网页防篡改方案

《网页防篡改方案》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、[网页防篡改解决方案上海睿宏电子科技发展有限公司2013-02-05领先的应用安全及数据库安全整体解决方案提供商23/24上海睿宏电子科技发展有限公司www.sh-junpai.com目录1方案概述31.1WEB安全现状分析31.2企业WEB服务器面临的威胁51.2.1跨站脚本51.2.2注入攻击51.2.3越权操作61.2.4文件上传61.2.5信息泄露71.3面向应用层新型攻击特点72防篡改总体方案设计82.1防篡改系统部署方式82.1.1系统组成82.1.2系统部署82.2防篡改系统平台支持132.3防篡改系统功能特点142.

2、3.1网页文件保护142.3.2网络攻击防护142.3.3系统自我保护142.3.4网站安全发布14领先的应用安全及数据库安全整体解决方案提供商23/24上海睿宏电子科技发展有限公司www.sh-junpai.com2.3.5网站备份还原142.3.6实时报警152.3.7管理员权限分级152.3.8日志审计152.3.9网站智能分析152.3.10系统信息检测182.3.11集中管理182.4防篡改系统优势182.5WEB防篡改系统为企业带来的价值183网站系统漏洞评估专业服务193.1漏洞评估服务概述193.2服务内容介绍193

3、.3评估实践介绍204部分用户案例22领先的应用安全及数据库安全整体解决方案提供商23/24上海睿宏电子科技发展有限公司www.sh-junpai.com1方案概述1.1WEB安全现状分析随着互联网技术的迅猛发展，许多政府和企业的关键业务活动越来越多地依赖于WEB应用，在向客户提供通过浏览器访问企业信息功能的同时，企业所面临的风险在不断增加。主要表现在两个层面：一是随着Web应用程序的增多，这些Web应用程序所带来的安全漏洞越来越多；二是随着互联网技术的发展，被用来进行攻击的黑客工具越来越多、黑客活动越来越猖獗,组织性和经济利益驱动

4、非常明显。然而与之形成鲜明对比的却是：现阶段的安全解决方案无一例外的把重点放在网络安全层面，致使面临应用层攻击（如：针对WEB应用的SQL注入攻击、跨站脚本攻击等）发生时，传统的网络防火墙、IDS/IPS等安全产品对网站攻击几乎不起作用，许多政府和企业门户网站成为黑客组织成批传播木马的最有效途径。据统计75%的网络攻击和互联网安全侵害源于应用软件，网页上的漏洞的根源还是来自程序开发者对网页程序编制和检测。未经过安全训练的程序员缺乏相关的网页安全知识；应用部门缺乏良好的编程规范和代码检测机制等等。解决此类问题必须在WEB应用软件开发程

5、序上整治，仅仅靠打补丁和安装防火墙是远远不够的。2008年上半年，中国大陆被篡改网站的数量相比往年处于明显上升趋势。国家互联网应急中心(CNCERT)监测到中国大陆被篡改网站总数达到35113个，同比增加了23.7%。按月统计情况如图所示：领先的应用安全及数据库安全整体解决方案提供商23/24上海睿宏电子科技发展有限公司www.sh-junpai.com2008年上半年中国被篡改网站数量2008年1月至6月期间，中国大陆政府网站被篡改数量基本保持平稳，各月累计达2242个。与去年上半年同期监测情况相比，增加了41%。从中可以看出，每

6、月被篡改的gov.cn域名网站约占整个大陆地区被篡改网站的7%，而gov.cn域名网站仅占.cn域名的2.3%，因此政府网站仍然是黑客攻击的重要目标。具体比例如下图：领先的应用安全及数据库安全整体解决方案提供商23/24上海睿宏电子科技发展有限公司www.sh-junpai.com1.2企业WEB服务器面临的威胁1.2.1跨站脚本跨站脚本攻击全称为CrossSiteScript，一般缩写为XSS。此漏洞是由于应用程序在服务器端获取用户提交的数据时，没有对内容进行验证。使得攻击者精心构造的恶意脚本在普通用户的浏览器中得到执行，除了可以

7、窃取其他用户、管理员的Cookie外，还可以进行挂马，使得更多的访问者感染恶意代码。在Web2.0技术流行的今天，跨站脚本漏洞还有可能被蠕虫利用，进行大规模的攻击，危害很大。此类漏洞的根本原因是，开发人员在编写应用程序时，对用户提交的数据过滤的不够严格，或者未过滤。由于考虑在实际开发中需要过滤的内容比较多，可能会有遗漏，因此我们建议开发人员在对用户输入的变量进行检查时，使用白名单方式，即，检查用户传入的变量是否是系统允许的类型，如果不是，就提示错误，直到用户传入合法的数据。1.2.2注入攻击注入攻击中最常见的是SQL注入，此攻击类型

8、是由于应用程序在服务器端获取用户提交的数据时，没有对内容进行严格验证，就拼接到SQL语句中执行。攻击者可以精心构造特定的SQL语句使服务器执行，从而进行未授权的数据修改，甚至在数据库服务器上执行系统命令，对Web站点的安全造成严重威胁