年初上线一款市场占有率很高的网页防篡改系统，一个目的是真正了解一下防篡改系统的结构，二.当然提高网站的防篡改防护能力。三.合规。下面来简单说一下整体感受;

（1）防篡改系统的结构

wKiom1U0Y_eiWesTAAEDz8QRZeQ833.jpg

如图，防篡改系统分为两部分，分别部署于两台服务器。

一台作为信息上传发布的服务器，主要是由网站管理员更新网站页面文件，后台数据等。

另外一台作为对外的web服务器。

web服务器和发布服务器的网站配置完全一样，包括web server配置，网站目录路径等，两台服务器如同一个镜像。

web服务器，对互联网公开发布，互联网用户只能访问到web服务器。内部管理人员访问发布服务器，上传更新网站信息。

防篡改的原理（以下介绍该系统的主动防护模式原理）：

web服务器配置

（1）web服务器安装配置防篡改系统提供的写保护程序，设置写保护的文件目录。主要是相关网站的根目录及目录里的所有文件。

（2）web服务器部署目录同步程序。

（3）web服务器写保护程序配置例外，仅允许同步程序的进程可以对文件目录进行更新。

发布服务器配置：

（1）安装配置同步程序，设置需同步的目录。

所有对页面的更新均在发布服务器上进行，发布服务器上文件更新后，会通过同步程序自动实时的同步到web 服务器上。

总体上，防篡改（主动防护）就是对外的web服务器 通过写保护，无法进行任何更新，以达到网页防篡改的功能。同时为了方便用户在网站写保护情况下也能正常的发布信息，利用发布服务器的同步功能更新信息。

通过一段时间的使用，我个人的感受。

好处：

（1）对于企业技术人员欠缺，网站日常管理不是很到位或者运维不规范的单位，能够起到不错的保护。

不足：

（1）增加了网站结构复杂性，如果对整体结构不清楚，在更新、修改、或者网站测试的时候，因为写保护，或者同步，可能存在错误发布的现象。

（2）如果网站上有让外部用户进行信息上传报送功能，则对upfiles相关文件夹有写入权限，该目录无法控制写保护。

通过对防篡改系统的使用。个人感受在运维机制健全的企业，通过如果策略基本能够达到以上系统的效果。

（1）首先就是web server 和 操作系统的 漏洞及时修复。通过漏洞扫描 和操作系统的补丁更新，修复漏洞。这点即使部署了防篡改系统也需要周期性的执行。

（2）对网站目录除upfiles文件夹外，其他目录均配置只读。只有系统管理员权限可以更新网站文件。

  (3) 网站后台管理系统配置源ip访问控制，只允许指定使用人员的ip访问

（4）系统管理员账户密码设置强度，并定期更新。

（5）如果需要更严格的保护，采用第三方的写保护程序，对页面进行写保护。需要更新的时候，关闭写保护再进行更新。

目前只想到这些，以后待补充。如需防篡改系统的技术白皮书可以留言，我发邮件。