CN111131244A - 防止恶意内容侵染网站页面的方法和系统以及存储介质 - Google Patents

Abstract

本发明提供一种防止恶意内容侵染网站页面的方法和系统,总体上涉及通过建立从合法网页内容文件由合法网页服务经过端口监控模块到特定网络地址和端口的安全数据管道，来防止任何企图将有害内容以被保护网站的名义发布到互联网上的恶意攻击行为。合法的网页内容文件受文件系统驱动模块保护，该文件系统驱动模块根据一个进程管控模块的输入来维持一个与合法服务/合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护的文件。该预定义的网页服务与特定的发布文件夹绑定，该发布文件夹由文件系统驱动模块进行监视和保护，以防止未经授权的服务或应用程序创建新的非法内容。该网页服务还与特定的本地网络端口绑定。

Description

防止恶意内容侵染网站页面的方法和系统以及存储介质

技术领域

本发明涉及一种网站页面的防护方案，尤其是一种防止恶意内容侵染网站页面的方法和系统。

背景技术

随着因特网的迅速发展，几乎所有的组织、机构和企业都建立了各种网站来为本企业提供外部宣传和服务。然而，由于网络攻击的泛滥，暴露在互联网攻击最前线的网站非常容易受到各种攻击，特别是非法篡改网站内容，这通常会导致公众形象或商业信誉受损。因此，迫切需要保护网站免遭篡改，即确保仅将适当的内容通过具有给定IP和端口的网站发布到互联网。

防止恶意内容侵染网站页面的一种技术是定期不断地扫描并监视网页文件是否有任何更改，称为“插件轮询”，即应用程序在给定的时间间隔内定期扫描网站目录并监视任何更改。如果在监视列表中找到任何文件的任何更改，它将使用原始版本(应将其备份在安全/隐藏的地方)来覆盖更改。这是针对网站篡改问题的第一个解决方案，该方案已过时且不再实际应用，这主要是由于其计算复杂性高且无法一直提供保护。具体来说，一个网站通常有数千个文件，不断扫描所有文件会占用大量计算资源，从而影响服务器性能。此外，在扫描间隔或扫描过程中，如果文件被篡改，则该文件将一直受到篡改，直到下一个扫描周期为止。在此期间，被篡改的内容将在互联网上看到。另外，在这种方法中，还有许多其他漏洞，导致非法内容可能会发布到互联网。例如，网页服务可能被滥用以发布不在监视列表中的网页，或者网站服务可能被替换为黑客程序，黑客程序通过与给定网站相关联的IP和端口建立连接将不需要的内容发布到互联网。

另一种用于防止恶意内容侵染网站页面的技术是使用事件驱动方案来监视所有网页文件。应用程序将侦听系统事件以了解对网页文件做出的任何更改。一旦检测到网页文件已被更改，它将调用恢复过程。这种方法比上面讨论的基于轮询的扫描效率高得多。但是，如果没有保护措施，则仍然存在时间间隔。如果黑客进行“连续篡改”攻击，则极有可能永远无法恢复它。具体而言，在篡改之后，监视应用程序会尝试恢复被篡改的文件。由于任何操作都需要一些时间，因此任何系统始终存在延迟，而“连续篡改”攻击是每秒对文件进行黑客攻击数千次，因此恢复应用程序将永远无法跟上篡改的速度。这种事件驱动的监视方案的另一个问题是，黑客可能会修改文件，然后立即接管该文件的写入权限，以使恢复应用程序无法撤消更改。它的作用是将篡改黑客与勒索攻击相结合，并且在勒索攻击被撤消之前，网页文件将保持被篡改的状态。

当今流行的防止恶意内容侵染网站页面解决方案是在网页服务的核心中应用加密检查，以便只有合法的网页页面才会从网页服务发布到互联网以供查看。此方法的主要思想是在每个待发布的网页上执行数字水印(例如，计算并验证其哈希值)。如果发现当前水印与先前记录的水印不同，则可以断定文件已被篡改。因此，将阻止该文件的发布，同时可以调用恢复应用程序进行恢复。该技术因不依赖扫描过程而闻名。同时，即使黑客可以利用某些先进技术并成功更改一个网页文件，该伪造的文件也无法通过网页服务向公众公开，因为它无法通过水印检查。该防止恶意内容侵染网站页面技术的一个问题在于哈希算法的强度。流行的选择是MD5算法，它以被黑客入侵而闻名，因此不再安全。与这种数字水印方法相关的另一个问题是检查水印所需的计算复杂度。通常，对于大于100k的文件，计算成本很高。某些产品试图通过设置要检查的文件大小的阈值来避免此问题。例如，仅会检查大于100k的文件。但是，这并不能真正解决问题，因为黑客可以轻松地将一个大文件放入网页内容文件夹中，该文件可以在互联网上访问，并且可能在网页上携带不需要的消息。此方法取决于网页服务插件，因此其安全性取决于目标网页服务中如何保护插件。以MicrosoftIIS为例。将数字水印组件添加到网页服务很简单，而拔出水印组件却很容易使所有文件不受保护，并且容易受到篡改。同样，此方法无法解决新的但非法的网页服务向互联网发布不需要的内容的攻击。

最近，出现了基于文件系统驱动程序的解决方案，该解决方案控制网页内容文件并且仅授予网页服务应用程序访问它们的权限。不过，也有一些问题。第一个问题在于使用应用程序路径进行授权。应用程序路径可能不是唯一的，例如Windows支持短名称。更重要的是，通过一个应用程序的完整路径授权可能会导致安全漏洞，尤其是对于某些应用程序(例如java虚拟机或php解释器等脚本解释器)而言，可能会加载脚本以执行非法应用程序。在这种情况下，黑客可能会轻易利用授权的应用程序来运行其黑客逻辑来篡改受保护的文件，因为文件系统驱动程序会授权解释器，并且无法区分正在运行的逻辑。现有的基于文件系统驱动程序保护现有网页内容文件的方法的第二个问题在于缺乏对网页服务用来托管所有内容文件的发布文件夹的保护。黑客可能将新文件添加到网页服务的发布文件夹，从而将错误的内容发布到互联网。对于防止恶意内容侵染网站页面，基于文件系统驱动程序的现有解决方案的第三个问题在于破解授权应用程序配置的漏洞。例如，黑客可能会修改网页服务的本地发布文件夹的设置，以便从新文件夹发布内容。实际上，这种黑客攻击超出了文件系统驱动程序的能力。但是，这会导致有害内容以目标网站的名义发布到互联网上。网页防篡改的第四个问题在于缺乏对端口的保护。由于网络端口是发布网页的最终链接，因此黑客可能会启动新服务并将任何需要的内容发布到互联网上。实际上，最后三个问题都涉及到文件系统驱动程序对本地系统上现有网页内容文件的保护和确保网页站点只发布适当内容到互联网的任务之间的不匹配。

发明内容

本发明的目的在于克服现有技术中存在的不足，提供一种防止恶意内容侵染网站页面的方法、系统，用于建立并监视从合法网页内容文件到目标网站的特定IP地址和端口的一个安全管道，保证只有合法的网页内容文件可以以相应的网站的名义发布到互联网，从而形成一个可靠的防止恶意内容侵染网站页面的解决方案。

本发明的实施例提出一种防止恶意内容侵染网站页面的方法，应用于一种防止恶意内容侵染网站页面的系统，所述防止恶意内容侵染网站页面的系统包括：文件系统驱动模块、进程管控模块、端口监控模块；

所述方法包括：

进程管控模块监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；

文件系统驱动模块维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；

通过端口监控模块，实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口拒绝任何其它服务监听响应。

进一步地，所述防止恶意内容侵染网站页面的系统还包括注册表过滤器；所述防止恶意内容侵染网站页面的方法还包括：

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；

和/或，

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容。

进一步地，所述发布文件夹中的文件受文件系统驱动模块保护。

进一步地，文件系统驱动模块授予合法服务/进程访问受保护文件的权限分为只读权限和读写权限；用于发布网页的服务/进程被授予只读权限，用于更新网页内容文件的服务/进程被授予读写权限。

进一步地，文件系统驱动模块工作于保护模式或提权模式；在保护模式下，仅允许合法服务/进程访问受保护的文件，而用于授权服务的进程白名单和受保护文件列表将被锁定；在提权模式下，用于授权服务的进程白名单和受保护文件列表可以被修改。

更进一步地，提权模式是过渡模式，并受自动超时方案保护。

更进一步地，从保护模式切换到提权模式前，需要认证过程。

进一步地，文件系统驱动模块允许授权的网页服务访问网页服务的配置文件，但阻止任何其他非授权服务/进程访问该配置文件。

进一步地，文件系统驱动模块允许合法进程通过设置的读、写权限读取或修改相应的被保护的配置文件。

进一步地，所述端口监控模块中包括系统防火墙和/或网络驱动和/或系统服务；所述方法还包括：

本地网络端口通过在系统防火墙中配置防火墙策略来为给定的网页服务预留；或者本地网络端口通过监视防火墙策略的过程来保留给给定的网页服务；

和/或，

使用网络驱动来监视本地系统上的指定本地网络端口，并且仅允许合法网页服务响应该本地网络端口；

和/或，

使用系统服务来监听本地网络端口，以实现特定的本地网络端口只允许合法网页服务监听响应的功能，并终止其它非合法的服务的进程，隔离非法服务进程相应的程序。

更进一步地，系统防火墙的配置文件受到文件系统驱动模块的保护，该文件系统驱动模块在其保护模式下仅允许系统防火墙进程读取该配置文件。

本发明的实施例还提出一种防止恶意内容侵染网站页面的系统，包括：文件系统驱动模块、进程管控模块、端口监控模块；

所述进程管控模块用于监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；

所述文件系统驱动模块用于维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；

所述端口监控模块用于实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口拒绝任何其它服务监听响应。

进一步地，所述防止恶意内容侵染网站页面的系统还包括注册表过滤器；所述注册表过滤器用于：

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；

和/或，

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容。

进一步地，所述发布文件夹中的文件受文件系统驱动模块保护。

进一步地，文件系统驱动模块授予合法服务/进程访问受保护文件的权限分为只读权限和读写权限；用于发布网页的服务/进程被授予只读权限，用于更新网页内容文件的服务/进程被授予读写权限。

进一步地，文件系统驱动模块工作于保护模式或提权模式；在保护模式下，仅允许合法服务/进程访问受保护的文件，而用于授权服务的进程白名单和受保护文件列表将被锁定；在提权模式下，用于授权服务的进程白名单和受保护文件列表可以被修改。

更进一步地，提权模式是过渡模式，并受自动超时方案保护。

更进一步地，从保护模式切换到提权模式前，需要认证过程。

进一步地，文件系统驱动模块允许授权的网页服务访问网页服务的配置文件，但阻止任何其他非授权服务/进程访问该配置文件。

进一步地，文件系统驱动模块允许合法进程通过设置的读、写权限读取或修改相应的被保护的配置文件。

进一步地，所述端口监控模块中包括系统防火墙和/或网络驱动和/或系统服务；

本地网络端口通过在系统防火墙中配置防火墙策略来为给定的网页服务预留；或者本地网络端口通过监视防火墙策略的过程来保留给给定的网页服务；

和/或，

使用网络驱动来监视本地系统上的指定本地网络端口，并且仅允许合法网页服务响应该本地网络端口；

和/或，

使用系统服务来监听本地网络端口，以实现特定的本地网络端口只允许合法网页服务监听响应的功能，并终止其它非合法的服务的进程，隔离非法服务进程相应的程序。

更进一步地，系统防火墙的配置文件受到文件系统驱动模块的保护，该文件系统驱动模块在其保护模式下仅允许系统防火墙进程读取该配置文件。

本发明实施例还提出一种存储介质，所述存储介质中存储有计算机程序，所述计算机程序被处理器执行时用以实现如权利要求1～11中任一项所述的防止恶意内容侵染网站页面的方法的步骤。

本发明的优点：本发明涉及用于防止恶意内容侵染网站页面而建立安全数据管道的方法、系统和存储介质。该安全数据管道从网页内容文件经由网页服务和本地系统防火墙，到达目标网站的给定网络地址和端口。确保仅合法网站内容可以以目标网站的名义发布到互联网的意义上的防止恶意内容侵染网站页面。

在本地系统上，使用文件系统驱动模块来保护合法的网页内容文件免遭未经授权的进程修改的黑客攻击，为此开发的进程管控模块识别网页服务的合法进程并向文件系统驱动模块发送相应的PID，从而使得文件系统驱动模块可以根据所建立的进程白名单进行文件访问控制，保证被保护的数据只能被进程白名单进程访问，最大限度保护合法的内容文件。同时，文件系统驱动模块进一步保护了网页服务的发布文件夹，以防止未授权进程在发布文件夹内创建任何新文件。另外，通过对相应配置文件和/或注册表项的访问控制来绑定网页服务及其发布文件夹，使得该特定的网页服务只能发布该发布文件夹中的内容。网页服务和本地网络端口也绑定在一起，保证只有该特定的网页服务可以监听响应特定的本地网络端口，特定的本地网络端口也只允许预定义的网页服务监听响应；而该本地网络端口可进一步通过网络防火墙映射到网络上的指定端口。

附图说明

图1为本发明实施例中的防止恶意内容侵染网站页面系统示意图。

具体实施方式

下面将描述各种系统或方法以提供所要求保护的主题的实施例的示例。以下描述的实施例没有限制任何要求保护的主题，并且任何要求保护的主题可以覆盖与以下描述的方法或系统不同的方法或系统。要求保护的主题不限于具有以下描述的任何一种系统或方法的所有特征的系统或方法，也不限于以下描述的多个或所有装置或方法的共同特征。下面描述的系统或方法可能不是在任何权利要求的主题中叙述的实施例。

在下面描述的系统或方法中公开的、在本文档中未声明的任何标的物可以是另一保护性文书的标的物，例如，持续的专利申请，并且申请人、发明人或所有人不打算放弃，通过在本文件中的披露，向公众否认或承诺任何此类主题。

此外，将理解的是，为了图示的简单和清楚，在认为适当的情况下，可以在附图之间重复附图标记以指示对应或相似的元件。另外，这里阐述了许多具体细节以便提供对本文描述的实施例的透彻理解。然而，本领域普通技术人员将理解，他们可以在没有这些具体细节的情况下实践本文描述的实施例。在其他情况下，实施例未详细描述公知的方法、过程和组件，以避免混淆本文所描述的实施例。另外，附图和说明书不应被认为是对本文所述实施例范围的限制。

还应当注意的是，如本文所使用的，措词“和/或”的含义，例如，“X和/或Y”例如是指X或Y或两者。作为另一示例，“X，Y和/或Z”旨在表示X或Y或Z或它们的任何组合。

应该注意的是，应用程序术语是应用程序的缩写形式，是指旨在为最终用户实现特定功能而设计的程序。进程的术语是指应用程序的运行实例。目录或文件夹表示存储计算机文件的文件系统结构。程序或文件的指纹可以指程序或文件的哈希输出。

在一些实施例中，恶意内容侵染网站页面的行为包括：修改原始网页内容文件，滥用合法网页服务来发布新页面，重定向合法网页服务以从一个新文件夹发布，和/或用一个冒名顶替者替代合法的网页服务，该冒名顶替者通过给定目标网站的给定IP地址的给定端口向互联网发布新内容；一般而言，本文描述的实施例提供了保护合法网页内容文件免受未经授权的修改、监视合法的发布文件夹免受未经授权的应用程序创建新文件、将预定义的网页服务与合法的发布文件夹绑定以及将合法具有给定网络端口的网页服务，网页内容通过该端口发布到互联网。

本发明实施例提出一种防止恶意内容侵染网站页面的方法，应用于一种防止恶意内容侵染网站页面的系统，所述防止恶意内容侵染网站页面的系统包括：文件系统驱动模块、进程管控模块、由系统防火墙和/或网络驱动和/或系统服务组成的端口监控模块；

其中，文件系统驱动模块、进程管控模块、系统防火墙、网络驱动、系统服务均可通过相应的计算机程序实现；例如文件系统驱动模块可以是文件系统驱动程序，进程管控模块可以是进程管控程序；

所述方法包括：

进程管控模块监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；

文件系统驱动模块维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；

通过建立一个由系统防火墙和/或网络驱动和/或系统服务组成的端口监控模块，实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口也拒绝任何其它服务监听响应；

在一些实施例中，所述防止恶意内容侵染网站页面的系统还可以包括一个注册表过滤器；所述防止恶意内容侵染网站页面的方法还可以包括：

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；

预定义的网页服务为合法网页服务，如图1所示，本发明的实施例总体上涉及通过建立从合法网页内容文件由合法网页服务经过端口监控模块到特定网络地址和端口的安全数据管道，来防止任何企图将有害内容以被保护网站的名义发布到互联网上的恶意攻击行为。合法的网页内容文件受文件系统驱动模块保护，该文件系统驱动模块根据一个进程管控模块的输入来维持一个与合法服务/合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护的文件。该预定义的网页服务与特定的发布文件夹绑定，该发布文件夹由文件系统驱动模块进行监视和保护，以防止未经授权的服务或应用程序创建新的非法内容。预定义的网页服务及其发布文件夹之间的绑定也可以通过文件系统驱动模块来保护，该文件系统驱动模块可以防止相应的配置文件被修改；也可以通过注册表过滤器来保护，该注册表过滤器限制了对相应注册表项的访问。该网页服务还与特定的本地网络端口绑定，网络防火墙将该特定的本地网络端口映射到指定的外部网络端口，从而形成了从合法网页内容文件到特定网络地址和端口的安全数据管道，以确保仅合法网页内容可以以目标网站的名义发布到网络上。

本文描述的实施例可以解决与在文件系统级为文件系统驱动模块建立进程标识(PID)的白名单相关联的问题，以便在文件系统级监控进程对文件的访问，以仅允许在进程白名单上的进程访问受保护的文件并阻止所有其他进程的访问；进程管控模块将监视所有进程的生命周期，应用特定规则来选择特定进程，并将选定进程的相应PID与启动或终止的状态一起发送给文件系统驱动模块；如果相应状态为开始，文件系统驱动模块会将PID添加到其进程白名单，如果相应状态为终止，则文件系统驱动模块将PID从其进程白名单中删除。

本文描述的实施例可以包括用于选择将其状态发送到文件系统驱动模块的过程的算法，用于实现进程管控模块。当进程从JAVA虚拟机之类的程序启动时，该进程实际上在做什么取决于JAVA虚拟机加载和执行的程序(JAVA代码)；因此，此进程的功能实际上是由JAVA代码决定的；由此可以开发一种算法，根据加载的JAVA代码来区分进程；在用于防止恶意内容侵染网站页面的示例性实施例中，可以开发一种算法以基于一些预先指定的JAVA代码选择JAVA进程，这些JAVA代码作为网页服务的一部分进行分发；当启动JAVA进程时，将检查参数以与预先指定的JAVA代码匹配，并将匹配进程的状态发送到文件系统驱动模块。

在示例性实施例中，可以从诸如php的脚本解释器开始处理；用于选择要发送到文件系统驱动模块的php进程的算法可以建立所有合法php文件的列表，并在启动php程序时检查输入参数以与这些文件匹配；

本文所述的实施例可以包括一种用于文件系统驱动模块的方法，该方法用于将授予合法服务/进程的权限分离为用于以读写方式访问受保护文件的权限；具体来说，文件系统驱动模块可以授予合法服务/进程访问受保护文件的两种权限：只读和读写；例如，可以授予PHP进程只读权限，以访问受保护的文件；这样，所有使用PHP语言编写的网页都将受到监视，以免被PHP进程篡改，而它们可以被PHP进程读取和解释以发布网页；另一方面，通常负责更新网页内容文件的FTP进程可以被授予读取和写入权限，以访问受保护的网页内容文件，同时上传发布合法的网页内容文件。对授予读写权限过程的严格控制会使受保护的网页内容文件免受大多数篡改尝试的困扰。

在一些实施例中，文件系统驱动模块可以以两种模式工作：保护模式或提权模式；当它处于保护模式时，它将执行严格的访问控制，并且仅允许合法服务/进程访问受保护的文件，而用于授权服务的进程白名单和受保护文件列表(在受保护文件的白名单中)将被锁定，以防止任何修改；在提权模式下工作时，，用于授权服务的进程白名单和受保护文件列表可以被修改；通常，为了安全起见，提权模式是过渡模式，并受自动超时方案保护，即，如果在给定时间段(例如24小时)内无人值守，则处于提权模式的系统将自动切换回保护模式。经过认证的管理员可以通过手动模式将提权模式快速切换为保护模式。另外，通常定义一个严格的过程以确保提权模式的开启，例如，在将系统切换到提权模式之前，可能需要一个多因素认证过程。

在一些实施例中，除了对受保护文件的访问控制之外，文件系统驱动模块还可以监视分配给合法网页服务的发布文件夹，并阻止所有未经授权的进程在该发布文件夹中创建新文件。结合合法网页服务仅在其指定的发布文件夹中发布网页内容文件的功能，未经授权的进程通过滥用合法网页服务发布一些新创建的文件而进行的黑客尝试可能会被击败。

在一些实施例中，可以通过防止对相应配置文件的任何写操作来保护合法网页服务与其指定的发布文件夹之间的绑定，这通常将通过使用文件系统驱动模块保护网页服务的相应配置文件并且仅允许使用网页服务读取它们；在一些实施例中，可以通过防止未经授权的进程写入相应的配置文件来保护合法的网页服务与其指定的发布文件夹之间的绑定，这通常是通过使用文件系统驱动模块保护相应配置文件并授予网页服务写权限来实现的。

在操作系统为Windows的服务器上建立的示例性实施例中，发布文件夹可以记录为注册表项，合法网页服务与其指定发布文件夹之间的绑定可以通过注册表过滤器来保护，该注册表过滤器可以建立注册表项列表，并确保它们不受任何修改；

在示例性实施例中，如果正确输入了密码，则注册表过滤器可以允许对受保护的注册表项进行修改；

在此描述的实施例可以包括在Windows系统上定位注册表项以记录合法网页服务的发布文件夹的方法或系统；

本文描述的实施例包括一种方法或系统，以找出特定的网页服务的发布文件夹的配置文件；这些配置文件将进一步受到文件系统驱动模块的保护，该文件系统驱动模块允许授权的网页服务访问该配置文件，但阻止任何其他非授权服务/进程访问该配置文件。

本文描述的实施例可以包括用于将本地系统上的本地网络端口与给定的网页服务相关联的方法或系统，即，该网页服务将始终连接到该本地网络端口；在Windows系统上的示例性实施例中，与该关联相关的注册表项可以由注册表过滤器识别和保护；在另一个示例性实施例中，与该关联有关的对应配置文件可以由文件系统驱动模块识别和保护，该文件系统驱动程序将仅允许网页服务访问这些配置文件并阻止任何其他进程写入/修改这些配置文件。

本文描述的实施例中，可以由系统防火墙和/或网络驱动和/或系统服务组成端口监控模块；

本文描述的实施例可以包括为给定网页服务在本地系统上保留固定网络端口的方法或系统，即，本地系统上的本地网络端口将仅允许指定的网页服务进行连接；在示例性实施例中，本地网络端口可以通过在本地系统上系统防火墙中(例如，在linux系统上)配置的防火墙策略来为给定的网页服务预留，本地防火墙策略将本地网络端口预留给指定的服务；在另一示例性实施例中，本地网络端口可以通过监视防火墙策略的过程来保留给给定的网页服务，以确保只有一个与此端口相关的规则存在，并且移除允许其他服务访问指定端口的任何新规则。在另一示例性实施例中，可以使用网络驱动来监视本地系统上的指定本地网络端口，并且仅允许合法网页服务响应该本地网络端口。在另一示例性实施例中，也可以开发一个本地系统服务来监听本地网络端口，以实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，并终止其它非合法的服务的进程，隔离非法服务进程相应的程序。

本文描述的实施例在外部网络端口和本地系统上的本地网络端口之间建立端口映射。例如，本地系统上的8080端口作为网页服务，可以通过NAT转换映射到公共网络上的80端口，以提供网页服务。

本文描述的实施例可以包括在公共网络上设置允许端口的白名单的方法或系统。通常，对于用于发布网页内容的IP地址，白名单可能只有两个端口：80和443，这意味着到指定IP地址的所有其他外部网络端口都将在公共网络上被阻止。

参考图1，其中示出了用于建立从合法发布文件夹107a内的合法网页内容文件108a经由合法网页服务104b到指定外部网络端口101的安全数据管道的系统100的示例实现，以确保仅合法的网页内容可以发布到公共网络，从而实现了防止恶意内容侵染网站页面的目的。

系统100可以由防止恶意内容侵染网站页面的系统120(本文简称本地系统)上的软件和网络防火墙110上的网络控制组成。本地系统120上的软件包括：文件系统驱动模块105、进程管控模块104a、由系统防火墙和/或网络驱动和/或系统服务组成的端口监控模块103、和/或注册表过滤器106；实际应用中，Windows系统上的注册表过滤器用于保护与其发布文件夹的网页服务配置、网络端口以及防火墙配置相关的注册表项；

网页服务的发布文件夹107a通常是指与网页服务关联的本地系统上的目录，并包含要由网页服务发布的所有合法网页内容文件。对于预定义的网页服务104b，其发布文件夹可以设置在配置文件中或通过注册表项设置。保护相应配置文件或相应的注册表项免遭非法修改，将确保网页服务仅发布指定发布文件夹中的网页内容。将合法的网页服务104b与另一个文件夹107b绑定的黑客尝试将被注册表过滤器拒绝，该注册表过滤器禁止更改相应的注册表项。

在一些实施例中，可以在配置文件中建立网页服务104b及其发布文件夹107a之间的关联。在网页服务是Windows系统上的Tomcat的示例性实施例中，网页服务及其发布文件夹之间的关联在％Tomcat％\conf\server.xml文件中定义，其中<Host appBase＝“网页apps”>条目定义默认设置，可以用<Context path＝c：\www>条目定义的自定义设置替换该默认设置。Linux系统上Tomcat的发布文件夹设置与Windows上Tomcat的发布文件夹设置相同。在网页服务是Windows上的IIS的示例性实施例中，发布文件夹的设置是在Windows的配置文件C:\Windows\System32\inetsrv\config\applicationHost.config中定义的，定义发布文件夹的默认配置条目是：

<virtualDirectory path＝“/”physicalPath＝”％SystemDrive％\inetpub\wwwroot”/>

在网页服务是未定义虚拟主机的Apache的示例性实施例中，网页服务与其发布文件夹之间的关联是在其主服务器配置中定义的，该配置通常位于％httpd％/conf/httpd.conf中，该位置通常是一个看起来像下面目录的条目

<Directory"/usr/local/apache/httpd/htdocs">

在另一个实施例中，网页服务是Apache，并且在位于％httpd％/conf/httpd.conf的主服务器配置中定义了虚拟主机，发布文件夹的设置将在虚拟主机的配置文件中进一步指定，例如，％httpd％/conf/extra/httpd-vhosts.conf，其中发布文件夹的典型设置如下

DocumentRoot"/usr/local/apache/httpd/docs/dummy-host.example.com"

用于设置网页服务发布文件夹的配置文件可以受到文件系统驱动模块的保护，在保护模式下，该文件系统驱动模块将仅允许合法进程通过设置的读、写权限读取或修改相应的被保护的配置文件。

合法的网页内容文件108a首先将受到文件系统驱动模块的保护，该文件系统驱动模块仅允许读取网页服务的合法进程访问。进程管控模块104a具体是一个应用程序，可以使用算法来处理应用程序104a完整路径、执行应用程序104a的输入参数、应用程序104a的二进制图像的散列、由输入参数引用并由应用程序104a加载的文件的散列等信息来识别合法进程。然后，进程管控模块104a将被标识为合法的进程的PID传递给文件系统驱动模块，文件系统驱动模块会将PID存储在其进程白名单中。根据该进程白名单处理对受保护文件的访问请求；这样，将保护发布文件夹107a中的所有受保护文件免遭诸如黑客程序或由黑客操纵的任何管理工具之类的恶意程序的读取或篡改。

在一些实施例中，文件系统驱动模块可以进一步将其授予合法进程的权限在只读和读写之间进行区分。例如，对于不打算修改的某些静态网页，可以通过仅允许授权进程进行只读访问来保护它们。本地系统上的任何进程都将无法修改那些受保护的网页内容文件。

在某些实施例中，可能有两个服务需要访问受保护的网页内容文件，例如某些新闻网站，它们通常通过网页服务将其内容发布为静态网页页面，但是会每天通过专用文件同步服务(例如ftp程序)更新那些静态网页内容文件，在这种情况下，应该为网页服务授予只读权限以访问那些受保护的文件，为文件同步服务(例如ftp程序)授予读写权限以访问那些受保护的文件。

发布文件夹107a将由文件系统驱动模块监视，以便通过进程管控模块104a使得未确认为合法的任何进程不能在此发布文件夹107a中创建任何新文件。未授权的服务104b在发布文件夹107a中创建新文件108b的尝试将被文件系统驱动模块阻止。这样保证发布文件夹中的所有文件都是合法的网页内容文件。合法的网页服务104b将始终发布合法网页内容文件。

通过配置网页服务104b连接到本地网络端口102a，可以建立从合法网页服务104b到本地系统上指定网络端口102a的安全数据管道。

在一些实施例中，可以在相应配置文件中指定针对网页服务104b的本地网络端口102a的设置。

在网页服务是Windows系统上的Tomcat的示例性实施例中，网页服务及其发布文件夹之间的关联定义在％Tomcat％\conf\server.xml文件中，其中本地网络端口通常定义为

<Connector port＝"80"protocol＝"HTTP/1.1"redirectPort＝"8443"/>

Linux系统上Tomcat的本地网络端口设置与Windows系统上的Tomcat相同。

在网页服务是Windows上的IIS的示例性实施例中，发布文件夹的设置是在Windows的配置文件中定义的C:\Windows\System32\inetsrv\config\applicationHost.config

其中定义本地网络端口的典型条目是

<binding protocol＝”http”bindingInformation＝“*：80：”/>

在没有定义虚拟主机的网页服务是apache的示例性实施例中，其本地网络端口的设置在其主服务器配置中定义，该主服务器配置通常位于％httpd％/conf/httpd.conf，其中定义本地网络端口的典型条目是

ServerName localhost:80

在另一个实施例中，网页服务是Apache，并且在位于％httpd％/conf/httpd.conf的主服务器配置中定义了虚拟主机，其本地网络端口的设置将在虚拟主机的配置文件中进一步指定，例如％httpd％/conf/extra/httpd-vhosts.conf，其中定义网络端口的典型条目是<VirtualHost*：80>

在上述示例性实施例中，用于设置网页服务的发布文件夹的配置文件与用于设置网页服务的本地网络端口的配置文件相同。通过文件系统驱动模块保护那些配置文件将确保将合法的网页内容发布到适当的网络端口。

从合法网页服务104b到本地系统上的指定本地网络端口102a的安全数据管道可以通过将本地网络端口限制为给定网页服务的方法或系统来进一步加强，即，选定的本地网络端口将只连接到给定的网页服务，并拒绝来自任何其他服务的连接。实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时拒绝任何其它服务监听响应。在示例性实施例中，这可以通过在本地系统上设置系统防火墙策略来实现，以允许网页服务104b连接到本地网络端口102a并阻止任何其他服务104c使用本地网络端口102a。

在Windows系统上，系统防火墙策略可能存储在注册表中的HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\P arameters\FirewallPolicy\FirewallRules中。

在示例性实施例中，可以开发独立的应用程序以监视所有系统防火墙策略，以确保存在允许给定的网页服务连接到特定端口的规则，同时删除与该特定端口有关的任何其他规则。当服务104c尝试连接到端口102a时，因为没有匹配的规则，系统防火墙将阻止它。这样保证仅合法网页服务104b可以访问端口102a。

本文所述的实施例可以包括在Windows系统上的一种方法，该方法通过清除与该端口有关的所有系统防火墙策略、添加一个适当的规则以允许该网页服务104b到该端口的连接，从而将本地网络端口102a与该网页服务104b绑定。并保护系统防火墙的相应注册表项不受注册表过滤器更改。

在Linux系统上的某些实施例中，可以用系统防火墙作为端口监控模块，该系统防火墙策略可以作为/etc/sysconfig/iptables存储在配置文件中。由于Linux系统防火墙不支持针对服务的控制规则，而是支持针对GROUPID或USERID的控制规则，因此网页服务可能首先与特定的组或用户相关联，而该组或用户仅与该服务相关联。然后定义将组/用户与本地网络端口绑定的系统防火墙规则，以加强从网页服务到本地网络端口的数据管道。

上面的系统防火墙的配置文件可以受到文件系统驱动模块的保护，该文件系统驱动模块在其保护模式下将仅允许系统防火墙进程读取该配置文件。

在一些实施例中，可以开发网络驱动作为端口监控模块以将特定的本地网络端口与网页服务绑定，这可以仅允许预定义的网页服务侦听特定的本地网络端口，同时阻止任何其他服务侦听特定的本地网络端口。在网络驱动中，可以通过其PID来识别网页服务，该PID可以使用进程管控模块104a获得，该进程管控模块104a将基于启动服务的程序的二进制代码指纹、其启动参数以及用于启动网页服务的所有相关文件的代码指纹来识别合法网页服务。

在一些实施例中，端口监控模块可以实现为一个系统服务104d，它检测指定端口的监听服务并检查该服务对应的程序路径、程序文件的哈希值、以及从该程序启动服务的启动参数等一系列数据，由此判断该本地网络端口上的监听服务是否合法，如果不是则停止该监听服务，并将该监听服务对应的程序予以隔离，以杜绝该监听服务再次启动。这样则有效地保证只允许合法的服务监听该本地网络端口，避免黑客服务利用该端口发布非法网页内容。

在一些实施例中，上述作为端口监控模块的系统服务104d中的程序隔离方法可以是将相应的程序的文件头予以变换，例如和一个密码串异或后存回原文件；也可以是用传统加密方法予以加密。

这里描述的实施例可以包括网络防火墙110上的一种方法，该方法将本地网络端口102a与网络防火墙110上的外部网络端口绑定，对外部网络端口101的任何访问都将被自动定向到本地网络端口102a，该端口102a与合法的网页服务104b绑定，104b只能在发布文件夹107a中发布内容，其中发布文件夹107a中的所有合法网页内容文件均受文件系统驱动模块保护，阻止其他非授权程序创建新文件。

本文所述的实施例还提出一种存储介质，所述存储介质中存储有计算机程序，所述计算机程序被处理器执行时用以实现上述的防止恶意内容侵染网站页面的方法的步骤。所述存储介质包括但不限于硬盘、U盘、光碟等。

最后所应说明的是，以上具体实施方式仅用以说明本发明的技术方案而非限制，尽管参照实例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (23)

1.一种防止恶意内容侵染网站页面的方法，应用于一种防止恶意内容侵染网站页面的系统，其特征在于，所述防止恶意内容侵染网站页面的系统包括：文件系统驱动模块、进程管控模块、端口监控模块；

所述方法包括：

进程管控模块监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；

文件系统驱动模块维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；

通过端口监控模块，实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口拒绝任何其它服务监听响应。

2.如权利要求1所述的防止恶意内容侵染网站页面的方法，其特征在于，

所述防止恶意内容侵染网站页面的系统还包括注册表过滤器；所述防止恶意内容侵染网站页面的方法还包括：

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；

和/或，

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容。

3.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，

所述发布文件夹中的文件受文件系统驱动模块保护。

4.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，

文件系统驱动模块授予合法服务/进程访问受保护文件的权限分为只读权限和读写权限；用于发布网页的服务/进程被授予只读权限，用于更新网页内容文件的服务/进程被授予读写权限。

5.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，

文件系统驱动模块工作于保护模式或提权模式；在保护模式下，仅允许合法服务/进程访问受保护的文件，而用于授权服务的进程白名单和受保护文件列表将被锁定；在提权模式下，用于授权服务的进程白名单和受保护文件列表可以被修改。

6.如权利要求5所述的防止恶意内容侵染网站页面的方法，其特征在于，

提权模式是过渡模式，并受自动超时方案保护。

7.如权利要求5所述的防止恶意内容侵染网站页面的方法，其特征在于，

从保护模式切换到提权模式前，需要认证过程。

8.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，

文件系统驱动模块允许授权的网页服务访问网页服务的配置文件，但阻止任何其他非授权服务/进程访问该配置文件。

9.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，

文件系统驱动模块允许合法进程通过设置的读、写权限读取或修改相应的被保护的配置文件。

10.如权利要求1或2所述的防止恶意内容侵染网站页面的方法，其特征在于，

所述端口监控模块中包括系统防火墙和/或网络驱动和/或系统服务；所述方法还包括：

本地网络端口通过在系统防火墙中配置防火墙策略来为给定的网页服务预留；或者本地网络端口通过监视防火墙策略的过程来保留给给定的网页服务；

和/或，

使用网络驱动来监视本地系统上的指定本地网络端口，并且仅允许合法网页服务响应该本地网络端口；

和/或，

使用系统服务来监听本地网络端口，以实现特定的本地网络端口只允许合法网页服务监听响应的功能，并终止其它非合法的服务的进程，隔离非法服务进程相应的程序。

11.如权利要求10所述的防止恶意内容侵染网站页面的方法，其特征在于，

系统防火墙的配置文件受到文件系统驱动模块的保护，该文件系统驱动模块在其保护模式下仅允许系统防火墙进程读取该配置文件。

12.一种防止恶意内容侵染网站页面的系统，其特征在于，包括：文件系统驱动模块、进程管控模块、端口监控模块；

所述进程管控模块用于监测系统中的进程并甄别出合法进程，将合法进程的进程标识与进程启动或终止的状态发送给文件系统驱动模块；

所述文件系统驱动模块用于维持一个受保护文件的白名单和受保护的文件夹白名单以及一个与合法服务和/或合法进程相对应的进程标识的进程白名单，并且仅允许列入该进程白名单的进程访问受保护文件，仅允许列入该进程白名单的进程在受保护文件夹中创建新文件；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；所述指定的发布文件夹为受保护文件夹；

通过文件系统驱动模块保护预定义的网页服务的配置文件，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容；

所述端口监控模块用于实现特定的本地网络端口只允许预定义的网页服务监听响应的功能，在预定义的网页服务没启动时该特定的本地网络端口拒绝任何其它服务监听响应。

13.如权利要求12所述的防止恶意内容侵染网站页面的系统，其特征在于，

所述防止恶意内容侵染网站页面的系统还包括注册表过滤器；所述注册表过滤器用于：

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务只发布其指定的发布文件夹中的网页内容文件；

和/或，

通过保护预定义的网页服务的相应的注册表表项，使得该预定义的网页服务监听响应特定的本地网络端口，并通过该端口发布网页内容。

14.如权利要求12或13所述的防止恶意内容侵染网站页面的系统，其特征在于，

所述发布文件夹中的文件受文件系统驱动模块保护。

15.如权利要求12或13所述的防止恶意内容侵染网站页面的系统，其特征在于，

文件系统驱动模块授予合法服务/进程访问受保护文件的权限分为只读权限和读写权限；用于发布网页的服务/进程被授予只读权限，用于更新网页内容文件的服务/进程被授予读写权限。

16.如权利要求12或13所述的防止恶意内容侵染网站页面的系统，其特征在于，

文件系统驱动模块工作于保护模式或提权模式；在保护模式下，仅允许合法服务/进程访问受保护的文件，而用于授权服务的进程白名单和受保护文件列表将被锁定；在提权模式下，用于授权服务的进程白名单和受保护文件列表可以被修改。

17.如权利要求16所述的防止恶意内容侵染网站页面的系统，其特征在于，

提权模式是过渡模式，并受自动超时方案保护。

18.如权利要求16所述的防止恶意内容侵染网站页面的系统，其特征在于，

从保护模式切换到提权模式前，需要认证过程。

19.如权利要求12或13所述的防止恶意内容侵染网站页面的系统，其特征在于，

文件系统驱动模块允许授权的网页服务访问网页服务的配置文件，但阻止任何其他非授权服务/进程访问该配置文件。

20.如权利要求12或13所述的防止恶意内容侵染网站页面的系统，其特征在于，

文件系统驱动模块允许合法进程通过设置的读、写权限读取或修改相应的被保护的配置文件。

21.如权利要求12或13所述的防止恶意内容侵染网站页面的系统，其特征在于，

所述端口监控模块中包括系统防火墙和/或网络驱动和/或系统服务；

本地网络端口通过在系统防火墙中配置防火墙策略来为给定的网页服务预留；或者本地网络端口通过监视防火墙策略的过程来保留给给定的网页服务；

和/或，

使用网络驱动来监视本地系统上的指定本地网络端口，并且仅允许合法网页服务响应该本地网络端口；

和/或，

使用系统服务来监听本地网络端口，以实现特定的本地网络端口只允许合法网页服务监听响应的功能，并终止其它非合法的服务的进程，隔离非法服务进程相应的程序。

22.如权利要求21所述的防止恶意内容侵染网站页面的系统，其特征在于，

系统防火墙的配置文件受到文件系统驱动模块的保护，该文件系统驱动模块在其保护模式下仅允许系统防火墙进程读取该配置文件。

23.一种存储介质，其特征在于，

所述存储介质中存储有计算机程序，所述计算机程序被处理器执行时用以实现如权利要求1～11中任一项所述的防止恶意内容侵染网站页面的方法的步骤。

Images