Barracuda-NC雙臂代理模式搞定網(wǎng)站安全(拯救趙明)
原創(chuàng)【51CTO.com 獨(dú)家特稿】目前，利用網(wǎng)上隨處可見(jiàn)的攻擊軟件，攻擊者不需要對(duì)網(wǎng)絡(luò)協(xié)議的深厚理解基礎(chǔ)，即可完成諸如更換Web網(wǎng)站主頁(yè)，盜取管理員密碼，數(shù)據(jù)庫(kù)注入和破壞整個(gè)網(wǎng)站數(shù)據(jù)等等攻擊。而這些攻擊過(guò)程中產(chǎn)生的網(wǎng)絡(luò)層數(shù)據(jù)，和正常數(shù)據(jù)沒(méi)有什么區(qū)別。
以下是國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心（CNCERT/CC）統(tǒng)計(jì)的2008年上半年我國(guó)國(guó)內(nèi)網(wǎng)站被黑被篡改的統(tǒng)計(jì)圖，在1月－7月內(nèi)僅發(fā)現(xiàn)的被篡改的網(wǎng)站就多達(dá)41,000多個(gè)，平均每天就有近200個(gè)網(wǎng)站被篡改，這真是一個(gè)驚人的數(shù)字。
下圖是CNCERT/CC從2003－2007的被篡改網(wǎng)站的歷史統(tǒng)計(jì)圖:
從上圖的對(duì)比中我們看出，網(wǎng)站被篡改的數(shù)目以每年2-3倍的遞增速度還在不斷的上升趨勢(shì)當(dāng)中。在WEB應(yīng)用如此普及，如此至關(guān)重要的今天，可以說(shuō)，網(wǎng)站的防黑防篡改解決方案，已經(jīng)是每一個(gè)企業(yè)或事業(yè)單位網(wǎng)絡(luò)運(yùn)維部門的迫在眉急的重大任務(wù)。
很多用戶認(rèn)為，在網(wǎng)絡(luò)中部署多層的防火墻，入侵檢測(cè)系統(tǒng)（IDS），入侵防御系統(tǒng)（IPS）等設(shè)備，就可以保障網(wǎng)絡(luò)的安全性，就能全面立體的防護(hù)WEB應(yīng)用了，但是為何基于WEB應(yīng)用的攻擊事件仍然不斷發(fā)生？其根本的原因在于傳統(tǒng)的網(wǎng)絡(luò)安全設(shè)備對(duì)于應(yīng)用層的攻擊防范，作用十分有限。目前的大多防火墻都是工作在網(wǎng)絡(luò)層，通過(guò)對(duì)網(wǎng)絡(luò)層的數(shù)據(jù)過(guò)濾（基于TCP/IP報(bào)文頭部的ACL）實(shí)現(xiàn)訪問(wèn)控制的功能；通過(guò)狀態(tài)防火墻保證內(nèi)部網(wǎng)絡(luò)不會(huì)被外部網(wǎng)絡(luò)非法接入。所有的處理都是在網(wǎng)絡(luò)層，而應(yīng)用層攻擊的特征在網(wǎng)絡(luò)層次上是無(wú)法檢測(cè)出來(lái)的。IDS，IPS通過(guò)使用深包檢測(cè)的技術(shù)檢查網(wǎng)絡(luò)數(shù)據(jù)中的應(yīng)用層流量，和攻擊特征庫(kù)進(jìn)行匹配，從而識(shí)別出以知的網(wǎng)絡(luò)攻擊，達(dá)到對(duì)應(yīng)用層攻擊的防護(hù)。但是對(duì)于未知攻擊，和將來(lái)才會(huì)出現(xiàn)的攻擊，以及通過(guò)靈活編碼和報(bào)文分割來(lái)實(shí)現(xiàn)的應(yīng)用層攻擊，IDS和IPS同樣不能有效的防護(hù)。
WEB應(yīng)用防火墻的出現(xiàn)解決了這方面的難題，應(yīng)用防火墻通過(guò)執(zhí)行應(yīng)用會(huì)話內(nèi)部的請(qǐng)求來(lái)處理應(yīng)用層，它專門保護(hù)Web應(yīng)用通信流和所有相關(guān)的應(yīng)用資源免受利用Web協(xié)議或應(yīng)用程序漏洞發(fā)動(dòng)的攻擊。應(yīng)用防火墻可以阻止將應(yīng)用行為用于惡意目的的瀏覽器和HTTP攻擊，一些強(qiáng)大的應(yīng)用防火墻甚至能夠模擬代理成為網(wǎng)站服務(wù)器接受應(yīng)用交付，形象的來(lái)說(shuō)相當(dāng)于給原網(wǎng)站加上了一個(gè)安全的絕緣外殼。
下面我們就用一款現(xiàn)在業(yè)內(nèi)比較普遍的Barracuda-NC應(yīng)用防火墻來(lái)舉例，來(lái)看看應(yīng)用防火墻是如何保護(hù)網(wǎng)站防止被惡意注入和篡改的了。
網(wǎng)絡(luò)架構(gòu)和部署：雙臂代理模式
雙臂代理模式是Web應(yīng)用防火墻部署種的最佳模式。這個(gè)模式也是拓?fù)溥^(guò)程中推薦的模式，能夠提供最佳的安全性能。
在此模式中，所有的數(shù)據(jù)端口都將被開(kāi)啟；端口eth1是對(duì)外的，直接面向因特網(wǎng)的端口；端口eth2將會(huì)和內(nèi)部的設(shè)備（交換機(jī)等）進(jìn)行連接，是面向內(nèi)部的。管理端口可以被分配到另一個(gè)網(wǎng)段，我們推薦將管理數(shù)據(jù)和實(shí)際的流量分離，避免因?yàn)閷?shí)際流量和管理數(shù)據(jù)的沖突。
以下為示例拓?fù)鋱D：
網(wǎng)絡(luò)實(shí)現(xiàn)：
1、前端端口和后端端口位于不同的網(wǎng)段，所有外部客戶將會(huì)和應(yīng)用虛擬IP地址進(jìn)行連接，此虛擬ip將會(huì)和前端端口（eth1）進(jìn)行綁定
2、客戶的連接將會(huì)在設(shè)備上終止，進(jìn)行安全檢查和過(guò)濾
3、合法的流量將會(huì)由后端端口（eth2）建立新的連接到負(fù)載均衡設(shè)備
4、負(fù)載均衡進(jìn)行流量的負(fù)載
5、雙臂代理模式可以開(kāi)啟所有的安全功能
工作特點(diǎn)：基于應(yīng)用層的檢測(cè)，同時(shí)又擁有基于狀態(tài)的網(wǎng)絡(luò)防火墻的優(yōu)勢(shì)
對(duì)應(yīng)用數(shù)據(jù)錄入完整檢查、HTTP包頭重寫、強(qiáng)制HTTP協(xié)議合規(guī)化，杜絕各種利用協(xié)議漏洞的攻擊和權(quán)限提升
預(yù)期數(shù)據(jù)的完整知識(shí)(Complete Knowledge of expected values)，防止各種形式的SQL/命令注入，跨站式腳本攻擊
實(shí)時(shí)策略生成及執(zhí)行，根據(jù)您的應(yīng)用程序定義相應(yīng)的保護(hù)策略，而不是千篇一律的廠家預(yù)定義防攻擊策略，無(wú)縫的砌合您的應(yīng)用程序，不會(huì)造成任何應(yīng)用失真。
網(wǎng)站全面隱身：黑客再神奇也無(wú)法攻擊看不見(jiàn)的東西
Barracuda-NC應(yīng)用防火墻對(duì)外部訪問(wèn)網(wǎng)站進(jìn)行隱身，可以隱藏真實(shí)的Web服務(wù)器類型、應(yīng)用服務(wù)器類型、操作系統(tǒng)、版本號(hào)、版本更新程度、已知安全漏洞、真實(shí)IP地址、內(nèi)部工作站信息，讓黑客看不見(jiàn)，摸不著，探測(cè)不到，自然也無(wú)從猜測(cè)分析和攻擊。以下便是一款常用掃描工具掃描經(jīng)過(guò)Barracuda-NC應(yīng)用防火墻隱藏的網(wǎng)站的結(jié)果。
同時(shí)，它還能識(shí)別各種爬行探測(cè)程序，只允許正常的搜索引擎爬蟲進(jìn)入，抵御黑客爬行程序于門外，讓想通過(guò)探測(cè)確定攻擊目標(biāo)的黑客徹底無(wú)門。
除此之外，做為一款強(qiáng)大的應(yīng)用防火墻，Barracuda-NC應(yīng)用防火墻還有許多應(yīng)用交付功能：應(yīng)用數(shù)據(jù)緩存，數(shù)據(jù)壓縮，TCP連接池，SSL Offloading，7層內(nèi)容交換負(fù)載均衡等等，完全可以替代其他應(yīng)用層交換設(shè)備，做為應(yīng)用層交換的中流砥柱。#p#
如何預(yù)防網(wǎng)站被黑？
預(yù)防網(wǎng)站被黑可以從兩個(gè)方面來(lái)考慮：
利用外界軟件，并注意常見(jiàn)的防病毒常識(shí)：
確信你的系統(tǒng)管理員跟上了最新的補(bǔ)丁(每個(gè)月一次是不夠的)，并且經(jīng)常查看日志(一周一次也遠(yuǎn)遠(yuǎn)不夠)。安全管理員必須知道各臺(tái)機(jī)器都安裝了什么軟件，以便他們能夠提防相關(guān)的漏洞和弱點(diǎn)。不要依靠任何唯一的IDS供應(yīng)商，因?yàn)楹灻麑?duì)第一防御范圍來(lái)說(shuō)可能到達(dá)的太晚。考慮在面向公眾的服務(wù)器上實(shí)施Tripwire(一個(gè)入侵檢測(cè)系統(tǒng))，監(jiān)視重要文件屬性的改變。
最后，保持你的突發(fā)事件響應(yīng)策略的實(shí)時(shí)性，以適應(yīng)當(dāng)前系統(tǒng)的要求。讓大家知道在緊急狀態(tài)下應(yīng)該做什么，這樣才能保證補(bǔ)救措施的順利實(shí)行。
一、使用防病毒軟件并且經(jīng)常將其升級(jí)更新，從而使有破壞性的程序遠(yuǎn)離你的計(jì)算機(jī)。
二、不允許網(wǎng)上的商家為了便于你以后購(gòu)物儲(chǔ)存你的信用卡資料。
三、使用由數(shù)字和字母混排而成、難以被破譯的口令密碼，并且經(jīng)常更換。
四、對(duì)不同的網(wǎng)站和程序，要使用不同口令，以防止被黑客破譯。
五、使用最新版本的萬(wàn)維網(wǎng)瀏覽器軟件、電子郵件軟件以及其他程序。
六、只向有安全保證的網(wǎng)站發(fā)送信用卡號(hào)碼，留意尋找瀏覽器底部顯示的掛鎖圖示或鑰匙形圖標(biāo)。
七、確認(rèn)你要打交道的網(wǎng)站地址，留意你輸入的地址，比如不要把a(bǔ)na-zon.com寫成amozon.com。
八、使用有對(duì)cookie程序控制權(quán)的安全程序，cookie程序會(huì)把信息傳送回網(wǎng)站。
九、如果你使用數(shù)字用戶專線或是電纜調(diào)制解調(diào)器連接英特網(wǎng)，那就要安裝防火墻軟件，監(jiān)視數(shù)據(jù)流動(dòng)。
十、不要打開(kāi)電子郵件的附件，除非你知道信息的來(lái)源。
提高網(wǎng)站代碼安全性：
被黑是正常的1 服務(wù)器設(shè)置（如果你是租用的那就不用考慮了）2程序問(wèn)題 現(xiàn)在注入程序遍地是 你可以看看在網(wǎng)頁(yè)中進(jìn)行阻止 程序要嚴(yán)密 具體參考資料 你這個(gè)問(wèn)題很大 細(xì)節(jié)不容易說(shuō)！
下面給你說(shuō)些基本的：
首先我要說(shuō)的是，如果你是托管主機(jī)，你被黑，不是某某程序的錯(cuò)誤，80%都應(yīng)該是你自己的錯(cuò)誤，是因?yàn)槟阕约旱牟划?dāng)造成了不可挽回或者是巨大的損失。
下面我就談下我在黑到別人站點(diǎn)的時(shí)候通常回怎么做。
1 首先，也是最重要的一點(diǎn)，就是我是如何上傳webshell的(也就是大家說(shuō)的后門木馬吧)，上傳webshell其實(shí)有很多的辦法。
一（SQL）對(duì)于sql數(shù)據(jù)庫(kù)的用戶來(lái)說(shuō)，我們可以看看當(dāng)先的連接用戶是不是dbo權(quán)限，也就是sa了，如果是sa，并且sql服務(wù)器和web服務(wù)器是同一臺(tái)服務(wù)器，那么如果你沒(méi)有被黑.....（那就是我的錯(cuò)了）。
所以防止sql服務(wù)器被黑，第一是要更改連接用戶的權(quán)限。（pub就可以了）
二（SQL）還是對(duì)與sql用戶，你是否更改了遠(yuǎn)程連接的默認(rèn)密碼，要知道遠(yuǎn)程連接是有默認(rèn)密碼的，當(dāng)我們用掃描器掃描的1433端口的時(shí)候，我們就可以判定你是SQL服務(wù)器，這個(gè)時(shí)候我們一般都會(huì)嘗試遠(yuǎn)程登陸（50%）的人都沒(méi)有修改過(guò)遠(yuǎn)程連接密碼。
三（ACCESS）對(duì)于這類用戶，我想基本上都不是托管主機(jī)，所以我也就不說(shuō)了，就是說(shuō)了出來(lái)你們也沒(méi)辦法去修正，你只能求天保佑你的主機(jī)商不是個(gè)鳥，后者黑你的人是個(gè)鳥了（碰上我兄弟X業(yè)X錢的那就沒(méi)辦法了）
上面都是針對(duì)服務(wù)器來(lái)說(shuō)的（而且很不全面），下面我主要針對(duì)下大家關(guān)心的web來(lái)說(shuō)下吧。
一、上傳漏洞。這類漏洞可以說(shuō)是致命傷，怎么說(shuō)呢，你可以這樣想，連microsoft這樣的公司的程序都會(huì)一天到晚出漏洞，你們的某某某全站程序，某某某論壇，某某某BLOG又怎么不會(huì)出現(xiàn)問(wèn)題呢？其實(shí)不是沒(méi)有問(wèn)題，而是有了問(wèn)題，別人懶的去黑你罷了，誰(shuí)叫你的全球排名---有都沒(méi)有呢（再笑下^_^）。不過(guò)有的朋友確實(shí)不想被黑，那好吧，我可以告訴你如何解決。1 如果你想讓別人上傳，呵呵，我只能和你說(shuō)，你只能讓別人上傳圖片好了，至于其他的，你就開(kāi)個(gè)FTP讓他傳吧。上傳的圖片可以用二進(jìn)制的方式寫入數(shù)據(jù)庫(kù)，這樣不管你的站有沒(méi)有上傳漏洞，我估計(jì)他就是死也搞不出webshell的。
二、數(shù)據(jù)庫(kù)備份漏洞。不知道大家用過(guò)leadbbs沒(méi)有，在幾個(gè)月前，leadbbs是不允許備份數(shù)據(jù)庫(kù)的，為什么，其實(shí)你們很多人都知道是安全原因，但是是什么安全原因估計(jì)就沒(méi)幾個(gè)人知道了，或者是知道的人不多。對(duì)于access數(shù)據(jù)庫(kù)是不能象sql數(shù)據(jù)庫(kù)那樣備份的，而且我發(fā)現(xiàn)所謂的備份數(shù)據(jù)庫(kù)好象就是壓縮了以后在改個(gè)名字罷了，而且原始數(shù)據(jù)庫(kù)的路徑是由你（也就是管理員）來(lái)提交的，那么這下好了，我把你們不允許我上傳的文件改個(gè)你讓我上傳的文件，在利用備份數(shù)據(jù)庫(kù)的功能定義下我的文件路徑，改個(gè)名字就可以了。（其實(shí)我說(shuō)了出來(lái)大家都覺(jué)得不可思議了吧）。就這樣你們的站內(nèi)有了大大小小不同的后門木馬了，而且還會(huì)出現(xiàn)在根目錄等等其他的位置，讓你們白思不得其解了。
那么如何解決這個(gè)問(wèn)題呢，還是要從上傳說(shuō)起來(lái)，既然他可以改名字上傳，那我就讓他保存到數(shù)據(jù)庫(kù)里面好了，呵呵，我們用二進(jìn)制保存圖片確實(shí)是一個(gè)良好而且不錯(cuò)的辦法，希望大家可以自己去修改下。也希望廣大的站長(zhǎng)或者是程序員接受我這個(gè)不成熟，且低下的想法，（我知道肯定有某為大哥級(jí)人物看到這里早就嗤之以鼻了，所以下埋下伏筆）。
最后一點(diǎn)就是要告訴大家經(jīng)常備份，我相信廣大站長(zhǎng)都有自己的電腦，那就麻煩下你的手腳，把站上的程序拷貝下來(lái)，如果真的被黑了，站上的程序就不要要了，直接用機(jī)器上的程序覆蓋吧，這樣才是最保險(xiǎn)的。
【編輯推薦】
