JSP应用的安全性研究.pdfVIP

( ) 第 21 卷 第 4 期 佳 木 斯 大 学 学 报 自 然 科 学 版 Vol. 21 No. 4 2003 年 12 月 Journa l of J iam usi Un iversity (Na tura l Sc ience Ed ition ) D ec. 2003 ( ) 文章编号: 1008- 1402 2003 04- 0417- 05 J SP 应用的安全性研究 ①孙　梅 ( 内蒙古大学, 内蒙古 呼和浩特 010021) 摘　要: 　通过介绍常见的 JSP 服务的操作系统的漏洞和 JSP 程序的漏洞, 详细的阐述了JSP 应用 存在的安全性问题, 给出了相应的解决办法和建议. 最后介绍了自己设计的基于JSP 的在线图书管理系 统所采取的安全措施. 关键词: 　 ; ; JSP Java Servlet JavaBean 中图分类号: 　 393　　　文献标识码: 　 T P A 1　 JSP 的执行过程以及网络安全上的优点[ 1 ] 随着电子商务的出现, 尤其是涉及资金支付和认证方面的电子商务, 安全是第一要考虑的问题. ( ) JSP Java Server Pages, Java 服务器页面 是一种W eb 开发的新技术, 是Java Servlet 的扩展. 它将 Java 脚本编写的动态部分嵌入到普通的H TM L 或XM L 网页中. 一个完整的W eb 应用由三层构成:W eb 服务器, Servlet 引擎和J sp 引擎. 当W eb 应用程序服务器第一次收到 JSP 页面时, 先由JSP 引擎预处理 并转换成Java Servlet, 这个 Servlet 经过配置, 可以处理对JSP 页面的请求. JSP 在网络安全方面的优点: ( 1) JSP 源程序不大可能被下载, 特别是JavaBean 程序完全可以放到不对外的目录中. (2) 基于Java 的, 具有Java 的安全特性. 2　JSP 中存在的安全漏洞和解决方法 JSP 把 Java 代码嵌入到 H TM L 文档之中, 为访问外部功能和可重用对象, JSP 提供了一些用来和 JavaBean 组件交互的额外标记. 特别地, 为了便于动态生成内容和格式, JSP 允许在标记之内嵌入其他标 记. 这些结构都增加了安全问题的复杂性. 另外, JSP 的体系结构相当复杂, 其中包含许多相互协作的子系 统. 这些子系统之间的交互也是安全隐患的根源. 总之, 在 JSP 系统中有很多产生安全漏洞的机会. 下面 将讨论最常见的一部分. 2. 1　 源代码及文件路径暴露 ( ) 请求中添加特殊字符后缀导致 源代码文件暴露 是 1 在H T T P JSP U n ify eW ave ServletExec Java Java Servlet 引擎插件, 主要用于W EB 服务器. 当一个H T T P 请求中添加下列字符之一, ServletExec 将 返回 JSP 源代码文件. % 2 + % 2 % 5 % 20 % 00. 例如输入形