基于文件監控的網頁防篡改系統研究

周 晗 孫建樹

（北京電子科技學院計算機科學與技術系 北京 100070）

0 引言

網站的安全受到多種因素的影響，常見的如服務器所在的操作系統漏洞、部署的網站文件的漏洞等，都會導致網站安全受到威脅，嚴重時甚至導致站點癱瘓，導致網站面目全非。對于一個網站，其需要保護的核心便是是網頁文件，一個中小規模的網站的相關文件達到數百上千是很正常的，如果通過管理員定期人工比對各文件的一致性也即是否被篡改，從而來進行防護，不但可操作性不強，也不能達到及時有效保護的效果。許多網站管理員，經常抱怨自己的站點即使經常做安全維護，但站點的一些關鍵文件如index.html、inedx.asp、conn.asp以及js文件被修改，被添加惡意鏈接。

1 國內外研究狀況

當前大部分研究論文和產品文檔中都會提到以下四種技術：

（1）定時循環掃描技術（即：外掛輪詢）：使用程序按照用戶設定的時間間隔，對網站目錄進行定時掃描比對，如發現篡改，就用備份進行恢復。

（2）事件觸發技術：使用程序對網站目錄進行實時監控，當有對文件的屬性，大小等修改時就進行檢查是否是非法篡改。

（3）核心內嵌技術（即“數字水印”或“數字指紋”）：在用戶提交訪問網頁的請求之后，在服務器正式提交用戶請求網頁內容之前，對網頁進行完整性檢查，一般也是通過散列值對比的方式。

（4）文件過濾驅動技術：采用系統底層文件過濾驅動技術，攔截與分析IRP流，此技術多見于Windows操作系統。

2 研究內容

我們的研究則沒有針對以上任意一種特定技術，而是從業務邏輯的角度對文件保護進行了研究，內容包括監控、恢復以及告警，主要內容如下：

2.1 對監控的研究

對監控的研究主要關注于兩個方面：針對特定操作系統（如Linux和Windows系統）以及與平臺無關的方法。

對于Windows操作系統而言，在Windows實現文件監控有三種方法，第一種是“虛擬文件系統驅動”方法，如Windows下的Filemon。第二種方法是“HOOK API”方法，即鉤子技術。第三種方法是“消息機制”，從Windows的文件通知消息獲取系統的文件操作。

對于 Linux系統而言，像 Linux文件系統安全監控軟件Inotify-sync等，可以使用Linux內核提供的Inotify特性，讓用戶配置監控目錄，并且對不同的文件系統操作事件調用不同的事件處理腳本。

2.2 對恢復的研究

針對文件恢復，單從恢復技術而言，像常用的EasyRecovery這類專門的文件恢復軟件功能特別強大。

它能恢復丟失的數據以及重建文件系統。主要是在內存中重建文件分區表使數據能夠安全地傳輸到其他驅動器中。可以從被病毒破壞或是已經格式化的硬盤中恢復數據。但是從網站的文件文件還原角度來講，這類技術還是難以應用到網頁文件防篡改系統中來。

2.3 對告警的研究

對于告警部分，一般是形成日志來記錄所造成的篡改以及恢復的情況，以方便管理員查詢，可以通過電子郵件，短信收發裝置等遠程通訊選擇性地將結果通知管理員。

3 實現方案

綜合以上三個模塊的獨立研究，以及通過搜集各類產品進行功能，價格的和設計原理的比較，通過對國外和國內的產品特點認識。我們實現了本地網頁防篡改的核心軟件主要有如下三模塊：

監測模塊——利用計算 MD5散列值來對要保護的文件內容進行實時的操作監測。

恢復模塊——通過實時監測模塊傳入的參數決定對被改變的文件實施相應的恢復功能，恢復可選擇實時監控和定期掃描對已被非法修改的文件進行自動恢復和手動指定恢復模式，并將所改變的文件屬性及相關參數進行記錄。

報警模塊——具有告警信息顯示，同時形成篡改日志，并將日志形成文件存儲，為用戶日后查閱提供依據，也通過電子郵件告知管理員。

軟件將由使用者自主選擇需要保護與監測的網頁文件及文件夾，軟件自動掃描并對其進行消息摘要，提供文件完整性保護，保證頁面被任意改變時可及時發現被篡改痕跡。在散列算法 MD5得出文件摘要后對重要文件進行備份，保存重要文件作為備份以供恢復時使用。軟件允許使用者根據自身需要手動調整待掃描目錄、文件摘要與備份存儲路徑，以便對文件進行即時掃描檢測。

當文件遭遇刪除時，管理者可以根據軟件先前對文件的備份進行手動選擇恢復，也可以通過軟件提供的界面快速恢復；當出現惡意文件時，管理者可以根據提示進行快速刪除；當正常文件被篡改內容時，可以根據備份文件的協助進行修改恢復。這一切檢測都可以通過軟件自行設定檢測頻率，當異常發生時，會有提示信息及時反饋給管理人員以便其根據實際情況進行處理。

正常更新時，只需要每次進行更新網頁內容時同時更新消息摘要即可，這樣既保證消息摘要值的不定期動態更新，提高系統的安全性，又使系統的更新沒有冗余操作，簡單易行。

此外，我們通過研究核心內嵌技術，實現了簡單的過濾器，一方面在動態網站的請求發生時，截獲用戶的請求，對篡改進行實時處理，使被篡改的頁面不被用戶看到，另一方面也集中對服務端的網站目錄進行監控，對發生的改變進行記錄。這樣做的好處是在測試時，用戶永遠無法看到被篡改的頁面，而對于本地防護而言，用戶在瀏覽器端還是有可能看到被篡改頁面的緩存。

4 結束語

隨著信息化建設的不斷發展和提高，許多部門機構的業務數據都通過門戶網站開展業務，個人或小集體通過建站來進行產品宣傳推廣也往往通過網站的形式來發布信息。因此保護Web應用系統安全變得越來越廣泛。在現有網站安全防護的基礎上部署網頁防篡改系統，采用低成本有效的防篡改系統，不僅可以多一層保障，同時，網頁防篡改系統詳細的日志信息也為我們日常的安全維護工作提供幫助。一旦發生安全事件，防篡改系統還將為之后的調查取證工作提供有價值的線索和依據。

盡管網頁防篡改系統能進一步提高網站的安全，但仍然存在一些缺陷，需要不斷的研究實踐加以改進。

[1]陳小兵，范淵，孫立偉.Web滲透技術及實戰案例解析[M].北京：電子工業出版社，2012.4.

[2]Noah，Inotify，FAM，Gamin[EB/OL].http：//www.noah.org/wiki/Inotify，_FAM，_Gamin，2010.4.

[3]孔輝.一種網頁防篡改系統的設計[D].北京：北京郵電大學，2011.

[4]王茂昌，黃甜，王普彪，賴培輝.網站安全性研究[J].安陽師范學院學報，2011.

[5]趙 莉，鄧 峰.基于核心內嵌技術中安全散列函數的探討[J].科技信息，2012-12.

[6]胡宏銀，姚 峰，何成萬.一種基于文件過濾驅動的 W indows文件安全保護方案[J].計算機應用，2009-1.