基于规则库和网络爬虫的漏洞检测技术研究与实现.pdfVIP

2014年第10期 基于规则库和网络爬虫的漏洞检测技术 研究与实现 杜雷，辛阳 (北京邮电大学信息安全中心，北京 100876) 摘 要 ：Web技术是采用HTTP或HTTPS协议对外提供服务的应用程序，Web应用也逐 渐成为软件开发的主流之一，但Web应用中存在的各种安全漏洞也逐渐暴露出来，如 SQL注 入、XSS漏洞，给人们带来巨大的经济损失。为解决Web网站安全 问题，文章通过对Web常 用漏洞如 SQL注入和 XSS的研究，提 出了一种新 的漏洞检测方法，一种基于漏洞规则库、使 用网络爬虫检测SQL注入和XSS的技术。网络爬虫使用HTTP协议和URL链接来遍历获取网 页信息，通过得到的网页链接，并逐步读取漏洞规则库里的规则，构造成可检测出漏洞的链接 形式， 自动对得到的网页链接发起 GET请求以及 POST请求 ，这个过程一直重复，直到规则 库里的漏洞库全部读取构造完毕，然后继续使用网络爬虫和正则表达式获取网页信息，重复上 述过程，这样便实现 了检测SQL注入和 XSS漏洞的 目的。此方法丰富了Web漏洞检测的手段 ， 增加 了被检测网页的数量 ，同时涵盖了HTTPGET和HTTPPOST两种请求方式，最后通过实 验验证了利用此技术对Web网站进行安全检测的可行性，能够准确检测网站是否含有SQL注 入和XSS漏洞。 关键词 ：网络爬虫 ；SQL注入 ；XSS漏洞 ；规则库 中图分类号 ：TP309 文献标识码 ：A 文章编号 ：1671—1122(2014)10—0038—06 ResearchandImplementationofW ebVulnerabilityDetection TechnologyBasedonRuleBaseandW ebCrawler DU Lei．XIN Yang (InformationSecurityCenter,BeoingUniversityofPostsandTelecommunicationsBejiing100876，China) Abstract：WebtechnologyistheapplicationusingHTTPorHTTPSprotocolstoprovideservices． Webapplicationsarebecomingoneofthemainsoftwaredevelopmenttrends，butavarietyofsecurity vulnerabilitiesinWebapplicationsaregraduallyexposed，suchasSQLinjection，XSSvulnerabilities． Itbringsa1otofeconomic1OSS．Tosolvetheproblem ofW ebsitesecurity．basedonWebresearch forcommonvulnerabilitiessuchasSQLinjectionandXSS，thispaperpresentsanovelmethodofr vulnerabilitydetectionwhichcandetectWebvulnerabilitiesusingWebCrawlerconstructingusing URLscombinedwithvulnerabiliyt rulebase．WebCrawlerusestheHTTPprotocolandURLlinksto traverseth