Web程序与数据安全分析-信息安全专业论文.docx

IV IV with minimum runtime overhead. We evaluate our system on several data stealing attacks scenario for generating sDPG. The sDPG generated by our system captures multiple aspects of data accessing patterns and provides clear insights into the data leakage path. We also measure the performance of our system and find that it degrades the production system about 6% in the trace-on mode. When our prototype works in the trace-on mode, the runtime overhead is even lower, on an average of 1.5% across each benchmark we run. We believe that it is feasible to directly apply our prototype into production system environment. KeyWords： Data flow Tracking, Dynamic Taint Analysis, Dynamic Instrumentation, Vulnerability，Drive-by Download, Data Leakage，Botnet, Complex Networks 独创性声明 本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得 的研究成果。尽我所知，除文中已经标明引用的内容外，本论文不包含任何其他个 人或集体已经发表或撰写过的研究成果。对本文的研究做出贡献的个人和集体，均 已在文中以明确方式标明。本人完全意识到本声明的法律结果由本人承担。 学位论文作者签名： 日期： 年 月 日 学位论文版权使用授权书 本学位论文作者完全了解学校有关保留、使用学位论文的规定，即：学校有权 保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。 本人授权华中科技大学可以将本学位论文的全部或部分内容编入有关数据库进行检 索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。 保密□ ，在 年解密后适用本授权书。 本论文属于 不保密□。 （请在以上方框内打“√”） 学位论文作者签名： 指导教师签名： 日期： 年 月 日 日期： 年 月 日 PAGE PAGE 49 1 绪 论 1.1 研究背景 WWW 从 1991 年 CERN 的基础上发展至今，已经成为互联网的最重要的服务内 容。Web 应用关系到数以亿计的站点，几十亿网络用户，同时也是亿万财富流动的 场所。全球经济已经越来越依赖于 Web 服务。从 Web 邮件，购物网，新闻，银行， 医疗服务，到社交网络，这些基于 Web 的服务以及成为数字生活的重要组成内容。 用户在 Web 应用中处理个人信息，社会安全号，信用卡信息。Web 应用已经成为连 接客户与企业组织的最有效通讯渠道，同时 Web 应用服务数以百万计的 Web 服务器 也成为了信息集结地和海量文件的存储库。此外基于 Web 服务的应用程序也被应用 于国计民生的方方面面和重要领域，比如电网的管理，大型水电站的运营，军事设 施的控制。很难设想如此重要的基础设施一旦遭遇安全威胁，将带来难以预计的财 产损失甚至生命代价。 图 1.1 漏洞在各软件层中的分布特征 当前互联网中最重要的资源--程序和数据几乎都与 Web 服务相关，很自然的， 伴随 Web 广泛应用，Web 基础设施服务，应用程序和数据以及成为互联网络中吸引 黑客攻击的头号目标。依据 SANS 机构 2009 年的报告，互联网络中的程序漏洞是各 种安全威胁传播的主要途径[1]。浏览器，Web 应用程序，服务器端数据库构成了成为 主要被攻击对象。如下图所示，越是位于软件抽象层的顶端，可能存在的漏洞越多。 根据 CVE 调查，近年来 Web 相关的漏洞逐年增加，取代了普通的软件漏洞而成为 威胁安全头号敌人。Cenzic 组织的一份研究报告显示，78%的互联网络威胁与 Web 应用相关[2]。 表 1.1 是 Common Vulnerabilities and Exposures(CVE)数据库中关于 Web 基础设 施服务和应用程序相关的漏洞的统计[3]。数据显示与 Web 基础设