Web应用中安全漏洞检测技术的研究

论文摘要

随着Internet的不断发展,众多基于Web的应用程序以强大的功能和实用性等优点不断受到人们青睐,伴随而来的针对Web应用程序的攻击数量也大幅度上升,由此引发的Web安全事件层出不穷。如何检测Web应用程序的安全漏洞并做出相应的防御措施是当前Web安全的研究热点。本文针对XSS漏洞及其检测技术进行了研究,主要工作如下：1)总结分析了当前的Web应用安全现状和当前的漏洞检测技术,主要包括人工分析、Fuzzing技术、补丁对比技术、静态和动态分析技术。2)深入研究了XSS漏洞的各项内容,主要包括该漏洞的原理、危害、触发机制、利用方法及相应的防范措施。3)分析比较了几种Web应用的漏洞检测工具；并详细分析了Paros各个模块的工作原理,指出了它存在的优点和不足。4)针对Paros几乎无法检测存储型XSS漏洞的问题,设计开发了一个新的插件,实现了Paros对存储型跨站脚本漏洞检测。5)改进了Paros的跨站脚本漏洞检测模块,设计开发了一个混淆器,并将其加入到Paros的跨站脚本漏洞检测模块中,有效的提高了Paros对所有类型的跨站脚本漏洞检测的效率。本文的创新主要在于实现了Paros对存储型XSS漏洞的检测,并从很大程度上提高了Paros对所有类型的跨站脚本漏洞检测的效率。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 Web应用安全的现状
• 1.2 国内外研究现状
• 1.3 课题背景
• 1.4 章节安排
• 第二章 Web漏洞检测和分析的相关技术
• 2.1 Web应用漏洞概述
• 2.1.1 Web应用漏洞的概念
• 2.1.2 Web应用安全漏洞的产生原因
• 2.1.3 Web应用安全漏洞的分类
• 2.2 漏洞检测技术
• 2.2.1 漏洞检测技术分类
• 2.2.2 几种漏洞检测技术
• 2.3 XSS漏洞
• 2.3.1 XSS漏洞的原理
• 2.3.2 XSS漏洞的分类
• 2.3.3 利用XSS漏洞的方法
• 2.3.4 XSS漏洞的危害和防范
• 2.4 本章小结
• 第三章 Paros的研究
• 3.1 Web漏洞检测工具简介
• 3.2 Paros深入分析
• 3.2.1 Proxy模块
• 3.2.2 Spider模块
• 3.2.3 数据库模块
• 3.2.4 漏洞检测模块
• 3.2.5 Paros的其他功能
• 3.2.6 Paros的优点与不足
• 3.3 本章小结
• 第四章 XSS漏洞检测模块的改进
• 4.1 XSS攻击的触发机制
• 4.2 检测原理和流程
• 4.3 实现存储型XSS漏洞的检测
• 4.3.1 核心问题
• 4.3.2 解决方案
• 4.4 XSS漏洞检测模块的整体改进
• 4.4.1 核心问题
• 4.4.2 解决方案
• 4.5 改进工作的具体实现
• 4.5.1 开发语言及编译环境
• 4.5.2 实现改进的关键技术
• 4.5.3 类及主要功能函数
• 4.6 本章小结
• 第五章 改进模块的测试与分析
• 5.1 测试方法设计
• 5.2 测试过程与结果分析
• 5.3 本章小结
• 第六章 总结与展望
• 致谢
• 参考文献
• 研究成果