面向Web服務安全的漏洞掃描器的設計與實現(xiàn).pdf

1、隨著Web應用被越來越廣泛的應用，對其安全性的關注也逐漸上升到越來越高的層次，如何保障Web應用的安全性已經(jīng)是一個重要的研究課題。目前存在許多防護系統(tǒng)用于防御Web應用攻擊，在一定程度上增強了Web應用的安全性，但是會帶來不少的性能損耗和維護代價。因此及早發(fā)現(xiàn)漏洞并將其消除以增強Web應用自身的安全性能夠防患于未然，極大減少后續(xù)軟件維護的開銷，提升軟件產(chǎn)品的信譽。而Web應用漏洞掃描軟件作為漏洞檢測過程中一類重要的工具，能有效地輔助檢測

2、者的工作，減少檢測者的工作量，因此很有研究的必要。
　　 本文研究了Web應用漏洞產(chǎn)生的原因以及對應的檢測方法，對Web應用漏洞掃描的兩類關鍵技術—Web漏洞掃描信息獲取和Web應用漏洞檢測機制進行了深入研究，針對Web應用的特點設計了一個Web應用漏洞掃描軟件框架，并實現(xiàn)了其中的相關核心檢測模塊。針對Web漏洞掃描信息獲取的目標，深入研究了基于正則表達式的網(wǎng)頁內(nèi)容提取技術、交互式表單內(nèi)容的抓取技術、用于掃描信息的DOM文檔技術

3、和HTTP通信協(xié)議技術。利用寬度優(yōu)先搜索策略結合實用的URL傳輸庫解決了對目標WEB應用掃描信息獲取的問題。設計并實現(xiàn)了一個具有一定語義識別能力的自動表單填充模塊，解決了隱藏在表單后面的掃描信息獲取問題，可以達到對網(wǎng)頁漏洞掃描相關元素的完整提取。在獲取了相關漏洞掃描信息的基礎上，進一步對Web應用漏洞檢測技術進行了深入研究。針對Web應用漏洞不斷更新、檢測技術不斷變化的特點，利用動態(tài)鏈接庫技術，設計實現(xiàn)了一種基于規(guī)則擴展和插件擴展的漏洞

4、檢測機制，實現(xiàn)了可以自定義新的掃描插件，同時，深入研究了漏洞分析器的工作原理和過程，針對Web安全中主流的SQL注入漏洞、SQL盲注漏洞、XSS攻擊漏洞以及備份文件檢測等漏洞，設計實現(xiàn)了用于相關的漏洞分析與檢測的插件，在此基礎上實現(xiàn)了一個自動化的Web安全漏洞分析器。針對Web應用中需要手動探索的部分以及自動化掃描軟件的結果的確認，本文研究并設計了編碼/解碼工具、HTTP請求發(fā)送與解析等工具，以提高檢測的準確性和效率。針對相關的網(wǎng)站進行