一、Web應(yīng)用系統(tǒng)的工作原理

現(xiàn)代的信息系統(tǒng)，無論是建立信息發(fā)布和數(shù)據(jù)交換平臺，還是建立外部商業(yè)和內(nèi)部業(yè)務(wù)應(yīng)用系統(tǒng)，都離不開Web應(yīng)用系統(tǒng)。
Web應(yīng)用是由動態(tài)腳本語言（如ASP、JSP和PHP等）和編譯過的代碼等組合而成，它通常架設(shè)在Web服務(wù)器上。用戶在Web瀏覽器上發(fā)送請求，這些請求使用HTTP協(xié)議，經(jīng)過互聯(lián)網(wǎng)或內(nèi)部網(wǎng)絡(luò)與服務(wù)者的Web應(yīng)用交互，由Web應(yīng)用與企業(yè)后臺的數(shù)據(jù)庫及其他動態(tài)內(nèi)容通信。

盡管Web應(yīng)用有著許多簡化或復(fù)雜搭建方式，但一個典型的 Web 應(yīng)用通常是標(biāo)準(zhǔn)的三層架構(gòu)模型:

在這種最常見的模型中，客戶端是第一層；使用動態(tài)Web技術(shù)的部分屬于中間層；數(shù)據(jù)庫是第三層。用戶通過Web瀏覽器發(fā)送請求給中間層，由中間層將用戶的請求轉(zhuǎn)換為對后臺數(shù)據(jù)的查詢或是更新，并將最終的結(jié)果在瀏覽器上展示給用戶。

二、Web應(yīng)用系統(tǒng)的安全漏洞

Web應(yīng)用系統(tǒng)有著其固有的開發(fā)特點：開發(fā)人員素質(zhì)一般、需求快速變更導(dǎo)致缺乏嚴(yán)謹(jǐn)?shù)脑O(shè)計和代碼編寫、系統(tǒng)沒有經(jīng)過嚴(yán)格的測試等，這些特點加上HTTP協(xié)議本身的無狀態(tài)和匿名性，導(dǎo)致Web應(yīng)用出現(xiàn)了很多的漏洞，如SQL注入漏洞、跨站腳本漏洞等等。

另外，管理員對Web系統(tǒng)的現(xiàn)成軟件（包括操作系統(tǒng)、Web服務(wù)器軟件、中間件、第三方平臺、數(shù)據(jù)庫）的配置不當(dāng)也會造成很多漏洞，最常見的就是網(wǎng)頁被篡改。

作為Web應(yīng)用運行的基礎(chǔ)平臺，Web服務(wù)器（軟件）本身只提供對HTTP協(xié)議的處理，并不會對協(xié)議數(shù)據(jù)的來源和內(nèi)容進行安全檢查和安全加固，如下圖所示：

正是基于Web服務(wù)器這樣的工作原理，黑客就可以利用Web應(yīng)用程序自身的漏洞和管理員配置不當(dāng)造成的漏洞而對Web應(yīng)用進行攻擊和破壞。

三、天存Web應(yīng)用安全解決方案

為了從源頭上杜絕攻擊的發(fā)生，天存通過核心內(nèi)嵌技術(shù)給WEB服務(wù)器軟件打上安全補丁，在WEB服務(wù)器尚未對請求進行內(nèi)部（業(yè)務(wù)）處理之前，對請求中包含的各項數(shù)據(jù)進行過濾，確保只將安全的請求交給Web服務(wù)器進行處理；在Web服務(wù)器合成響應(yīng)之前對文件的完整性進行檢查，確保響應(yīng)內(nèi)容的正確性。如下圖所示：

方案優(yōu)勢

• 1.通過對請求和響應(yīng)的雙向檢測，一方面確保黑客利用Web應(yīng)用程序自身漏洞發(fā)起的各種應(yīng)用層攻擊都能夠被實時阻斷；另一方面杜絕篡改后的網(wǎng)頁/腳本文件被訪問的可能性，使黑客利用管理員配置不當(dāng)?shù)嚷┒创鄹木W(wǎng)頁的企圖完全落空。
• 2.不存在獨立的安全模塊運行進程，工作過程完全與Web服務(wù)的運行進程融合，在精準(zhǔn)理解和分析Web服務(wù)請求數(shù)據(jù)的同時，確保入侵者無法干擾安全檢測的運行。
• 3.與操作系統(tǒng)及硬件無關(guān)，與應(yīng)用系統(tǒng)使用的腳本語言無關(guān)，無需改變網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，對Web應(yīng)用的正常運行沒有任何影響。