Web應(yīng)用常見(jiàn)漏洞的產(chǎn)生場(chǎng)景和檢測(cè)規(guī)則研究.pdf

1、隨著互聯(lián)網(wǎng)的發(fā)展和Web2.0時(shí)代的到來(lái)，在許多行業(yè)領(lǐng)域都建設(shè)了Web應(yīng)用信息站點(diǎn)，而網(wǎng)絡(luò)上針對(duì)這些Web應(yīng)用程序的攻擊也越來(lái)越多。
　　Web應(yīng)用出現(xiàn)的安全問(wèn)題已經(jīng)非常迫切，傳統(tǒng)的網(wǎng)絡(luò)安全保護(hù)措施只能有限度地保護(hù)Web應(yīng)用不受攻擊。網(wǎng)絡(luò)防火墻必須放過(guò)80端口的http請(qǐng)求，且大部分WebServer都沒(méi)有仔細(xì)地檢查http請(qǐng)求的合法性，因此Web應(yīng)用程序成了暴露在互聯(lián)網(wǎng)上的靶子。對(duì) Web應(yīng)用安全漏洞的產(chǎn)生場(chǎng)景和檢測(cè)技術(shù)展開(kāi)詳細(xì)

2、研究具有基礎(chǔ)應(yīng)用價(jià)值，也引起了越來(lái)越多信息安全研究人員的注意。
　　針對(duì)層出不窮的Web安全漏洞，本文著重研究了SQL注入、XSS（反射型、DOM型和存儲(chǔ)型）以及CSRF等常見(jiàn)重點(diǎn)漏洞的產(chǎn)生場(chǎng)景和檢測(cè)規(guī)則，此外還研究了比較適合掃描系統(tǒng)存儲(chǔ)和下發(fā)的規(guī)則文本組織形式，以及具有解析javascript腳本功能的爬蟲實(shí)現(xiàn)。
　　經(jīng)過(guò)在本地搭建的測(cè)試環(huán)境的測(cè)試，提出的檢測(cè)用例能夠檢測(cè)出大部分常見(jiàn)漏洞，而對(duì)于存儲(chǔ)型 XSS漏洞尚無(wú)自動(dòng)化