AJAX安全技术分析.pdfVIP

维普资讯 分析Ajax技术的安全性 马 国胜 摘 要 介绍基于HTTP协议传输数据 的Ajax技术基本原理和存在的安全 问题 。在使用 Ajax技术构建的不安全的程序示例基础上，讲解和分析程序实现的过程 。例 中 的程序将捕获和收集在测试网页上所有的操作，并发送消息到服务器上，达到 监视 的效果 。 关键词 Ajax技术，安全性 ，JavaScript，HrrrP协议 ，XML 试想一下 ，你正在浏览的网页在后台下载一些恶意程序和 一 、 概述 执行它 ，你和防火墙毫不知情 ，这是一件多么可怕的事情 。 在 Web开发领域 ，Ajax (异步 JavaScript和 XMLH3TPRe— 2．无处不在的 “监视 ” quest)是一个非常新 的名字 ，为 AdaptivePath的JesseJames 使用Ajxa技术很好改进了Web应用程序和用户之间的交 Ga~ett所创。ajxa技术使Web应用软件开始变得具有象桌面 互性 ，实现不需同滚的输入校验和文本区域的拼写检查等是那 应用软件相似的行为，简单地把终端用户从需要了解服务端、 么简单。更复杂的应用是，你的操作被跟踪并发送到Web服 客户端、回寄、提交按钮和处理提交的程序等一系列问题的苦 务器，Web服务器上的应用程序猜测你的下一步操作和 目的， 海中解脱出来 。 ’ 将提示信息和操作方法显示在你前面，具有这样友好性的Web Ajax技术实现过程是 ，Web页面中的JavaScript脚本使用 应用程 序 以前可是 不多见 。应 用 Ajax技 术 的 GoogleLabs XMLHTTPRequest对象与服务器异步通讯 ，服务器接收请求后 (http：／／labs．google．corn)的GoogleSuggest已经很好地实现了 返回业务数据 (可以是任何类型的数据)；数据通过脚本程序 这一功能，你输入一个字符的时候 ，服务器将返回使用这个字 处理后 ，动态地更新显示在 Web页面上 。在这个过程 中，Web 符的词 ，排序显示 ，让你选择。然而向服务器提交输入字符的 页面不用打断交互流程进行重新加载。 动作你感觉不到。 在改变 Web开发方式的同时 ，Ajxa技术也带来 的一系列 也正是因为这种 “感觉不到”神奇 ，在浏览使用 了Ajax 安全问题。这将是对现有的安全体系是一次很大的挑战，也将 技术的WEB页面时，每一次击键 ，每一个鼠标移动 ，每一下 引起我们思考 ，应该如何利用 Ajxa 构建安全的Web应用环 点按 鼠标 ，每一次停顿 ，都能被捕获并发送到Web服务器， 境。 而你对此无能为力。当你感觉到，这种简直 “什么东西都可以 是被跟踪的数据”和 “任何时候都可以发送出去”的突然间出 二、安全 问题 现一种新的 “监视”技术，工作的时候不需要用户的任何了 1．防火墙 的无能为力 解，甚至用户还不了解这竟然是可能发生的。最后，你不再对 基于 HTrP (超文本传输协议 )协议传输数据的Ajax技 Ajax的神奇感兴趣 ，转而考虑 “我怎么防止被监视”。 术 ，可以穿透几乎所有的防火墙，从服务器将任何类型的数据 3． “神 出鬼没”的代码 和文件传