CN116668445A - 一种网页防篡改方法、装置、系统及计算机可读存储介质 - Google Patents

Abstract

本发明提供了一种网页防篡改方法、装置、系统及计算机可读存储介质，该方法应用于旁路WAF，包括：接收负载均衡设备转发的针对目标页面的流量请求；当确定目标页面属于防篡改保护资源时，在未缓存目标页面数据的情况下，向源站发送针对目标页面数据的页面数据请求；接收并缓存源站应答的目标页面数据；以及，向负载均衡设备应答缓存的目标页面数据。利用上述方法，能够使基于负载均衡设备的旁路WAF具备网页防篡改能力。

Description

一种网页防篡改方法、装置、系统及计算机可读存储介质

技术领域

本发明属于网络安全领域，具体涉及一种网页防篡改方法、装置及计算机可读存储介质。

背景技术

本部分旨在为权利要求书中陈述的本发明的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

为避免WAF串联部署而导致的系统可用性风险，目前主流云厂商都提供了图1所示出的基于负载均衡设备(LB/Connector)的云上旁路WAF(Web Application Firewall，Web应用防火墙)解决方案，在WAF故障时，可由负载均衡设备直接转发请求至源站，以实现可用性与安全性的平衡。

云上旁路WAF的核心处理思路是由负载均衡设备将请求流量转发给WAF进行检测，之后负载均衡设备根据WAF响应的检测结果决定是否将流量转发至实际服务站点(源站)。

然而，目前主流云服务商基于负载均衡的旁路WAF产品，均不支持网页防篡改功能，这成为一个亟待解决的问题。

发明内容

针对上述现有技术中存在的问题，提出了一种网页防篡改方法、装置、系统及计算机可读存储介质，利用这种方法、装置及计算机可读存储介质，能够使基于负载均衡设备的旁路WAF具备网页防篡改能力。

本发明提供了以下方案。

第一方面，提供一种网页防篡改方法，应用于旁路WAF，包括：接收负载均衡设备转发的针对目标页面的流量请求；当确定目标页面属于防篡改保护资源时，在未缓存目标页面数据的情况下，向源站发送针对目标页面数据的页面数据请求；接收并缓存源站应答的目标页面数据；以及，向负载均衡设备应答缓存的目标页面数据。

在一种实施方式中，旁路WAF上配置有特定通信协议，用于向负载均衡设备直接应答缓存的目标页面数据。

在一种实施方式中，接收负载均衡设备转发的针对目标页面的流量请求之后，方法还包括：判断流量请求是否需要进行访问控制校验；如需要进行访问控制校验，执行以下校验动作：向源站转发流量请求的HTTP头和拼装的身份校验报文；接收源站应答的授权访问指令，授权访问指令用于指示是否获得访问授权；根据访问授权指令确定是否向负载均衡设备应答缓存的目标页面数据。

在一种实施方式中，方法还包括：如授权访问指令指示获得访问授权，则向负载均衡设备应答缓存的目标页面数据；如授权访问指令指示未获得访问授权，则向负载均衡设备返回禁止访问。

在一种实施方式中，还包括：周期性将向源站发送针对防篡改保护资源的流量请求，以获取源站针对防篡改保护资源的应答数据；通过比对应答数据与防篡改保护资源的缓存数据是否一致，确定防篡改保护资源是否被篡改。

在一种实施方式中，向源站发送针对目标页面数据的页面数据请求，还包括：通过负载均衡设备访问源站，并发送针对目标页面数据的页面数据请求。

在一种实施方式中，旁路WAF上配置需要保护的防篡改保护资源，方法还包括：其中，多次学习源站针对网站资源的应答结果，识别出正确的网站资源页面数据，作为防篡改保护资源进行缓存。

第二方面，提供一种网页防篡改方法，包括：负载均衡设备接收用户端针对目标页面数据的请求流量，并将请求流量转发至旁路WAF；旁路WAF执行第一方面的方法，以向负载均衡设备应答缓存的目标页面数据；负载均衡设备将目标页面数据返回给用户端。

第三方面，提供一种网页防篡改系统，包括：用户端，用于向负载均衡设备发送针对目标页面数据的请求流量；负载均衡设备，用于将请求流量转发至旁路WAF，以及将旁路WAF应答的目标页面数据返回给用户端；旁路WAF，用于执行如权利要求1-7中任一项的方法；源站，用于响应于旁路WAF发送的针对目标页面数据的页面数据请求，应答目标页面数据。

第四方面，提供一种网页防篡改装置，包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行：如第一方面的方法。

第五方面，提供一种计算机可读存储介质，计算机可读存储介质存储有程序，当程序被多核处理器执行时，使得多核处理器执行如第一方面或第二方面的方法。

上述实施例的优点之一，能够使基于负载均衡设备的旁路WAF具备网页防篡改能力。

本发明的其他优点将配合以下的说明和附图进行更详细的解说。

应当理解，上述说明仅是本发明技术方案的概述，以便能够更清楚地了解本发明的技术手段，从而可依照说明书的内容予以实施。为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举例说明本发明的具体实施方式。

附图说明

通过阅读下文的示例性实施例的详细描述，本领域普通技术人员将明白本文所述的优点和益处以及其他优点和益处。附图仅用于示出示例性实施例的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的标号表示相同的部件。在附图中：

图1为基于负载均衡设备的云上旁路WAF的架构示意图；

图2为根据本发明一实施例的网页防篡改方法的流程示意图；

图3为根据本发明一实施例的网页防篡改方法的交互流程示意图；

图4为根据本发明另一实施例的网页防篡改方法的流程示意图；

图5为根据本发明另一实施例的网页防篡改方法的交互流程示意图。

在附图中，相同或对应的标号表示相同或对应的部分。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域技术人员。

在本申请实施例的描述中，应理解，诸如“包括”或“具有”等术语旨在指示本说明书中所公开的特征、数字、步骤、行为、部件、部分或其组合的存在，并且不旨在排除一个或多个其他特征、数字、步骤、行为、部件、部分或其组合存在的可能性。

除非另有说明，“/”表示或的意思，例如，A/B可以表示A或B；本文中的“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。

术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”等的特征可以明示或者隐含地包括一个或者更多个该特征。在本申请实施例的描述中，除非另有说明，“多个”的含义是两个或两个以上。

为清楚阐述本申请实施例，首先将介绍一些后续实施例中可能会出现的概念。

旁路WAF，(Web Application Firewall，Web应用防火墙)，是指通过对HTTP(S)请求进行检测，识别并阻断SQL注入、跨站脚本攻击、网页木马上传、命令/代码注入、文件包含、敏感文件访问、第三方应用漏洞攻击、CC攻击、恶意爬虫扫描、跨站请求伪造等攻击，保护Web服务安全稳定。

负载均衡设备(Load Balance，简称LB)，是集群技术的一种应用，指将负载(工作任务)进行平衡，分摊到多个单元操作上进行运行，从而提高并发处理能力。

另外还需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

图2为根据本申请一实施例的网页防篡改方法的流程示意图，应用于旁路WAF，用于实现网页防篡改能力，在该流程中，从设备角度而言，执行主体可以是一个或者多个电子设备；从程序角度而言，执行主体相应地可以是搭载于这些电子设备上的程序。在本实施例中，方法的执行主体可以是图1所示实施例中的处理器。

如图2所示，本实施例提供的方法可以包括以下步骤：

201、接收负载均衡设备(LB)转发的针对目标页面的流量请求；

202、判断目标页面数据是否属于防篡改保护资源；其中，可以在WAF上预先配置需要保护的防篡改保护资源。

进一步地，当确定目标页面属于防篡改保护资源时，执行以下步骤203-206，以进行防篡改操作：

203、确定WAF上是否缓存该目标页面数据；

在WAF上未缓存目标页面数据的情况下，额外执行以下204-205步骤以缓存该目标页面数据：

204、向源站发送针对目标页面数据的页面数据请求；

205、接收并缓存源站应答的目标页面数据；

在WAF上缓存有目标页面数据的情况下，或者经过上述204-205，WAF上已经缓存源站应答的目标页面数据的情况下，执行以下206步骤：

206、向负载均衡设备应答缓存的目标页面数据。

相反，当确定目标页面数据不属于防篡改保护资源时，执行以下步骤207：

207、直接正常处理，无需额外防篡改动作。

图3示出了用户端、负载均衡设备、WAF及源站之间的网页防篡改交互图，以下结合图3对交互过程进行详细阐述。

S1、用户端向负载均衡设备发送针对目标页面的流量请求，

S2、负载均衡设备向WAF转发(镜像)该流量请求；

S3、WAF判断该流量请求对应的该目标页面是否属于防篡改保护资源；

S4、如该目标页面属于防篡改保护资源，且WAF未缓存该目标页面的情况下，则向源站请求目标页面数据；

S5、源站向WAF应答该目标页面数据；

S6、WAF缓存该目标页面数据，至此，WAF缓存有该目标页面；

S7、WAF向负载均衡设备应答缓存的目标页面数据；

S8、负载均衡设备向用户端返回防篡改的该缓存的目标页面数据。

如此，当WAF遇到未缓存而又需要防篡改的页面时，将访问源站获取页面数据，然后进行缓存和应答，可以使得基于负载均衡设备的旁路WAF具备网页防篡改能力。

在一种实施方式中，旁路WAF上配置有特定通信协议，用于向负载均衡设备直接应答缓存的目标页面数据。例如，可以复用http协议作为该配置的特定通信协议，但复用http协议可以采用特殊的应答码，如700。如此即可实现直接向负载均衡设备应答目标网页数据的缓存。

一般而言，网页防篡改可以仅保护不需要身份校验即可以访问的页面，比如公开页面。然而，如果需要支持针对特定用户或角色的受限访问下的防篡改保护，则有必要增加访问控制校验，来保护那些需要对用户身份进行校验的资源。

图4示出了根据本申请另一实施例的网页防篡改方法的流程示意图，其中在上述201之后，额外设计了访问控制校验步骤410-440：

410、判断流量请求对应的目标页面是否需要进行访问控制校验；

具体来说，不同的目标页面的访问控制要求不同，如该目标页面是隐私页面，则可能需要进行访问控制校验；相反，如该目标页面为公共页面，则可能无需进行访问控制校验，可以在WAF配置需要进行控制访问校验的资源。

如需要进行访问控制校验，执行以下校验动作420-440：

420、向源站转发流量请求的HTTP头和拼装的身份校验报文；

430、接收源站应答的授权访问指令

其中，源站对该身份校验报文进行访问控制校验后生成该授权访问指令，该授权访问指令用于指示是否获得访问授权；

440、根据访问授权指令确定是否向负载均衡设备应答缓存的目标页面数据。

进一步地，该440具体包括：

441、如授权访问指令指示获得访问授权，则向负载均衡设备应答缓存的目标页面数据；

442、如授权访问指令指示未获得访问授权，则向负载均衡设备返回禁止访问。

图5示出了用户端、负载均衡设备、WAF及源站之间针对访问控制校验的交互图，以下结合图5对交互过程进行详细阐述。

S1、用户端向负载均衡设备发送针对目标页面的流量请求，

S2、负载均衡设备向WAF转发(镜像)该流量请求；

S3、WAF判断该流量请求对应的该目标页面是否需要访问控制校验；

S4、如需要校验，则WAF向源站转发HTTP头以及根据流量请求拼装的身份校验报文；

S5、源站根据该身份校验报文进行访问控制校验；

S6、源站向WAF应答用于指示是否授权访问；

S7、如获得授权访问，则WAF向负载均衡设备应答缓存的目标页面数据；

S8、负载均衡设备向用户端返回防篡改的缓存目标页面数据；

S9、如未获得授权访问，则WAF向负载均衡设备返回禁止访问；

S10、负载均衡设备向用户端返回禁止访问。

如此，可以实现支持针对特定用户或角色的受限访问下的网页防篡改保护，

在一种实施方式中，还包括：周期性将向源站发送针对任意一个或多个防篡改保护资源的流量请求，以获取源站针对防篡改保护资源的应答数据；通过比对应答数据与防篡改保护资源的缓存数据是否一致，确定防篡改保护资源是否被篡改。

可以理解，如果源站的网页数据在某些时刻被篡改了，其必然会与之前缓存在WAF上的缓存网页数据发生差异，通过周期性的将流量请求转发至源站，进而比对源站的应答数据与WAF缓存数据是否一致，可以有效的识别出源站数据是否被篡改了，从而可以及时提示风险。

在一种实施方式中，向源站发送针对目标页面数据的页面数据请求，还包括：通过负载均衡设备访问源站，并发送针对目标页面数据的页面数据请求。如此，可以简化云上网络访问架构。

可选地，还可以通过多次学习源站针对网站资源的应答结果，识别出正确的网站资源页面数据，作为防篡改保护资源进行缓存。可以理解，在防篡改防护生效前，WAF通常有一个学习阶段，这个阶段是对网站资源进行学习，以确定需要保护的具体资源。例如，对同一个访问地址，源站有可能给出正确和错误两种应答，通过学习一定数量的应答结果，能较好的识别出哪个是正确的需要保存的页面。

基于相同的技术构思，本发明实施例还提供另外一种网页防篡改方法，其执行主体为负载均衡设备和WAF。

其中，负载均衡设备接收用户端针对目标页面数据的请求流量，并将请求流量转发至WAF；WAF执行上述实施例所描述的方法，以向负载均衡设备应答缓存的目标页面数据；最后，负载均衡设备将目标页面数据返回给用户端。

可以理解，该实施例中的方法可以实现前述实施例的各个过程，并达到相同的效果和功能，这里不再赘述。

基于相同的技术构思，本发明实施例还提供一种网页防篡改系统，用于执行上述任一实施例所提供的网页防篡改方法。

如图3所示，该系统包括：

用户端，用于向负载均衡设备发送针对目标页面数据的请求流量；

负载均衡设备，用于将请求流量转发至WAF，以及将WAF应答的目标页面数据返回给用户端；

WAF，用于执行如上述实施例的方法；以及

源站，用于响应于WAF发送的针对目标页面数据的页面数据请求，应答目标页面数据。

可以理解，上述实施例中已经充分说明了用户端、负载均衡设备，WAF和源站是如何配合工作，以实现旁路WAF网页防篡改的，此处不再赘述。

在本说明书的描述中，参考术语“一些可能的实施方式”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

关于本申请实施例的方法流程图，将某些操作描述为以一定顺序执行的不同的步骤。这样的流程图属于说明性的而非限制性的。可以将在本文中所描述的某些步骤分组在一起并且在单个操作中执行、可以将某些步骤分割成多个子步骤、并且可以以不同于在本文中所示出的顺序来执行某些步骤。可以由任何电路结构和/或有形机制(例如，由在计算机设备上运行的软件、硬件(例如，处理器或芯片实现的逻辑功能)等、和/或其任何组合)以任何方式来实现在流程图中所示出的各个步骤。

根据本申请的一些实施例，提供了网页防篡改装置，该装置包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行上述实施例所述的方法。

根据本申请的一些实施例，提供了网页防篡改方法的非易失性计算机存储介质，其上存储有计算机可执行指令，该计算机可执行指令设置为在由处理器运行时执行：上述实施例所述的方法。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。此外，尽管在附图中以特定顺序描述了本发明方法的操作，但是，这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、设备和计算机可读存储介质实施例而言，由于其基本相似于方法实施例，所以其描述进行了简化，相关之处可参见方法实施例的部分说明即可。

本申请实施例提供的装置、设备和计算机可读存储介质与方法是一一对应的，因此，装置、设备和计算机可读存储介质也具有与其对应的方法类似的有益技术效果，由于上面已经对方法的有益技术效果进行了详细说明，因此，这里不再赘述装置、设备和计算机可读存储介质的有益技术效果。

虽然已经参考若干具体实施方式描述了本发明的精神和原理，但是应该理解，本发明并不限于所公开的具体实施方式，对各方面的划分也不意味着这些方面中的特征不能组合以进行受益，这种划分仅是为了表述的方便。本发明旨在涵盖所附权利要求的精神和范围内所包括的各种修改和等同布置。

Claims (11)

1.一种网页防篡改方法，其特征在于，应用于旁路WAF，所述方法包括：

接收负载均衡设备转发的针对目标页面的流量请求；

当确定所述目标页面属于防篡改保护资源时，在未缓存所述目标页面数据的情况下，向源站发送针对所述目标页面数据的页面数据请求；

接收并缓存所述源站应答的所述目标页面数据；以及，

向所述负载均衡设备应答缓存的所述目标页面数据。

2.根据权利要求1所述的方法，其特征在于，所述旁路WAF配置有特定通信协议，用于向所述负载均衡设备直接应答缓存的所述目标页面数据。

3.根据权利要求1所述的方法，其特征在于，接收负载均衡设备转发的针对目标页面的流量请求之后，所述方法还包括：

判断所述流量请求是否需要进行访问控制校验；

如需要进行所述访问控制校验，执行以下校验动作：

向所述源站转发所述流量请求的HTTP头和拼装的身份校验报文；

接收所述源站应答的授权访问指令，所述授权访问指令用于指示是否获得访问授权；

根据所述访问授权指令确定是否向所述负载均衡设备应答缓存的所述目标页面数据。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

如所述授权访问指令指示获得访问授权，则向所述负载均衡设备应答缓存的所述目标页面数据；

如所述授权访问指令指示未获得访问授权，则向所述负载均衡设备返回禁止访问。

5.根据权利要求1所述的方法，其特征在于，还包括：

周期性将向所述源站发送针对所述防篡改保护资源的流量请求，以获取源站针对所述防篡改保护资源的应答数据；

通过比对所述应答数据与所述防篡改保护资源的缓存数据是否一致，确定所述防篡改保护资源是否被篡改。

6.根据权利要求1所述的方法，其特征在于，向源站发送针对所述目标页面数据的页面数据请求，还包括：通过负载均衡设备访问源站，并发送针对所述目标页面数据的页面数据请求。

7.根据权利要求1所述的方法，其特征在于，所述旁路WAF上配置需要保护的所述防篡改保护资源，所述方法还包括：

其中，多次学习源站针对网站资源的应答结果，识别出正确的网站资源页面数据，作为所述防篡改保护资源进行缓存。

8.一种网页防篡改方法，其特征在于，包括：

负载均衡设备接收用户端针对目标页面数据的请求流量，并将所述请求流量转发至旁路WAF；

所述旁路WAF执行如权利要求1-7中任一项所述的方法，以向所述负载均衡设备应答缓存的所述目标页面数据；

所述负载均衡设备将所述目标页面数据返回给所述用户端。

9.一种网页防篡改系统，其特征在于，包括：

用户端，用于向负载均衡设备发送针对目标页面数据的请求流量；

负载均衡设备，用于将所述请求流量转发至旁路WAF，以及将旁路WAF应答的目标页面数据返回给所述用户端；

所述旁路WAF，用于执行如权利要求1-7中任一项所述的方法；

源站，用于响应于所述旁路WAF发送的针对所述目标页面数据的页面数据请求，应答所述目标页面数据。

10.一种网页防篡改装置，其特征在于，包括：

至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行：如权利要求1-7中任一项所述的方法。

11.一种计算机可读存储介质，所述计算机可读存储介质存储有程序，当所述程序被多核处理器执行时，使得所述多核处理器执行如权利要求1-7中任一项所述的方法或权利要求8所述的方法。