導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

Web安全性測(cè)試技術(shù)綜述

文檔作者：于莉莉杜蒙杉張平紀(jì)玲利文檔來(lái)源： 1.北京航空航天大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)系2.二炮軟件測(cè)評(píng)中心3.空軍裝備研究院通信導(dǎo)航與指揮自動(dòng)化研究所4二炮裝備研究院		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年07月13日
下載地址：點(diǎn)擊這里	文件大?。?439.44 KB 共5頁(yè)	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共5頁(yè)]

本文件共5頁(yè)，如需編輯使用，請(qǐng)下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問(wèn)題，下載是正常的。

	文件大?。?39.44 KB 共5頁(yè) 文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：強(qiáng)化安全文化建設(shè) 構(gòu)建本質(zhì)安全企業(yè)

上一篇：基于SDL的軟件安全測(cè)試方法研究

文本預(yù)覽

僅提取頁(yè)面文字內(nèi)容，供快速閱讀使用。

第29卷第11期
計(jì)算機(jī)應(yīng)用研究
 Vol. 29 No. 11
2012年11月
 Application Research of Computers
Nov.2012
e安全性測(cè)試技術(shù)綜述
于莉莉,杜蒙杉,張平,紀(jì)玲利
(1.北京航空航天大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)系,北京100191;2.二炮軟件測(cè)評(píng)中心,北京1000853.空軍裝備研
究院通信導(dǎo)航與指揮自動(dòng)化研究所,北京1000854二炮裝備研究院,北京100085)
摘要:對(duì)Web應(yīng)用程序進(jìn)行有效徹底的測(cè)試是及早發(fā)現(xiàn)安全漏洞、提高Web應(yīng)用安全質(zhì)量的一種重要手段。
首先介紹了Web應(yīng)用安全威脅分類,總結(jié)了常見的Web應(yīng)用安全漏;然后對(duì)當(dāng)前Web安全性測(cè)試技術(shù)的研
究進(jìn)行了全面概述,比較了靜態(tài)技術(shù)和動(dòng)態(tài)技術(shù)各自的優(yōu)缺點(diǎn),同時(shí)對(duì)在Web安全性測(cè)試中新興涌現(xiàn)的模糊測(cè)
試技術(shù)進(jìn)行了詳細(xì)的介紹和總結(jié);最后指出了We安全測(cè)試中有待解決的問(wèn)題以及未來(lái)的研究方向。
關(guān)鍵詞:Web應(yīng)用安全漏洞;靜態(tài)分析;動(dòng)態(tài)分析;模糊測(cè)試
中圖分類號(hào):TP391·文獻(xiàn)標(biāo)志碼:A文章編號(hào):1001-695(2012)-401-0
001
doi:10.3969/jiss.1001-3695.2012.11.00
 Survey on Web security testing technologies
 YU Li-li 2, DU Meng-shan', ZHANG Ping', JI Ling-li
 (1. Dept. of Computer Science Technology, Beihang Unirersity, Beyjing 100191, China 2. Sofiware Testing E
 ion Center of the Sec-
 ond Artillery Force, Beijing 100085, China; 3. Com
 n Narigation Auto
 100085, China; 4. The Second Arilley Force Equipment Academy, Beijing 10085, China)
 Abstract: A thorough test for Web applicati
 proving the security quality of Web application. This paper firstly
 Web application security
 threat and summarized common Web application security vulr
 state of Web
 d the dynamic
 technologies. At the same time, it introduced and concluded the detail of
 technology in
 eb security testing. At last, this paper presented the problem to be
已經(jīng)通過(guò)認(rèn)證的用戶3。開放式Web應(yīng)用程序安全項(xiàng)目
0引言
(open Web application security project, OWASP)在2010年公布
近20年來(lái),互聯(lián)網(wǎng)技術(shù)在全球范圍內(nèi)得到了持續(xù)快速的的Web應(yīng)用十大安全漏洞(圖1)中,排名靠前的注(in
發(fā)展。在我國(guó)的中國(guó)互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)2012年1 jection本cross site scriptingxs限制ur
發(fā)布的《中國(guó)互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告》中指出:截止211訪( failure to restrict URL access種漏洞都是由于未能
年12月,網(wǎng)民規(guī)模達(dá)到5億,互聯(lián)網(wǎng)普及率攀至38.3正確處理用戶請(qǐng)求而引起的。
30%
互聯(lián)網(wǎng)已經(jīng)成為一項(xiàng)重要的社會(huì)基礎(chǔ)設(shè)施,Web應(yīng)用也逐漸
25%
成為軟件開發(fā)的主流之一。以電子商務(wù)、社交網(wǎng)絡(luò)、博客、論壇
20%
15%
社區(qū)為代表的Web應(yīng)用已經(jīng)在人們的生活中扮演了越來(lái)越重
要的角色,并逐漸改變了人們的生活方式。
但在Web應(yīng)用中存在的各種安全漏洞也逐漸暴露出來(lái),
這些漏洞可能導(dǎo)致Web應(yīng)用遭受各種攻擊,嚴(yán)重影響了社會(huì)
穩(wěn)定、經(jīng)濟(jì)發(fā)展和人們的正常生活。根據(jù) Symantec發(fā)布的《sy
圖1 OWASP十大安全漏(2010年)
 mantec Internet security threat report,0%以上的軟件安全
造成Web應(yīng)用安全漏洞的原因一方面是Web應(yīng)用開發(fā)人
漏洞是關(guān)于Web應(yīng)用的。這些安全漏洞可能信員經(jīng)驗(yàn)不足、對(duì)安全問(wèn)題不夠重視,更重要的則是缺乏全面徹
遭受各種攻擊,如拒絕服務(wù)攻擊、SQL注入、竊取用戶信息等底的安全性測(cè)試。根據(jù)IEEE的軟件工程標(biāo)準(zhǔn)術(shù)語(yǔ),軟件測(cè)試
盡管防火墻、入侵檢測(cè)等技術(shù)已經(jīng)比較成熟,Web應(yīng)用的特殊
性往往導(dǎo)致防范各類安全性問(wèn)題的難度很大,因?yàn)閃cb應(yīng)用
被定義為:使用人工和自動(dòng)手段來(lái)運(yùn)行或測(cè)試某個(gè)系統(tǒng)的過(guò)
程,其目的在于檢驗(yàn)它是否滿足規(guī)定的需求或是弄清預(yù)期結(jié)果
攻擊通常來(lái)自應(yīng)用層,并且可能來(lái)自任何在線用戶,甚至包括
與實(shí)際結(jié)果之間的差別。該定義中提到的需求通常包括了
稿日期:012-03-25修日期:2012051基金項(xiàng)目:二研究院青年創(chuàng)新基全資助項(xiàng)目201619)國(guó)家自然科學(xué)基全資助項(xiàng)目
18018)
作者簡(jiǎn)介:于莉(1978-),女,河南開封人,博士研究生,要研究方向?yàn)榛貧w測(cè)試、質(zhì)性研究方法、軟件維(er-2326e)杜蒙杉(1978-)
遼寧沈陽(yáng)人工程師,主要研究方向?yàn)檐浖こ?張平工程師,主要研究方向?yàn)檐浖y(cè)試;紀(jì)琳俐,高級(jí)工程師,主要研究方向?yàn)檐浖踩?
4002
計(jì)算機(jī)應(yīng)用研究
第29卷
軟件功能性能可用性、安全性等諸多方面,而在傳統(tǒng)Web應(yīng)到攻擊者的惡意目的。
用測(cè)試過(guò)程中,測(cè)試人員更注重對(duì)正常功能的驗(yàn)證,往往忽視4)緩沖區(qū)溢出
安全性方面的需求。Wcb應(yīng)用作為
種特殊的軟件,面臨著
攻擊者可以利用這個(gè)漏洞發(fā)送特定請(qǐng)求給Web應(yīng)用,使
比傳統(tǒng)單機(jī)軟件更為嚴(yán)峻的安全威脅和更為復(fù)雜的用戶環(huán)境。其執(zhí)行任意代碼。
因此在Wcb應(yīng)用發(fā)布前對(duì)其進(jìn)行全面徹底的安全性測(cè)試,發(fā)5)隱藏的字段
據(jù)Web應(yīng)用中的安全漏洞和潛在的安全隱患是非常有必
用戶可以通過(guò)在Web瀏覽器中執(zhí)行“查看源文件”等操作
要的。
在Web應(yīng)用領(lǐng)域中,發(fā)現(xiàn)安全漏洞的常用技術(shù)方法有靜過(guò)URL參數(shù)傳回給服務(wù)器端攻擊者可以通過(guò)修改HTML
態(tài)分析技術(shù)和動(dòng)態(tài)分析技術(shù)。模糊測(cè)試( fuzzing技術(shù)作為軟文件中的這些隱藏字段達(dá)到惡意攻擊的目的。
件測(cè)試研究中一種新的思路和方法,近年來(lái)開始被應(yīng)用到Web6)不恰當(dāng)?shù)漠惓Ｌ幚?
應(yīng)用測(cè)試領(lǐng)域cb應(yīng)用存在的漏洞和安全隱患很大程度上用戶提交給Wcb應(yīng)用的正常請(qǐng)求有可能頻繁地產(chǎn)生錯(cuò)誤
是由于對(duì)用戶的某些輸入數(shù)據(jù)缺乏相應(yīng)的校驗(yàn)或異常處理機(jī)和異常情況,如內(nèi)存不足、系統(tǒng)調(diào)用失敗、數(shù)據(jù)庫(kù)鏈接錯(cuò)誤等。
制造成的在Web應(yīng)用測(cè)試中,利用模糊測(cè)試技術(shù)有目的不恰當(dāng)?shù)漠惓Ｌ幚頃?huì)將詳細(xì)的內(nèi)部錯(cuò)誤信息如堆棧追蹤
地構(gòu)造大量的有效或者無(wú)效的用戶輸入數(shù)據(jù)提交給eb應(yīng)(stack trace)、數(shù)據(jù)庫(kù)結(jié)構(gòu)以及錯(cuò)誤代碼等提供給攻擊者,給
用,同時(shí)能夠通過(guò)多種方式監(jiān)測(cè)Web應(yīng)用的行為進(jìn)而分析任Web應(yīng)用帶來(lái)安全隱患。
何引起Web應(yīng)用出現(xiàn)異常甚至崩潰的原因,將有助于發(fā)掘
7)遠(yuǎn)程命令執(zhí)行
web應(yīng)用中存在的安全漏洞和隱患,最終達(dá)到提高eb應(yīng)用eb服務(wù)器可能簡(jiǎn)單地將用戶提供的輸入數(shù)據(jù)傳遞給其
安全性的目的。
他應(yīng)用或操作系統(tǒng)本身。如果這些輸入數(shù)據(jù)沒(méi)有經(jīng)過(guò)適當(dāng)?shù)?
1web應(yīng)用安全漏洞
驗(yàn)證,那么攻擊者就可以直接執(zhí)行目標(biāo)系統(tǒng)上的命令。
8)遠(yuǎn)程代碼注人
RFC2828將漏洞定義為系統(tǒng)設(shè)計(jì)、實(shí)現(xiàn)或者操作和管理
引起這個(gè)漏洞的主要原因是Web應(yīng)用開發(fā)者不良的編碼
中存在的缺陷和弱點(diǎn),可能被攻擊者所利用,從而突破系的習(xí)慣,如允許將未經(jīng)驗(yàn)證的用戶輸入傳遞給如 include()或
安全策略,訪問(wèn)未授權(quán)的資源和數(shù)據(jù)eb應(yīng)用安全漏 require()這樣的方法,這將允許本地應(yīng)用或遠(yuǎn)程的PHP代碼
則可以定義為一個(gè)Web系統(tǒng)的各個(gè)組件(包括Web用、Web被包含進(jìn)來(lái),攻擊者可將他們自己的PHP代碼注入到目標(biāo)
服務(wù)器、數(shù)據(jù)庫(kù)等)在設(shè)計(jì)與實(shí)現(xiàn)以及安全策略上的漏洞
web應(yīng)用中
Web應(yīng)用安 Web全協(xié)會(huì)( Application Security Consortium2靜態(tài)分析技術(shù)
wasc)的Web安全威 threat classification TTC)項(xiàng)目
將Web應(yīng)用安全威脅分為如表1所示的六類。
靜態(tài)分析( static analysis)技術(shù)是指在不執(zhí)行的情況下對(duì)
表eb應(yīng)用安全威脅分類
程序代碼進(jìn)行評(píng)估,是一種典型的白盒測(cè)試方法。其基本
Web安全威脅類別
概念
思想是通過(guò)分析程序的運(yùn)行流程來(lái)構(gòu)建程序工作的數(shù)學(xué)模型,
驗(yàn)證用來(lái)確認(rèn)某用戶服務(wù)或應(yīng)用身份的攻擊手段
然后對(duì)該數(shù)學(xué)模型進(jìn)行審查以發(fā)掘程序的安全缺陷。常見的
授權(quán)
用來(lái)確認(rèn)某用戶、服務(wù)或應(yīng)用身份的攻擊手段
靜態(tài)分析方法主要包括詞法語(yǔ)法分析、模式匹配分析數(shù)據(jù)流
客戶端攻擊用來(lái)擾亂或探測(cè)Wcb應(yīng)用用戶的攻擊手段
分析、補(bǔ)丁比較分析和模型化分析等。近年來(lái),靜態(tài)分析技術(shù)
命令執(zhí)行在Wb服務(wù)器上執(zhí)行遠(yuǎn)程命令的攻擊手段
信息暴露
用
在Web應(yīng)用安全性測(cè)試領(lǐng)域的研究成果主要包括以下內(nèi)容。
用來(lái)獲取Wb應(yīng)用具體系統(tǒng)信息的攻擊手段
 Jovanovic等人實(shí)現(xiàn)了針對(duì)PHP語(yǔ)言的源代碼靜態(tài)分
邏輯性攻擊用來(lái)擾亂或探測(cè)Wcb應(yīng)用邏輯流程的攻擊手段
析工具Pixy,該工具通過(guò)對(duì)PHP源代碼執(zhí)行靜態(tài)數(shù)據(jù)流分析
當(dāng)前Web應(yīng)用中常見的安全漏洞主要為八類。
來(lái)發(fā)掘PHP應(yīng)用中SQL注入、跨站點(diǎn)腳本等類型的漏洞,具有
1)未被驗(yàn)證的輸入
效率高、誤報(bào)率低等優(yōu)點(diǎn),但是存在不能支持PHP的面向?qū)ο?
攻擊者可以改P請(qǐng)求的任何部分,包括URL、詢特性以及無(wú)法解決源代碼中文件包含等問(wèn)題。類似的工具還
字符串、HTTP頭部 http cookie,  PHP String Analyzer PHP-Sat表單等試圖越過(guò)站點(diǎn)的安全機(jī)包括PPStringnalyzerphp-sat等
制。常見的輸入竄改攻擊方式有跨站點(diǎn)腳本、緩沖區(qū)溢出、格
 Huang等人將Web應(yīng)用程序漏洞看做是一個(gè)安全信息
式化字符串攻擊、SQL注入等。
流問(wèn)題( secure information flow problem),提出了源自類型系統(tǒng)
2)SQL注入
和類型狀態(tài)的基于格的靜態(tài)分析算法,并闡述了它的可靠性。
SQL注入是指攻擊者在輸入域中插特殊字符,改變SQL同時(shí),他們根據(jù)該算法實(shí)現(xiàn)了 WebSSARI工具,并對(duì) Source
查詢的本意,欺騙數(shù)據(jù)庫(kù)服務(wù)器執(zhí)行非法操作,而破壞數(shù)據(jù) Forge.net上230個(gè)開源Web應(yīng)用進(jìn)行了測(cè)試,發(fā)現(xiàn)其中69個(gè)
庫(kù)或非法獲取存儲(chǔ)在數(shù)據(jù)庫(kù)中的數(shù)據(jù)清單的行為。SQL注入有安全隱患。
是Web應(yīng)用漏洞中最普遍也是最嚴(yán)重的漏洞之一。
 Martin等人提出了一種目標(biāo)導(dǎo)向的模型檢驗(yàn)(goal
3)跨站點(diǎn)腳本
 directed model-checking-)方法來(lái)自動(dòng)生成測(cè)試用例,發(fā)掘由Ja
跨站點(diǎn)腳本是指攻擊者在客戶端(通常是Web瀏覽器)va開發(fā)的大型Web應(yīng)用中基于污點(diǎn)數(shù)據(jù)(ant- based)的漏洞
古
過(guò)Web頁(yè)面提交的輸入數(shù)據(jù)中嵌入惡意代碼,若服務(wù)器將這他們選取了源代碼總行數(shù)達(dá)到13000行的3個(gè)大型Web應(yīng)
些數(shù)據(jù)不經(jīng)過(guò)濾或轉(zhuǎn)義而直接返回,那么其他用戶在訪問(wèn)該用進(jìn)行實(shí)驗(yàn),發(fā)現(xiàn)其中存在的0個(gè)SQL注入漏洞和13個(gè)跨站
Web頁(yè)面時(shí)這些惡意代碼將在后者的客戶端被執(zhí)行,從而達(dá)點(diǎn)腳本漏洞。
第11期
于莉莉,等:Web安全性測(cè)試技術(shù)綜述
4003
 Chess等人安全編程的角度詳細(xì)介紹了如何利用靜 Dafydd Stuttard開發(fā)的 Burp Suite是一款功能全面的
態(tài)分析技術(shù)改善軟件的安全性,其中包括如何在Web應(yīng)用安Wcb應(yīng)用滲透測(cè)試工具 Burp Suite收費(fèi)版本中提供了攔截代
全性測(cè)試中應(yīng)用靜態(tài)分析技術(shù)去發(fā)掘Web應(yīng)用在輸入驗(yàn)證、理服務(wù)器( burp proxy)、web爬蟲( burp spider)、掃描器(burp
會(huì)話管理方面的安全漏洞。
 intruder器 burp sequencer( burp repeater)
 Stuttard等人將基于源代碼審查的靜態(tài)分析技術(shù)總結(jié)等部件。其中攔截代理服務(wù)器部件提供了詳細(xì)的攔截規(guī)則
為以下三個(gè)步驟:a)從進(jìn)入點(diǎn)開始追蹤用戶向Web應(yīng)用提交能夠準(zhǔn)確地分析HTP消息的結(jié)構(gòu)和內(nèi)容;Web爬蟲部件能夠
的數(shù)據(jù),審查負(fù)責(zé)處理這些數(shù)據(jù)的代碼;b)在代碼中搜索表示遍歷被測(cè)Web應(yīng)用,記錄所訪問(wèn)的每個(gè)頁(yè)面;掃描器部件可以
存在常見漏洞的簽名,并審查這些簽名,確定某個(gè)漏洞是否確自動(dòng)實(shí)施各種定制攻擊;序列生成器部件能夠?qū)?huì)話令牌、會(huì)
實(shí)存在c)對(duì)內(nèi)在危險(xiǎn)的代碼進(jìn)行逐行審查理解應(yīng)用程序的話標(biāo)志或其他出于安全原因需要隨機(jī)產(chǎn)生的鍵值的可預(yù)測(cè)性
邏輯,并確定其中存在的所有問(wèn)題,需要進(jìn)行仔細(xì)審查的功能進(jìn)行分析;重放器部件允許用戶調(diào)整并重新提交之前被記錄的
組件包括Web應(yīng)用中的關(guān)鍵安全機(jī)制(身份驗(yàn)證會(huì)話管理、請(qǐng)求。
訪問(wèn)控制與任何應(yīng)用程序范圍內(nèi)的輸入確認(rèn))、外部組件接口
 Paros是一款使用Java語(yǔ)言開發(fā)的Web安全漏洞掃描工
以及任何使用本地代碼的情況。
具,同樣支持對(duì)客戶端和服務(wù)器之間的HTTP/ HTTP/HTTPS數(shù)據(jù)信
靜態(tài)分析技術(shù)具有以下幾點(diǎn)優(yōu)勢(shì):
息進(jìn)行攔截和竄改,能夠支持對(duì)SQL注入、跨站點(diǎn)腳本等多種
a)具有程序內(nèi)部代碼的高度可視性,可以對(duì)程序進(jìn)行全類型漏洞的發(fā)掘。 Paros的優(yōu)點(diǎn)在于它使用通過(guò)代理服務(wù)器的
面分析,能夠保證程序的所有執(zhí)行路徑得到檢測(cè),而不局限于請(qǐng)求作為攻擊的基礎(chǔ),能夠有效地覆蓋被測(cè)Web應(yīng)用的所有
特定的執(zhí)行路
功能。 Nikto是 Chris Sullo使用Perl語(yǔ)言開發(fā)的開源Web安全
b)可以在執(zhí)行前驗(yàn)證程序的安全性,進(jìn)而在運(yùn)行程序前黑盒測(cè)試工具,主要針對(duì)Web服務(wù)器的錯(cuò)誤配置和不安全的
檢驗(yàn)程序安全性、修補(bǔ)安全漏洞。
文件和腳本進(jìn)行測(cè)試,其底層功能基于 LibWhisker實(shí)現(xiàn),能夠
c)無(wú)須實(shí)際執(zhí)行被測(cè)程序,不會(huì)產(chǎn)生程序運(yùn)行開銷,快速在 Windows、 Linux Mac OS等多個(gè)平臺(tái)上運(yùn)行 Stuttard等人
高效,自動(dòng)化程度高。
在文獻(xiàn)[13]中通過(guò)大量實(shí)例詳細(xì)介紹了Web應(yīng)用防御機(jī)制和
同時(shí),靜態(tài)分析技術(shù)也存在以下幾點(diǎn)不足:
常見的安全性問(wèn)題,以及測(cè)試人員在滲透測(cè)試中使用的方法和
a)通用性較差,一般需要針對(duì)某種程序語(yǔ)言及其應(yīng)用平技巧,包括對(duì)驗(yàn)證機(jī)制、會(huì)話管理、訪問(wèn)控制的攻擊等。Hope
臺(tái)來(lái)設(shè)計(jì)特定的靜態(tài)分析工具,具有一定的局限性。
等人在文獻(xiàn)[15]中從工程實(shí)踐的角度較為系統(tǒng)地介紹了Web
b)誤報(bào)( false positive)、漏報(bào)( false negative)率高靜態(tài)分應(yīng)用安全測(cè)試中常用的動(dòng)態(tài)分析技術(shù),包括以多種方式竄改輸
析工具通常需要在兩者之間尋求平衡。
入、自動(dòng)化批量掃描、操縱會(huì)話等。
c)靜態(tài)分析技術(shù)依賴于被測(cè)程序的源代碼。
與靜態(tài)分析技術(shù)相比,動(dòng)態(tài)分析技術(shù)通常是在真實(shí)的運(yùn)行
環(huán)境中對(duì)被測(cè)目標(biāo)進(jìn)行測(cè)試,直接模擬攻擊者的行為,因此其
3動(dòng)態(tài)分析技術(shù)
測(cè)試結(jié)果往往具有更高的準(zhǔn)確性,漏報(bào)、誤報(bào)率也相對(duì)較低;此
動(dòng)態(tài)分析( dynamic analysis)技術(shù)是從外圍或者客戶端測(cè)外動(dòng)態(tài)分析技術(shù)不需要應(yīng)用程序的源代碼,只需提供與被測(cè)
試執(zhí)行程序的技術(shù),是一種典型的黑盒測(cè)試技術(shù)。面向Web
Web應(yīng)用的網(wǎng)絡(luò)連接即可,具有較高的靈活性。
應(yīng)用的動(dòng)態(tài)分析技術(shù),比較具有代表性的是滲透測(cè)試( penetra-4模糊測(cè)試技術(shù)
 tion testing)技術(shù)。滲透測(cè)試是指測(cè)試人員模擬惡意用戶的行
為對(duì)Web應(yīng)用進(jìn)行安全評(píng)估,針對(duì)Web應(yīng)用中可能存在的代
 Fuzzing技術(shù)源于軟件測(cè)試中的黑盒測(cè)試技術(shù),其基本思
碼缺陷邏輯設(shè)計(jì)錯(cuò)誤等問(wèn)題進(jìn)行測(cè)試,最終發(fā)掘其中的安全想是自動(dòng)產(chǎn)生和發(fā)送大量隨機(jī)或經(jīng)過(guò)變異的輸入值給軟件,
漏洞。開放式Web應(yīng)用程序安全項(xiàng)目將Wcb應(yīng)用滲透測(cè)試分旦發(fā)生失效或異常便可挖掘出軟件系統(tǒng)存在的薄弱環(huán)節(jié)和安
為被動(dòng)階段( passive mode)和主動(dòng)階段( negative mode來(lái)進(jìn)全漏潤(rùn)2相比傳統(tǒng)的黑盒測(cè)試方法,模糊測(cè)試關(guān)注任何
行前者內(nèi)測(cè)試人員需要盡可能地去搜集被測(cè)eb應(yīng)用可能引發(fā)未定義或者不安全行為的輸入,其優(yōu)點(diǎn)包括簡(jiǎn)單、有
的信息,如通過(guò)使用Web代理觀察HTTP請(qǐng)求和響應(yīng)等,了效、自動(dòng)化程度高以及可復(fù)用性強(qiáng)等;其缺點(diǎn)也十分明顯,如不
該應(yīng)用的邏輯結(jié)構(gòu)和所的點(diǎn)(access point)后者內(nèi)測(cè)試可避免地生成大量冗余的測(cè)試數(shù)據(jù)代碼覆蓋率不足以及黑盒
人員需要從各個(gè)角度、使用各種方法對(duì)被測(cè)Web應(yīng)用進(jìn)行滲測(cè)試共有的低智能性。低智能性即黑盒測(cè)試通常只對(duì)程序的
透測(cè)試,主要包括配置管理測(cè)試、業(yè)務(wù)邏輯測(cè)試、認(rèn)證測(cè)試授初始狀態(tài)進(jìn)行測(cè)試,而很多程序的缺陷都是隱藏在程序的后續(xù)
權(quán)測(cè)試、會(huì)話管理測(cè)試、數(shù)據(jù)驗(yàn)證測(cè)試、拒絕服務(wù)測(cè)試、Web服狀態(tài)中的。
務(wù)測(cè)試和AJAX測(cè)試等。近年來(lái),動(dòng)態(tài)分析技術(shù)在Web應(yīng)用4.1模糊測(cè)試技術(shù)在Web應(yīng)用測(cè)試中的發(fā)展
安全性測(cè)試領(lǐng)域的研究成果主要有以下內(nèi)容。
面向Web應(yīng)用的模糊測(cè)試技術(shù)的基本思想是模擬惡意用
 Ratproxy Google信息安全技術(shù)團(tuán)隊(duì)開發(fā)的被動(dòng)式(pas戶行為,有目的地構(gòu)造大量異常非法包含攻擊載荷的模糊測(cè)
sive)網(wǎng)絡(luò)應(yīng)用程序安全評(píng)估工具運(yùn)行Ratproxy后可以在本試數(shù)據(jù)并提交給Web應(yīng)用,同時(shí)監(jiān)測(cè)Wcb應(yīng)用的行為,判斷
地啟動(dòng)一個(gè)代理服務(wù)器,測(cè)試人員需要將服務(wù)器地址設(shè)置為Wcb應(yīng)用中是否存在安全漏洞。近年來(lái),面向Web應(yīng)用的模
web瀏覽器的代理在后續(xù)測(cè)試中只需要使用瀏覽器正常地糊測(cè)試技術(shù)研究中涌現(xiàn)出了許多研究成果,其中一部分已經(jīng)在
訪問(wèn)被測(cè)Wcb應(yīng)用,如登錄操作、填寫表單等 Raproxy會(huì)截獲eb應(yīng)用的測(cè)試實(shí)踐中得到了廣泛的應(yīng)用和認(rèn)可。 Hammers
這些請(qǐng)求并對(duì)其進(jìn)行竄改后發(fā)送給Web應(yīng)用,并在后臺(tái)記錄and認(rèn)為用戶輸入可能會(huì)使Wcb應(yīng)用處于一種不確定狀
相關(guān)日志,支持將測(cè)試報(bào)告導(dǎo)出為HTML格式。
態(tài),從而導(dǎo)致Web應(yīng)用出現(xiàn)異常行為。他在研究中提出用一
第11期
于莉莉,等:Web安全性測(cè)試技術(shù)綜述
4005
資源和時(shí)間的限制迅速發(fā)展的形勢(shì)帶來(lái)的威脅等。對(duì)于持續(xù)華大學(xué)出版社2010.
快速發(fā)展的Web應(yīng)用而言,存在的安全漏洞在很大程度上都[6 OEHLERT Violating assumptions with fuzzing IEEE Security
是由于Web應(yīng)用自身對(duì)用戶的輸入數(shù)據(jù)缺乏有效的校驗(yàn)和過(guò) and Privacy,200,3(2):58-62
濾所造成的。因此,針對(duì)不同的應(yīng)用情況,采取合適的處理方7 MILLER FREDRIKSENso. An empirical study of the re
式執(zhí)行有效的安全測(cè)試是十分必要的。
Mm
 liability of UNIX utilities[]. Communications of the ACM, 1990.
鑒于上述目的,本文依據(jù)對(duì)Web應(yīng)用程序代碼處理的不
33(12):32-4
同方式,分別介紹了三種發(fā)現(xiàn)Web應(yīng)用安全漏洞的技術(shù),靜8 LANZI MARTIGNONI MONGA et al smart fuzzer fo
態(tài)分析、動(dòng)態(tài)分析和模糊測(cè)試,并依次分析了三種技術(shù)的優(yōu)缺
 X86 executables[ C]//Proc of the 3rd International Workshop on Soft
點(diǎn)。針對(duì)傳統(tǒng)的靜態(tài)分析和動(dòng)態(tài)分析兩種方法的優(yōu)缺點(diǎn),建議
 ware Engineering for Secure Systems. Washington DC: IEEE Computer
采取相互結(jié)合的方式以達(dá)到取長(zhǎng)補(bǔ)短提高查找安全漏洞能力
 Society,2007.
的目的。而針對(duì)目前模糊測(cè)試技術(shù)在Wcb應(yīng)用中存在的自動(dòng)
 [19] VUAGNOUX M. Autodafe an act of software torture R ] [S.L. ]
化程度不高、漏報(bào)/誤報(bào)率高、可擴(kuò)展性差等不足,結(jié)合目前開
 Swiss Federal Institute of Technology, Cryptograhy and Security Laho
2006
展的研究工作,筆者認(rèn)為應(yīng)該從自動(dòng)分析Web應(yīng)用改進(jìn)漏洞2om GREENE AMINI.模測(cè)試:強(qiáng)制性安全滿潤(rùn)發(fā)
發(fā)掘方法提高可擴(kuò)展性等方面入手。
[M].黃,于莉莉李虎北京:機(jī)械工業(yè)出版社200
參考文獻(xiàn):
21]吳志勇,王紅川,孫樂(lè)昌,等 Fuzzing技術(shù)綜述[J].計(jì)算機(jī)應(yīng)用
] CNNIC.中國(guó)互聯(lián)網(wǎng)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告(2012年1月)[R/OL]研究,2010,27(3):829-83
 (2012-01-16) http://www. ennie. net. cn/hlfryj/hlwxzbg/201201/ [22] HAMMERSLAND R. Finding weaknesses in Web applications
po2012070934526469680.pdf
 through the means of fuzzing D]. Giovik, Norway Gjovik Universi-
 [2] Symantee Corporation. S
 Intemet security threat report. trends
ty,2008.
 [3] TIPTON H F, KRAUSE M. Information security managemnent 23] HAMMERSLAND R, SNEKKENES E. Fuzz testing of Web applica-
 for January-June 07, Volume XII[ R]. 2007.
 tions[ ER/OL]. htp://. harnmersland. net/tekst/fuzzing_ article.
 book[]. 6th ed. New York: Auerbach Publictions, 2006.
 pdf.
 [4] Open Web Application Security Project. OWASP top 10-2010 the 24] De GRAAF M. Intelligent fuzzing of Web applications]. Amster-
 ten most critical Web application security risks[ R)]. 2010.
 dam: Universit of Amsterdam, 2009.
 [5] IEEE STD 610. 12-1990. IEEE standard glossary of software engineer- [25] OWASO. Category: OWASO Web Scarab project EB/OL]. 2012
 ing ter
 logy[]. New York: IEEE, 1990.
 01-08). https: //www, owasp. org/index. php/category: owaso.
 [6] HUANG Yao-wen, HUANG S K, LIN T P. al. Web application
w.
 nt by fault injection and behavior monitoring C]// 26] WADDELL, JONES N, STEED C, et al. Using the workflow tech-
 Proe of the 12th International World Wide Web Conference. New
 nology in secure software engincering education[]//Proc of the 14th
 York: ACM Press,2003: 148-159.
 Colloquium for Information Systems Security Education. 2010: 76-82
 [7] SHIREY R. RFC 2828, Intemet security gloszny[]. 2000
 [27]STOECKEL D M, STELZER E A. DICK L K. Evaluation of two
 [8] ZHANG Jin, DIMITROFF A. The impact of metadata implementation
 ent of extraction efficiency in
 on Webpage visibili
 [J]. Informa
 microbial source tracking studies [J]. Water Research,2009.43
 tion Processrs anagement. 2005,41(3) 691-715.
(19):4820-4827
] CHESS WEST安全編程:代碼靜態(tài)分析[M]董啟雄,韓[28] LIN Jin-cheng- CHEN Jan-min An automated mechanism for secure
年,譯北京:機(jī)械工業(yè)出版社2008
 input handling[]. Joumal of Computers, 2009,4(9):837-844.
 [10] JOVANOVIC N, KRUEGEL C KIRDA. Pixy a static analysis tool [29] ERIKSSON B, DAHL O E, BOLLER R, et al. A new oral direct
 for detecting Web appli
 pilities short paper) C]//Proe thrombin inhibitor dahigatran etexilate, compared with enoxaparin for
 of IEEE Symposium on Security and Privacy Washington DC: IEEE
 Conputer Society, 2006 258-263.
 placement: the BISTRO II
 Throm
 d trial[]. Joumal of Throm-
 11] HUANC Yai-wen, YU Fang, HANG C, er al. Securing Web applica-
 bosis and Haemost
0
05,3(1):103-111
 tion
 untime protection C]//Proe of the [30] HENTEHZADEH N, MEHTA A, GURBANI K, al. Statistical
 13th Intemational World Wide Web Conference. New York: ACM
 analysis of self-similar session initiation protocol (SIP) messages for
 Press,20
 anomaly detection C]// of the 4th Intemational Conference on
 12] MARTIN M, LAM M. Au
 n of XSS and SQL injec- New Technologies, Mobility and Security. 2011:1-5
 tion attacks with
 d model checking[ C]//Proc of the 17th [31 SPI Dynamics. Web application security assessmenM[]. 2003
 USENIX Security Sy
 1. Berkeley: USENIX Association, 2008 [32] AMMANN P, WIJESEKERA D, KAUSHIK S. Sealable, graph
31-43
 based network vulnerability analysis[ C]//Proe of the 9th ACM Co
13 STUTTARD, PINTO.黑客攻防技術(shù)寶典:Web實(shí)戰(zhàn)篇[M]
石華耀,等譯北京:人民郵電出版社2009
 ference on Computer and Communications Seurity. New York ACM
 Press20027-24
 Open Web Application Security Project OWASP testing guide v3都基子模柵測(cè)試方法的Wcb應(yīng)用安全性測(cè)試技術(shù)的研究及
rl(2008)hp:ww.wp./ [r/ol]. (2008). https://www. owasp. org/images/5/56/0wasp_[]./s/6/asp其工具實(shí)現(xiàn)[D].上海:華東師范大學(xué),201
 Testing_Guide_v3. pdf.
[34]劉為基于模糊測(cè)試的XSS漏洞檢測(cè)系統(tǒng)研究與實(shí)現(xiàn)[D]長(zhǎng)沙:
5] HOPE, WALTBER.web安全測(cè)試[M]傅鑫,等譯北京:清湖南大學(xué),2010

網(wǎng)友評(píng)論 more

綜合安全論文最新內(nèi)容

05-04