應(yīng)用層防火墻中的地址空間映射技術(shù)研究和實(shí)現(xiàn).pdf

1、Web服務(wù)是當(dāng)前最為廣泛和重要的Internet應(yīng)用，針對(duì)web服務(wù)的攻擊方法和手段層出不窮。目前大量的攻擊集中在更高的應(yīng)用層，以繞過(guò)網(wǎng)絡(luò)層檢測(cè)設(shè)備。檢測(cè)和阻止來(lái)自應(yīng)用層的攻擊具有非常重要的實(shí)際意義和使用價(jià)值。 應(yīng)用級(jí)Web安全的內(nèi)容涉及Web應(yīng)用程序代碼本身固有的缺陷。一種解決方案是在現(xiàn)有的企業(yè)內(nèi)部網(wǎng)前放置一個(gè)應(yīng)用層防火墻。 目前大部分應(yīng)用層防火墻方案都是基于反向代理的，它是應(yīng)用層防火墻的實(shí)現(xiàn)框架和基礎(chǔ)。反向代理提供企

2、業(yè)內(nèi)部網(wǎng)的單一訪問(wèn)點(diǎn)，客戶請(qǐng)求必須使用全球范圍有效的URL地址才能到達(dá)反向代理。企業(yè)內(nèi)部網(wǎng)的結(jié)構(gòu)非常復(fù)雜，其網(wǎng)頁(yè)或服務(wù)之間通常使用內(nèi)嵌的URL來(lái)建立相互的聯(lián)系。這些鏈接一般是相對(duì)的。目前的反向代理技術(shù)并沒(méi)有考慮內(nèi)嵌的URL問(wèn)題。但是現(xiàn)在很多內(nèi)嵌URL使用了絕對(duì)地址，它們基于內(nèi)部服務(wù)器的地址空間，無(wú)法直接訪問(wèn)。 地址空間映射技術(shù)是一項(xiàng)在反向代理中的新技術(shù)，它位于反向代理的前端，在網(wǎng)頁(yè)被轉(zhuǎn)發(fā)給客戶之前，獨(dú)立而集中地使用一定的策略（規(guī)

3、則）來(lái)轉(zhuǎn)換網(wǎng)頁(yè)中內(nèi)嵌的URL，將其映射到反向代理的地址空間，客戶請(qǐng)求才能通過(guò)反向代理到達(dá)內(nèi)部服務(wù)器，同時(shí)避免攻擊者繞過(guò)應(yīng)用層防火墻的檢測(cè)。 基于Apache平臺(tái)的反向代理配置，以Apache的模塊形式實(shí)現(xiàn)了應(yīng)用層防火墻中的地址空間映射方案，其中涉及到幾個(gè)關(guān)鍵技術(shù)：利用有限狀態(tài)機(jī)原理實(shí)現(xiàn)HTML解析技術(shù)，檢測(cè)內(nèi)嵌的URL以進(jìn)行必要的修改；針對(duì)動(dòng)態(tài)網(wǎng)頁(yè)中復(fù)雜的腳本代碼提出了“異地代理”的解決辦法；配置了VPN訪問(wèn)方式解決URL和CO