网页防篡改系统Word文档格式.docx

网页防篡改系统Word文档格式.docx

《网页防篡改系统Word文档格式.docx》由会员分享，可在线阅读，更多相关《网页防篡改系统Word文档格式.docx（21页珍藏版）》请在冰豆网上搜索。

2.2.3篡改检测技术1..1

第3章产品规格1..2.

3.1产品组成1..2.

3.1.1两台服务器1..2

3.1.2发布服务器1..2

3.1.3Web服务器1..3

3.2平台支持1..3.

3.2.1发布服务器端1..3

3.2.2Web服务器端1..4

3.3产品型号1..4.

第4章产品部署1..6.

4.1标准部署1..6.

4.1.1内容管理系统1..6

4.1.2部署示例1..7

4.1.3无内容管理系统1..9

4.1.4更复杂的部署情形1..9

4.2冗余部署2..0.

4.2.1概况2..0

4.2.2Web服务器集群2..1

4.2.3发布服务器双机2..2

第5章技术实现2..3.

5.1内部结构2..3.

5.1.1逻辑组成2..3

5.2核心技术2..4.

5.2.1实现原理2..4

5.2.2核心优势2..5

5.2.3关键流程2..8

5.3双引擎防护2..9

5.4安全技术2..9.

5.4.1安全传输2..9

5.4.2身份鉴别2..9

5.4.3自动同步2..9

5.4.4部署方便3..0

5.4.5硬件支持3..0

第6章功能和性能3..1

6.1功能列表3..1.

6.1.1篡改检测和恢复3..1

6.1.2自动发布和恢复3..1

第1章技术背景

1.1什么是网页防篡改系统

HUISIN网页防篡改系统是完全保护Web网站不发送被篡改内容并进行自动恢复的

Web页面保护软件。

HUISIN网页防篡改系统采用先进的Web服务器核心内嵌技术，将篡改检测模块和数据库防护模块内嵌于Web服务器内部，并辅助以增强型事件触发检测技术，不仅实现了对静态网页和脚本的实时检测和恢复，更可以保护数据库中的动态内容免受来自于Web的攻击和篡改，彻底解决网页防篡改问题。

HUISIN网页防篡改系统的篡改检测模块使用密码技术，为网页对象计算出唯一性的数字水印。

公众每次访问网页时，都将网页内容与数字水印进行对比；

一旦发现网页被非法修改，即进行自动恢复，保证非法网页内容不被公众浏览。

同时，HUISIN网页防篡改系统的数据库防护模块也对用户输入的URL地址和提交的表单内容进行检查，任何对数据库的注入式攻击都能够被实时阻断。

HUISIN网页防篡改系统，全面保护网站的静态网页和动态网页，其安全性从根本上大大优于同类产品。

HUISIN网页防篡改系统支持网页的自动发布、篡改检测、应用保护、警告和自动恢复，保证传输、鉴别、地址访问、表单提交、审计等各个环节的安全，完全实时地杜绝篡改后的网页被访问的可能性，也杜绝任何使用Web方式对后台数据库的篡改。

HUISIN网页防篡改系统支持所有主流的操作系统，包括：

Windows、Linux/FreeBSD、

Unix（Solaris、HP-UX、AIX）；

支持常用的Web系统，包括：

IIS、Apache、SunONE、

Weblogic、WebSphere等；

保护所有常用的数据库系统，包括：

SQLServer、Oracle、MySQL、Access等。

1.1.1网站篡改原因

网站的网页之所以存在被篡改的可能性，有客观和主观两方面的原因。

就客观而言，因为存在以下原因，现有技术架构下网站漏洞将长期存在：

操作系统复杂性：

已公布超过1万多个系统漏洞。

漏洞与补丁：

系统漏洞从发现到被利用为5天，补丁的发布时间为47天。

应用系统漏洞：

各种注入式攻击，多个应用系统不同的开发者。

就主观而言，过于苛刻的安全管理要求，通常网络管理员难以完全实现：

密码管理：

合格密码需要8位以上复杂字符并定期改变。

漏洞补丁：

操作系统、中间件、应用系统的定期更新。

上网控制：

钓鱼、木马、间谍软件。

1.1.2网络安全设备大部分网站系统都使用了防火墙和入侵检测系统等网络安全设备来保护自身的安全。

防火墙是一种成熟和应用广泛的网络安全设备，但是，Web服务器通常是部署在防火墙的DMZ区域，防火墙完全向外部网络开放Web应用端口，这种方式对与Web应用没有任何的保护作用。

即使使用http代理型的防火墙，防火墙也只是验证http协议本身的合法性，完全不能理解http协议所承载的数据，也无从判断对http服务器的访问行为是否合法。

入侵检测技术同样工作在网络层上，对应用协议的理解和作用存在相当的局限性，对于复杂的http会话和协议更是不能完整处理。

由于需要预先构造攻击特征库来匹配网络数据，入侵检测系统不能检测和防御未知攻击和不能有效提取攻击特征的攻击。

一个最简单的例子就是在请求中包含SQL注入代码，或者提交可以完成获取他人用户认证信息的跨站脚本，这些数据不管是在传统防火墙所处理的网络层和传输层，还是在代理可编辑

型防火墙所处理的协议会话层，或者是常规的入侵检测系统和增强的入侵防护系统，都会认为是合法的，无法被阻挡或检出。

1.1.3专业网页防篡改系统

由前面的描述可以看出，所有的Web网站和Web应用系统除了使用一般的网络安全设备外，需要有效的网页防篡改系统来专门对页面内容进行保护，防止来自外部或内部的非

授权人员对页面和内容进行篡改和非法添加。

在所有网站中，高权威性、高更新率和高访问量的网站更经常性地受到黑客关注和攻击。

据国家计算机网络应急技术处理协调中心统计，2005年在被篡改的网站中，有22%是政府网站，明显大于我国.cn域名下的政府网站所占的2.2%比例。

因此，为巩固各类网站和Web应用的安全，特别是保证我国电子政务网站和电子商务网站内容的完整性及尊严，有必要使用专业的网页防篡改系统。

第2章技术原理

2.1PKI公开密钥体系

2.1.1PKI

PKI（PublicKeyInfrastructure）即“公开密钥体系”，是一种基于公开密钥密码技术的安全通信和服务体系，它能够为所有网络应用提供包括机密性、数据完整性、数据源认证、数字签名等多种安全服务，是网络安全应用的基础。

HUISIN网页防篡改系统的整体安全性建立在以PKI为核心的密码学体系上。

2.1.2防篡改

HUISIN网页防篡改系统对所有的原始网页元素（包括静态页面、动态脚本、图像文件、多媒体文件以及所有能以URL形式访问的实体）在发布时进行128位密钥的HMAC-MD5（RFC2104）计算，生成唯一的、不可逆转和不可伪造的数字水印。

浏览者请求访问任一网页元素时，HUISIN网页防篡改系统的篡改检测模块（作为Web系统的一部分）读出网页元素的内容重新计算数字水印，并与之前存储的数字水印进行比对，网页元素的任何篡改都能够被可靠地计算出来。

2.1.3防窃听

HUISIN网页防篡改系统任何通信实体（包括发布服务器和Web服务器、控制台和发布服务器）之间采用工业标准的SSL3.0/TLS1.0安全通讯协议（RFC2246），确保网页元素文件和（特别是）数字水印数据流在通信过程中不被黑客窃取和分析。

此外，HMAC的128位密钥以加密形式存在于操作系统的安全存储区内。

2.1.4身份鉴别

HUISIN网页防篡改系统通信实体间进行强身份鉴别。

首先，Web服务器要确保上传

文件的发布服务器的身份真实性，不能接受伪造的发布服务器上传的文件；

其次，发布服务

器要确保是在与Web服务器通信，确保发送的文件能够到Web服务器上。

因此，双方彼

此都进了身份鉴别。

亦即：

发布服务器采用客户端数字证书与Web服务器通讯，同时也验

证Web服务器数字证书的真实性。

2.2Web系统核心内嵌技术

2.2.1核心内嵌模块的位置

一个标准的Web服务器的体系结构如图表2-1所示:

Web系统（IIS/Apache/Weblogic/Websphere/Resin/Tomcat）

操作系统（Windows/Linux/FreeBSD/Solaris/AIX/HP-UX）

硬件平台（X86/sparc/ltaniumll/PowerPC/PA-RISC）

图表2-1Web服务器的体系结构

Web系统核心内嵌技术（以下简称核心内嵌技术）是指将安全模块内嵌在Web系统

软件（IIS/Apache/Weblogic/Websphere/…）中，这个模块针对不同的Web系统使用相应的

核心内嵌技术实现，例如：

ISAPI、Apache-module、NSAPI、JAVA-filter等，如图表2-2所示。

Web系统

核心内嵌模块

（ISAPI/Apache-module/NSAPI/JAVA-filter）

操作系统（Windows/Linux/FreeB|D/Solaris/AIX/HP-UX）

硬件平台（X86/sparc/ItaniumII/PowerPC/PA-RISC）

图表2-2Web系统核心内嵌模块的位置

安全模块内嵌于Web系统即与Web系统完全整合，其优点在于：

不存在独立的安全模块运行进程，入侵者无法找到和中止安全模块的运行。

精准理解和分析Web服务传入和传出的数据，进行充分可靠的安全检查。

完全与Web服务的运行进程融合，处理效率高，稳定性和兼容性强。

与操作系统及硬件无关，全面控制Web系统软件和服务。

HUISIN网页防篡改系统的核心内嵌模块包含了应用防护模块（防注入攻击）和篡改检测模块（数字水印）两项技术，分别针对动态网页和静态网页进行保护。

2.2.2应用防护模块

应用防护模块对来自于客户的Web访问请求进行分析，检查其中的表单输入和URL

输入中是否含有非法字符/关键字构成注入式攻击，如图表2-3所示。

核心内嵌模块d

艮1

应用防护模块1

1

礼request

特征库

图表2-3应用防护模块

检查点为:

用户提交的http请求（request）到达Web服务器，尚未进行其他处理时。

检查对象为：

GET数据（URL和表单）。

POST数据（表单）。

检查方式为：

与注入式攻击特征库比对检查。

小知识：

什么是注入式攻击？

注入式攻击的全称是“SQL注入式攻击”，它是指攻击者利用网站动态网页程序设计上的漏洞，在目标的Web服务器上运行SQL命令以及进行其他方式的攻击，攻击的目的包括：

绕过登录身份检查、获得系统管理员密码、非法获取数