网站内容安全防护技术浅析(本文对CDN技术进剖析，揭开厂商使用CDN的风险 )

　　网站内容安全防护技术浅析(本文对CDN技术进剖析，揭开厂商使用CDN的风险

)

　　本文作者从安全角度分析CDN技术，揭露厂商使用CDN技术的风险，分析黑客和黑产品的新攻击方向。

　　其实只要对CDN的工作流程有一定的了解，能够了解数据包的流向，就可以得出风险点。在本文中，作者只讨论动态页面的请求过程（静态页面一般不回源），至于静态页面，大多由节点的webcache直接返回，一般不收录敏感信息（ cookie 实际上是敏感信息），因此我们不会讨论它们。

　　一。CDN工作流程如下：

　　1.管理员或站长将域名的DNS指向CDN厂商的DNS（当然根据选择，也可以使用CName方式，但不影响流量数据的）。

　　2.用户需要登录站点请求DNS获取服务器IP（这里最终请求的DNS服务器是CDN厂商的DNS）

　　3.CDN厂商收到DNS查询请求和各种信息，使用各种算法选择离用户最近的节点，该节点的IP为1.1.1.@ >1 返回给用户作为服务器IP（这里CDN厂商告诉用户一个假的服务器IP）

　　4. 用户收到DNS响应，向1.1.1.1发送HTTP请求（登录请求，请求消息中收录用户密码）

　　5. CDN节点收到请求包，判断请求消息是否为动态页面。如果它是静态的，请检查网络缓存。如果有缓存，直接返回缓存的页面。如果是动态页面请求或未缓存的静态页面，则节点直接请求真实来源，以获取最新内容。（注：这里的动态页面请求一般每次都会做回源操作）

　　6.然后服务器响应请求，这里不讨论

　　二.CDN的弱点

　　从上图可以看出，网站的请求消息会经过CDN厂商的节点（无需特殊操作）。因此，安全风险都集中在CDN厂商的节点上。一般一个节点会提供N个以上的网站加速度。不管是360、腾讯、百度还是新浪，只要使用商业CDN，就等于是孤注一掷，将部分安全交给CDN厂商。

　　一旦攻击者控制了 CDN 供应商节点，他就可以轻松捕获和分析数据包。对于CDN厂商来说，他们毕竟不是专业的安全公司，在防护方面肯定会有所不足。

　　太多了，很难保证每个节点的安全（可以再试试ARP欺骗，从同一个IP开始）

　　三. 从CDN看黑市趋势

　　1.过去，攻击者在对目标发起攻击时，会先扫描检测目标IP。但是由于CDN的存在，很多攻击者无法直接获取源IP，于是转而攻击CDN节点。一旦节点被入侵，那么获得站点权限将是时间问题。另外，在这个信息发达的时代，一般都是买一送多。大数据时代，一个节点网站足以支撑你。从视觉上看，接下来对CDN节点的攻击将成为黑色产业链的热门话题（估计已经很火了，不知道）

　　2.CDN厂商其实可以成为黑产的大数据提供商。对于应用软件，您可以在本地进行分析，查看数据是否在后台偷偷上传。对于 CDN，可以吗？作者建议少用免费的CDN服务，除非你已经麻木了，或者你做了特殊的手段。

　　3.大型企业自建CDN会增加安全维护成本，攻击者将大部分时间花在攻击企业CDN网络上

　　四. 从 CDN 劫持到 DNS

　　百度经常被黑，某暗网被黑网站打死，XXX也被整顿。最后是DNS劫持。有没有可能DNS劫持只能改页面？还是只允许用户访问恶意站点？看CDN的工作原理，结合APT攻击。长时间凝视是可以的。某天某个时间，有人说可以控制某个域名的DNS解析，问怎么用。估计看了前面原理的人已经想到了如何进一步使用DNS劫持。笔者在此公布一些个人方法，仅供参考。

　　1.搭建小型CDN网络，一个节点，一个自己的域名，一个自建DNS服务器。修改域名DNS指向自己搭建的DNS，将站点的所有流量都拉到自己的节点上，并在自己的节点上安装抓包软件（可以找相关资料搭建CDN网络）

　　2.设置传输服务器（代理服务器），将域名解析到自己的服务器，由攻击者的服务器传输（其实可以通过使用本地HOST和一些数据转发软件来实现）。这点比上点好多了，而且缺少一个DNS服务器。

　　3. 充分利用HTTP协议，编写PHP脚本，转发接收到的消息。当然，作者在这里通过了测试。这种方法效率不高。一开始忘记了cookie处理，导致用户无法登录，后来cookie处理后转发成功，但缺点是“速度如蜗牛”！

　　五.留给下一个大牛补充……

　　顺便宣传一下温格的名言。

　　开发：no code you say G JB 逆向：no 0day you say G JB 脚本小子：no kits you say G JB 黑产：no data you say G JB 娱乐圈：no picture you say G JB