Web應(yīng)用系統(tǒng)漏洞檢測(cè)技術(shù)研究與實(shí)現(xiàn).pdf

1、隨著Web技術(shù)的發(fā)展，網(wǎng)站給人們帶來(lái)的體驗(yàn)越來(lái)越好。特別是Web2.0，告別了沉重的請(qǐng)求-返回的模式，采用更輕便的局部刷新模式，讓用戶體驗(yàn)得到極大的提高。其中，Ajax技術(shù)在Web2.0中占據(jù)了主導(dǎo)地位。然而Ajax技術(shù)將一部分邏輯處理從服務(wù)器端轉(zhuǎn)移到客戶端，暴露了更多的接口，增加了許多針對(duì)Web應(yīng)用程序的安全威脅，其中嚴(yán)重程度最高的就是SQL注入攻擊和跨站腳本攻擊。國(guó)際開(kāi)源安全組織公布的十種最嚴(yán)重的Web應(yīng)用程序安全漏洞排行榜中可知，

2、SQL注入攻擊和跨站腳本攻擊一直處于前三的位置。這些漏洞可在用戶毫不知情的情況下進(jìn)行攻擊，威脅性很大。就目前而言，采取較多的行為都是被動(dòng)的防范措施，比如防火墻等。這樣做明顯忽略應(yīng)用程序級(jí)別的安全問(wèn)題，使之在高層面缺乏有效的防范方式。因此依據(jù)XSS跨站腳本和SQL注入等常見(jiàn)漏洞的產(chǎn)生原因和檢測(cè)方法，設(shè)計(jì)并實(shí)現(xiàn)Web應(yīng)用安全漏洞自動(dòng)檢測(cè)系統(tǒng)作為輔助工具，提早發(fā)現(xiàn)應(yīng)用程序級(jí)別的安全問(wèn)題可以防患于未然。
　　本文所做的研究工作包括以下的幾

3、個(gè)方面:
　　(1)重點(diǎn)分析Web應(yīng)用程序的工作流程和可利用的各種安全漏洞。針對(duì)跨站腳本攻擊和SQL注入的攻擊原理及其分類進(jìn)行綜述，并給出漏洞檢測(cè)的研究現(xiàn)狀，同時(shí)對(duì)前人所研究的內(nèi)容進(jìn)行比較分析。
　　(2)分析不同種類的網(wǎng)絡(luò)爬蟲過(guò)程中存在的問(wèn)題，設(shè)計(jì)一個(gè)高效并合適本系統(tǒng)的網(wǎng)絡(luò)爬蟲，然后通過(guò)對(duì)XSS跨站腳本漏洞和SQL注入漏洞攻擊手段的研究，創(chuàng)新性的提出了攻擊向量的功能類型拆分與隨機(jī)組合以及變形規(guī)則來(lái)提高系統(tǒng)檢測(cè)的準(zhǔn)確性。

4、r>　　(3)提出基于頁(yè)面代碼行為的漏洞檢測(cè)算法和基于JavaScript中的XMLHttpRequest檢測(cè)算法，根據(jù)網(wǎng)絡(luò)爬蟲提取到的輸入點(diǎn)，注入錯(cuò)誤數(shù)據(jù)，運(yùn)用動(dòng)態(tài)檢測(cè)技術(shù)，細(xì)粒度的檢測(cè)Web應(yīng)用中存在的XSS跨站腳本漏洞和SQL注入漏洞。
　　(4)對(duì)系統(tǒng)進(jìn)行詳細(xì)的設(shè)計(jì)，運(yùn)用C＃實(shí)現(xiàn)漏洞檢測(cè)工具SXFINDER。詳細(xì)說(shuō)明整個(gè)系統(tǒng)的流程和各個(gè)功能子模塊的設(shè)計(jì)。
　　(5)將系統(tǒng)運(yùn)用到真實(shí)的項(xiàng)目中，對(duì)系統(tǒng)進(jìn)行了詳細(xì)功能模塊測(cè)

5、試和性能測(cè)試，并與其它安全漏洞檢測(cè)軟件進(jìn)行對(duì)比，驗(yàn)證本文提出的算法具有可行性、設(shè)計(jì)的軟件具有可靠性。
　　本文提出的方法中主要有以下創(chuàng)新點(diǎn):
　　(1)對(duì)網(wǎng)絡(luò)爬蟲進(jìn)行改進(jìn)，主要在三方面:①合適的爬蟲搜索策略;②正確的URL合法性要求;③高效率的去除重復(fù)URL。
　　(2)提出了一種攻擊向量的拆分與隨機(jī)組合以及變形規(guī)則的方法來(lái)生成攻擊向量。主要思想是將攻擊向量按不同功能類型拆分到不同的模板庫(kù)，再通過(guò)模板庫(kù)之間隨機(jī)組合與加