(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210139723.4 (22)申请日 2022.02.16 (71)申请人 北京仁信证科技有限公司 地址 100089 北京市海淀区中关村大街9号 邮局北楼6楼 (72)发明人 刘鹏　黄孔　付力　 (74)专利代理 机构 北京卓胜佰达知识产权代理 有限公司 16 026 专利代理师 张串串 (51)Int.Cl. H04L 9/40(2022.01) H04L 9/32(2006.01) H04L 67/02(2022.01) G06F 16/958(2019.01) G06F 21/64(2013.01) (54)发明名称 一种端到端保护的网页防篡改系统 (57)摘要 本发明公开了一种端到端保护的网页 防篡 改系统， 涉及网页保护装置技术领域。 所述系统 包括： 服务器侧防篡改子系统， 用于实现授权部 署和运行监控， 授权部署体 现在网站编译打包后 上载服务后部署在WEB中间件时对网站代码进行 授权检查； 浏览器终端侧网页防篡改子系统， 用 于为应对服务器侧防篡改监控程序被非法关停、 卸载， 从而导致网站失去防篡改检测能力， 故而 在设备侧浏览器端增加防篡改校验能力。 所述系 统具有端到端的安全防护级别以及基于数字证 书签名的检测识别， 不依赖服务器自身安全， 能 够阻断未知攻击等优点。 权利要求书2页 说明书6页 附图4页 CN 114513359 A 2022.05.17 CN 114513359 A 1.一种端到端保护的网页防篡改系统， 其特 征在于包括： 服务器侧防篡改子系统， 用于实现授权部署和运行监控， 授权部署体现在网站编译打 包后上载服务后部署在WEB中间件时对网站代码进行授权检查， 通常经过签名处理的网页 文件都认为已授权； 授权部署用于实现可基于文件驱动技术对指定目录扫描分析， 通过对 目录内文件按照类型提取签名值， 检查证书和签名值有效性； 通过则放行， 未通过则直接锁 定文件禁止访问并从备份文件及时恢复并告警； 运行监控用于在网站运行时对网站文件的 实时监控， 同样 基于文件驱动技术 实现， 对文件的写操作事件进 行拦截， 检查写入内容是否 合法， 签名值是否有效； 浏览器终端侧网页防篡改子系统， 用于为应对服务器侧防篡改监控程序被非法关停、 卸载， 从而导致网站失去防篡改检测能力， 故而在设备侧浏览器端增加防篡改校验能力； 浏 览器通过请求到的页面数据为静态文件， 在服务器侧此类数据都嵌入过签名数据， 因此浏 览器端在请求数据后可以第一时间对数据进行主动检测校验， 达到事后处理的目的， 使整 个网站防篡改形成安全闭环， 提升整体安全。 2.如权利要求1所述的端到端保护的网页防篡改系统， 其特征在于所述服务器侧防篡 改子系统包括： PKI证书系统模块， 用于提供证书 的全生命周期管理功能， 可签发符合国密标准的SM2 算法证书， 并用于支撑服 务器侧证书签发与浏览器终端侧对签名证书的验证； 代码签名处理系统模块， 用于在网页文件打包发布后部署前， 对页面文件进行签名保 护处理， 使经过处理的页面文件在运行阶段被攻击篡改后能在第一时间通过签名检查发 现； 应用代码动态监控引擎模块， 用于作为部署在服务器侧的应用资源动态监控服务， 实 时监测服务器侧网站应用资源， 主动发现篡改行为并及时报警， 支持多种文件格式监控和 多级目录监控， 当篡改发生后能够标记被篡改的内容， 锁定被篡改文件或自动进 行恢复， 同 时生成日志 记录存档； Web服务器， 用于负责验证网站资源的数字签名， 并对网站资源进行防篡改保护。 3.如权利要求2所述的端到端保护的网页防篡改系统， 其特征在于所述PKI证书系统模 块包括： 根证书系统、 CA子系统、 多个RA子系统以及OCS P子系统； 根证书系 统， 用于作为整个PKI/CA系 统的信任源点， 负责根密钥的初始化以及签发根 证书， 采用离线运行 方式， 与PKI/ CA系统的其它 系统隔离； CA子系统， 连接多个RA子系统， 负责接收来自RA子系统的证书申请请求， 完成证书签 发、 下载、 发布和撤销服 务； RA子系统， 数字签名证书的业务受理系统， 是证书服务的用户注册审核机构， 主要完成 SM2签名证书服务请求的签发功能， 并将用户的申请信息和相关资料上传给CA子系统， 完成 各项服务； OCSP子系统， 与CA子系统连接， CA子系统通过证书发布系统发布证书信息， 并为业务应 用系统提供基于证书吊销列表和OCS P的证书状态查询服 务。 4.如权利要求2所述的端到端保护的网页防篡改系统， 其特征在于所述代码签名处理 系统模块包括证书 管理模块、 应用代码解析 处理模块、 资源文件解析 处理模块、 代码 签名处 理模块以及代码重构打包 模块；权　利　要　求　书 1/2 页 2 CN 114513359 A 2所述证书管理模块， 用于对用户输入的证书密钥进行加载和管理， 并用于支撑代码签 名处理模块的签名运 算功能， 密钥在模块内保护； 应用代码解析处 理模块， 用于加载解析WEB应用包， 提取用于签名的源文； 资源文件解析处 理模块， 用于针对多种页面资源从发布包中提取解析， 批量 化处理； 代码签名处理模块， 用于基于商用 密码算法对相关资源进行签名处理， 并根据不同类 型文件不同结构嵌入数字签名和证书； 代码重构打包 模块， 用于对签名处 理后的代码重新打包发布。 5.如权利要求2所述的端到端保护的网页防篡改系统， 其特征在于所述应用代码动态 监控引擎模块包括资源防篡改监控模块、 签名检测校验模块、 报警通知与恢复模块和自保 护模块； 所述资源防篡改监控模块用于根据配置策略对受保护的目录实时监控， 当发生文件变 动时基于签名检测校验模块进 行检测判断， 如发生篡改则调用报警通知与恢复模块对当前 事件进行通知处 理； 所述签名检测校验模块用于提取监控目录中各类型文件嵌入的签名数据， 验证判断文 件是否合法； 所述报警通知与恢复模块， 用于当发生篡改事件时， 根据配置策略实时通知管理人员， 使用邮件的方式通知报警信息， 同时根据配置策略恢复被篡改文件内容， 生成日志存 储； 所述自保护模块， 应对进程被非法结束时再次启动该进程。 6.如权利要求1所述的端到端保护的网页防篡改系统， 其特征在于： 所述浏览器终端侧 网页防篡改子系统包括资源解析模块、 防篡改检查模块和证书检查模块； 所述资源解析模块， 通过浏览器调用， 用于解析文件， 提取文件内嵌入的签名数据和证 书， 用于后续防篡改校验； 防篡改检查模块， 对提取到的签名数据和证书进行校验检查， 基于证书检查模块， 验证 当前证书， 校验签名值， 判断当前文件是否被篡改； 证书检查模块， 用于检查证书状态， 检查证书链， 为防篡改检查模块提供证书验签能 力； 根据证书属性进 行OCSP的在 线实时证书状态 查询或基于CRL的本地查询， 返回证书有效 状态； 自动解析证书下 载CRL， 维护CRL关系， 支持全量CRL更新和 增量CRL更新。权　利　要　求　书 2/2 页 3 CN 114513359 A 3