校园门户网站的设计与防护

沈阳理工大学 周向东 李爱华 王春云

校园门户网站的设计与防护

沈阳理工大学 周向东 李爱华 王春云

最近几年，随着4g的普及，加之政府的高度重视，我国互联网得到了飞速的发展。截至2015年12月，中国网民规模达到6.88亿，互联网普及率达到50.3%，中国居民上网人数已过半。其中，2015年新增网民3951万人，增长率为6.1%，较2014年提升1.1个百分点，网民规模增速有所提升[1]。就高校而言，门户网站也是对外宣传、办公、合作交流最好的途径，所以门户网站对高校的发展起到了很重要的作用。几乎每一个高校都有自己的门户网站，但由于各个高校各部门人员技术水平参差不齐，经费水平不同，所以利用各自现有的资源去开发设计各自的门户网站，造成样式功能和防护能力都有很大差异。由于资源平台无法共享、无法得到统一的调度，使信息中心无法完全的管理每一个部门的门户网站，对高校信息化建设和统一管理都造成了很大影响。为了解决上述问题，本文主要采用.net平台，asp.net、软件工程里 MVC三层架构设计、sqlserver2005数据库等技术，主要有总站管理、分站管理二大部分，设计并实现了一套站群管理系统。在安全层面上主要采用sqlsersql2005数据库的权限功能和分布式管理部署，极大减少了校园门户网站遭到黑客攻击的可能。最后经过近一年实际很用和测试，信息中心提高了对学校的各个门户网站的管理，防护能力也得到了提升，并提高了整体网站质量，得到了学校的认可。

站群；门户网站；分布式管理部署；防护能力；高校

1.高校门户网站现状

由于现阶段高校门户网站的一些二级部门和院系技术力量薄弱，难以自主的完成自己二级网站的建设，站群门户网站的设计有效的解决了这个问题，使各部门和院系可以自主搭建起自己简易的门户网站。网站一体化对相关部门（信息中心）的管理也更加便捷有效。

门户网站的信息发布环节上，有一些门户网站由于只是由单个号就可以管理整个信息维护，所以发布信息可能需要各级领导的人为盖章审批才可发布，这大大降低了网站信息更新的效率。权限分配是基于发布人、审批人、终审人以及更多的审批过程，通过网站系统进行审批，减去了人为审批的相关的繁琐过程，大大提高了信息维护效率。

当今高校对门户网站的防御主要还是依靠一些国内外安全产品和物理上隔绝的方式，缺乏有效的安全体系。面对当今典型的跨站脚本攻击[2]、注入攻击、DDoS攻击、网页篡改、网页挂马等。轻者导致页面内容被篡改、植入广告，重者导致服务器被控制，重要的资料被泄密以及经济损失。这样的现状导致当前高校网络存在着巨大的安全隐患，使得门户网站的建立安全性成为一个亟待解决的问题。

2.设计思路

2.1 站群搭建

站群就是网站的集合，通常由几个到几百个网站组成，并不是把很多个网站集中在一起就可以称得上是站群了，一定是要统一，分级管理，信息共享，单点登录才可以。站群实现了技术标准统一，能够互联互通，实行集群化管理，相对一致的网站运行和服务规范。

2.2 利用ASP.NET代码安全机制和SQLSERVER2005数据库的自身安全机制

在代码层面利用ASP.NET的自Global全局组件的特点过滤危险字符和脚本攻击。

在SQLSERVER2005数据库，用户可以建立用户，并且对每一个用户赋予不同的权限，在浏览器浏览页面中，因用户只需对网页进行浏览，并不需要进行修改操作，所以建立只读权限的用户可以加大SQL注入的难度。

存储过程（Stored Procedure）是在大型数据库系统中，一组为了完成特定功能的SQL 语句集，不但能提升信息的查询速度，还可以起到隐藏SQL语句的作用，造成黑客很难去从代码脚本中分析出数据库结构。

2.3 分布式服务器布控的搭建

利用分布式服务器布控（见图一），头服务器虚目录读取其它服务器共享中的只读数据，可以有效的防范黑客恶意上传脚本攻击文件。

图一 分布式服务器布控

图二 分网站设计模块

2.4 模块设计和完成编码

对各部门和院系的实际需求做了调研，根据实际情况作出了设计模块（应该是模块设计）和数据库设计，并创建了SQLSERVER2005数据库，进行了表设计，搭建IIS服务器和VMVARE虚拟机的资源分配，利用VS2010编写并完成了ASP.NET代码，最后在实际应用中做了测试工作。

本网站共分为系统管理员、总站管理员、部门负责人、部门信息员四个模块（见图二）。系统管理员模块主要维护整个网站个基本信息配置；总站管理员模块主要负责官方首页信息维护；部门负责人模块主要负责该部门网站的人员审核和建立二级网站；部门信息员模块主要负责本部门信息维护。

[1]中国互联网络信息中心.第37次中国互联网络发展状况统计报告[R]2016(01).

[2]Michael Cross Kapinos,Haroon Meer.Web Application Vulnerabilities Detect,Exploit,Prevent[M].Syngress Publishiing.