Web应用程序脆弱性自动化分 析技术的研究与实现-计算机科学与技术专业论文.docxVIP

万方数据 万方数据 独创性声明 本人声明所呈交的论文是我个人在导师指导下进行的研究工作及取得的 研究成果。尽我所知，除了文中特别加以标注和致谢的地方外，论文中不包 含其他人己经发表或撰写过的研究成果，也不包含为获得西南科技大学或其 它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所 做的任何贡献均己在论文中作了明确的说明并表示了谢意。 签名:力只 日期: 2J!{ b 关于论文使用和授权的说明 本人完全了解西南科技大学有关保留、使用学位论文的规定，即:学.校 有权保留学位论文的复印件，允许该论文被查阅和借阅;学校可以公布该论 文的全部或部分内容，可以采用影印、缩印或其他复制手段保存论文。 (保密的学位论文在解密后应遵守此规定) FJ八只U名 FJ八 只U 名 ， 签 摘 要 Web 应用程序上线前进行脆弱性分析测试以发现其潜在漏洞具有重要的意 义。目前，对 Web 应用脆弱性的分析测试多是由人工操作或使用部分工具软件 以辅助人工操作来完成，自动化水平较低。为了提高测试效率和自动化水平， 亟需对 Web 应用脆弱性自动化分析技术的研究。 论文对课题相关背景、国内外研究现状以及常见 Web 应用漏洞进行了研究， 并 总 结 了 针对 SQL 注 入 与 XSS 漏 洞 的 攻 击测 试 字 符 串 。 本 文 创新 之 处 在 于 ， 在关键字响应分析与反向提取技术的基础上提出了自学习 Web 响应分析算法， 提高了 Web 应用测试的自动化水平。该算法利用关键字词库对响应结果进行分 析，若没有匹配成功再利用启发式分析技术进行分析，当分析结果有效则提取 响应的关键字加入词库以达到自学习的目的。实验证明，该算法能够对测试响 应结果自动地进行分析，突破了关键字分析技术只能分析含有关键字的响应这 一局限，同时，比单纯反向响应提取技术具有更高的效率。最后，设计并实现 了 Web 应用程序脆弱性自动化分析平台，将自学习响应分析算法应用于实践。 关键字：Web 应用程序 脆弱性 响应分析 Abstract It is very important to analyze and test the vulnerability of Web application before it is used in order to find out the potential vulnerabilities. However, the analysis and testing of the vulnerability is mostly done by manual operation or is done with the help of some software tools, the level of automation is very low. Obviously, in order to improve the efficiency and automation level of the testing, it is urgent to study the automatic analysis technology of Web application vulnerability. he paper studies the background of the subject and the research at home and abroad, then the vulnerability of common Web application is studied, the attack strings for SQL injection and XSS vulnerability are made up. In order to enhance the level of Web applications’s automated test, the self-learning response analysis algorithm which is based on keyword response analysis and negative response extraction is proposed, the algorithm uses the keyword lexicon to analyze Web application’s response, and if there is no keyword to match, negative response extraction will be used. When the result is success the algorithm will extract