防止恶意内容侵染网站页面的方法和系统以及存储介质技术方案

本发明专利技术提供一种防止恶意内容侵染网站页面的方法和系统,总体上涉及通过建立从合法网页内容文件由合法网页服务经过端口监控模块到特定网络地址和端口的安全数据管道，来防止任何企图将有害内容以被保护网站的名义发布到互联网上的恶意攻击行为。合法的网页内容文件受文件系统驱动模块保护，该文件系统驱动模块根据一个进程管控模块的输入来维持一个与合法服务/合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护的文件。该预定义的网页服务与特定的发布文件夹绑定，该发布文件夹由文件系统驱动模块进行监视和保护，以防止未经授权的服务或应用程序创建新的非法内容。该网页服务还与特定的本地网络端口绑定。

Methods, systems and storage media to prevent malicious content from infecting web pages

【技术实现步骤摘要】
防止恶意内容侵染网站页面的方法和系统以及存储介质
本专利技术涉及一种网站页面的防护方案，尤其是一种防止恶意内容侵染网站页面的方法和系统。
技术介绍
随着因特网的迅速发展，几乎所有的组织、机构和企业都建立了各种网站来为本企业提供外部宣传和服务。然而，由于网络攻击的泛滥，暴露在互联网攻击最前线的网站非常容易受到各种攻击，特别是非法篡改网站内容，这通常会导致公众形象或商业信誉受损。因此，迫切需要保护网站免遭篡改，即确保仅将适当的内容通过具有给定IP和端口的网站发布到互联网。防止恶意内容侵染网站页面的一种技术是定期不断地扫描并监视网页文件是否有任何更改，称为“插件轮询”，即应用程序在给定的时间间隔内定期扫描网站目录并监视任何更改。如果在监视列表中找到任何文件的任何更改，它将使用原始版本(应将其备份在安全/隐藏的地方)来覆盖更改。这是针对网站篡改问题的第一个解决方案，该方案已过时且不再实际应用，这主要是由于其计算复杂性高且无法一直提供保护。具体来说，一个网站通常有数千个文件，不断扫描所有文件会占用大量计算资源，从而影响服务器性能。此外，在扫描间隔或扫描过程中，如果文件被篡改，则该文件将一直受到篡改，直到下一个扫描周期为止。在此期间，被篡改的内容将在互联网上看到。另外，在这种方法中，还有许多其他漏洞，导致非法内容可能会发布到互联网。例如，网页服务可能被滥用以发布不在监视列表中的网页，或者网站服务可能被替换为黑客程序，黑客程序通过与给定网站相关联的IP和端口建立连接将不需要的内容发布到互联网。另一种用于防止恶意内容侵染网站页面的技术是使用事件驱动方案来监视所有网页文件。应用程序将侦听系统事件以了解对网页文件做出的任何更改。一旦检测到网页文件已被更改，它将调用恢复过程。这种方法比上面讨论的基于轮询的扫描效率高得多。但是，如果没有保护措施，则仍然存在时间间隔。如果黑客进行“连续篡改”攻击，则极有可能永远无法恢复它。具体而言，在篡改之后，监视应用程序会尝试恢复被篡改的文件。由于任何操作都需要一些时间，因此任何系统始终存在延迟，而“连续篡改”攻击是每秒对文件进行黑客攻击数千次，因此恢复应用程序将永远无法跟上篡改的速度。这种事件驱动的监视方案的另一个问题是，黑客可能会修改文件，然后立即接管该文件的写入权限，以使恢复应用程序无法撤消更改。它的作用是将篡改黑客与勒索攻击相结合，并且在勒索攻击被撤消之前，网页文件将保持被篡改的状态。当今流行的防止恶意内容侵染网站页面解决方案是在网页服务的核心中应用加密检查，以便只有合法的网页页面才会从网页服务发布到互联网以供查看。此方法的主要思想是在每个待发布的网页上执行数字水印(例如，计算并验证其哈希值)。如果发现当前水印与先前记录的水印不同，则可以断定文件已被篡改。因此，将阻止该文件的发布，同时可以调用恢复应用程序进行恢复。该技术因不依赖扫描过程而闻名。同时，即使黑客可以利用某些先进技术并成功更改一个网页文件，该伪造的文件也无法通过网页服务向公众公开，因为它无法通过水印检查。该防止恶意内容侵染网站页面技术的一个问题在于哈希算法的强度。流行的选择是MD5算法，它以被黑客入侵而闻名，因此不再安全。与这种数字水印方法相关的另一个问题是检查水印所需的计算复杂度。通常，对于大于100k的文件，计算成本很高。某些产品试图通过设置要检查的文件大小的阈值来避免此问题。例如，仅会检查大于100k的文件。但是，这并不能真正解决问题，因为黑客可以轻松地将一个大文件放入网页内容文件夹中，该文件可以在互联网上访问，并且可能在网页上携带不需要的消息。此方法取决于网页服务插件，因此其安全性取决于目标网页服务中如何保护插件。以MicrosoftIIS为例。将数字水印组件添加到网页服务很简单，而拔出水印组件却很容易使所有文件不受保护，并且容易受到篡改。同样，此方法无法解决新的但非法的网页服务向互联网发布不需要的内容的攻击。最近，出现了基于文件系统驱动程序的解决方案，该解决方案控制网页内容文件并且仅授予网页服务应用程序访问它们的权限。不过，也有一些问题。第一个问题在于使用应用程序路径进行授权。应用程序路径可能不是唯一的，例如Windows支持短名称。更重要的是，通过一个应用程序的完整路径授权可能会导致安全漏洞，尤其是对于某些应用程序(例如java虚拟机或php解释器等脚本解释器)而言，可能会加载脚本以执行非法应用程序。在这种情况下，黑客可能会轻易利用授权的应用程序来运行其黑客逻辑来篡改受保护的文件，因为文件系统驱动程序会授权解释器，并且无法区分正在运行的逻辑。现有的基于文件系统驱动程序保护现有网页内容文件的方法的第二个问题在于缺乏对网页服务用来托管所有内容文件的发布文件夹的保护。黑客可能将新文件添加到网页服务的发布文件夹，从而将错误的内容发布到互联网。对于防止恶意内容侵染网站页面，基于文件系统驱动程序的现有解决方案的第三个问题在于破解授权应用程序配置的漏洞。例如，黑客可能会修改网页服务的本地发布文件夹的设置，以便从新文件夹发布内容。实际上，这种黑客攻击超出了文件系统驱动程序的能力。但是，这会导致有害内容以目标网站的名义发布到互联网上。网页防篡改的第四个问题在于缺乏对端口的保护。由于网络端口是发布网页的最终链接，因此黑客可能会启动新服务并将任何需要的内容发布到互联网上。实际上，最后三个问题都涉及到文件系统驱动程序对本地系统上现有网页内容文件的保护和确保网页站点只发布适当内容到互联网的任务之间的不匹配。
技术实现思路
本专利技术的目的在于克服现有技术中存在的不足，提供一种防止恶意内容侵染网站页面的方法、系统，用于建立并监视从合法网页内容文件到目标网站的特定IP地址和端口的一个安全管道，保证只有合法的网页内容文件可以以相应的网站的名义发布到互联网，从而形成一个可靠的防止恶意内容侵染网站页面的解决方案。本专利技术的实施例提出一种防止恶意内容侵染网站页面的方法，应用于一种防止恶意内容侵染网站页面的系统，所述防止恶意内容侵染网站页面的系统包括：文件系统驱动模块、进程管控模块、端口监控模块；所述方法包括：进程管控模块监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；文件系统驱动模块维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；通过端口监控模块，实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口拒绝任何其它服务监听响应。进一步地，所述防止恶意内容本文档来自技高网...

【技术保护点】
1.一种防止恶意内容侵染网站页面的方法，应用于一种防止恶意内容侵染网站页面的系统，其特征在于，所述防止恶意内容侵染网站页面的系统包括：文件系统驱动模块、进程管控模块、端口监控模块；/n所述方法包括：/n进程管控模块监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；/n文件系统驱动模块维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；/n通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；/n通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；/n通过端口监控模块，实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口拒绝任何其它服务监听响应。/n

【技术特征摘要】
1.一种防止恶意内容侵染网站页面的方法，应用于一种防止恶意内容侵染网站页面的系统，其特征在于，所述防止恶意内容侵染网站页面的系统包括：文件系统驱动模块、进程管控模块、端口监控模块；
所述方法包括：
进程管控模块监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；
文件系统驱动模块维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；
通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；
通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；
通过端口监控模块，实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口拒绝任何其它服务监听响应。


2.如权利要求1所述的防止恶意内容侵染网站页面的方法，其特征在于，
所述防止恶意内容侵染网站页面的系统还包括注册表过滤器；所述防止恶意内容侵染网站页面的方法还包括：
通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；
和/或，
通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容。


3.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，
所述发布文件夹中的文件受文件系统驱动模块保护。


4.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，
文件系统驱动模块授予合法服务/进程访问受保护文件的权限分为只读权限和读写权限；用于发布网页的服务/进程被授予只读权限，用于更新网页内容文件的服务/进程被授予读写权限。


5.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，
文件系统驱动模块工作于保护模式或提权模式；在保护模式下，仅允许合法服务/进程访问受保护的文件，而用于授权服务的进程白名单和受保护文件列表将被锁定；在提权模式下，用于授权服务的进程白名单和受保护文件列表可以被修改。


6.如权利要求5所述的防止恶意内容侵染网站页面的方法，其特征在于，
提权模式是过渡模式，并受自动超时方案保护。


7.如权利要求5所述的防止恶意内容侵染网站页面的方法，其特征在于，
从保护模式切换到提权模式前，需要认证过程。


8.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，
文件系统驱动模块允许授权的网页服务访问网页服务的配置文件，但阻止任何其他非授权服务/进程访问该配置文件。


9.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，
文件系统驱动模块允许合法进程通过设置的读、写权限读取或修改相应的被保护的配置文件。


10.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，
所述端口监控模块中包括系统防火墙和/或网络驱动和/或系统服务；所述方法还包括：
本地网络端口通过在系统防火墙中配置防火墙策略来为给定的网页服务预留；或者本地网络端口通过监视防火墙策略的过程来保留给给定的网页服务；
和/或，
使用网络驱动来监视本地系统上的指定本地网络端口，并且仅允许合法网页服务响应该本地网络端口；
和/或，
使用系统服务来监听本地网络端口，以实现特定的本地网络端口只允许合法网页服务监听响应的功能，并终止其它非合法的服务的进程，隔离非法服务进程相应的程序。


11.如权利要求10所述的防止恶意内容侵染网站页面的方法，其特征在于，
系统防火墙的配置文件受到文件系统驱动模块的保护，该文件系统驱动模块在其保护模式下仅允许系统防火墙进程读取该配置文件。


12.一种防止恶意内容侵染网站页面的系统，其特征在于，...

【专利技术属性】
技术研发人员：余祥，杨恩辉，孟进，祁志宁，
申请(专利权)人：佰倬信息科技有限责任公司，
类型：发明
国别省市：江苏;32