導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

試論Web應(yīng)用系統(tǒng)的安全性測試技術(shù)

文檔作者：白雪文檔來源：遼寧省鐵嶺衛(wèi)生職業(yè)學(xué)院		點擊數(shù)：	更新時間： 2021年07月12日
下載地址：點擊這里	文件大?。?979.53 KB 共2頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共2頁]

本文件共2頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：979.53 KB 共2頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：基于模糊測試的軟件安全漏洞發(fā)掘技術(shù)研究

上一篇：小衛(wèi)星綜合測試中的接口安全控制

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

試論Web應(yīng)用系統(tǒng)的安全性測試技術(shù)
白雪
(遼寧省鐵嶺衛(wèi)生職業(yè)學(xué)院遼寧112000)
【摘要】由于當(dāng)前對于web應(yīng)用系統(tǒng)安全性的研究僅僅停留在服務(wù)安全的實現(xiàn)方面，對于安全測試性技術(shù)研究依然
薄弱。隨著web應(yīng)用的普及，越來越多的技術(shù)研究人員開始重視web應(yīng)用系統(tǒng)的安全性檢測，越來越多的檢查工具被開發(fā)
了出來。本文基于web常見的安全性問題，分析web服務(wù)安全性測試框架，以此來探討安全性測試技術(shù)，希望能夠提升
Web應(yīng)用系統(tǒng)的安全性。
【關(guān)鍵詞】web應(yīng)用系統(tǒng)；安全性；測試
中圖分類號：TP393．09 文獻標(biāo)識碼：A 文章編號：1009—6833(2013)09一022一02
T叫to talk about Web印plication sec嘶ty testing tecllllology
BaiXue
Abstract： because of the current study 011ly for Web application system securicy in the realizacion of the service securicy aspect，
for saf套t)r test techn0109y research is scm weak．With the popularity of Web applications，more and more techn0109y researchers paid
attention to the safbq tes七ing ofWeb applicadon system，more and more out of the checbng tools were deVeloped．Common securi七y
issues，this anicle is based on Web analysis Web seⅣices securi七y testing丘amework，in order to discuss security testing technology，
hoping to improVe the securicy of Web apphcation system．
KeywOrds：Web apphca七ion system：Securi七y；te吐
0 引言
當(dāng)前，很少有軟件應(yīng)用系統(tǒng)能夠離開web模式，并且也成
為了今后軟件最主要的發(fā)展方向。雖然對于軟件測試還僅僅處
于一個起步階段，但是越來越多的軟件公司開始重視它的存
在。而一個系統(tǒng)質(zhì)量的好壞，測試也是一項關(guān)鍵性因素。
1 Web常見的安全問題
1．1常見分類
目前，web應(yīng)用匯面臨諸多風(fēng)險，對于其風(fēng)險的分類以及
安全漏洞也有很多種，本文主要是通過國外權(quán)威機構(gòu)對于web
安全層次性的理解，從而將其大致分為了三個層次風(fēng)險：
第一，網(wǎng)絡(luò)邊界安全：主要是網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、路由器、防
火墻等方面的安全性問題，除了部分配置問題之外，絕大部分
都涉及到系統(tǒng)分布、結(jié)構(gòu)所造成的安全性問題；第二，web應(yīng)
用程序安全：web應(yīng)用程序在提供服務(wù)時可能會存在安全性漏
洞，這一些文體的出現(xiàn)主要是因為在變與存的時候，web應(yīng)用
程序存在一定缺陷所引起的：第三，服務(wù)于系統(tǒng)安全：操作系
統(tǒng)和在操作系統(tǒng)上運行的應(yīng)用服務(wù)的安全，例如unix／window
等系統(tǒng)本身存在漏洞或者是其上的web應(yīng)用服務(wù)器安全存在問
題，例如：weblogic／Apache／IIS等應(yīng)用服務(wù)器本身存在的安
全性漏洞。
1．2 web應(yīng)用常見的安全缺陷
1．21網(wǎng)絡(luò)邊界
(1)網(wǎng)絡(luò)結(jié)構(gòu)不夠合理。作為web應(yīng)用服務(wù)的基礎(chǔ)，如果
存在網(wǎng)絡(luò)結(jié)構(gòu)不合理情況，例如：不合理的防火墻位置或者是
不合理的Web應(yīng)用服務(wù)器位置，都可能導(dǎo)致web應(yīng)用系統(tǒng)安全機
制失去效力，導(dǎo)致web應(yīng)用完全暴露在外部攻擊中，常見的拒
絕服務(wù)攻擊一般都是因為網(wǎng)絡(luò)結(jié)構(gòu)的不合理，無法對這一類型
的攻擊加以抵御，甚至是因為內(nèi)部病毒的傳播，也可能因為拓
撲結(jié)構(gòu)的不合適，導(dǎo)致病毒傳播。
(2)傳輸層保護不夠充分。傳輸層保護不夠充分主要是
在信息的傳輸過程中，第三方不可信的組件獲取訪問，也就是
對于站點所傳輸?shù)男畔?，沒有使用SSL／TLS進行加密或者是加
密機制存在一定問題，導(dǎo)致這一部分信息被非法用戶獲取，甚
至是對通信內(nèi)容加以篡改。
22網(wǎng)絡(luò)安至技7It與應(yīng)用201 3．9
l-2．2web應(yīng)用程序
(1)輸入處理錯誤。在web應(yīng)用程序常見的弱點中，輸
入處理無措是常見的弱點之一，例如：緩沖區(qū)的溢出、命令執(zhí)
行、sQL注入等都是由于輸入處理錯誤所造成的。在進行web應(yīng)
用程序的輸入處理，一般都是對輸入信息加以驗證、過濾、編
解碼等內(nèi)容，如果信息驗證不全面或者是代碼中存在邏輯錯
誤，就可能出現(xiàn)非法信息被當(dāng)做了正常數(shù)據(jù)，從而通過web應(yīng)
用程序進行邏輯處理，從而導(dǎo)致web應(yīng)用出現(xiàn)損害。在這一問
題處理中，需要針對所有來自客戶端的數(shù)據(jù)，例如：HTTP請求
中所有內(nèi)容、表單信息，都認(rèn)為可能有安全風(fēng)險的存在，只有
通過檢驗，才能夠被邏輯程序加以處理。
(2)輸出處理錯誤。輸出處理主要指的是應(yīng)用程序如何
產(chǎn)生輸出數(shù)據(jù)，一般來說，錯誤的輸出處理包含了協(xié)議錯誤、
數(shù)據(jù)處理錯誤以及應(yīng)用程序錯誤三個方面。如果信息被直接返
回給訪問者，就可能導(dǎo)致web應(yīng)用系統(tǒng)敏感的信息出現(xiàn)泄露的
情況，或者是惡意攻擊人員就可能通過返回的錯誤信息對于
web應(yīng)用是否存在特定安全的問題加以判斷。
(3)信息泄露；信息泄露主要是web應(yīng)用程序當(dāng)中敏感
的信息被非法進行訪問，例如：在web應(yīng)用當(dāng)中的用戶設(shè)置信
息、技術(shù)細(xì)節(jié)以及環(huán)境信息等方面的問題，一旦被泄露，就可
能嚴(yán)重影響到web應(yīng)用。因此，需要采取一定的手段來防止信
息泄露，一般，主要是以下幾種原因?qū)е滦畔⑿孤叮鹤⑨尨a
當(dāng)中存在敏感信息、對于合法與非法的的輸入數(shù)據(jù)應(yīng)用程序都
有著不同的頁面相應(yīng)或者是應(yīng)用程序出現(xiàn)了配置不當(dāng)?shù)惹闆r。
(4)索引不安全；索引不安全主要指的是能夠?qū)γ舾形募?
進行訪問的過程對敏感信息進行訪問，以此來判斷文件的存在以
及文件的具體內(nèi)容，這一部分信息都是通過服務(wù)索引所獲取的。
針對這一個問題，有一個典型的例子，G00GLE HACK通過搜索引
擎從而獲取了站點信息，就有可能將站點輩備份的代碼位置獲
取、后臺管理地址，甚至包含了數(shù)據(jù)庫存放的地址。像這一類型
的安全攻擊就難以預(yù)防，這是因為對于合法請求、非法請求很難
分開，如果想要解決這一問題，需要對權(quán)限加以控制，也可以通
過robots．txt等手段避免不應(yīng)泄露的信息被泄露出去。
2 Web服務(wù)安全性測試框架
萬方數(shù)據(jù)
Web服務(wù)系統(tǒng)的安全性測試框架主要分為了以下幾個階段，
從下面的圖1中可以看出：
喊脅建模l 測試需求I 潮試設(shè)劃I測試執(zhí)行I 報告I
I|霞脅劑嘲卜一I蘅求說嘲塑蘭苧笪H i U塑堡絲塑
測試ir剴|J l測試量矗聚I
圖1 web服務(wù)安全性測試框架
第一階段主要是確定安全目標(biāo)，確定威脅漏洞并且做好
評級：第二階段要求結(jié)合軟件的具體需求以及威脅，從而確定
好測試對象與內(nèi)容，并且做好資源的分配；第三階段的測試策
略文檔記錄主要是做好應(yīng)用系統(tǒng)中程序總統(tǒng)架構(gòu)、缺陷跟蹤變
更以及資源需求的控制，二測試計劃主要是描述人員進度安
全、測試環(huán)境以及安全測試需求等方面：在測試的執(zhí)行以及報
告階段則是記錄測試結(jié)果并且創(chuàng)建出測試報告。
3安全性測試技術(shù)
3．1體系安全性
測試web應(yīng)用系統(tǒng)的體系結(jié)構(gòu)的安全性可以找出很多的漏
洞，因此，也有利于提升web應(yīng)用系統(tǒng)的整體安全性。在設(shè)計
階段，檢測并修復(fù)安全漏洞，就能夠?qū)⒑笃诔霈F(xiàn)的安全問題加
以解決，并且也有利于提高安全測試的經(jīng)濟型。在開發(fā)階段，
充分考慮到目標(biāo)部署環(huán)境的相關(guān)設(shè)計，才有利于完善web應(yīng)用
系統(tǒng)，也有利于其安全性。
3．2應(yīng)用和傳輸安全
(上接13頁)
由圖1(b)可以看出，膚色提取后的結(jié)果中存在一些非人
臉的背景和膚色區(qū)域，如非膚色的誤檢區(qū)域，人手等的膚色區(qū)
域；由圖1(c)可以看出，數(shù)學(xué)形態(tài)學(xué)處理后，可以平滑邊緣、
去除較小的背景誤檢區(qū)域；由圖l(d)可以看出人臉區(qū)域篩選
后，可以把大部分非人臉的膚色區(qū)域去除。
實驗結(jié)果表明該算法能夠?qū)σ曨l圖像序列中的人臉進行檢
測，具有良好的性能和一定的研究參考價值。
參考文獻：
【1]陳天華．?dāng)?shù)字圖像處理【M】．北京：清華大學(xué)出版社，2007．6
【2】張洪剛，陳光，郭軍．圖像處理與識別【M】．北京：北京郵電
(上接2l頁)
在數(shù)據(jù)庫應(yīng)用系統(tǒng)中，造成應(yīng)用程序反應(yīng)緩慢、系統(tǒng)資源
消耗大的直接原因常常是不良的SQL語句。往往一個不良的SQL
語句會導(dǎo)致整個數(shù)據(jù)庫系統(tǒng)高負(fù)荷運轉(zhuǎn)，甚至對外暫停服務(wù)。
因此在編碼階段應(yīng)首先對sQL語句進行優(yōu)化。
另外盡量使用存儲過程。有些不需和客戶端交互太多、處
理的數(shù)據(jù)量較大的程序，例如報表，可以使用存儲過程實現(xiàn)。
這樣可以減少網(wǎng)絡(luò)流量，而且存儲過程本身是編譯好的，經(jīng)過
一些優(yōu)化處理。降低事務(wù)執(zhí)行的粒度。某些業(yè)務(wù)處理的數(shù)據(jù)量
較大，如果寫成一個SQL語句或放在一個事務(wù)中，執(zhí)行起來會
占用系統(tǒng)很多資源，影響其它業(yè)務(wù)的執(zhí)行，可以考慮降低粒
度，分成多次執(zhí)行。
3部署階段上的優(yōu)化
在此階段中經(jīng)常會遇到在開發(fā)環(huán)境執(zhí)行效率很高的應(yīng)用部
署到生產(chǎn)系統(tǒng)中后，性能卻很不理想的情況，引發(fā)這種情況很
多時候是因為部分sQL在部署到生產(chǎn)環(huán)境之后，由于實際的數(shù)
據(jù)分配與測試環(huán)境不同，導(dǎo)致0racle的cB0生成了不同于開發(fā)
環(huán)境下生成的執(zhí)行計劃。
在這一階段，我們可以從開發(fā)環(huán)境中提取出最優(yōu)的sQL執(zhí)行計
劃集合，部署到生產(chǎn)系統(tǒng)中，以固定需要固定執(zhí)行計劃的SQL。此
外在部署階段還應(yīng)該注意不斷跟蹤、優(yōu)化不良的SQL語句。
4結(jié)束語
在web應(yīng)用系統(tǒng)設(shè)計完畢之后，對于系統(tǒng)當(dāng)中的漏洞，就
可以通過安全性測試對于可能存在的漏洞加以修復(fù)，并且完善
未來的設(shè)計與創(chuàng)建工作?！昂谙渥印钡臏y試手段也就是在正常
運行使用目標(biāo)系統(tǒng)之后，可以通過對于web應(yīng)用系統(tǒng)正常運行
不影響的方式進行遠(yuǎn)程的安全技術(shù)測試，通過黑客入侵的模
擬，來實現(xiàn)在模擬攻擊下目標(biāo)系統(tǒng)的安全性測試。進行web應(yīng)
用系統(tǒng)的安全性技術(shù)測試主要分為了應(yīng)用級、傳輸級。應(yīng)用級
的安全性測試是通過檢查web應(yīng)用系統(tǒng)的自我程序，并且找出
設(shè)計當(dāng)中可能存在的安全漏洞，在測試應(yīng)用級上，主要包含了
目錄設(shè)置、在線超時、注冊、登陸、備份、恢復(fù)等多個區(qū)域測
試：傳輸級主要是針對web應(yīng)用系統(tǒng)的傳輸特殊性，測試目標(biāo)
主要是數(shù)據(jù)信息從客戶端傳輸?shù)椒?wù)器這一過程中的安全漏
洞，這也有利于服務(wù)器拒絕非法訪問能力的提升，傳輸級測試
內(nèi)容包含了防火墻、ssL、數(shù)據(jù)加密等。
總之，本論文主要是基于web常見的安全問題，從而提出
了常見缺陷和主要的安全性測試技術(shù)，希望能夠?qū)窈蟮膚eb
應(yīng)用系統(tǒng)的安全性測試技術(shù)提供一部分幫助。
參考文獻：
?于莉莉，杜蒙杉，張平，紀(jì)玲利web安全性測試技術(shù)綜述
卟計算機應(yīng)用研究．2012(11)：56—57
f2]朱輝．沈明星．李善平．web應(yīng)用中代碼注入漏洞的測試方法Ⅱ]
計算機工程2010(10)：77—78
f31馬琳，羅鐵堅，宋進亮，葉世偉．web性能測試與預(yù)測U]中國科
學(xué)院研究生院學(xué)報．2(105(fJ4)：96—97
大學(xué)出版社，2006
[3】李朝暉．?dāng)?shù)字圖像處理及應(yīng)用【M】．北京：季節(jié)工城出版社，
2004．6
【4]王耀南，李樹套．計算機圖像處理與識別技術(shù)【M】．北京：高
等教育出版社，2001
【5】Itein—Lien Hsu and Anil K．Jain，F(xiàn)ace Detectlon ln
color Images【M】，IEEE Trans．Pattern Analysis and Machine
InteUigence，May 2002，V01．24，no．5，pp．696——706
作者簡介：
盧曼慧(198卜)，女，錦州，碩士，科長，助理研究員，研
究方向：計算機。
Oracle數(shù)據(jù)庫應(yīng)用系統(tǒng)的性能優(yōu)化是一個復(fù)雜、繁瑣的
系統(tǒng)工程，涉及的方面有很多，我們認(rèn)為系統(tǒng)性能在70％以上
由應(yīng)用系統(tǒng)的結(jié)構(gòu)設(shè)計和sOL語句來決定，數(shù)據(jù)庫端可調(diào)性只
有20％左右，因此這里我們重點強調(diào)了產(chǎn)品開發(fā)在設(shè)計、編碼
及部署階段在性能方面容易引起瓶頸的因素及解決方法，希望
能在產(chǎn)品投入使用之前就引起性能方面的重視及改善。實踐證
明，上述措施行之有效。
當(dāng)然對系統(tǒng)的優(yōu)化調(diào)整不是一次性的，還需要在使用過程
中不斷反復(fù)調(diào)整，但如果在產(chǎn)品實施之初就開始注意性能的優(yōu)
化問題，對以后的系統(tǒng)維護會減少很多負(fù)擔(dān)，從而提升軟件產(chǎn)
品的整體性能。
參考文獻：
【1】陳峰．關(guān)于改善oRAcLE數(shù)據(jù)庫應(yīng)用軟件產(chǎn)品性能品質(zhì)的研
究：碩士學(xué)位論文．北京：北京郵電大學(xué)，20011
『21 Thomas Kyte蘇金國王曉振等譯．oracle 9i＆109編程藝術(shù)
人民郵電出版社，20f)9
【3】李欣，羅琦，李春華．oracle數(shù)據(jù)庫性能的優(yōu)化設(shè)計．鄭州大學(xué)
作者簡介：
孟萍(1978一)，女，漢族，遼寧沈陽人，大連東軟信息學(xué)院講
師。高級工程師，碩士，研究方向：計算機應(yīng)用項目管理。
劉石(1980一)，女，漢族，遼寧本溪人，大連東軟信息學(xué)院講
師，碩士，研究方向：數(shù)字藝術(shù)。
201 3．9網(wǎng)絡(luò)安呈技7It與應(yīng)用23
萬方數(shù)據(jù)

網(wǎng)友評論 more

綜合安全論文最新內(nèi)容

05-04