（计算机软件与理论专业论文）网站内容防护系统的设计与实现.pdf

摘要 摘要：随着计算机网络技术的迅速发展，计算机网络无所不在地影响着社会的政 治、经济、文化、军事等各个方面。大多数的企业、政府部门与机构都在充分利 用网络，组建和发展自己的网站来宣传自己。在网络飞速发展的同时也带来了很 多问题，其中安全问题尤为突出。网站被黑事件频繁发生，服务器遭受的风险也 比以前更大了。越来越多的病毒、黑客都将网站服务器作为攻击的目标。很显然， 网站服务器的安全问题到了不容忽视的地步。 针对网站服务器的安全问题，本文详细描述了网站内容防护的基本原理和关键 技术，并用j a v a 实现了一个功能完整的网站内容防护系统。 首先，本文对网站内容防护技术的各个因素进行了分析，讨论了网站内容防护 的关键技术。 然后，本文详细介绍了网站内容防护中常用的几种h a s h 算法，并对它们的计 算效率进行了严格的实验比较。 接着，本文对网站内容防护中要用到的兀甲协议和s o c k e t 编程技术进行了介 绍，并分析了网站内容防护系统的各个功能模块以及它们之间的内部关系。 最后，本文基于上述理论实现了一个功能完整的网站内容防护系统并进行了系 统的测试。 本文对网站内容防护进行了比较深入的研究，比较全面的概括了防护技术的各 个方面，对网站内容防护的研究具有一定的参考价值。 关键词：内容防护；h a s h 算法；一致性检查 分类号；t p 3 9 3 0 9 a b s t r a c t ：w i t ht h er a p i dd e v e l o p m e n to f c o m p u t e rn e t w o r kt e c h n o l o g y , i th a s d e e pa f f e c to nm a n yf a c t o r so f s o c i e t y m a n yn e t w o r k sh a v eb e e ne s t a b l i s h e di nt h e e n t e r p r i s e sa n dg o v e r n m e n t sa n dc o n n e c t e dt ot h ei n t e m e ti no r d e rt oa c h i e v ea n dm a k o u s eo f t h ei n f o r m a t i o n m a n y p r o b l e m sa c c o m p a n y w i t ht h eh i g hs p e e dd e v e l o p m e n to f c o m p u t e rn e t w o r k , e s p e c i a l l yt h en e t w o r ks e c u r i t yp r o b l m t h i st h e s i sd e s i g n sa n di m p l e m e n t saw e b s i t ec o n t e n td e f e n s es y s t e mb a s e do nw a l l s t u d y i n ga n da n a l y z i n gt h et h e o r ya n dk e yt e c h n o l o g ya n do f w e b s i t ec o n t e n td e f e n s e f i r s t l y , t h ep a p e ra n a l y z e st h ee l e m e n t so fw e b s i t ec o n t e n td e f e n s ea n dt h ek e y t e c h n o l o g y s e c o n d l y , t h ep a p e ri n t r o d u c e ss o m eh a s ha r i t h m e t i ca n de x p e r i m e n t st h e i r c o m p u t ee f f i c i e n c ys t r i c t l y t h i r d l y , t h ep a p e ri n t r o d u c e sm a n ds o c k e t 谢i nt h es y s t e ma n da n a l y z e st h e m o d u l e sa n dt h e i rr e l a t i o n si nt h i ss y s t e m f i n a l l y , i m p l e m e n taw e b s i t ec o n t e n td e f m s es y s m na c c o r d i n gt ot h et h e o r y t h ep a p e rm a k e sad e e pr e s e a r c h0 1 1w e b s i t ec o n t e n td e f e n s ea n da n a l y z e st h e e l e m e n t so fw e b s i t ed e f e n s vt e c h n o l o g y i th a sf l o m er e f e r e n c ev a l u e so fw e b s i t e d e f e n s e k e y w o r d s ：c o n t e n td e f m 鳐, h a s ha r i t h m e t i c ；c o h e r e n c ei n s p e c t c l a s s n o ：t p 3 9 3 0 9 学位论文版权使用授权书 本学位论文作者完全了解北京交通大学有关保留、使用学位论文的规定。特 授权北京交通大学可以将学位论文的全部或部分内容编入有关数据库进行检索， 并采用影印、缩印或扫描等复制手段保存、汇编以供查阅和借阅。同意学校向国 家有关部门或机构送交论文的复印件和磁盘。 ( 保密的学位论文在解密后适用本授权说明) 导师签名：嬲 签字日期：7 年，2 ，月叫e l j1 j 件， 月枯k 缸 年 签1糙1 作 ： 文 期 论 日 位 字 学 签 独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取得的研 究成果，除了文中特；| l , l j i l 以标注和致谢之处外，论文中不包含其他人已经发表或 撰写过的研究成果，也不包含为获得北京交通大学或其他教育机构的学位或证书 而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均己在论文中作 了明确的说明并表示了谢意。 学位论文作者签名：爷f 命 签字日期：呻年k 月乞j 日 致谢 本论文的工作是在我的导师魏慧琴教授的悉心指导下完成的，魏慧琴教授严谨 的治学态度和科学的工作方法给了我极大的帮助和影响。无论是在论文的调研、 选题、制定方案还是具体的代码实现和论文的撰写，每一个阶段都倾注了魏慧琴 老师大量的心血。她给予了我极大的耐心和细致的指导，她清晰的思路，敏捷的 洞察力，严谨的工作态度和丰富的研究经验都给我留下了深刻的印象，使我受益 匪浅。从魏老师身上，我不仅学习了很多的专业知识，更重要的是学到了精益求 精、学无止境的治学精神。魏慧琴教授悉心指导我们完成了实验室的科研工作， 在学习上和生活上都给予了我很大的关心和帮助，在此向魏慧琴老师表示衷心的 谢意。 同时，在论文的撰写和项目的研究实践中，贾卓生教授和王移芝教授都给予了 我极大的帮助和鼓励，他们博大的胸怀、渊博的知识和忘我的研究精神都深深地 震撼了我，在此我向二位教授表示衷心的感谢。 在实验室工作及撰写论文期间，陆景辉、李振华、王平、李渊、涂晓强、张禹 等同学对我论文中的研究工作给予了热情帮助，在此向他们表达我的感激之情。 另外也感谢家人我的爸爸，妈妈，他们的理解和支持使我能够在学校专心完成我 的学业。 1 绪论 互联网已经成为人们生活中不可缺少的一部分，它正在以飞速的发展和无限 的商机受到整个社会的关注。计算机网络、信息技术正在以前所未有的速度广泛 应用于社会经济、文化和生活等各个领域，随着计算机网络技术的迅速发展，互 联网给我们的生活、工作和人与人之间的沟通带来了极大的方便，但也随之孽生 了黑客。黑客事件的不断发生，不仅扰乱了正常的网络秩序，还带来了严重的经 济损失。近几年来，网络安全的重要性越来越受到国内外用户的关注，如何实时 高效地监控并管理这些网站就成为一个重要的问题。本文试图在研究现有各种网 络监控、网络安全、网络管理系统的基础上，设计并实现一个网站内容防护系统。 1 1国内外网络安全状况 随着互联网的高速发展，个人和企业将越来越多地把商务活动放在网络上进 行，网络中存在的安全问题也越来越严重。据统计，全世界由于信息系统的脆弱 而导致的经济损失，每年达数亿美元，并且还在逐年上升。据资料显示，世界上 平均每2 0 秒就发生一起黑客入侵互联网的事件，互联网的防火墙超过1 3 被攻破， 仅在美国每年造成的经济损失就达1 0 0 亿美元以上。2 0 0 0 年2 月7 、8 、9 日三天， 包括y a h o o 、c n n 在内的多家著名网站先后遭到了i n t e r a c t 历史上最严重的黑客攻 击，经济损失达1 0 亿美元。美国公布的一份关于国家安全的报告认为，在2 1 世 纪对美国国家安全最有威胁的几种行为当中，列在首位的就是网络恐怖主义，这 也是网络安全问题第一次在政府报告中提出。市场调查机构i d c 研究发现，亚渊 企业网络遭到黑客入侵的比例竟然高达7 2 ，另外则有3 9 的受访者反应，他们 觉得过去1 年的网络安全威胁升高。另据统计，我国9 0 以上的网站存在安全漏 洞，很多网站都曾受到黑客的攻击，给国家和企业都造成了较大损失。去年6 月。 公安部公共信息网络安全监察局举办了2 0 0 6 年度信息网络安全状况与计算机病毒 疫情调查活动，调查内容包括我国2 0 0 5 年5 月至2 0 0 6 年5 月发生网络安全事 件、计算机病毒疫情状况和安全管理中存在的问题。5 4 的被调查单位发生过信息 网络安全事件，比前年上升5 ；其中发生过3 次以上的占2 2 ，比去年上升7 。 日益严重的网络信息安全问题，不仅使企业及用户蒙受了巨大的经济损失，而且 使国家的安全和主权也面临着严重威胁。 随着互联网应用的多样化，网站安全问题日益突出。目前，保障网站安全方 面的工具多种多样，有各种硬件的、软件的防火墙，还有各种反黑客工具、黑客 跟踪工具、审计工具。虽然如此，黑客的攻击仍然让人防不胜防。公司、政府网 站主页被黑的事时有发生。从众多攻击网站的事例中可以看出，对网站主页或某 些页面的更改占了很大比例，而影响最大的也是这一类攻击。对这些站点的攻击 不仅产生了极坏的影响。还会造成重大的经济损失。既然各种网站都无法1 0 0 的 保证网站不被黑客攻陷，那么设计与完善网站内容防护系统就显得非常有必要， 网站内容防护系统使网站在遭到攻击和恶意篡改后，能够自动及时的把网页恢复 过来，将遭受的损失减少到最低。互联网应用的多样化也带来了网站管理的复杂 化。发布的信息不断堆积，信息的更新频率不断加快，给网站管理员也带来了沉 重的负担，在网站维护管理过程中往往会顾此失彼，严重时甚至会给黑客留下可 乘之机。网站内容防护系统提供统一、简洁、友善的管理界面，可以对网站进行 维护与管理。使网站维护管理交得轻松自在，杜绝了由于网站维护管理的失误而 带来的网站安全隐患 1 2 本文的研究目的与意义 网页篡改事件对公众产生的影响是非常严重的。一方面，网络系统的重要性 不断提高，信息资料的丢失、泄密，以及服务的中断都会造成巨大的损失；另一 方面，网络安全威胁的程度不断提高，攻击威力与日俱增。就权威的政府和媒体 网站来说，其上出现的假新闻和错误导向的言论可能导致社会生活出现混乱。进 而对经济生产、政府形象乃至社会稳定造成严重的不良影响。因此，采取必要的 安全措施保障网络信息的安全，其长远意义和应用价值不言而喻。然而，要防止 黑客入侵，仅靠防火墙、入侵检溺系统等安全防护设备是远远不够的。这些技术 只是从防御的角度来防止入侵，并不能从根本上解决问题。网站内容保护最重要 的是要在事前、事中、事后都要做好充分的防范工作，尤其是在发生了篡改事件 之后的“亡羊补牢”措施上，更要尽可能地把损失降低到最小。因此，开展网页 防篡改关键技术的研究，对于解决和杜绝非法入侵，保障国家和企事业单位网络 安全与信息安全，维护社会的安定团结具有重要意义。在i n t e r a c t 上的任何一台主 机无时无刻不面临着网络黑客的攻击，网站内容防护工具提供2 4 小时的实时监控， 可以全方位的保障两站的安全并详细记录入侵指纹，而且可以在受攻击之后进行 一定范围的灾难恢复。 1 3 本文的研究内容 网站内容防护系统将选定如何对网页资源被破坏后及时发现和及时恢复，以 及如何高效率地对网页资源进行监铡。减少对网络资源的占用，并充分保护其自 身工作的安全性、隐蔽性和健壮性为主要的研究内容。本文从理论到实践比较详 细地讨论了网站内容防护方面的问题。首先，本文分析了网站内容防护系统的文 件传输协议以及采用s o c k e t 套接字的方法实现数据的安全可靠传输。接下来讨论 了几个主要的h a s h 算法，对它们在网页文件上的计算效率进行了实验比较。最后 基于上述理论分析实现了一个功能完整的阿站内容防护系统。 2h t e m e t 信息安全问题 2 1计算机系统存在的安全漏洞 计算机系统的安全漏洞是普遍存在的，世界上没有绝对安全的计算机系统， 也没有绝对安全的软件。只要存在漏洞，计算机系统就有可能被黑客攻破，造成 一定的损失，因此防范黑客攻击，保障计算机系统安全是一项任重道远的工作。 长期以来计算机安全专家一直都在致力于计算机系统漏洞的发现和修补。微软公 司日前还发布了5 月份的七个系统漏洞补丁程序，这七个补丁程序修复包括浏览 器i e 7 0 、办公文字处理软件o 伍c e2 0 0 7 和邮件服务程序e x c h a n g e2 0 0 7 等新软件 在内的一些产品中存在的多个错误漏洞瞄l 。根据以往的经验来看，这些漏洞补丁 程序很可能会被恶意攻击者利用，进行病毒传播。安全专家已经发现微软开发的 w i n d o w sv i s t a 操作系统存在重大安全漏洞，利用这一漏洞，恶意程序可以很方便 地控制用户的计算机。w i n d o w sv i s t a 操作系统是微软公司历时5 年，耗资数十亿 美元完成的最新操作系统，被微软公司总裁史蒂夫鲍尔默称为“微软这么多年 技术创新的巅峰之作”。但是就是这样一套耗费巨资严密开发的软件还是存在着重 大的安全漏洞，利用这个漏洞，当操作者以管理员、一般用户甚至权限更低的访 客用户登录系统时，恶意程序可以通过伪造的访问令牌，将操作者的权限自动提 升为具有绝对控制权的超级管理员权限，从而完全绕过了v i s t a 的用户账户控制 ( u a c ) 安全新机制【2 6 l 。计算机系统漏洞的普遍存在由此可见一斑，我们必须提 高警惕，做好各种防范措施，才能保障系统的安全工作。 2 2黑客攻击网站的常用方法与步骤 解决网络信息安全问题并没有一劳永逸的万全之策。随着技术的发展，系统 和网络问题的不断出现，以及黑客攻击手段的不断翻新，相应的网络安全防御技 术也在不断的发生变化。因此，了解黑客攻击网站常用的攻击手段及其攻击的一 般模式，将有助于建立全面有效的网站信息安全体系和内容防护机制。 2 2 1黑客攻击网站的常用方法 黑客攻击是指利用被攻击方网站信息系统自身存在的安全漏洞，通过使用网 4 络命令和专用软件非法进入对方网络系统的行为。由于黑客在对网站进行攻击时 往往会同时采用多种攻击手段，且每种攻击手段所用技术又不能完全割裂开来， 所以，这里只是对黑客最常用的网站攻击方法进行介绍。 1 获取口令i l l 获取口令三种方法：一是通过网络监听非法得到用户口令，这类方法有一定 的局限性，但危害性极大，监听者往往能够获得其所在网段的所有用户账号和口 令，对局域网安全威胁巨大；二是在知道用户的账号后( 如电子邮件 前面的部分) 利用一些专门软件强行破解用户口令，这种方法不受网段限制，但黑客要有足够 的耐心和时间；三是在获得一个服务器上的用户口令文件( 此文件成为s h a d o w 文 件) 后，用暴力破解程序破解用户口令，该方法的使用前提是黑客获得口令的 s h a d o w 文件。此方法在所有方法中危害最大，因为它不需要像第二种方法那样一 遍又一遍地尝试登录服务器，而是在本地将加密后的口令与s h a d o w 文件中的口令 相比较就能非常容易地破获用户密码，尤其对那些弱智用户( 指口令安全系数极低 的用户，如某用户账号为z y s ，其口令就是z y s 6 6 6 、6 6 6 6 6 6 、或干脆就是z y 3 等) 更是在短短的一两分钟内，甚至几十秒内就可以将其干掉。 2 放置特洛伊木马程序 特洛伊木马程序可以直接侵入用户的电脑并进行破坏，它常被伪装成工具程 序或者游戏等诱使用户打开带有特洛伊木马程序的邮件附件或从网上直接下载， 一旦用户打开了这些邮件的附件或者执行了这些程序之后，它们就会象古特洛伊 人在敌人城外留下的藏满士兵的木马一样留在自己的电脑中，并在自己的计算机 系统中隐藏一个可以在w m d o w s 启动时悄悄执行的程序。当您连接到因特网上时， 这个程序就会通知黑客，来报告您的口地址以及预先设定的端口。黑客在收到这 些信息后，再利用这个潜伏在其中的程序，就可以任意地修改您的计算机的参数 设定、复制文件、窥视你整个硬盘中的内容等，从而达到控制你的计算机的目的。 3 w w w 的欺骗技术 在两上用户可以利用i e 等铡览器进行各种各样的w e b 站点的访问，如阅读 新闻组、咨询产品价格、订阅报纸、电子商务等。然而一般的用户恐怕不会想到 有这些问题存在：正在访问的网页已经被黑客篡改过，网页上的信息是虚假的! 例如黑客将用户要测览的网页的u r l 改写为指向黑客自己的服务器，当用户浏览 目标网页的时候，实际上是向黑客服务器发出请求，那么黑客就可以达到欺骗的 目的了。 4 电子邮件攻击 电子邮件攻击主要表现为两种方式：一是电子邮件轰炸和电子邮件“滚雪球”， 也就是通常所说的邮件炸弹，指的是用伪造的口地址和电子邮件地址向同一信箱 发送数以千计、万计甚至无穷多次的内容相同的垃圾邮件，致使受害人邮箱被 “炸”，严重者可能会给电子邮件服务器操作系统带来危险，甚至瘫痪；二是电子 邮件欺骗，攻击者佯称自己为系统管理员( 邮件地址和系统管理员完全相同) ，给 用户发送邮件要求用户修改口令( 口令可能为指定字符串) 或在貌似正常的附件 中加载病毒或其他木马程序( 据笔者所知，某些单位的网络管理员有定期给用户 免费发送防火墙升级程序的义务，这为黑客成功地利用该方法提供了可乘之机) ， 这类欺骗只要用户提高警惕，一般危害性不是太大。 5 通过一个节点来攻击其他节点 黑客在突破一台主机后，往往以此主机作为根据地，攻击其他主机( 以隐蔽其 入侵路径，避免留下蛛丝马迹) 。他们可以使用网络监听方法，尝试攻破同一网络 内的其他主机；也可以通过口欺骗和主机信任关系，攻击其他主机。这类攻击很 狡猾，但由于某些技术很难掌握，如口欺骗，因此较少被黑客使用。 6 网络监听 网络监听是主机的一种工作模式，在这种模式下，主机可以接受到本网段在 同一条物理通道上传输的所有信息，而不管这些信息的发送方和接受方是谁。此 时，如果两台主机进行通信的信息没有加密，只要使用某些网络监听工具，例如 n e t x r a y 自玎w i n d o w s9 8 n t ，s n i f l j tf o rl i n u x 、s o l a r i e s 等就可以轻而易举地截取包括 口令和帐号在内的信息资料。虽然网络监听获得的用户帐号和口令具有一定的局 限性，但监听者往往能够获得其所在网段的所有用户帐号及口令。 7 寻找系统漏洞【4 j 许多系统都有这样那样的安全漏洞( b u g s ) ，其中某些是操作系统或应用软件 本身具有的，如s e n d m a i l 漏洞，w i n 9 8 中的共享耳录密码验证漏洞和i e 5 漏洞等， 这些漏洞在补丁未被开发出来之前一般很难防御黑客的破坏，除非你将网线拔掉； 还有一些漏洞是由于系统管理员配置错误引起的，如在网络文件系统中，将目录 和文件以可写的方式调出。将未加s h a d o w 的用户密码文件以明码方式存放在某一 目录下，这都会给黑客带来可乘之机，应及时加以修正 8 利用帐号进行攻击 有的黑客会利用操作系统提供的缺省账户和密码进行攻击，例如许多u n i x 主机都有f t p 和g u e s t 等缺省账户( 其密码和账户名同名) ，有的甚至没有口令。 黑客用u n i x 操作系统提供的命令如f i n g e r 和r u s e r 等收集信息，不断提高自己的 攻击能力。这类攻击只要系统管理员提高警惕，将系统提供的缺省账户关掉或提 醒无口令用户增加口令一般都能克服。 9 偷取特权 利用各种特洛伊木马程序、后门程序和黑客自己编写的导致缓冲区溢出的程 6 序进行攻击，前者可使黑客非法获得对用户机器的完全控制权，后者可使黑客获 得超级用户的权限，从而拥有对整个网络的绝对控制权。这种攻击手段，一旦奏 效，危害性极大。 2 2 2黑客攻击网站的步骤 黑客进行网站攻击的一般过程可以归纳为：攻击前的准备阶段、攻击中的实 箍阶段和攻击后的善后工作三个步骤。 1 准备阶段 黑客在准备阶段中首先要做的就是隐藏位置，即有效地保护自己根据t c p p 协议的规定。在因特网上的网络主机均有自己的网络地址，若没有采取必要的保 护措施，就很容易反查到某台网络主机的位置，因此，有经验的黑客在实施攻击 活动前的首要步骤就是设法隐藏自己所在的网络位置，使得调查者难以发现攻击 者的真实来源。攻击者常用的隐藏他们真实i p 地址或者域名的技术有免费代理网 关、伪造田地址、假冒用户账号等。 其次，当黑客准备行动之前，还需要搜集汇总各种与攻击目标相关的信息， 形成对要攻击网站必要的轮廓性认识，为实施攻击做好准备。攻击者获取这些信 息的方法主要有口令攻击、端口扫描、使用探测工具等。 2 实旖阶段 黑客在取得了对攻击网站的必要信息后，经过一番分析和筹划，一般都会使 用多种攻击手段以实现对目标的攻击。其主要攻击手段包括利用专业工具、系统 漏洞、安装木马等。 从黑客攻击的目的来看，一般可分为两种：一种是对目标以致命打击，使其 丧失基本能力，虽然黑客自己不一定能得到直接利益，但能让目标网站系统受损， 甚至瘫痪。另一种攻击的目的在于获取直接的利益如截获目标网站系统的机密 信息，或是得到目标网站系统的最高控制权等。 3 善后工作 一次成功的攻击通常要耗费攻击者大量的时问与精力，所以精于算计的攻击 者在退出系统之前会在系统中制造一些后门，以方便自己的下次入侵。攻击者设 计后门时通常采取的方法有放宽文件许可权、重新开放不安全的服务、修改系统 的配置等。 另外，攻击者为了避免系统安全管理员的追踪，在攻击时常会采用消除攻击 痕迹的手段，避免安全管理员发现或i d s 发现。常用的方法有篡改日志文件中的 审计信息、改变系统时间造成日志文件数据紊乱、删除或停止审计服务进程等。 7 2 3攻击发生前的防范 针对黑客威胁，网络安全管理员采取各种手段增强服务器的安全，确保w e b 服务器的正常运行。如i n t e m e t 的e m a i l ，f r p 等服务器一样，可以用以下的方法来 对w e b 服务器进行保护： 1 安全配置 。 关闭不必要的服务，最好只提供w e b 服务。安装操作系统的最新补丁，将w e b 服务器升级到最新版本并安装所有补丁，对根据w e b 服务器提供者的安全建议进 行配置等，这些措施将极大提高w e b 服务器本身的安全。 2 防火墙 防火墙主要用来隔离内部网和外部网的直接信息传输，对于出入防火墙的网 络流量施加于安全策略的访问控制，但对于内部入侵却无能为力，防火墙能否正 确工作还需要依赖网络安全管理员的手工配置。安装防火墙可阻止各种扫描工具 的试探和信息收集，甚至可以根据一些安全报告来阻止来自某些特定口地址范围 的机器连接，给w e b 服务器增加一个防护层，同时需要对防火墙内的网络环境进 行调整，消除内部网络的安全隐患。 3 漏洞扫描 使用商用或免费的漏洞扫描和风险评估工具定期对服务器进行扫描，来发现 潜在的安全问题，并确保由于升级或修改配置等正常的维护工作不会带来安全问 题。 4 入侵检测系统 利用入侵检测系统( d s ) 的实时监控能力，发现正在进行的攻击行为及攻击前 的试探行为，记录黑客的来源及攻击步骤和方法。这些安全措施都将大大提高w e b 服务器的安全，减少网站服务器被攻击的可能。 2 4攻击发生后的应对 防火墙、入侵监测系统等都提供详细的数据记录功能，可以对所有误操作的 危险动作和蓄意攻击行为保留详尽的记录，而且记录在一台专用的安全主机上， 这样可以在黑客攻击后通过这些记录来分析黑客的攻击方式，弥补系统漏洞，防 止再次遭受攻击，并可进行黑客追踪和查找责任人。目前的i d s 大多数集中在于 对主动入侵行为发现技术( 即入侵分析) 的研究，通用的方法是日志记录或向网络安 全管理员告警，然后由网络安全管理员对入侵做出响应，其响应多为一种被动的 响应方式，系统由发现入侵到管理员做出响应需要经过一段时间，入侵者很可能 利用这一段较短的时间完成入侵和擦除入侵痕迹的工作，使i d s 丧失原有的功能。 因此，面对大规模网络入侵，单靠几个经验丰富的管理员是不够的，安全防御系 统必须能够提供一种及时的主动响应能力，系统除了应具有上述日志和告警功能 外，还要能对网络安全事件做出一定的自动处理。基于上述分析，本文设计并实 现了网站内容防护系统，该系统能够对w e b 服务器上的文件进往实时的完整性检 查，一旦发现文件被非法修改就及时报警，并立即进行自动恢复。 9 3 网站内容防护研究 3 1网站内容防护技术的发展 随着计算机网络技术的发展和网页制作技术的不断提高，网站内容防护的手 段也随之得到不断的发展和完善，主要经历了以下的几个大的转变： 1 从静态页面到动态脚本 随着网页制作技术的不断发展，越来越多的网站采用了与数据库相结合的网 页制作方法，其防护技术也从最初只提供对静态页面的防护，到对动态网页的防 护。对于动态网页来说，其信息资源主要包括两部分，其一包含在脚本文件中， 其二保存在数据库中。对于包含在脚本文件中的信息内容的监控可以使用文件校 验技术，对于包含在数据库中的数据内容的监控，其核心在于对非法字符的判断 以及匹配算法的确定。 2 从主机防护到远程管理 随着网站内容的增多，在实现对本地主机防护的同时，有时还需对多个主机 进行管理与统计。实现远程监控。支持远程，支持远程管理多服务器功能，这就 需要远程控制与管理。目前的网站技术已能做到远程监控、自动上传等，实现了 一个系统管理多个网站，一个网站由多个系统来管理的功能。 3 2 影响网站内容防护的因素分析 网站内容防护系统是对网站页面进行保护的总体解决方案，这需要多个方面 的协调工作，才能发挥其整体的高效性。下面具体分析影响网页防护系统性能的 一些主要因素。 1 监测方式 本地监测：在本地服务器上运行监测，其优点是效率比较高，缺点是会加重 服务器的负担。 远程监测：通过将系统装载到另一台主机上进行监测，一般采取定时方式或 实时方式，其缺点是效率不高，当需要监控的文件很多时会增加网络负担。 2 触发方式 定时触发：不论在本地还是远程监测都是根据系统设定的时间定时检测，目 前绝大部分的安全软件使用了这种检测方式。这种触发方式的优点是机制简单， 1 0 容易实现，但却存在着在扫描间隔中不能实现有效保护的缺陷。 底层触发：利用操作系统提供的一些功能，在文件被创建、修改或删除时得 到通知。其优点是效率高，保证了系统监控和恢复的实时性，系统资源占用率极 低，缺点是不能够实现远程的监测，而且程序与操作系统相关无法跨平台。 3 比较方式 全文比较：这是最常用的一种比较方式，它能直接、准确地判断出该文件是 否被修改。然而全文比较在文件较大、内容较多时效率十分低下，因此，一些防 护软件采用对文件的属性。如文件大小、创建修改时间等进行比较。这种方法虽 然简单高效，但却存在有严重的缺陷，如果恶意入侵者通过精心构造，把替换文 件的属性设置和原文件完全相同，那么被恶意更改的文件就无法被检测出来。 函数比较：通过比较文件的h a s h 值，能够精确的判断文件是否被修改。这种 比较方式效率高，即使对文件内容添加空格也会识别出h a s h 值的不同，从而能够 准确地发现文件是否被篡改。 4 恢复方式 恢复方式与备份存放的位置直接相关。如果各份库存放在本地的话，恢复进 程必须有更改被保护且录或文件的权限，如果存放在远程则需要通过文件共享或 f t p 的方式来进行。在设备紧缺的情况下可以将备份库存放在本地，但这种存放 方式容易被黑客攻击，所以最好将备份库与网站服务器进行隔离处理。 5 防护机理 被动防护：通过完整备份页面文件，并在应用中不断扫描和比较页面文件与 备份服务器上页面文件的内容，进而用备份信息进行恢复的方法来实现保护。被 动防护原理简单，容易实现，但一般只能用来防护静态网页文件，对正在使用中 的动态文件无法恢复，并且在扫描间隔期间用户访问站点时，看到的将是被修改 后的页面文件信息，无法在真正意义上实现网页保护的功能。 外挂轮询防护：将上传的网页内容先进行签名存储备份，根据一定的扫描问 隔，实时地比较站点内网页的数字摘要与各自对应的签名文件中的数字摘要的一 致性来判断文件是否被篡改。 6 监控策略 根据被防护网页的重要程度可以将监控分为不同等级，等级高的检测间隔可 以设得较短，以获得较好的实时性，而等级较低的检测间隔设得较长，以减轻系 统的负担。同时，为减少对服务器资源的占用，可以预先给定几种选择，用户能 根据需要设定文件的扫描频率，否则按默认值进行扫描。 综合考虑以上这些影响网站内容防护的因素后，本文认为，只有将以上多种 技术进行综合的运用，采取灵活有效的策略，制定出合适的、多层次的网站内容 防护方案才能够达到最佳的保护效果。 3 3 网站内容防护的关键技术 为达到保护网站内容的目的，所用到的技术涉及范围很广，并且随着黑客攻 击手段的发展变化，相关的防护技术也随之在不断发展。目前网站内容防护所采 用的关键技术主要有以下几个方面： 1 口令认证 为保证系统安全和方便网站管理员管理，在系统中设置了口令认证。一般的 方法是在登录界面设置认证机制，要求用户输入正确的口令才能访问。但是口令 认证在传输过程中容易被窃听截取，所以最好将口令加密，因为它无须在网上传 输用户的真实口令，并且具有一次性的特点，可以有效防止重放攻击。 2 抽样策略和优先算法 采取抽样扫描和分优先级扫描相结合的方式，保证主页和其他重要页面文件 拥有较高的扫描优先权，这样可以确保在网站被攻破后，能够及时优先恢复主页 文件，这种主次分明的恢复策略可以减轻网站被破坏后造成的影响。常用的广度 优先算法可以根据最大递归层数或最大链接数来进行递归分析。 3 多线程技术 多线程技术对于提高系统的并行性具有重要意义。线程是进程内部的一个执 行单元，它的执行环境小、负担轻，包含独立的堆栈和c p u 寄存状态，每个线程 共享所有进程的资源。为提高效率，可将多线程技术应用于监控、报警、备份恢 复、日志记录等多个任务的并行处理，如在监控端可采用对所有网页文件按照其 所属目录进行分类，然后启动多个并发的工作线程对多个目录实时监控，一个线 程监控一个目录。 4 加密传输技术 为确保系统的安全性，对网络传输关键数据时需进行加密，使信息的可靠性 增强。常用的加密方式有线路加密和端到端加密两种。前者侧重在线路上而不考 虑信源与信宿，是对保密信息通过各线路采用不同的加密密钥提供安全防护的。 后者则是指信息由发送端自动加密，并进入t c p i p 数据包回封，然后作为不可阅 读和不可识别的数据穿过互联网当这些信息一旦到达目的地后，将被自动重组、 解密，成为可读数据。 3 4 评测网站内容防护系统的性能指标 系统评测指标和性能影响因素这两个方面是相互促进、相互制约的，只有根 据系统评测指标合理地调整其诸多影响因素，才有可能使系统达到预期要求的良 好保护效果。 评测一个网页防护系统性能的技术指标主要有以下几个方霭： 1 监控响应时间 监控响应时间是指在第一时问内发现网页篡改事件，并对其进行报警所需要 的时间，它由监控策略、比较方式、被保护对象的属性等因素所决定。这是评测 网站内容防护系统监控性能的重要指标，响应时间越短，保护效率越高。 2 恢复响应时间 恢复响应时间是指在监控端发现篡改后，由恢复进程将网页恢复到正常运行 所需的时阀，由备份端位置、传输带宽、被防护对象属性等因素所决定。这是评 测恢复性能的重要指标之一，被防护文件的大小以及备份端与服务器端的传输带 宽都直接影响到网页的恢复速度。 3 防护全面程度 防护全面程度是指对网页进行防护的全面程度，这不仅包括对网站内容的保 护，还涉及到备份数据，监控端本身的安全机制等方面的内容，这是评测系统完 整性的重要指标。 4 ，用户可选择性 为适应不同架构的网站，网站防护系统能够进行灵活的配置，如定制扫描间 隔、备份库的存放位置等，通过配置后应使这些功能发挥其最佳效果。 5 ，透明性 拥有友好的界面，方便用户操作。在不改变网站原有功能的基础上实现全面 的防护。用户根本无需考虑具体实现过程就能够监测和自动恢复。 6 资源占用率 在实现防护功能的局对，还要考虑对资源的占用率，使系统更加实用化。对 c p u 、内存的占用率，以及对网络传输带宽的占用都会影响到监控和恢复的效果。 7 与其他安全工具的兼容性 为加强监控的全面性，网页防护系统应能够与其他安全工具配合工作，确保 网站的正常运行。 4 网站内容防护系统的算法分析 4 1m d 系列算法 m d 5 的全称是m e s s a g e - d i g e s ta l g o r i t h m5 ( 信息摘要算法) ，经m d 2 、m d 3 和m d 4 发展而来。它的作用是让大容量信息在用数字签名软件签署私人密钥前被 “压缩”成一种保密的格式( 就是把一个任意长度的字节串变换成一定长的大整 数) 。不管是m d 2 、m d 4 还是m d 5 ，它们都需要获得一个随机长度的信息并产生 一个1 2 8 位的信息摘要。 4 1 1算法的应用 m d 5 的典型应用是对一段信息( m e s s a g e ) 产生信息摘要( m e s s a g e - d i g e s t ) ， 以防止被篡改。比如，在u n i x 下有很多软件在下载的时候都有一个文件名相同， 文件扩展名为m d 5 的文件，在这个文件中通常只有一行文本，大致结构如： m d 5 ( t a n a j i y a t a r g z ) = 0 c a l 7 5 6 9 c o f 7 2 6 a 8 3 1 d 8 9 5 e 2 6 9 3 3 2 4 6 1 这就是t a i l a j i y a t a r g z 文件的数字签名。m d 5 将整个文件当作一个大文本信息， 通过其不可逆的字符串变换算法，产生了这个唯一的信息摘要。如果在以后传播 这个文件的过程中，无论文件的内容发生了任何形式的改变( 包括人为修改或者 下载过程中线路不稳定引起的传输错误等) ，只要你对这个文件重新计算m d 5 时 就会发现信息摘要不相同，由此可以确定你得到的只是一个不正确的文件。如果 再有一个第三方的认证机构，用m d 5 还可以防止文件作者的“抵赖”，这就是所 谓的数字签名应用。 m d 5 还广泛用于加密和解密技术上。比如在u n i x 系统中用户的密码就是以 m d 5 ( 或其它类似的算法) 经加密后存储在文件系统中。当用户登录的时候，系 统把用户输入的密码计算成m d 5 值，然后再去和保存在文件系统中的m d 5 值进 行比较，进而确定输入的密码是否正确。通过这样的步骤，系统在并不知道用户 密码的明码的情况下就可以确定用户登录系统的合法性。这不但可以避免用户的 密码被具有系统管理员权限的用户知道，而且还在一定程度上增加了密码被破解 的难度。 正是因为这个原因，现在被黑客使用最多的一种破译密码的方法就是一种被 称为“跑字典”的方法。有两种方法得到字典，一种是日常搜集的用做密码的字 1 4 符串表，另一种是用排列组合方法生成的，先用m d 5 程序计算出这些字典项的 m d 5 值，然后再用目标的m d 5 值在这个字典中检索。我们假设密码的最大长度 为8 位字节( 8b y t e s ) ，同时密码只能是字母和数字，共2 6 + 2 6 + 1 0 = 6 2 个字符，排 列组合出的字典的项数则是p ( 6 2 ，1 ) + p ( 6 2 ，2 ) + “6 2 ，8 ) 那也已经是一个天文的数 字了，存储这个字典就需要t b 级的磁盘阵列，而且这种方法还有一个前提，就是 能获褥目标账户的密码m d 5 值的情况下才可以。这种加密技术被广泛的应用于 u n i x 系统中，这也是为什么u n i x 系统比一般操作系统更为坚固一个重要原因。 4 1 2算法描述 对m d 5 算法简要的叙述可以为：m d 5 以5 1 2 位分组来处理输入的信息，且 每一分组又被划分为1 6 个3 2 位子分组，经过了一系列的处理后，算法的输出由 四个3 2 位分组组成，将这四个3 2 位分组级联后将生成一个1 2 8 位散列值。 在m d 5 算法中，首先需要对信息进行填充，使其字节长度对5 1 2 求余的结果 等于4 4 8 。因此，信息的字节长度将被扩展至n 5 1 2 + 4 4 8 ，即n 6 4 + 5 6 个字节( b y t e s ) ， n 为一个正整数。填充的方法如下，在信息的后面填充一个1 和无数个0 ，直到满 足上面的条件时才停止用0 对信息的填充。然后，在在这个结果后面附加一个以 6 4 位二进制表示的填充前信息长度。经过这两步的处理，现在的信息字节长度 - - n * 5 1 2 + 4 4 8 + 6 4 = ( n + 1 ) * 5 1 2 ，即长度恰好是5 1 2 的整数倍。这样做的原因是为满足 后面处理中对信息长度的要求。 m d 5 中有四个3 2 位被称作链接变量( c h a i n i n gv a r i a b l e ) 的整数参数，他们分 别为：a = 0 x 0 1 2 3 4 5 6 7 ，b = 0 x 8 9 a b c a e f , e - - - 4 ) x f e d e b a 9 8 ，d 0 x 7 6 5 4 3 2 1 0 当设置好这四个链接变量后，就开始进入算法的四轮循环运算。循环的次数 是信息中5 1 2 位信息分组的数目。 将上面四个链接变量复制到另外四个变量中：a 到a ，b 到b ，c 到c ，d 到d 。 主循环有四轮( m i m 只有三轮) ，每轮循环都很相似。第一轮进行1 6 次操作。每 次操作对a 、b 、c 和d 中的其中三个作一次非线性函数运算，然后将所得结果加上 第四个变量，文本的一个子分组和一个常数。再将所得结果向右环移一个不定的 数，并加上a 、b 、c 或d 中之一。最后用该结果取代a 、b 、c 或d 中之一。 以一下是每次操作中用到的四个非线性函数( 每轮一个) 。 f 【x ，y z ) = ( x ”i ( ( x ) z ) g ( x ，旧；( x z ) i ( y z ) ) h ( x ，埘习【“巾 i ( k 粥) = y ( x 卜z ) ) ( 是与，陡或，一是非，n 是异或) 这四个函数的说明：如果x 、y 和z 的对应位是独立和均匀的，那么结果的每 一位也应是独立和均匀的。 f 是一个逐位运算的函数即，如果x ，那么y ，否则z 。函数h 是逐位奇偶操 作符。 假设l n j 表示消息的第j 个子分组( 从0 到1 5 ) ， 第一轮 f f ( a , b ，c , d , m o ，7 ，o x d 7 6 a a 4 7 8 ) 域d ，a , b ，c , m l ，1 2 ，o x e 8 c 7 b 7 5 6 ) f f ( e , d , a , b , m 2 ，1 7 ，o x 2 4 2 0 7 0 d b ) 邱，c , d ，a , m 3 ，2 2 ，o x c l b d c e e e ) f l ( a , b , c , d , m 4 , 7 ，o x f 5 7 c o f a o 皿d ，曲，c # a 5 ，1 2 ，o x 4 7 8 7 c 6 2 丑) f f ( e , d , a , b , m 6 ，1 7 ，0 x a 8 3 0 4 6 1 3 ) f r o , ，c ，d a ，i n 7 ，2 2 ，o x f d 4 6 9 5 0 1 ) f f ( a , b ，c , d , m 8 ，7 ，o x 6 9 8 0 9 8 d s ) t r ( d ，a , b ，c , m 9 ，1 2 ，o x s b 4 4 f t a o 瓜c ，d ，a , b , m l o ，1 7 , o x 右b b l ) 自哺，c , d ，a , m l l ，2 2 ，o x 8 9 5 e d 7 b e ) 趣a , b ，c ，d , m 1 2 ，7 ，o x 6 6 9 0 1 1 2 2 ) f f ( d , a , b ，c ，m 1 3 ，1 2 ，o x f d 9 8 7 1 9 3 ) f f ( c , d , a , b , m 1 4 ，1 7 ，o x a 6 7 9 4 3 8 e ) f r o , ，e , d , a , m 1 5 , 2 2 ，o x 4 9 b 4 0 8 2 1 ) 第二轮 g g ( a ，b ，c ，d ，m l ，5 ，o x f 6 1 e 2 5 6 2 ) g g ( d , a , b ，c ，m 6 ，9 ，o x c l 3 4 0 6 3 4 0 ) g g