網(wǎng)站出現(xiàn)掛馬的主要原因?yàn)橄到y(tǒng)、防火墻出現(xiàn)漏洞或者網(wǎng)站應(yīng)用程序出現(xiàn)漏洞所致。網(wǎng)絡(luò)管理員是負(fù)責(zé)審核網(wǎng)站和維護(hù)網(wǎng)站正常運(yùn)行的人員，文章從網(wǎng)絡(luò)管理員的角度，談?wù)勅绾渭訌?qiáng)審計(jì)與監(jiān)測，防范網(wǎng)站掛馬。

加強(qiáng)各部門提交網(wǎng)頁審計(jì)

一直以來，對于網(wǎng)絡(luò)中心的網(wǎng)管人員來說，要想不被掛馬，首先肯定要發(fā)現(xiàn)網(wǎng)站應(yīng)用程序是否存在安全漏洞。對網(wǎng)站應(yīng)用程序進(jìn)行審計(jì)通常有人工檢測、專業(yè)系統(tǒng)檢測和安全審計(jì)工具檢測方法。

人工代碼審查流于形式

人工檢測主要是網(wǎng)管人員，通過詳細(xì)閱讀代碼，然后發(fā)現(xiàn)網(wǎng)站應(yīng)用程序是否存在安全漏洞。例如在某個(gè)頁面發(fā)現(xiàn)如下代碼：<iframe src=”http://127.0.0.1/test.htm” width=”0” height=”0” frameborder=”0”></iframe>，這個(gè)時(shí)候，src參數(shù)后面的就可能是網(wǎng)頁木馬的地址。當(dāng)我們打開這個(gè)網(wǎng)站的首頁后，會(huì)彈出網(wǎng)頁木馬的頁面，這個(gè)頁面我們是無法看到的，因?yàn)槲覀冊诖a中設(shè)置了彈出頁面的窗口長寬各為0。此時(shí)木馬也已經(jīng)悄悄下載到本機(jī)并運(yùn)行了。

人工檢測要求網(wǎng)管人員必須精通常見的動(dòng)態(tài)網(wǎng)站開發(fā)語言,如PHP、jsp等等，另外還要知道漏洞的表現(xiàn)形式。實(shí)際上，能夠達(dá)到這種水平的網(wǎng)管人員非常少。另外，對一個(gè)個(gè)網(wǎng)頁一句句進(jìn)行代碼審查，由于網(wǎng)頁代碼龐大，無法人工逐個(gè)分析或者無法徹底鏟除。所以從現(xiàn)實(shí)角度來看，很多學(xué)校雖然規(guī)定了網(wǎng)管人員必須進(jìn)行人工審查。但是由于以上原因，使得網(wǎng)頁的審計(jì)往往只是內(nèi)容上進(jìn)行草草審計(jì)而流于形式。

專業(yè)檢測系統(tǒng)效果好、價(jià)格貴

目前，很多公司推出了專業(yè)的網(wǎng)站監(jiān)測產(chǎn)品，如智恒聯(lián)盟的WebPecker V8專業(yè)版網(wǎng)站安全統(tǒng)一監(jiān)控平臺，賽爾的全國高校招生安全檢測平臺等等。這些檢測平臺，可以提供掛馬檢測 、SQL注入檢測、XSS跨站漏洞檢測以及敏感信息告警等功能。這些工具，對木馬檢測通常采用沙箱技術(shù)和客戶端蜜罐技術(shù)，對提交的網(wǎng)站掛馬情況掃描分析。

SQL 注入漏洞會(huì)導(dǎo)致網(wǎng)站數(shù)據(jù)庫信息被竊取、篡改、刪除，進(jìn)一步導(dǎo)致網(wǎng)站被掛馬，甚至被攻擊者獲取到網(wǎng)站服務(wù)器管理權(quán)限。這些工具通過滲透測試等檢測方法，檢測網(wǎng)站是否存在SQL 注入漏洞。作為輔助功能，專業(yè)工具提供了敏感信息監(jiān)控功能，對網(wǎng)站的敏感字段通過爬蟲技術(shù)進(jìn)行分析，及時(shí)發(fā)現(xiàn)網(wǎng)站中出現(xiàn)的敏感信息。

這些檢測系統(tǒng)優(yōu)點(diǎn)是檢測效果較好，但是價(jià)格比較貴，對于不少學(xué)校來說是一個(gè)負(fù)擔(dān)。另外，由于木馬技術(shù)的發(fā)展，特別是最近推出的木馬，增加了反虛擬機(jī)的代碼，因此，完全依賴使用沙箱這種技術(shù)來檢測掛馬，效果有待實(shí)踐檢驗(yàn)。因此，筆者建議今后要采用上述的綜合方法來防止掛馬。

免費(fèi)的安全審計(jì)工具

由于網(wǎng)絡(luò)攻擊的增多和人們對審計(jì)工具缺乏信任，因此開源的Web安全審計(jì)工具以其開源、免費(fèi)深受大家的喜歡。這里推薦Nikto工具。Nikto是一個(gè)開源的Web服務(wù)器掃描程序，目前最新版本為2.1.1（http://cirt.net/nikto2），它可以對Web服務(wù)器的多種項(xiàng)目(包括6100個(gè)潛在的危險(xiǎn)文件，以及超過950個(gè)服務(wù)器版本)進(jìn)行全面的測試，成為網(wǎng)管人員常用的工具。

提起Web安全審計(jì)工具，當(dāng)然離不開IBM Rational AppScan和 HP WebInspect。 Rational AppScan 使用比較簡單，基本上屬于黑盒測試工具，測試人員不需要了解 Web 應(yīng)用本身的結(jié)構(gòu)。AppScan可以成功檢查跨站腳本、注入漏洞等，并給出解決該漏洞的方法，幫助開發(fā)人員迅速修復(fù)程序安全隱患。對于采用Web 2.0技術(shù)的網(wǎng)站來說，可以使用HP 公司的WebInspect，它可以很好的對網(wǎng)站執(zhí)行Web 應(yīng)用程序安全測試和評估。