web应用安全开发关键技术研究计算机科学与技术;计算机应用技术专业论文.docxVIP

摘要摘要 摘要 摘要 近年来，随着网络的飞速发展和网络技术的普及，Web应用已被广泛使用在 Intemet,glIntranet之中。由于Web应用程序功能性和交互性的不断增强，对应的Web漏 洞和恶意攻击层出不穷，呈现指数式的增长趋势，并导致各种安全事件频频发生，给 个人隐私安全、企业安全和社会稳定等造成了很大的严重的威胁。因此，对于如何保 证Web应用的安全已成为安全界广泛关注的重点。 本文从Web安全工程的整体性角度出发，采用了安全开发生命周期SDL的相关理 论，研究了Web安全设计、开发和运行测试这3个关键环节的相关技术，包括：可生 存性Web安全威胁建模、Web安全功能设计，通用漏洞描述语言以及Web安全检测。 本文总结了近年来Web安全技术和安全产品的发展，介绍了目前Web安全现状及 其主要威胁，提出了可生存性Web安全威胁建模的概念，对其作用、特点、方法和建 模步骤进行了分析，给出了相应的威胁建模用例，并采用．NET开发语言所提供的相 应的Web安全机制来实现该用例。随后分析了5种常用的Web安全综合评测工具，对 它们的性能进行对比，总结出评测工具所具有的优缺点，并提出了一个通用的Web安 全评测框架模型，给出Web安全评测指标以及评测管理方法。 为了在不同安全产品的漏洞数据库之间更好的共享和兼容漏洞信息，本文提出了 一种基于XML的Web应用安全漏洞统一描述语言UVDL，并制定该语言的结构化XML 文件及其主要框架文件。 作者最终实现了一个基于UVDL漏洞描述语言的Web安全渗透性测试工具，并和 Web安全综合评测工具以及兼容OVAL的评估组件的性能进行测试对比。测试结果表 明，本文所开发的渗透性测试工具的测试速度较快，能够很好的共享和兼容不同安全 产品间的漏洞信息，而且能够有效地检测出用例中所存在的漏洞，较好地保障了Web 应用的安全性。 关键字：Web漏洞、安全威胁、．NET安全机制、漏洞描述语言、安全评估工具、渗透 性测试、W曲安全 AbstractAbstract Abstract Abstract 、斫m the rapid development and popularization of network and its technology,Web applications have been widely applied in Interact and Intranet．As the functionality and interactivity of Web application strengthen continuously,the corresponding Web vuinerabilities and malicious attacks emerged and exposed a n-eIld of exponential growth． All of these lead to the frequent occurrence of various security incidents，which have brought serious threats to personal privacy security,enterprise security and social stability．Therefore，how to ensRre the security of Web application has become the widespread focal point in security community． This paper adopts related theory of Security Development Lifecycle(SDL)， considering wim the perspective of the integrity of Web safety engineering．We studied three key areas of technologies about Web security design,implementation and running test,included survivability Web security threats modeling，Web security function,the general vulnerability description language and Web security testing． This paper summarizes the recent development of Web security technology and security products