網(wǎng)頁防篡改領(lǐng)域的孫武

1、網(wǎng)頁防篡改領(lǐng)域的孫武——InfGuard演繹網(wǎng)頁防篡改之連環(huán)計(2006092910:19:56)轉(zhuǎn)載分類：網(wǎng)絡(luò)安全網(wǎng)上介紹網(wǎng)頁防篡改相關(guān)技術(shù)的文章很多，而我以為單獨談?wù)撊魏我环N技術(shù)，都不過是逞匹夫之勇罷了。為什么這么說呢？如果列位不嫌我聒噪，我先簡要介紹一下每一種技術(shù)。輪巡掃描技術(shù)，現(xiàn)已淘汰，不再介紹了。實時阻斷技術(shù)，這種技術(shù)可以說是真正的“防”篡改技術(shù)。它有效的阻斷大部分非法進程對文件和目錄的“非讀操作”，這些操作包括修改文件內(nèi)容，

2、重命名文件目錄，在目錄中新建或者刪除文件等。為什么說大部分呢？因為這一技術(shù)是掛接在文件驅(qū)動層的，如果黑客程序太厲害，對文件目錄的控制進程繞過了文件驅(qū)動層，這一層就形同虛設(shè)了。但是它有一個最大的優(yōu)點就是不需要另外的一臺機器做備份機。事件觸發(fā)技術(shù)，這是一種事后恢復(fù)技術(shù)。首先它需要一臺備份機和它合作。它依賴于操作系統(tǒng)提供的接口，瞬間發(fā)現(xiàn)文件和目錄的變化，（不用擔(dān)心操作系統(tǒng)會漏掉某些變化，除非黑客忙了半天，文件和目錄卻沒有發(fā)生任何變化?。┤缓蠹?/p>

3、時還原。這種技術(shù)的優(yōu)點是恢復(fù)及時！但是，前提是在（備份機和網(wǎng)站服務(wù)器之間的）網(wǎng)絡(luò)情況一切正常的情況下。如果，網(wǎng)絡(luò)異常斷開，就要分三種情況進行討論，第一種情況篡改行為屬于新建和重命名，那么事件觸發(fā)會及時刪除，這種情況不依賴于網(wǎng)絡(luò)；第二種情況篡改行為屬于修改文件內(nèi)容，那么事件觸發(fā)會刪除該文件，然后向備份機申請恢復(fù)，但是因為網(wǎng)絡(luò)不通，所以恢復(fù)失敗；第三種情況，篡改行為屬于刪除，事件觸發(fā)也會申請恢復(fù)，但是因為網(wǎng)絡(luò)不通，所以恢復(fù)失敗。綜上，在任何

4、情況下事件觸發(fā)都能保證網(wǎng)站內(nèi)不會滯留非法文件。核心內(nèi)嵌技術(shù)，這也是一種事后恢復(fù)技術(shù)。也需要一臺備份機和它合作。它在網(wǎng)站服務(wù)器里安插一個過濾器，截獲用戶請求，然后校驗（通常是通過水印比對的方式）用戶請求文件的合法性，如果校驗失敗，就進行文件恢復(fù)，同時返回給用戶一個指定的頁面。這種技術(shù)能夠阻止非法網(wǎng)頁公布于眾。但是，如果指定的頁面被篡改了呢？還有一點核心內(nèi)嵌只對用戶訪問的文件進行檢驗，如果隨便向網(wǎng)站中放幾個病毒文件進去，核心內(nèi)嵌只會視而不見

5、。另外，如果水印庫被篡改了，后果更是麻煩至極。從人性化的角度來評價這幾種技術(shù)：（下面我把備份機稱為總部）實時阻斷——就像一個勇武的孤膽英雄，也許他不能殲滅所有黑客，但是對付一般的“小黑”，還是綽綽有余的。遺憾的是，萬一遇到“大黑”，它就只能束手待斃了。事件觸發(fā)——應(yīng)該是個火爆脾氣的將軍，做事雷厲風(fēng)行。和總部聯(lián)絡(luò)正常的時候，防御得滴水不漏，但是一旦和總部失去聯(lián)系，以他的火爆脾氣，就只能簡單的殺無赦，并且自認(rèn)為已經(jīng)報告過總部了，決不會再報告

6、一次。要想恢復(fù)網(wǎng)站，需要總部自行解決。（如果您關(guān)注解決方案，請參考《事件觸發(fā)的貼身小秘書》一文）。核心內(nèi)嵌——它絕不是個將軍，只能算作謀事一類的，而且是個臨時抱佛腳，很會逃避責(zé)任的謀事。它只在有人來訪的時候才關(guān)心一下所管的文件，發(fā)現(xiàn)不對，先高掛白旗，再做恢復(fù)工作。而且，他對“職責(zé)范圍”理解獨到——就是網(wǎng)站內(nèi)合法存在的文件而已，偷偷混進來的外來文件和目錄和我毫無關(guān)系。雖然看起來他是個懶惰又愛逃避責(zé)任的家伙，但是，不可否認(rèn)他還是有一點不錯的

7、，那就是和總部斷線再聯(lián)系上后，被篡改的文件還是可以被恢復(fù)的（只要有用戶訪問該文件）。經(jīng)過我上面的分析，您該相信任何一種技術(shù)都不過是匹夫了吧？不過就個人感情來說我還是比較喜歡事件觸發(fā)的。大概正因為如此，我才不是孫武吧！真正的將軍是不該感情用事的，現(xiàn)在我們來看看InfGuard是怎么做的！InfGuard沒有完全依賴于某一種技術(shù)，首先它派實時阻斷打前陣，直接和敵人短兵相接；派事件觸發(fā)居主陣，確保網(wǎng)站中絕對不會有非法文件；派核心內(nèi)嵌補漏。為什

8、么呢？為什么一定要這么做呢？核心內(nèi)嵌不是就完全能夠保證被篡改的文件不會公諸于世嗎？這話不假，可是你會喜歡他那種金玉其外，敗絮其內(nèi)，粉飾太平的做法嗎？你愿意冒著后院起火的危機把整個戰(zhàn)場交給這樣一個懶散的家伙嗎？那么，事件觸發(fā)呢？事件觸發(fā)不是固若金湯嗎？沒錯，可是那是網(wǎng)站服務(wù)器和備份機之間通訊正常的情況下。如果通訊不正常，雖然同樣不會有被篡改的網(wǎng)頁發(fā)布出去，但是，可能會難看的報出一堆“找不到文件錯”，比起核心內(nèi)嵌自定義的網(wǎng)頁看起來還是難看了

9、些！而且，通訊正常后，恢復(fù)那些被刪除的文件，還要依賴于特別的方法。至于，實時阻斷，就不用我多做說明了吧？現(xiàn)在讓我們來做一道簡單的數(shù)學(xué)題，來看看到底三管齊下有何好處呢？假設(shè)黑客對網(wǎng)站文件進行篡改，那么首次訪問該網(wǎng)頁，會出現(xiàn)哪些情況呢？如果單獨采用核心內(nèi)嵌，舉白旗的概率就是100%。如果加上實時阻斷，并且實時阻斷失敗的概率是50%，那么舉白旗的概率就變成50%。如果再加上事件觸發(fā)，在網(wǎng)絡(luò)好的情況下舉白旗的概率就是0。因為事件觸發(fā)在網(wǎng)絡(luò)好的情

10、況下的防御絕對是固若金湯的。如果網(wǎng)絡(luò)不好，并且假定篡改事件的類型是刪除，或者修改文件內(nèi)容的概率是50%（因為，新建和重命名不依賴與網(wǎng)絡(luò)）那么舉白旗的概率就變成實時阻斷失敗的概率50%，就是50%50%變成25%。現(xiàn)在可以看出，三管齊下會得出以下結(jié)論，如果網(wǎng)絡(luò)情況良好，舉白旗的概率是0，網(wǎng)絡(luò)情況不好，舉白旗的是25%。每一種情況都比單獨的核心內(nèi)嵌技術(shù)100%舉白旗的概率要好得多。兵家作戰(zhàn)首先考慮的就是“道天地將法”，由上面可以看出InfG