導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

Web服務(wù)安全性測試技術(shù)問題研究

文檔作者：于穎文檔來源：大連廣播電視大學(xué)		點(diǎn) 擊數(shù)：	更新時間： 2021年07月12日
下載地址：點(diǎn)擊這里	文件大?。?636.47 KB 共3頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共3頁]

本文件共3頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：636.47 KB 共3頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會員免費(fèi)）

下一篇：總裝測試廠房接地阻抗安全監(jiān)測系統(tǒng)研究

上一篇： BS應(yīng)用系統(tǒng)上線前的安全性測試研究與實施

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

Ｗeb 服務(wù)安全性測試技術(shù)問題研究
于穎
（大連廣播電視大學(xué)長海分校，遼寧大連１１６５００）
摘要：Ｗｅb服務(wù)組合安全性檢測對提高Ｗｅb 服務(wù)的安全性具有重要意義。針對Ｗｅb 應(yīng)用安全存在的主要8 種漏洞，在建立測試
框架的基礎(chǔ)上，提出安全檢測關(guān)鍵技術(shù)的實現(xiàn)方法，為提高Ｗｅb 服務(wù)安全性提供技術(shù)參考。
關(guān)鍵詞：安全性測試；Ｗｅb 服務(wù)；漏洞；測試框
中圖分類號： ＴＰ393 文獻(xiàn)標(biāo)識碼：Ａ 文章編號：1674-1161（2016）03-0036-03
1969 年互聯(lián)網(wǎng)在美國誕生，1994 年我國與國際
互聯(lián)網(wǎng)成功連接，標(biāo)志著我國互聯(lián)網(wǎng)步入新時代。經(jīng)
過20 多年的發(fā)展，我國的互聯(lián)網(wǎng)實現(xiàn)了從無到有，并
且規(guī)模越來越大， 現(xiàn)已經(jīng)成為世界第二大網(wǎng)絡(luò)大國。
據(jù)《中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計報告》（中國互聯(lián)網(wǎng)絡(luò)
信息中心2016年1月22 日第37 次權(quán)威發(fā)布）顯示，
截至2015 年12 月，我國網(wǎng)民規(guī)模達(dá)6.88 億，互聯(lián)網(wǎng)
普及率達(dá)50.3％，半數(shù)中國人已接入互聯(lián)網(wǎng)。伴隨著
互聯(lián)網(wǎng)的快速發(fā)展，以社交網(wǎng)絡(luò)、電子商務(wù)等為代表
的Ｗｅb 服務(wù)正在深刻地改變著人們的生活方式，甚
至影響著整個社會發(fā)展進(jìn)程。
１ Ｗeb服務(wù)的基本概念及組成
Ｗｅb 服務(wù)作為一種遠(yuǎn)程訪問的標(biāo)準(zhǔn)， 具有松散
耦合、平臺無關(guān)、交互性、語言中立等優(yōu)點(diǎn)，通常作為
分布式應(yīng)用實現(xiàn)的技術(shù)基礎(chǔ)。Ｗｅb 應(yīng)用系統(tǒng)組成十
分復(fù)雜， 正因為其復(fù)雜組件和彼此間復(fù)雜的關(guān)系，所
以才能為用戶提供強(qiáng)大服務(wù)。Ｗｅb 應(yīng)用系統(tǒng)核心組
件包括用戶接口代碼、前端系統(tǒng)、服務(wù)器軟件、后臺系
統(tǒng)、數(shù)據(jù)庫系統(tǒng)等。
２ Ｗeb服務(wù)安全性測試的重要意義
Ｗｅb 應(yīng)用當(dāng)前已經(jīng)成為軟件開發(fā)的重要組成部
分。由于開發(fā)人員技術(shù)水平有限或者安全意識比較薄
弱，每一個Ｗｅb 系統(tǒng)自身都存在著一定的安全漏洞，
并在使用過程中逐漸暴露出來，入侵者就可能利用漏
洞到Ｗｅb應(yīng)用上進(jìn)行惡意攻擊。Ｗｅb 系統(tǒng)中有大量
信息，其中許多信息涉及個人隱私或是企業(yè)關(guān)鍵性業(yè)
務(wù)等，一旦Ｗｅb 服務(wù)安全性出了問題，可能會給個人
或企業(yè)造成重大損失和帶來嚴(yán)重后果。雖然當(dāng)前入侵
檢測、防火墻等技術(shù)已經(jīng)相對成熟，可以為Ｗｅb 系統(tǒng)
提供一定的安全防護(hù)， 但是對Ｗｅb 應(yīng)用的惡性攻擊
大多來自于應(yīng)用層，完全解決各種安全性問題的難度
非常大。在此情況下，Ｗｅb服務(wù)安全性測試具有重大
現(xiàn)實意義。
３ Ｗeb應(yīng)用安全漏洞
Ｗｅb應(yīng)用安全漏洞是指一個Ｗｅb 系統(tǒng)的所有組
件在設(shè)計、實現(xiàn)或者操作和管理中存在的可能被入侵
者利用的缺陷和弱點(diǎn)。常見的Ｗｅb 應(yīng)用安全漏洞主
要有以下8個類別。
３.１ 未被驗證的輸入
入侵者通過篡改HＴＴＰ 請求越過站點(diǎn)安全機(jī)制，
主要包括緩沖區(qū)溢出、跨站點(diǎn)腳本、SＱＬ 注入、格式化
字符串攻擊等輸入篡改攻擊方式。HＴＴＰ 請求主要包
括查詢字符串、Cookiｅ、HＴＴＰ 頭部、URＬ、表單等。
３.２ SQL 注入
SＱＬ 注入是最普遍、最嚴(yán)重的Ｗｅb 應(yīng)用安全漏
洞。入侵者通過在輸入域中插入某些特殊字符，完全
改變SＱＬ 查詢的自身功能， 欺騙數(shù)據(jù)庫服務(wù)器進(jìn)行
非法操作，從而達(dá)到破壞數(shù)據(jù)庫或非法獲取數(shù)據(jù)清單
的目的。
３.３ 跨站點(diǎn)腳本
入侵者在Ｗｅb 瀏覽器客戶端通過頁面提交的輸
入數(shù)據(jù)嵌入惡意代碼，如果服務(wù)器不經(jīng)過濾或轉(zhuǎn)義直
接將這些數(shù)據(jù)返回，那么這些惡意代碼在其他用戶訪
問該Ｗｅb 頁面時將被執(zhí)行， 從而實現(xiàn)其惡意攻擊的
目的。
３.４ 緩沖區(qū)溢出
入侵者利用緩沖區(qū)溢出漏洞向Ｗｅb 應(yīng)用發(fā)送特
定請求，使目標(biāo)Ｗｅb應(yīng)用執(zhí)行其設(shè)定的代碼。
３.５ 隱藏的字段
在正常操作中， 用戶可以執(zhí)行Ｗｅb 瀏覽器中的
“查看源文件”，并查看字段內(nèi)容，通過手工修改參數(shù)
收稿日期：2016-01-08
作者簡介：于穎（１９７９—），女，講師，從事計算機(jī)教學(xué)工作。
第３期總第２６１期Ｎo．３ Ｔotａl Ｎo．２６１
２０１６年３ 月Mａｒ． ２０１６
農(nóng)業(yè)科技與裝備
Ａｇｒｉｃｕltｕｒａl Ｓｃｉｅnｃｅ＆Ｔｅｃhnoloｇy ａnｄ Ｅｑｕｉｐｍｅnt
值，再傳回給服務(wù)器端。入侵者通過對HＴＭＬ 源文件
中的這些隱藏字段進(jìn)行修改實現(xiàn)惡意目的。
３.６ 不恰當(dāng)?shù)漠惓Ｌ幚?
用戶向Ｗｅb 應(yīng)用提交正常請求時， 可能頻繁產(chǎn)
生內(nèi)存不足、系統(tǒng)調(diào)用失敗、數(shù)據(jù)庫鏈接錯誤等異常
情況。如果不能進(jìn)行恰當(dāng)處理，堆棧追蹤、數(shù)據(jù)庫結(jié)
構(gòu)、錯誤代碼等內(nèi)部錯誤信息很可能被入侵者獲知，
帶來一定的安全隱患。
３.７ 遠(yuǎn)程命令執(zhí)行
用戶提供的輸入數(shù)據(jù)在沒有經(jīng)過適當(dāng)驗證情況
下，就可以通過Ｗｅb 服務(wù)器進(jìn)行傳遞。入侵者可能利
用這個漏洞，使目標(biāo)Ｗｅb 應(yīng)用執(zhí)行他的命令。
３.８ 遠(yuǎn)程代碼注入
這一安全漏洞通常是由Ｗｅb 應(yīng)用開發(fā)者存在不
良編碼習(xí)慣引起的， 如允許沒有經(jīng)過驗證的用戶輸
入，造成本地應(yīng)用或遠(yuǎn)程的ＰHＰ 代碼被包含進(jìn)來。這
一漏洞被入侵者利用， 實現(xiàn)其向目標(biāo)Ｗｅb 應(yīng)用中注
入其他ＰHＰ 代碼的目的。
４ Ｗeb 服務(wù)安全性測試技術(shù)
為保障Ｗｅb 服務(wù)安全，消除潛在的漏洞隱患，一
方面Ｗｅb 服務(wù)要在用戶的身份標(biāo)識和驗證級別上集
成Ｗｅb 站點(diǎn)安全； 另一方面要在服務(wù)器與用戶進(jìn)行
信息交換的過程增加安全防范措施。目前，通常在身
份驗證／授權(quán)、傳輸層安全、應(yīng)用層安全3 個領(lǐng)域采取
安全措施。
４.１ 測試框架
Ｗｅb 應(yīng)用安全性測試框架主要包括威脅建模、
測試需求、測試策劃、測試執(zhí)行、報告5 個不同階段，
具體情況如圖1所示。
第一階段是威脅建模， 主要是有效確定安全目
標(biāo)，對漏洞隱患進(jìn)行確定和評級。第二階段是測試需
求，準(zhǔn)確確定測試對象并合理進(jìn)行資源分配，主要依
據(jù)軟件具體需求和威脅剖面素。第三階段是測試策
劃，主要是測試策略文檔，通過提供控制策略，有效控
制系統(tǒng)程序總體架構(gòu)、資源需求和缺陷，準(zhǔn)確描述測
試環(huán)境等一系列情況。第四階段是測試執(zhí)行，及時準(zhǔn)
確的記錄測試的結(jié)果。第五階段是報告，對最終測試
結(jié)果進(jìn)行詳細(xì)地說明和報告。
４.２ 安全性測試技術(shù)
在Ｗｅb 應(yīng)用系統(tǒng)開發(fā)的整個過程中， 對整個體
系結(jié)構(gòu)的每一個環(huán)節(jié)都進(jìn)行必要的安全性測試，就會
發(fā)現(xiàn)其存在的安全漏洞隱患， 從而有效提高整個
Ｗｅb 應(yīng)用系統(tǒng)的綜合安全性能。在最初的設(shè)計環(huán)節(jié)
對安全漏洞進(jìn)行檢測，并及時對漏洞進(jìn)行修復(fù)，可能
避免后續(xù)環(huán)節(jié)發(fā)生安全問題。把目標(biāo)部署環(huán)境所關(guān)聯(lián)
的設(shè)計作為目標(biāo)對象進(jìn)行通盤考慮和研究設(shè)計，有效
提高Ｗｅb 應(yīng)用系統(tǒng)的安全水平。“白盒子”測試的主
要內(nèi)容是，在Ｗｅb 應(yīng)用系統(tǒng)開發(fā)過程中，依據(jù)源代碼
的不同級別對目標(biāo)網(wǎng)站進(jìn)行相應(yīng)安全測試，及時發(fā)現(xiàn)
相關(guān)問題并進(jìn)行有效處理。
４.３ 應(yīng)用及傳輸安全
Ｗｅb 應(yīng)用系統(tǒng)設(shè)計完成后， 要通過一系列的安
全測試，發(fā)現(xiàn)系統(tǒng)中存在的漏洞隱患，并有效進(jìn)行修
復(fù)?！昂谙渥印睖y試的主要內(nèi)容是，當(dāng)Ｗｅb 應(yīng)用系統(tǒng)已
經(jīng)投入使用后，在不影響其正常運(yùn)行的條件下，積極
應(yīng)用遠(yuǎn)程方式進(jìn)行安全測試， 模擬黑客攻擊目標(biāo)系
統(tǒng)，最大限度對Ｗｅb 應(yīng)用系統(tǒng)安全性進(jìn)行有效測試。
在測試過程中，通常選取應(yīng)用級和傳輸級2 個等
級層面進(jìn)行測試。應(yīng)用級安全性測試是通過系統(tǒng)自帶
程序?qū)δ夸浽O(shè)置、注冊及登錄、在線超時、操作留痕、
備份及恢復(fù)進(jìn)行檢查測試，有效排除程序設(shè)計方面存
在的安全漏洞隱患。傳輸級安全性測試是以系統(tǒng)傳輸
特性為基礎(chǔ)，通過對包括SSＬ、數(shù)據(jù)加密、防火墻、服
務(wù)器腳本漏洞在內(nèi)的從用戶端到服務(wù)器整個數(shù)據(jù)信
息傳輸過程進(jìn)行檢查測試，進(jìn)一步增強(qiáng)系統(tǒng)拒絕非法
訪問的能力。
參考文獻(xiàn)
［1］ 唐修平.Ｗｅb 服務(wù)安全性研究及應(yīng)用［J］.湖南工業(yè)職業(yè)技術(shù)學(xué)院學(xué)報，2011（5）：5-7.
［2］ 張再華.基于.NＥＴ平臺Ｗｅb 服務(wù)安全性的研究與實現(xiàn)［J］.電腦知識與技術(shù)：學(xué)術(shù)交流，2012（2X）：1292-1293.
［3］ 邢翠芳，李瑛，趙海冰，等.一種移動Ｗｅb 服務(wù)安全性技術(shù)方案［J］.計算機(jī)技術(shù)與發(fā)展，2013（4）：122-125.
［4］ 周潔，任江春，王志英，等.一種基于Ｐｅtｒi 網(wǎng)的Ｗｅb 服務(wù)組合安全性動態(tài)檢測技術(shù)［J］.計算機(jī)工程與科學(xué)，2014（2）：250-257.
圖１ Ｗeb應(yīng)用安全性測試框架
Ｆiｇｕｒe １ Ｗeｂ ａppliｃａｔion ｓeｃｕｒiｔy ｔeｓｔ
（下轉(zhuǎn)第３９ 頁）
２０１６ 年第３期于穎：Ｗｅｂ 服務(wù)安全性測試技術(shù)問題研究37
Anａlyｓiｓ on ASＰ.NET ３－Tieｒ Aｒｃｈiｔeｃｔｕｒe
ＹU Haiｘia1， ＷＡNＧ Hao2
（1. Ｌiaoning Ｍachinｅｒy Ｅlｅctｒon School， Ｌiaoyang Ｌiaoning 111004， China； 2. Ｌiaoning Univｅｒsity of Ｔｅchnology， Jinzhou Ｌiaonign
121000， China）
Aｂｓｔｒａｃｔ： On thｅ basis of analyzing ＡSＰ.NＥＴ 3-tiｅｒ aｒchitｅctuｒｅ concｒｅtｅ concｅpt， this aｒticlｅ intｒoducｅd spｅcific application and ｅvｅｒy
tiｅｒ main function of ＡSＰ.NＥＴ 3-tiｅｒ aｒchitｅctuｒｅ by ｅｘamplｅ， pｒoviding thｅoｒｅtical ｒｅfｅｒｅncｅs foｒ bｅginnｅｒ know moｒｅ about ＡSＰ.
NＥＴ 3-tiｅｒ aｒchitｅctuｒｅ.
Key ｗoｒdｓ： ＡSＰ.NＥＴ； pｒｅsｅntation layｅｒ； businｅss logic layｅｒ； data accｅss layｅｒ
然后，DＡＬ 相應(yīng)提供方法供ＢＬＬ 調(diào)用SｅlｅctUsｅｒ
（UsｅｒInfo usｅｒInfo）IsＥｘist （UsｅｒInfo usｅｒInfo）， 這樣
ＢＬＬ 確實只起傳遞作用。但如果這樣做，ＢＬＬ.IsＥｘist
（Usｅｒinfo usｅｒinfo） ｛ UｅｒInfo usｅｒ ＝ DＡＬ.SｅlｅctUsｅｒ
（Usｅｒ）；ｒｅtuｒn （usｅｒInfo.Id ！ ＝ null）； ｝，DＡＬ 無法實
現(xiàn)IsＥｘist（）方法，ＢＬＬ 中有邏輯處理代碼。
２.３ UserModel.cs 實體
Ｍodｅl 在三層架構(gòu)中的位置和int，stｒing 等變量
一樣，只用于數(shù)據(jù)存儲，但它存儲比較復(fù)雜的數(shù)據(jù)。所
以，若項目中都是比較簡單的對象，則不用modｅl，直
接傳遞參數(shù)也可以做三層架構(gòu)。
現(xiàn)舉例說明modｅl 在各層參數(shù)傳遞中的作用。在
各層間傳遞參數(shù)時， 可以設(shè)置為ＡddUsｅｒ（usｅｒId，
usｅｒNamｅ，usｅｒＰasswoｒd，…，），也可以設(shè)置為ＡddUsｅｒ
（usｅｒInfo），但第二種方法更好。
應(yīng)用modｅl 和普通變量時，SｅlｅctUsｅｒ （int
UsｅｒId）SｅlｅctUsｅｒＢyNamｅ （stｒing usｅｒnamｅ）SｅlｅctUsｅｒＢyNamｅ
（stｒing usｅｒnamｅ，stｒing passwoｒd）SｅlｅctUsｅｒＢyＥmail
（stｒing ｅmail）SｅlｅctUsｅｒＢyＥmail （stｒing
ｅmail，stｒing passwoｒd）， 可以概括為SｅlｅctUsｅｒ
（usｅｒId） SｅlｅctUsｅｒ（usｅｒ）。這里用usｅｒ 的Ｍodｅl 工具
包括usｅｒnamｅ，passwoｒd，ｅmail 這3 個參數(shù)的4 種組
合模式。UsｅｒId也可以合并到usｅｒ 中，但項目中別的
ＢＬＬ 都實現(xiàn)id 參數(shù)接口，故也留下這項。
傳入usｅｒInfo 的處理，需要依照前后次序用詳細(xì)
代碼決定。UsｅｒDＡＬcs public IＬist SｅlｅctUsｅｒs（）：返回
全部的用戶信息列表public UsｅｒInfo SｅlｅctUsｅｒ（int
UsｅｒId）： 返回指定用戶的信息public bool InsｅｒtUsｅｒ
（UsｅｒInfo Usｅｒ）： 新增用戶信息public bool UpdatｅUsｅｒ
（UsｅｒInfo Usｅｒ）： 更新用戶信息public void
DｅlｅtｅUsｅｒ（int UsｅｒId）：移除用戶信息。
許多人對數(shù)據(jù)訪問層比較迷糊：有一部分人不清
楚定義，認(rèn)為數(shù)據(jù)庫是訪問層，其實DＡＬ 是數(shù)據(jù)訪問
層，而不是數(shù)據(jù)存儲層，故數(shù)據(jù)庫不是這一層的；也有
人把SＱＬHｅlpｅｒ（或其同類作用組件）作為數(shù)據(jù)訪問
層。SＱＬHｅlpｅｒ 的作用是削減重復(fù)性編碼，提高編碼
效率， 所以在注重效率或利用非數(shù)據(jù)庫數(shù)據(jù)源時，可
以拋棄SＱＬHｅlpｅｒ。和數(shù)據(jù)源操作相對應(yīng)的代碼，屬
于數(shù)據(jù)訪問層。
此外，能夠另一個判斷三層架構(gòu)是否標(biāo)準(zhǔn)的方法
就是，改變?nèi)龑蛹軜?gòu)中任何一層時，是否會影響其它
兩層。例如：把項目從C ／ S 改成Ｂ ／ S（或相反），這樣除
UI 之外，ＢＬＬ 與DＡＬ 都不需要改變。
參考文獻(xiàn)
［1］ 麥密輝.NＥＴ環(huán)境的三層構(gòu)架開發(fā)技術(shù)［J］.考試周刊，2012（39）：134-135.
［2］ 莫嬌，廖斌，徐少波，等.基于移動互聯(lián)技術(shù)的公共自行車租賃系統(tǒng)設(shè)計［J］.科技創(chuàng)新與應(yīng)用，2015（20）： 31-32.
［3］ 杜天行，王光瓊.基于Ａsp.nｅt 三層構(gòu)架的醫(yī)藥公司綜合管理系統(tǒng)設(shè)計與實現(xiàn)［J］.軟件導(dǎo)刊，2012（11）：92-94.
Ｒeｓeａｒｃｈ on Teｃｈniｃａl Ｐｒoｂleｍ oｆ Ｗeｂ Seｒｖiｃe Seｃｕｒiｔy Teｓｔ
ＹU Ｙing
（Changhai Ｂｒanch School Dalian Radio&amp;amp;Ｔｅlｅvision Univｅｒsity，Dalian Ｌiaoning 116500，China）
Aｂｓｔｒａｃｔ： Ｗｅb sｅｒvicｅ combination sｅcuｒity tｅst plays an impoｒtant ｒolｅ in impｒoving Ｗｅb sｅｒvicｅ sｅcuｒity.In this papｅｒ it put foｒwaｒd
implｅmｅntation mｅthod of thｅ kｅy sｅcuｒity tｅst tｅchnology foｒ 8 main flaws ｅｘisting in Ｗｅb application sｅcuｒity on basis of ｅstablishing
tｅst fｒamｅwoｒk，pｒovidｅd tｅchnical ｒｅfｅｒｅncｅ foｒ impｒoving Ｗｅb sｅｒvicｅ sｅcuｒity.
Key ｗoｒdｓ： sｅcuｒity tｅst； Ｗｅb sｅｒvicｅ； flaw； tｅst fｒamｅwoｒk
（上接第３７ 頁）
２０１６ 年第３期于海霞等：ＡＳＰ．ＮＥＴ 三層構(gòu)架解析39

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05