基于Cookie欺骗的Session渗透入侵分析及其安全模型研究-计算机软件与理论专业论文.docxVIP

浙江太学硕士研究生毕业论乏 浙江太学硕士研究生毕业论乏 《基于Cookie欺骗的Session渗透八侵分析及其安全模型研究》 摘 要 Cookie的引入弥补了HTTP协议的无状态性的缺陷。Web应用的服务端和 某一客户端可以通过一个相对惟一的Cookie值来维系一个Session，从而达到 状态U{别的目的。本论文指出了这种基于Cookie的Session管理机制的一种典 型缺陷，阐述了目I{{『常见的Web环境下基于Cookie欺骗的Session渗透入侵的 实现原理和预防检测手段，提出并且实现了一个局域网下利用网络监听来实现 Session渗透攻防和入侵检测的比较完整的系统。 ／Session渗透入侵主要表现在伪造Cookie中的Session ID从而冒充合法客 户端和服务器端进行数据交换，造成这个漏洞的原因是几乎所有的Web脚本解 释引擎都未对不同的IP所发送的Cookie进行充分的检查，如果非法用户截获 了发送给其他客户端的Cookie，便可能通过发送此Cookie来进行Session渗透 入侵。另外，Web脚本解释引擎通过自己的一套算法来给每个独立客户端生成 随机的Cookie值，如果这个随机生成过程能够被外界模拟猜测，那么也就相当 于其他客户端可以随时伪造Cookie来进行Session渗透，而无需预先进行网络 监听。 对Session渗透入侵的预防主要在于改良Web脚本解释引擎，加入IP验证 部分，减轻丌发人员手工编程验证的负担。而对于其检测则需要在1DS的结构 原理方面进行一些实质性的探索。本文即深入探讨了一个基于网络监听的 Session渗透入侵检测系统的设计与实现原理，这部分也是包括原理分析、入侵 预防和检测在内的Session塞全模型研究的主要内容。)尹7—一一 关键词：Cookie；Session；圈而F■可口；国网络安全；仄硬≥ 2 冲国务凑泻}羽蹶 、? 丝兰奎兰丝圭竺奎兰兰当丝叁 丝兰奎兰丝圭竺奎兰兰当丝叁 !垒兰竺!竖：鳖些璧!!塑!塑垒垒垒堡坌堑垒茎塞全!些竺叁! ABSTRACT Cookie remedies the non．state flaw of HTTP protoc01．Web client and server can keep sessions through some unique cookie strings to distinguish states from each other．This paper pointed out a typical limitation of this cookie—based session management mechanism，described the principium of session penetration vulnerability based on cookie snooping in common Web environments．and gives some preventing and detecting measures．It also designed and implemented a LAN session penetrationIDS system．using network spoofing． Session penetration invasion，as sending snooped cookies to exchange data with servers without session authorization．occurs witll the reason that all ofthe Web script engines would not check the cookies from different clients、vith different 1P addresses．If an illegal user spoofed a cookie of session id．it may send it to W曲 server to inject into the session which the cookie presents．A web script engine generates session—id cookies through some independent secret algofism．If this process can be guessed or simulated，it means other client hosts can also generate the same cookies exactly