南宁超创信息工程有限公司 技术方案 - 1 - 1 .1 网 页 防 篡 改 系 统 1.1.1 系 统 概 述 随着各类机构的计算及业务资源逐渐向其数据中心高度集中，WEB 成为一种普遍适用的平台，越来越多地承载了各类机构的核心业务，如电子政务、 电子商 务等 。 当 前 网 络 上 75%的攻 击 是 针 对 WEB应 用的，这 些 攻 击 可 致 网 站 遭 受 声 誉 损 失 、 经 济 损 失 甚 至 政治 影 响 。 广 西 新 闻 出 版 局 政务网 站 也 将 面 临 各类安 全 威 胁 ，高效 保 障 网 站应 用的可 用性 和 可 靠 性 、 优 化 业务资源和 提 高应 用系 统 敏 捷 性 至 关 重要 。 传 统 安 全 设 备（ 防 火 墙 /IPS）解 决 WEB 应 用安 全 问 题 存 在 局 限性 ，而 整 改 网 码 因 需 要 付 出 较 高代 价 而 较 难 实 现 。 网 页 防 篡 改 系 统 能 够 提供 WEB 应 用安 全 防 护 功 能 ，防 御 SQL 注 入 、 XSS 及跨 站 请 求 伪 造（ CSRF）攻击 ；防御 常 规 盗 链 和 分 布 式 盗 链 、恶意 扫 描 ；提 供 Co o k ie安 全 机制 ，防 止 Co o k ie 中敏 感 信息泄 露 ，以 及Co o k ie 篡 改 ； 提 供 服务器 信息伪 装 /过 滤 ，避 免 出 错 信息暴 露 网 站 敏 感 信息，为攻 击 者 利 用、提 升 攻 击 成功 概 率 等 功 能 。 1.1.2 W EB 攻 击 方 式 常 见 的WEB 攻 击 ，分 为两 类：一是 利 用WEB 服 务器 的漏 洞 进 行攻 击 ，如CGI 缓 冲 区 溢 出 、目 录 遍历 漏 洞 利 用等 攻 击 ；二 是 利 用WEB网 页 自 身 的安 全 漏 洞 进 行 攻 击 ，如SQL 注 入 、跨 站 脚 本 攻 击 等 。常见的针 对 网 页 即 WEB 应 用的攻 击 有： 南宁超创信息工程有限公司 技术方案 - 2 - 缓 冲 区 溢 出 ——攻 击 者 利 用 超 出 缓 冲 区 大 小 的 请 求 和 构 造 的 二进 制 代 码 让 服 务 器 执 行 溢 出 堆 栈 中 的 恶 意 指 令 Cookie 假 冒 ——精 心 修 改 cookie 数 据 进 行 用 户 假 冒 认 证 逃 避 ——攻 击 者 利 ...
