毕业选题是《网页防篡改技术》， 可以做个什么项目， 不要太难?

[tail2]

毕业选题选了基于 internet 的网页防篡改技术， 安全方向没什么基础，现在一头雾水， 求各位学长和大佬给指个方向， 我可以做个什么项目？

[wizardoz]

https 已经实现了啊

[xyaly]

无非就是外挂轮询扫描、事件触发实时监控、Web 核心内嵌比对 Md5 和水印、网关缓存、底层驱动层级几种技术。现在常见主要还是基于操作系统底层文件驱动来处理。

[tail2]

@annielong 那我就做监控服务器的文件，网上有现成的项目嘛， 搜了好久也没搜到呀， 不知从何下手

[Hypn0s]

canvas 画出来

[ic2y]

@tail2 看看这个库 https://0kee.360.cn/hxj/#/

[tail2]

@udev 代理型（非侵入）就是监控浏览器显示的页面， 驱动型（侵入式）就是监控服务器上的文件， 我这么理解对嘛？

[stephenliubp]

防止篡改可以换个思路，就是让他不知道怎么改、如何改？改了看到的数据也无效。这样子也叫做反爬虫技术，看看 [Web 端反爬虫方案]( https://github.com/FantasticLBP/Anti-WebSpider)

[xyjincan]

多级网页服务器

[tail2]

@crs0910 thanks, 实用的回答！

[tail2]

@xyaly 非常感谢提供这些关键词！

[yinjunjian0]

csrf 可以写一堆了

[millken]

以前搞过，MD5 是不行的，常见场景是攻击者进入后台，只修改了首页引用的图片内容，首页的 MD5 是不会变的，但是页面实际已经被篡改了。

一般理解防篡改就是直观感受页面有没有变化（非代码层面），这里可以保存页面的截图，然后对图片使用相似度对比算法。给定一个阈值，当低于阈值就表明图片内容发生了改动。当然这里还要考虑诸如轮播，日期 /时间，ajax 显示等因素。

[jackchao7432]

@mauve 那动态页面的呢？

[qilishasha]

防篡改只能用于服务器不被攻破，解析服务器不被攻破的理想环境。就是不停的进行文件同步，根本不用检测前端服务器文件是不是被修改，什么鬼文件水印什么的，通通一把梭子——文件同步即可，天存就是这么干的。实际大型 ZF 网站集约化运维经验来看，外围防护现如今已经很牛 X 了。

[TonyGong]

可以考虑做个网页虚拟机，把网页转为虚拟机代码，客户端渲染是通过虚拟机实现

[wsstest]

2 种思路
1.类似 WAF 上带的功能，记录某个页面的响应内容，一旦页面被篡改，对比响应内容不一致，就对响应内容进行替换，换回原来记录的内容
2.类似防篡改软件的功能，在服务器上写个脚本，实时监控 web 应用所在路径中所有的文件，一旦文件的 md5 发生改变，就进行恢复

[mandex]

毕业论文千万不要为了高大上选自己不熟悉的题目.
不多说了,都是血泪教训

[tail2]

@wsstest 请问这两种思路哪个实现起来比较简单呐， 第二种我读起来明白一点

[tail2]

@mandex 么得办法呀， 学校改革， 信息安全必须选安全相关的， 要不然做个 web 多好， 哎。。。

[wsstest]

@tail2 #58 肯定第二个，直接在服务器跑个脚本，
for 文件 in 路径：
记录每个文件的具体路径和 md5，存进 dict 里，每个文件做一个备份
每隔一段时间循环一次，然后和已有的对比，不一样的就告警，并用备份替换
同时监控是否有文件被删除或新增，有的话进行恢复 /删除