任的謀事。它只在有人來(lái)訪的時(shí)候才關(guān)心一下所管的文件，發(fā)現(xiàn)不對(duì)，先高掛白旗，再做恢復(fù)工作。而且，他對(duì)“職責(zé)范圍”理解獨(dú)到——就是網(wǎng)站內(nèi)合法存在的文件而已，偷偷混進(jìn)來(lái)的外來(lái)文件和目錄和我毫無(wú)關(guān)系。雖然看起來(lái)他是個(gè)懶惰又愛(ài)逃避責(zé)任的家伙，但是，不可否認(rèn)他還是有一點(diǎn)不錯(cuò)的

7、，那就是和總部斷線再聯(lián)系上后，被篡改的文件還是可以被恢復(fù)的（只要有用戶訪問(wèn)該文件）。經(jīng)過(guò)我上面的分析，您該相信任何一種技術(shù)都不過(guò)是匹夫了吧？不過(guò)就個(gè)人感情來(lái)說(shuō)我還是比較喜歡事件觸發(fā)的。大概正因?yàn)槿绱?，我才不是孫武吧！真正的將軍是不該感情用事的，現(xiàn)在我們來(lái)看看InfGuard是怎么做的！InfGuard沒(méi)有完全依賴于某一種技術(shù)，首先它派實(shí)時(shí)阻斷打前陣，直接和敵人短兵相接；派事件觸發(fā)居主陣，確保網(wǎng)站中絕對(duì)不會(huì)有非法文件；派核心內(nèi)嵌補(bǔ)漏。為什

8、么呢？為什么一定要這么做呢？核心內(nèi)嵌不是就完全能夠保證被篡改的文件不會(huì)公諸于世嗎？這話不假，可是你會(huì)喜歡他那種金玉其外，敗絮其內(nèi)，粉飾太平的做法嗎？你愿意冒著后院起火的危機(jī)把整個(gè)戰(zhàn)場(chǎng)交給這樣一個(gè)懶散的家伙嗎？那么，事件觸發(fā)呢？事件觸發(fā)不是固若金湯嗎？沒(méi)錯(cuò)，可是那是網(wǎng)站服務(wù)器和備份機(jī)之間通訊正常的情況下。如果通訊不正常，雖然同樣不會(huì)有被篡改的網(wǎng)頁(yè)發(fā)布出去，但是，可能會(huì)難看的報(bào)出一堆“找不到文件錯(cuò)”，比起核心內(nèi)嵌自定義的網(wǎng)頁(yè)看起來(lái)還是難看了

9、些！而且，通訊正常后，恢復(fù)那些被刪除的文件，還要依賴于特別的方法。至于，實(shí)時(shí)阻斷，就不用我多做說(shuō)明了吧？現(xiàn)在讓我們來(lái)做一道簡(jiǎn)單的數(shù)學(xué)題，來(lái)看看到底三管齊下有何好處呢？假設(shè)黑客對(duì)網(wǎng)站文件進(jìn)行篡改，那么首次訪問(wèn)該網(wǎng)頁(yè)，會(huì)出現(xiàn)哪些情況呢？如果單獨(dú)采用核心內(nèi)嵌，舉白旗的概率就是100%。如果加上實(shí)時(shí)阻斷，并且實(shí)時(shí)阻斷失敗的概率是50%，那么舉白旗的概率就變成50%。如果再加上事件觸發(fā)，在網(wǎng)絡(luò)好的情況下舉白旗的概率就是0。因?yàn)槭录|發(fā)在網(wǎng)絡(luò)好的情

10、況下的防御絕對(duì)是固若金湯的。如果網(wǎng)絡(luò)不好，并且假定篡改事件的類型是刪除，或者修改文件內(nèi)容的概率是50%（因?yàn)?，新建和重命名不依賴與網(wǎng)絡(luò)）那么舉白旗的概率就變成實(shí)時(shí)阻斷失敗的概率50%，就是50%50%變成25%?，F(xiàn)在可以看出，三管齊下會(huì)得出以下結(jié)論，如果網(wǎng)絡(luò)情況良好，舉白旗的概率是0，網(wǎng)絡(luò)情況不好，舉白旗的是25%。每一種情況都比單獨(dú)的核心內(nèi)嵌技術(shù)100%舉白旗的概率要好得多。兵家作戰(zhàn)首先考慮的就是“道天地將法”，由上面可以看出InfG