網(wǎng)頁(yè)篡改檢測(cè)系統(tǒng)的研究與實(shí)現(xiàn).pdf

1、隨著互聯(lián)網(wǎng)的發(fā)展和網(wǎng)民數(shù)量的快速增長(zhǎng)，越來(lái)越多政府、學(xué)校、企事業(yè)單位的業(yè)務(wù)都依托于網(wǎng)站。與此同時(shí)，由于各類(lèi)Web應(yīng)用系統(tǒng)的復(fù)雜性和多樣性，特別是缺乏必要的安全性維護(hù)，網(wǎng)頁(yè)篡改事件時(shí)有發(fā)生。這樣不僅破壞了網(wǎng)站所有者的聲譽(yù)，也可能直接造成財(cái)產(chǎn)上的損失，甚至上升為政治事件。因此，如何實(shí)時(shí)監(jiān)測(cè)網(wǎng)頁(yè)篡改以減少危害蔓延成為互聯(lián)網(wǎng)安全領(lǐng)域的一個(gè)重要研究課題。
　　目前面向Web服務(wù)器端的篡改檢測(cè)研究較為成熟，已經(jīng)出現(xiàn)不少實(shí)用系統(tǒng)。但面向服務(wù)端的

2、檢測(cè)系統(tǒng)僅適于單機(jī)部署，不僅部署復(fù)雜、應(yīng)用成本高，而且降低網(wǎng)站性能，在大量且類(lèi)型眾多管理分散的網(wǎng)站并不適合實(shí)現(xiàn)。而面向整個(gè)客戶端的傳統(tǒng)輪詢方案局限于靜態(tài)網(wǎng)頁(yè)，無(wú)法對(duì)動(dòng)態(tài)網(wǎng)頁(yè)進(jìn)行監(jiān)測(cè)。因此，本文提出了適用于動(dòng)態(tài)網(wǎng)頁(yè)篡改檢測(cè)的技術(shù)方案，并實(shí)現(xiàn)了一個(gè)實(shí)時(shí)監(jiān)測(cè)的原型系統(tǒng)。該系統(tǒng)輸入域名即可對(duì)網(wǎng)頁(yè)進(jìn)行安全掃描，適合于大規(guī)模檢測(cè)。
　　本文的研究工作主要包含以下幾點(diǎn)：
　　①提出了一種檢測(cè)篡改網(wǎng)頁(yè)中惡意腳本的方法，該方法不同于以往文本字

3、符串特征匹配和Hook相關(guān)漏洞函數(shù)序列等方法，而是深入研究JavaScript字節(jié)碼的運(yùn)行機(jī)理，通過(guò)對(duì)腳本解釋器進(jìn)行代碼插裝，并且借助于CPU模擬器，能快速識(shí)別經(jīng)過(guò)混淆加密過(guò)的惡意代碼。
　?、谕ㄟ^(guò)網(wǎng)頁(yè)更新周期的研究，提出了網(wǎng)站存在局部變化的特性，并將這種特性引入到網(wǎng)頁(yè)結(jié)構(gòu)變化的分析中，結(jié)合網(wǎng)頁(yè)的相似度計(jì)算，提出了一種識(shí)別網(wǎng)頁(yè)靜態(tài)區(qū)域和動(dòng)態(tài)區(qū)域的算法。該算法融合動(dòng)態(tài)傳播的思想，能在較短的訓(xùn)練期內(nèi)比較好地分離出網(wǎng)頁(yè)的動(dòng)態(tài)區(qū)域和靜態(tài)區(qū)