基于消息組合變異的Web服務(wù)脆弱性測(cè)試研究.pdf

1、Web服務(wù)互聯(lián)互通的特點(diǎn)是Web服務(wù)集成和應(yīng)用的基礎(chǔ)，它支持開(kāi)放、動(dòng)態(tài)的互操作模式，可以大大的降低系統(tǒng)集成的開(kāi)銷和復(fù)雜性，因此獲得了學(xué)術(shù)界和產(chǎn)業(yè)界的高度重視和大力支持。Web服務(wù)以XML、SOAP、WSDL和UDDI為核心；以WSDL語(yǔ)言定義消息的格式和內(nèi)容。Web服務(wù)以SOAP協(xié)議為基礎(chǔ)進(jìn)行通信，Web服務(wù)通信內(nèi)容經(jīng)常包涵應(yīng)用系統(tǒng)的重要業(yè)務(wù)，若其通信內(nèi)容安全得不到有效保障，則可能導(dǎo)致巨大的損失和嚴(yán)重的后果，故針對(duì)Web服務(wù)的安全性測(cè)試

2、的研究開(kāi)始得到重視。
　　Web服務(wù)的脆弱性本質(zhì)上是指 Web服務(wù)中存在的安全漏洞，利用它可以危害 Web服務(wù)的安全策略，導(dǎo)致信息的出錯(cuò)或者丟失。目前針對(duì)Web服務(wù)的測(cè)試大部分集中于Web服務(wù)的功能和可靠性研究。本文提出了基于SOAP消息組合變異的Web服務(wù)脆弱性測(cè)試方法，并設(shè)計(jì)了一個(gè)測(cè)試Web服務(wù)脆弱性的原型系統(tǒng)。本文的主要工作：
　　1.針對(duì)具有多個(gè)方法（或參數(shù)）的Web服務(wù)提出了組合測(cè)試方法；解析Web服務(wù)的WSDL文

3、檔，獲取Web服務(wù)原始的SOAP消息，手動(dòng)分析其交互關(guān)系，對(duì)參數(shù)的取值進(jìn)行預(yù)處理，設(shè)計(jì)了可組合變異算子集，利用基于One-test-at-a-time的測(cè)試用例生成策略，生成測(cè)試用例，對(duì)服務(wù)進(jìn)行脆弱性測(cè)試。
　　2.針對(duì)僅有單個(gè)方法（或參數(shù)）的Web服務(wù)提出了基于模糊測(cè)試的簡(jiǎn)單Web服務(wù)脆弱性測(cè)試方法；該方法用于檢測(cè)僅有一個(gè)方法（或參數(shù)）的Web服務(wù)的脆弱性。在原有變異算子集合的基礎(chǔ)上進(jìn)行了擴(kuò)展，針對(duì)服務(wù)參數(shù)的不同類型分別設(shè)計(jì)了不