CN110995732A - 一种网页篡改检测方法及相关装置 - Google Patents

Abstract

本申请公开了一种网页篡改检测方法，包括：通过域名解析技术获取待检测网站对应的所有节点信息；根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源；对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；将差异值大于预设差异值的缓存资源标记为被篡改网页。通过获取到所有节点中的缓存资源再进行差异对比得到被篡改网页，避免遗漏被篡改的网页，提高检测的准确率和精度。本申请还公开了一种网页篡改检测装置、服务器以及计算机可读存储介质，具有以上有益效果。

Description

一种网页篡改检测方法及相关装置

技术领域

本申请涉及计算机技术领域，特别涉及一种网页篡改检测方法、网页篡改检测装置、服务器以及计算机可读存储介质。

背景技术

目前互联网中存在多种多样的网络攻击方法，其中，网页篡改技术就是众多攻击方法中的一种。具体的，网页篡改技术，是指网页的页面被攻击者进行篡改。其中，一般在实施中包括多种篡改方式，最常见的就是取得网站所在的服务器控制权限，然后登陆之后进行网页篡改，在原有页面中加入自己的代码文字，或者进行涂鸦。发起篡改攻击的攻击者，其目的很有可能对网页挂上黑页、植入暗链、或者进行挂马。可见，只要用户打开被篡改的网页后，很容易进行危险的操作，安全风险极大。

因此，需要实时对网页进行检测，检查是否出现被篡改的情况，以便及时进行网页修改。现有技术中，常见的网站篡改监测技术，分为两种：一种是在服务器上部署防篡改软件，对文件进行实时监控，只有有权限的用户修改不会被拒绝。其他非授权或不合规的用户的修改，都会被恢复文件原样；另外一种是远程的实时对网页进行下载再比对，这种技术方案第一时间发现变化并且第一时间通知网站所有者进行恢复。但是，现有技术方案的监测，主要是通过远程单一节点对网页按时序建立基准，前后比对差异，这样获取的网页基准数据都来至于同一条网络链路。当将网站缓存在多节点时，现有的监测技术就无法全面的判断是否出现篡改网页。例如，在使用了CDN(Content Delivery Network内容分发网络)的场景下，无法同时有效兼顾到其他CDN节点的监测情况，从而在网页篡改监测上出现漏报。

因此，如何在多节点缓存的情况避免出现监测漏报的问题是本领域技术人员关注的重点问题。

发明内容

本申请的目的是提供一种网页篡改检测方法、网页篡改检测装置、服务器以及计算机可读存储介质，通过获取到所有节点中的缓存资源再进行差异对比得到被篡改网页，避免遗漏被篡改的网页，提高检测的准确率和精度。

为解决上述技术问题，本申请提供一种网页篡改检测方法，包括：

通过域名解析技术获取待检测网站对应的所有节点信息；

根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源；

对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；

将差异值大于预设差异值的缓存资源标记为被篡改网页。

可选的，通过域名解析技术获取待检测网站对应的所有节点信息，包括：

根据所述待检测网站的网址对多个地区的缓存节点进行域名解析请求，得到所述所有节点信息。

可选的，通过域名解析技术获取待检测网站对应的所有节点信息，包括：

向每个地区的监测节点发送节点信息收集请求，以便监测节点根据接收到的节点信息收集请求向对应的缓存节点发送域名解析请求得到节点信息，返回所述节点信息；

接收所述所有节点信息。

可选的，根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源，包括：

将所述待检测网站的域名和每个节点信息的IP地址进行关联，得到多个缓存下载链接；

根据所述多个缓存下载链接执行下载操作，得到多个所述缓存资源。

可选的，对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值，包括：

采用分片哈希算法对所有所述缓存资源进行计算，得到每个所述缓存资源对应的分片哈希值；

对所有所述分片哈希值进行差异计算处理，得到每个缓存资源对应的差异值。

可选的，将差异值大于预设差异值的缓存资源标记为被篡改网页，包括：

判断差异值大于预设差异值的缓存资源是否出现网络波动情况；

将未出现网络波动情况的缓存资源标记为所述被篡改网页。

可选的，还包括：

根据所述被篡改网页发送篡改预警通知。

本申请还提供一种网页篡改检测装置，包括：

节点信息获取模块，用于通过域名解析技术获取待检测网站对应的所有节点信息；

缓存资源下载模块，用于根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源；

资源差异对比模块，用于对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；

篡改网页标记模块，用于将差异值大于预设差异值的缓存资源标记为被篡改网页。

本申请还提供一种服务器，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上所述的网页篡改检测方法的步骤。

本申请还提供一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上所述的网页篡改检测方法的步骤。

本申请所提供的一种网页篡改检测方法，包括：通过域名解析技术获取待检测网站对应的所有节点信息；根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源；对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；将差异值大于预设差异值的缓存资源标记为被篡改网页。

通过域名解析技术获取到待检测网站对应的所有缓存有页面资源的节点的节点信息，然后从所有节点中下载得到该待检测网站的缓存资源，将所有缓存资源之间进行对比处理，最后将差异最大的缓存资源标记为被篡改网页，覆盖了该待检测网站对应的所有缓存节点中的网页资源，而不是仅仅对能获取到的网页资源进行检测，避免遗漏其他缓存节点中的网页资源，提高网页篡改的检测范围，进而提高检测的准确率和精度。

本申请还提供一种网页篡改检测装置、服务器以及计算机可读存储介质，具有以上有益效果，在此不做赘述。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例所提供的一种网页篡改检测方法的流程图；

图2为本申请实施例所提供的一种网页篡改检测装置的结构示意图。

具体实施方式

本申请的核心是提供一种网页篡改检测方法、网页篡改检测装置、服务器以及计算机可读存储介质，通过获取到所有节点中的缓存资源再进行差异对比得到被篡改网页，避免遗漏被篡改的网页，提高检测的准确率和精度。

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

现有技术中，常见的网站篡改监测技术，分为两种：一种是在服务器上部署防篡改软件，对文件进行实时监控，只有有权限的用户修改不会被拒绝。其他非授权或不合规的用户的修改，都会被恢复文件原样；另外一种是远程的实时对网页进行下载再比对，这种技术方案第一时间发现变化并且第一时间通知网站所有者进行恢复。但是，现有技术方案的监测，主要是通过远程单一节点对网页按时序建立基准，前后比对差异，这样获取的网页基准数据都来至于同一条网络链路。当将网站缓存在多节点时，现有的监测技术就无法全面的判断是否出现篡改网页。例如，在使用了CDN的场景下，无法同时有效兼顾到其他CDN节点的监测情况，从而在网页篡改监测上出现漏报。

因此，本申请提供了一种网页篡改检测方法，通过域名解析技术获取到待检测网站对应的所有缓存有页面资源的节点的节点信息，然后从所有节点中下载得到该待检测网站的缓存资源，将所有缓存资源之间进行对比处理，最后将差异最大的缓存资源标记为被篡改网页，覆盖了该待检测网站对应的所有缓存节点中的网页资源，而不是仅仅对能获取到的网页资源进行检测，避免遗漏其他缓存节点中的网页资源，提高网页篡改的检测范围，进而提高检测的准确率和精度。

以下通过一个实施例，对本申请提供的一种网页篡改检测方法进行说明。

请参考图1，图1为本申请实施例所提供的一种网页篡改检测方法的流程图。

本实施例主要应用于多节点缓存同一个网站的情况中，例如使用CDN网络的情况中，该方法可以包括：

S101，通过域名解析技术获取待检测网站对应的所有节点信息；

本步骤旨在获取到该待检测网站对应的所有缓存节点的节点信息。例如在CDN网络中，那么本步骤就是获取到缓存有该待检测网站的节点的所有节点信息。其中，节点信息包括但不限于该节点的IP地址。进一步的，由于某个网站的缓存资源具体存储在哪些缓存节点属于敏感信息，无法直接获取到所有节点信息，因此，本步骤中采用域名解析技术遍历所有情况反向得到节点信息。其中，遍历的情况包括但不限于遍历所有的地区，遍历所有的时间，遍历所有的服务器。

可选的，本步骤中获取节点信息的步骤可以包括：

根据待检测网站的网址对多个地区的缓存节点进行域名解析请求，得到所有节点信息。

可见，本可选方案中主要是直接对多个地区的缓存节点进行域名解析请求，得到节点信息。首先是收集到不同地区的缓存节点，分别对这些节点进行域名解析请求得到节点信息。

可选的，本步骤可以包括：

向每个地区的监测节点发送节点信息收集请求，以便监测节点根据接收到的节点信息收集请求向对应的缓存节点发送域名解析请求得到节点信息，返回节点信息；

接收所有节点信息。

本可选方案中，主要是在不同情况下设置监测节点，采用该监测节点向该待检测网站进行域名解析请求，就可以获取到该情况下对应的缓存节点的节点信息，进而得到所有的节点信息。

S102，根据所有节点信息从对应的节点下载待检测网站的缓存资源；

在S101的基础上，本步骤旨在根据获取到的所有节点信息下载每个节点中该待检测网站的缓存资源。也就是，向每个节点发送HTTP请求，然后保存返回的网页资源信息。其中，获取到的网页资源包括但不限于HTML源代码、JS、图片、flash、多媒体资源。

可选的，本步骤中从每个节点中获取待检测网站的缓存资源的方式可以包括：

将待检测网站的域名和每个节点信息的IP地址进行关联，得到多个缓存下载链接；

根据多个缓存下载链接执行下载操作，得到多个缓存资源。

可见，本可选方案中主要是将待检测网站的域名和每个节点信息的IP地址进行关联，得到多个缓存下载链接。具体的，可以根据节点信息中的IP地址修改host字段中的内容，以便连接到对应的节点中下载到待检测网站的资源。

S103，对所有缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；

在S102的基础上，本步骤旨在对获取到的所有缓存资源进行差异对比处理，得到每个缓存资源的差异值。

具体的，是将每个缓存资源之间进行两两对比，得到差异性评估，最后将每个缓存资源对应的所有差异性评估进行汇总计算，得到该差异值。其中，两两对比的比较方式可以是将每个资源进行一一比较，统计差异之处，最后将所有的差异之处进行汇总就得到该差异性评估。也可以是将每个缓存资源计算出对应的分片哈希值，将分片哈希值进行比较，得到差异性评估。

因此，本步骤中计算每个缓存对应的差异值的过程可以包括：

采用分片哈希算法对所有缓存资源进行计算，得到每个缓存资源对应的分片哈希值；

对所有分片哈希值进行差异计算处理，得到每个缓存资源对应的差异值。

可见，本可选方案中主要就是通过分片哈希值获取到缓存资源的差异值。

可选的，本步骤中计算差异值的过程还可以包括：

将缓存资源分为两类，包括波动性较低的资源，例如缓存资源中的多媒体资源，另一类即是波动性较高的资源，例如缓存资源中的源码资源。针对波动性较低的资源通常对比两个是否相同，如果不相同就判定为出现差异。针对波动性较高的资源通常是对比两者的差异是否大于阈值，如果大于阈值则判定为出现差异。由于针对资源的波动性执行不同的对比方式，避免出现误判的情况，提高了差异对比的准确性和精度。

S104，将差异值大于预设差异值的缓存资源标记为被篡改网页。

在S103的基础上，本步骤旨在将差异值大于预设差异值的缓存资源标记为被篡改网页。由于获取到的缓存资源同属于一个网站，也就是都属于待检测网站的缓存资源，每个缓存资源之间的差异相差应该比较小。而当某个节点的缓存资源被篡改后，该节点的缓存资源与其他节点的缓存资源之间的差距较大，因此，可以通过差异值确定出被篡改的网页。所以，本步骤中将差异值大于预设差异值的缓存资源标记为被篡改网页。

可选的，为了避免出现网络波动而造成的差异情况，本步骤可以包括：

步骤1，判断差异值大于预设差异值的缓存资源是否出现网络波动情况；

步骤2，将未出现网络波动情况的缓存资源标记为被篡改网页。

其中，判断差异值大于预设差异值的缓存资源是否出现网络波动情况，可以是对该缓存资源再获取一次缓存资源，判断前后获取的缓存资源之间的差异是否大于预设差异。若是，则表示先后获取的缓存资源之间的差距过大，说明出现了网络波动情况。若否，则表示先后获取的缓存资源的差距相似，说明没有出现网络波动情况。

本实施例，还可以包括：

根据被篡改网页发送篡改预警通知。

综上，本实施例通过域名解析技术获取到待检测网站对应的所有缓存有页面资源的节点的节点信息，然后从所有节点中下载得到该待检测网站的缓存资源，将所有缓存资源之间进行对比处理，最后将差异最大的缓存资源标记为被篡改网页，覆盖了该待检测网站对应的所有缓存节点中的网页资源，而不是仅仅对能获取到的网页资源进行检测，避免遗漏其他缓存节点中的网页资源，提高网页篡改的检测范围，进而提高检测的准确率和精度。

以下通过另一具体的实施例，对本申请提供的一种网页篡改检测方法做进一步说明。

本实施例中，该方法可以包括：

步骤1，收集网站的CDN节点信息。

收集网站对应的CDN节点信息。使用域名解析技术，解析网站域名的IP地址列表。在不同的地区(城市)解析出来的IP地址不同(此处解析的IP地址即为CDN节点信息)。可以通过收集不同地区的DNS缓存服务器，对其请求域名解析，从而提取到不同地区的CDN节点信息；也可以通过在不同地区，建立监测点，通过监测点发出域名解析请求，从而收集到CDN节点信息。

举例来说，收集域名www.dbappsecurity.com.cn的各地区的IP解析地址。收集全国各个地区的DNS缓存服务器，对这些DNS缓存服务器发起域名解析，得到IP地址3个(183.136.237.221、124.160.116.202、124.160.116.212)，即为两个CDN节点。其中，收集DNS缓存服务器的方式可以通过端口扫描，提取53端口可以访问的地址，作为CDN节点信息。

步骤2，下载网页在各个CDN节点的缓存资源。

发送HTTP请求，下载网页在各个CDN节点的缓存资源。发起HTTP请求时，需要将网站的IP与域名关联，确保下载资源是指定的CDN节点的IP地址，保证一一下载到各个CDN节点的缓存资源。下载的缓存资源，不仅包括网页的HTML源代码，包括JS、图片、flash等多媒体资源。

举例来说，依次对各CDN节点，发起HTTP请求，需要注意的是，在发送HTTP请求时，需要修改HTTP请求中的host字段为本示例的域名，保证CDN节点能够准确识别到需要下载的资源。下载HTML源代码，并且从HTML源代码中提取多媒体资源。

步骤3，执行页面资源比对，找出可疑对象。

分别对所有资源进行两两比较，找出其中与大多数资源差异较大的对象。对于HTML资源的比较使用分片HASH算法，以此来降噪，规避网页中时间窜日期等正常变更带来的页面差异。对于图片资源、JS脚本等其他多媒体资源，按照资源文件名，相同的资源文件名称比较，使用MD5签名摘要算法，比较其散列值，找出其中与大部分不相等的多媒体资源。

举例来说，分别对两个节点中下载到的首页HTML源代码、多媒体资源(包括图片、FLASH)进行分片HASH、MD5散列值比较，找出差异值不一样的资源。例如，差异值较大，例如1个网站存在超过50％的节点来源的都是相同的，其余的少量节点与大多数不一样。对于分片HASH计算资源相似度超过75％的认为是相同的；对于MD5散列值相等的则认为是相同的。

步骤4，再次下载差异较大的网页资源。

再次下载上一步骤中标识差异较大的网页资源，下载时仅下载存在差异的CDN节点资源。再次分别确认其MD5散列相同、分片HASH差异度是否小于95％，否则将其忽略，可能是网络波动引起的资源变化。同时对于人工已经标识为非篡改MD5散列对应的资源，也直接忽略掉。

举例来说，从差异较大的资源所在的CDN节点，再一次下载资源，下载完成之后。与上一步骤中同一个节点下载的资源进行比对分片HASh和MD5散列。如果分片HASH相似度低于95％，则忽略掉对应的HTML资源；如果MD5散列不相等，则也忽略掉该资源。对于剩下的资源，标识为可疑资源。

步骤5，告警通知。

对存疑的网页资源进行保存，并且发出篡改预警通知。以便及时通知系统管理员，并快速采取后续处理方式。

此外，本实施例中必然还包括在全国建立多个监测节点，直接下载待监测的页面资源，将节点之间的下载资源进行比对的方案。虽然本实施例的应用场景是CDN网络。但是，如果是多个节点解析出来的节点资源，且进行比对也是节点与节点之间下载的资源进行比对的方案均属于本申请的技术方案。

可见，本实施例通过域名解析技术获取到待检测网站对应的所有缓存有页面资源的节点的节点信息，然后从所有节点中下载得到该待检测网站的缓存资源，将所有缓存资源之间进行对比处理，最后将差异最大的缓存资源标记为被篡改网页，覆盖了该待检测网站对应的所有缓存节点中的网页资源，而不是仅仅对能获取到的网页资源进行检测，避免遗漏其他缓存节点中的网页资源，提高网页篡改的检测范围，进而提高检测的准确率和精度。

下面对本申请实施例提供的一种网页篡改检测装置进行介绍，下文描述的一种网页篡改检测装置与上文描述的一种网页篡改检测方法可相互对应参照。

请参考图2，图2为本申请实施例所提供的一种网页篡改检测装置的结构示意图。

本实施例中，该装置可以包括：

节点信息获取模块100，用于通过域名解析技术获取待检测网站对应的所有节点信息；

缓存资源下载模块200，用于根据所有节点信息从对应的节点下载待检测网站的缓存资源；

资源差异对比模块300，用于对所有缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；

篡改网页标记模块400，用于将差异值大于预设差异值的缓存资源标记为被篡改网页。

本申请实施例还提供一种服务器，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如以上实施例所述的网页篡改检测方法的步骤。

本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如以上实施例所述的网页篡改检测方法的步骤。

该计算机可读存储介质可以包括：U盘、移动硬盘、只读存储器(Read-OnlyMemory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本申请所提供的一种网页篡改检测方法、网页篡改检测装置、服务器以及计算机可读存储介质进行了详细介绍。本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

Claims (10)

1.一种网页篡改检测方法，其特征在于，包括：

通过域名解析技术获取待检测网站对应的所有节点信息；

根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源；

对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；

将差异值大于预设差异值的缓存资源标记为被篡改网页。

2.根据权利要求1所述的网页篡改检测方法，其特征在于，通过域名解析技术获取待检测网站对应的所有节点信息，包括：

根据所述待检测网站的网址对多个地区的缓存节点进行域名解析请求，得到所述所有节点信息。

3.根据权利要求1所述的网页篡改检测方法，其特征在于，通过域名解析技术获取待检测网站对应的所有节点信息，包括：

向每个地区的监测节点发送节点信息收集请求，以便监测节点根据接收到的节点信息收集请求向对应的缓存节点发送域名解析请求得到节点信息，返回所述节点信息；

接收所述所有节点信息。

4.根据权利要求1所述的网页篡改检测方法，其特征在于，根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源，包括：

将所述待检测网站的域名和每个节点信息的IP地址进行关联，得到多个缓存下载链接；

根据所述多个缓存下载链接执行下载操作，得到多个所述缓存资源。

5.根据权利要求1所述的网页篡改检测方法，其特征在于，对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值，包括：

采用分片哈希算法对所有所述缓存资源进行计算，得到每个所述缓存资源对应的分片哈希值；

对所有所述分片哈希值进行差异计算处理，得到每个缓存资源对应的差异值。

6.根据权利要求1所述的网页篡改检测方法，其特征在于，将差异值大于预设差异值的缓存资源标记为被篡改网页，包括：

判断差异值大于预设差异值的缓存资源是否出现网络波动情况；

将未出现网络波动情况的缓存资源标记为所述被篡改网页。

7.根据权利要求1所述的网页篡改检测方法，其特征在于，还包括：

根据所述被篡改网页发送篡改预警通知。

8.一种网页篡改检测装置，其特征在于，包括：

节点信息获取模块，用于通过域名解析技术获取待检测网站对应的所有节点信息；

缓存资源下载模块，用于根据所述所有节点信息从对应的节点下载所述待检测网站的缓存资源；

资源差异对比模块，用于对所有所述缓存资源进行差异对比处理，得到每个缓存资源对应的差异值；

篡改网页标记模块，用于将差异值大于预设差异值的缓存资源标记为被篡改网页。

9.一种服务器，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的网页篡改检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的网页篡改检测方法的步骤。

Images