Web應(yīng)用安全滲透測(cè)試工具的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展,Web應(yīng)用已經(jīng)成為人們生活中不可或缺的部分,然而,承載著豐富功能和用途的Web應(yīng)用程序也逐漸成為黑客和惡意用戶等攻擊者的主要攻擊目標(biāo)。因此,如何確保Web應(yīng)用程序的安全已經(jīng)成為政府、企業(yè),甚至是銀行等金融行業(yè)所面臨的主要挑戰(zhàn)。為了能夠在惡意用戶攻擊Web應(yīng)用程序之前就將漏洞扼殺在搖籃里,應(yīng)該進(jìn)行Web應(yīng)用安全滲透測(cè)試以提高Web應(yīng)用的安全性。
　　本文對(duì)Web應(yīng)用常見(jiàn)漏洞進(jìn)行了分析,研究了Web應(yīng)用中常見(jiàn)漏

2、洞的形成原因以及相應(yīng)的防御方法,例如注入漏洞、XSS漏洞,錯(cuò)誤的認(rèn)證和會(huì)話管理漏洞、不正確的對(duì)象引用、偽造跨站請(qǐng)求和安全性誤配置等。設(shè)計(jì)并實(shí)現(xiàn)了基于網(wǎng)絡(luò)爬蟲(chóng)的Web應(yīng)用安全滲透測(cè)試工具,包括:(1)網(wǎng)絡(luò)爬蟲(chóng)模塊。網(wǎng)絡(luò)爬蟲(chóng)采用廣度優(yōu)先的爬取策略,在多線程爬取的過(guò)程中,通過(guò)網(wǎng)頁(yè)解析、URL格式化和過(guò)濾,獲得目標(biāo)網(wǎng)站的所有URL。(2)安全滲透注入模塊。詳細(xì)分析了滲透注入模塊的原理,分析了URL的請(qǐng)求中GET類型的注入點(diǎn)和注入?yún)?shù),以及POS

3、T類型的注入點(diǎn)和注入?yún)?shù),采用自動(dòng)化的注入機(jī)制將構(gòu)造的惡意URL發(fā)送給服務(wù)器。(3)漏洞分析模塊。給出了漏洞判定規(guī)則表,并將Web服務(wù)器端返回的響應(yīng)與漏洞規(guī)則表中的預(yù)期輸出對(duì)比,從而確定Web應(yīng)用存在的漏洞,并以html格式將漏洞報(bào)表展示出來(lái)。
　　該工具具有一下三個(gè)優(yōu)點(diǎn):檢測(cè)效率良好,能夠比較全面的發(fā)現(xiàn)Web應(yīng)用存在的漏洞;檢測(cè)準(zhǔn)確性較高,而且能夠給出詳細(xì)的漏洞檢測(cè)報(bào)告;擴(kuò)展性良好,可以方便的將以后新發(fā)現(xiàn)的漏洞掃描插件添加進(jìn)來(lái),