Web应用常见漏洞的产生场景和检测规则研究-电子与通信工程专业论文.docxVIP

暨南大学硕士学位论文Web 暨南大学硕士学位论文 Web 应用常见漏洞的产生场景和检测规则研究 万方数据 万方数据 摘要 随着互联网的发展和 Web 2.0 时代的到来，在许多行业领域都建设了 Web 应 用信息站点，而网络上针对这些 Web 应用程序的攻击也越来越多。 Web 应用出现的安全问题已经非常迫切，传统的网络安全保护措施只能有限 度地保护 Web 应用不受攻击。网络防火墙必须放过 80 端口的 http 请求，且大部 分 WebServer 都没有仔细地检查 http 请求的合法性，因此 Web 应用程序成了暴 露在互联网上的靶子。对 Web 应用安全漏洞的产生场景和检测技术展开详细研 究具有基础应用价值，也引起了越来越多信息安全研究人员的注意。 针对层出不穷的 Web 安全漏洞，本文着重研究了 SQL 注入、XSS（反射型、 DOM 型和存储型）以及 CSRF 等常见重点漏洞的产生场景和检测规则，此外还 研究了比较适合扫描系统存储和下发的规则 文本组织形式，以及具有 解 析 javascript 脚本功能的爬虫实现。 经过在本地搭建的测试环境的测试，提出的检测用例能够检测出大部分常见 漏洞，而对于存储型 XSS 漏洞尚无自动化解决办法。此外检测用例也探测到一 些实际站点的漏洞，说明研究的规则有一定的实用性。设计实现的爬虫不仅能够 爬出静态页面中的 url 链接，对于需要解析 javascript 才能获取的链接也可以爬取。 提出的 xml 规则组织文本形式能够适应规则的扩展，也为扫描器的规则解析和 下发提供便利。 [关键词] Web 安全；漏洞检测；SQL 注入；XSS；CSRF；网络爬虫 I ABSTRACT With the development of Internet and the arrival of Web 2.0, web application information site are widely built in many industries, meanwhile, those web applications are constantly under attack in many ways. The security of web application have already become an urgent problem, traditional security protection measures can only provide limited protection from attack. Network firewall must pass 80 port HTTP requests, most of the servers don’t check the legitimacy of HTTP requests carefully, the above issues make application become an exposed target on the Internet. For this reason，increased research in Internet security has recently generated a great deal of interests in the root causes and detection technologies of web application vulnerability, showing its foundation application value. Aiming at the emerging Web security vulnerabilities, this paper studied common key root causes and detection rules, such as SQL injection, XSS (reflective, DOM and storage type) and CSRF. Furthermore, we studied the rule text organization form which is suitable for scanning system during storage and release period. And also, we achieved implemention of Crawler with analytic function of javascript. After being tested in the local set up, the proposed test cases were abled