两种基于HTTP的用IDS躲避.pdfVIP

I．介绍 自从Rain Forest Puppy（RFP）的网络扫描器whisker首次公布于众以来 ［1］，HTTP IDS躲避技术已经逐渐流行。原先许多的HTTP IDS技术，都是从 whisker的第一个版本出现的，包括简单的使用多个“/”的混淆目录技术，也 包括更复杂的 － 在URL里插入“HTTP/1.0”以躲避那些搜索URL地址的IDS 算法。 除了whisker中出现的躲避技术，还有其他类型的HTTP混淆方法。其中的一个 混淆URL的方法就是使用绝对URI与相对URI［2］。虽然这些方法很有趣，但 是都不如whisker扫描中使用的方法常见。 下一个流行的躲避方法也是RFP发布的，利用了微软互联网信息服务器（IIS） 的UTF-8 unicode解码漏洞［3］。虽然是IIS的一个严重漏洞，它同时也给出 了一个IDS未曾实现的URL编码方法。目前为止，大部分IDS仍然只是关注以 前whisker的ASCII编码与目录遍历躲避技术，对Unicode的UTF-8编码却没 有相应的保护。Eric Hacker对这种类型的HTTP IDS躲避技术，写了一篇非常 专业的文章［4］。本文也会对Hacker文中的一些观点分析并解释。我们将继 续Hacker的观点并深入了解：这些编码到底意味着什么，怎样才能造出更奇怪