導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

Web安全性測試技術(shù)綜述

文檔作者：于莉莉杜蒙杉張平紀(jì)玲利文檔來源： 1.北京航空航天大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)系2.二炮軟件測評(píng)中心3.空軍裝備研究院通信導(dǎo)航與指揮自動(dòng)化研究所4二炮裝備研究院		點(diǎn) 擊數(shù)：	更新時(shí)間： 2021年07月13日
下載地址：點(diǎn)擊這里	文件大?。?439.44 KB 共5頁	文檔格式： PDF	下載點(diǎn)數(shù)： 1 點(diǎn)（VIP免費(fèi)）

全屏查看

內(nèi)容預(yù)覽 [文件共5頁]

本文件共5頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會(huì)出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大?。?39.44 KB 共5頁文件格式：PDF 下載點(diǎn)數(shù)：1 點(diǎn)（VIP會(huì)員免費(fèi)）

下一篇：強(qiáng)化安全文化建設(shè) 構(gòu)建本質(zhì)安全企業(yè)

上一篇：基于SDL的軟件安全測試方法研究

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

第29卷第11期
計(jì)算機(jī)應(yīng)用研究
 Vol. 29 No. 11
2012年11月
 Application Research of Computers
Nov.2012
e安全性測試技術(shù)綜述
于莉莉,杜蒙杉,張平,紀(jì)玲利
(1.北京航空航天大學(xué)計(jì)算機(jī)科學(xué)與技術(shù)系,北京100191;2.二炮軟件測評(píng)中心,北京1000853.空軍裝備研
究院通信導(dǎo)航與指揮自動(dòng)化研究所,北京1000854二炮裝備研究院,北京100085)
摘要:對(duì)Web應(yīng)用程序進(jìn)行有效徹底的測試是及早發(fā)現(xiàn)安全漏洞、提高Web應(yīng)用安全質(zhì)量的一種重要手段。
首先介紹了Web應(yīng)用安全威脅分類,總結(jié)了常見的Web應(yīng)用安全漏;然后對(duì)當(dāng)前Web安全性測試技術(shù)的研
究進(jìn)行了全面概述,比較了靜態(tài)技術(shù)和動(dòng)態(tài)技術(shù)各自的優(yōu)缺點(diǎn),同時(shí)對(duì)在Web安全性測試中新興涌現(xiàn)的模糊測
試技術(shù)進(jìn)行了詳細(xì)的介紹和總結(jié);最后指出了We安全測試中有待解決的問題以及未來的研究方向。
關(guān)鍵詞:Web應(yīng)用安全漏洞;靜態(tài)分析;動(dòng)態(tài)分析;模糊測試
中圖分類號(hào):TP391·文獻(xiàn)標(biāo)志碼:A文章編號(hào):1001-695(2012)-401-0
001
doi:10.3969/jiss.1001-3695.2012.11.00
 Survey on Web security testing technologies
 YU Li-li 2, DU Meng-shan', ZHANG Ping', JI Ling-li
 (1. Dept. of Computer Science Technology, Beihang Unirersity, Beyjing 100191, China 2. Sofiware Testing E
 ion Center of the Sec-
 ond Artillery Force, Beijing 100085, China; 3. Com
 n Narigation Auto
 100085, China; 4. The Second Arilley Force Equipment Academy, Beijing 10085, China)
 Abstract: A thorough test for Web applicati
 proving the security quality of Web application. This paper firstly
 Web application security
 threat and summarized common Web application security vulr
 state of Web
 d the dynamic
 technologies. At the same time, it introduced and concluded the detail of
 technology in
 eb security testing. At last, this paper presented the problem to be
已經(jīng)通過認(rèn)證的用戶3。開放式Web應(yīng)用程序安全項(xiàng)目
0引言
(open Web application security project, OWASP)在2010年公布
近20年來,互聯(lián)網(wǎng)技術(shù)在全球范圍內(nèi)得到了持續(xù)快速的的Web應(yīng)用十大安全漏洞(圖1)中,排名靠前的注(in
發(fā)展。在我國的中國互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)2012年1 jection本cross site scriptingxs限制ur
發(fā)布的《中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告》中指出:截止211訪( failure to restrict URL access種漏洞都是由于未能
年12月,網(wǎng)民規(guī)模達(dá)到5億,互聯(lián)網(wǎng)普及率攀至38.3正確處理用戶請求而引起的。
30%
互聯(lián)網(wǎng)已經(jīng)成為一項(xiàng)重要的社會(huì)基礎(chǔ)設(shè)施,Web應(yīng)用也逐漸
25%
成為軟件開發(fā)的主流之一。以電子商務(wù)、社交網(wǎng)絡(luò)、博客、論壇
20%
15%
社區(qū)為代表的Web應(yīng)用已經(jīng)在人們的生活中扮演了越來越重
要的角色,并逐漸改變了人們的生活方式。
但在Web應(yīng)用中存在的各種安全漏洞也逐漸暴露出來,
這些漏洞可能導(dǎo)致Web應(yīng)用遭受各種攻擊,嚴(yán)重影響了社會(huì)
穩(wěn)定、經(jīng)濟(jì)發(fā)展和人們的正常生活。根據(jù) Symantec發(fā)布的《sy
圖1 OWASP十大安全漏(2010年)
 mantec Internet security threat report,0%以上的軟件安全
造成Web應(yīng)用安全漏洞的原因一方面是Web應(yīng)用開發(fā)人
漏洞是關(guān)于Web應(yīng)用的。這些安全漏洞可能信員經(jīng)驗(yàn)不足、對(duì)安全問題不夠重視,更重要的則是缺乏全面徹
遭受各種攻擊,如拒絕服務(wù)攻擊、SQL注入、竊取用戶信息等底的安全性測試。根據(jù)IEEE的軟件工程標(biāo)準(zhǔn)術(shù)語,軟件測試
盡管防火墻、入侵檢測等技術(shù)已經(jīng)比較成熟,Web應(yīng)用的特殊
性往往導(dǎo)致防范各類安全性問題的難度很大,因?yàn)閃cb應(yīng)用
被定義為:使用人工和自動(dòng)手段來運(yùn)行或測試某個(gè)系統(tǒng)的過
程,其目的在于檢驗(yàn)它是否滿足規(guī)定的需求或是弄清預(yù)期結(jié)果
攻擊通常來自應(yīng)用層,并且可能來自任何在線用戶,甚至包括
與實(shí)際結(jié)果之間的差別。該定義中提到的需求通常包括了
稿日期:012-03-25修日期:2012051基金項(xiàng)目:二研究院青年創(chuàng)新基全資助項(xiàng)目201619)國家自然科學(xué)基全資助項(xiàng)目
18018)
作者簡介:于莉(1978-),女,河南開封人,博士研究生,要研究方向?yàn)榛貧w測試、質(zhì)性研究方法、軟件維(er-2326e)杜蒙杉(1978-)
遼寧沈陽人工程師,主要研究方向?yàn)檐浖こ?張平工程師,主要研究方向?yàn)檐浖y試;紀(jì)琳俐,高級(jí)工程師,主要研究方向?yàn)檐浖踩?
4002
計(jì)算機(jī)應(yīng)用研究
第29卷
軟件功能性能可用性、安全性等諸多方面,而在傳統(tǒng)Web應(yīng)到攻擊者的惡意目的。
用測試過程中,測試人員更注重對(duì)正常功能的驗(yàn)證,往往忽視4)緩沖區(qū)溢出
安全性方面的需求。Wcb應(yīng)用作為
種特殊的軟件,面臨著
攻擊者可以利用這個(gè)漏洞發(fā)送特定請求給Web應(yīng)用,使
比傳統(tǒng)單機(jī)軟件更為嚴(yán)峻的安全威脅和更為復(fù)雜的用戶環(huán)境。其執(zhí)行任意代碼。
因此在Wcb應(yīng)用發(fā)布前對(duì)其進(jìn)行全面徹底的安全性測試,發(fā)5)隱藏的字段
據(jù)Web應(yīng)用中的安全漏洞和潛在的安全隱患是非常有必
用戶可以通過在Web瀏覽器中執(zhí)行“查看源文件”等操作
要的。
在Web應(yīng)用領(lǐng)域中,發(fā)現(xiàn)安全漏洞的常用技術(shù)方法有靜過URL參數(shù)傳回給服務(wù)器端攻擊者可以通過修改HTML
態(tài)分析技術(shù)和動(dòng)態(tài)分析技術(shù)。模糊測試( fuzzing技術(shù)作為軟文件中的這些隱藏字段達(dá)到惡意攻擊的目的。
件測試研究中一種新的思路和方法,近年來開始被應(yīng)用到Web6)不恰當(dāng)?shù)漠惓Ｌ幚?
應(yīng)用測試領(lǐng)域cb應(yīng)用存在的漏洞和安全隱患很大程度上用戶提交給Wcb應(yīng)用的正常請求有可能頻繁地產(chǎn)生錯(cuò)誤
是由于對(duì)用戶的某些輸入數(shù)據(jù)缺乏相應(yīng)的校驗(yàn)或異常處理機(jī)和異常情況,如內(nèi)存不足、系統(tǒng)調(diào)用失敗、數(shù)據(jù)庫鏈接錯(cuò)誤等。
制造成的在Web應(yīng)用測試中,利用模糊測試技術(shù)有目的不恰當(dāng)?shù)漠惓Ｌ幚頃?huì)將詳細(xì)的內(nèi)部錯(cuò)誤信息如堆棧追蹤
地構(gòu)造大量的有效或者無效的用戶輸入數(shù)據(jù)提交給eb應(yīng)(stack trace)、數(shù)據(jù)庫結(jié)構(gòu)以及錯(cuò)誤代碼等提供給攻擊者,給
用,同時(shí)能夠通過多種方式監(jiān)測Web應(yīng)用的行為進(jìn)而分析任Web應(yīng)用帶來安全隱患。
何引起Web應(yīng)用出現(xiàn)異常甚至崩潰的原因,將有助于發(fā)掘
7)遠(yuǎn)程命令執(zhí)行
web應(yīng)用中存在的安全漏洞和隱患,最終達(dá)到提高eb應(yīng)用eb服務(wù)器可能簡單地將用戶提供的輸入數(shù)據(jù)傳遞給其
安全性的目的。
他應(yīng)用或操作系統(tǒng)本身。如果這些輸入數(shù)據(jù)沒有經(jīng)過適當(dāng)?shù)?
1web應(yīng)用安全漏洞
驗(yàn)證,那么攻擊者就可以直接執(zhí)行目標(biāo)系統(tǒng)上的命令。
8)遠(yuǎn)程代碼注人
RFC2828將漏洞定義為系統(tǒng)設(shè)計(jì)、實(shí)現(xiàn)或者操作和管理
引起這個(gè)漏洞的主要原因是Web應(yīng)用開發(fā)者不良的編碼
中存在的缺陷和弱點(diǎn),可能被攻擊者所利用,從而突破系的習(xí)慣,如允許將未經(jīng)驗(yàn)證的用戶輸入傳遞給如 include()或
安全策略,訪問未授權(quán)的資源和數(shù)據(jù)eb應(yīng)用安全漏 require()這樣的方法,這將允許本地應(yīng)用或遠(yuǎn)程的PHP代碼
則可以定義為一個(gè)Web系統(tǒng)的各個(gè)組件(包括Web用、Web被包含進(jìn)來,攻擊者可將他們自己的PHP代碼注入到目標(biāo)
服務(wù)器、數(shù)據(jù)庫等)在設(shè)計(jì)與實(shí)現(xiàn)以及安全策略上的漏洞
web應(yīng)用中
Web應(yīng)用安 Web全協(xié)會(huì)( Application Security Consortium2靜態(tài)分析技術(shù)
wasc)的Web安全威 threat classification TTC)項(xiàng)目
將Web應(yīng)用安全威脅分為如表1所示的六類。
靜態(tài)分析( static analysis)技術(shù)是指在不執(zhí)行的情況下對(duì)
表eb應(yīng)用安全威脅分類
程序代碼進(jìn)行評(píng)估,是一種典型的白盒測試方法。其基本
Web安全威脅類別
概念
思想是通過分析程序的運(yùn)行流程來構(gòu)建程序工作的數(shù)學(xué)模型,
驗(yàn)證用來確認(rèn)某用戶服務(wù)或應(yīng)用身份的攻擊手段
然后對(duì)該數(shù)學(xué)模型進(jìn)行審查以發(fā)掘程序的安全缺陷。常見的
授權(quán)
用來確認(rèn)某用戶、服務(wù)或應(yīng)用身份的攻擊手段
靜態(tài)分析方法主要包括詞法語法分析、模式匹配分析數(shù)據(jù)流
客戶端攻擊用來擾亂或探測Wcb應(yīng)用用戶的攻擊手段
分析、補(bǔ)丁比較分析和模型化分析等。近年來,靜態(tài)分析技術(shù)
命令執(zhí)行在Wb服務(wù)器上執(zhí)行遠(yuǎn)程命令的攻擊手段
信息暴露
用
在Web應(yīng)用安全性測試領(lǐng)域的研究成果主要包括以下內(nèi)容。
用來獲取Wb應(yīng)用具體系統(tǒng)信息的攻擊手段
 Jovanovic等人實(shí)現(xiàn)了針對(duì)PHP語言的源代碼靜態(tài)分
邏輯性攻擊用來擾亂或探測Wcb應(yīng)用邏輯流程的攻擊手段
析工具Pixy,該工具通過對(duì)PHP源代碼執(zhí)行靜態(tài)數(shù)據(jù)流分析
當(dāng)前Web應(yīng)用中常見的安全漏洞主要為八類。
來發(fā)掘PHP應(yīng)用中SQL注入、跨站點(diǎn)腳本等類型的漏洞,具有
1)未被驗(yàn)證的輸入
效率高、誤報(bào)率低等優(yōu)點(diǎn),但是存在不能支持PHP的面向?qū)ο?
攻擊者可以改P請求的任何部分,包括URL、詢特性以及無法解決源代碼中文件包含等問題。類似的工具還
字符串、HTTP頭部 http cookie,  PHP String Analyzer PHP-Sat表單等試圖越過站點(diǎn)的安全機(jī)包括PPStringnalyzerphp-sat等
制。常見的輸入竄改攻擊方式有跨站點(diǎn)腳本、緩沖區(qū)溢出、格
 Huang等人將Web應(yīng)用程序漏洞看做是一個(gè)安全信息
式化字符串攻擊、SQL注入等。
流問題( secure information flow problem),提出了源自類型系統(tǒng)
2)SQL注入
和類型狀態(tài)的基于格的靜態(tài)分析算法,并闡述了它的可靠性。
SQL注入是指攻擊者在輸入域中插特殊字符,改變SQL同時(shí),他們根據(jù)該算法實(shí)現(xiàn)了 WebSSARI工具,并對(duì) Source
查詢的本意,欺騙數(shù)據(jù)庫服務(wù)器執(zhí)行非法操作,而破壞數(shù)據(jù) Forge.net上230個(gè)開源Web應(yīng)用進(jìn)行了測試,發(fā)現(xiàn)其中69個(gè)
庫或非法獲取存儲(chǔ)在數(shù)據(jù)庫中的數(shù)據(jù)清單的行為。SQL注入有安全隱患。
是Web應(yīng)用漏洞中最普遍也是最嚴(yán)重的漏洞之一。
 Martin等人提出了一種目標(biāo)導(dǎo)向的模型檢驗(yàn)(goal
3)跨站點(diǎn)腳本
 directed model-checking-)方法來自動(dòng)生成測試用例,發(fā)掘由Ja
跨站點(diǎn)腳本是指攻擊者在客戶端(通常是Web瀏覽器)va開發(fā)的大型Web應(yīng)用中基于污點(diǎn)數(shù)據(jù)(ant- based)的漏洞
古
過Web頁面提交的輸入數(shù)據(jù)中嵌入惡意代碼,若服務(wù)器將這他們選取了源代碼總行數(shù)達(dá)到13000行的3個(gè)大型Web應(yīng)
些數(shù)據(jù)不經(jīng)過濾或轉(zhuǎn)義而直接返回,那么其他用戶在訪問該用進(jìn)行實(shí)驗(yàn),發(fā)現(xiàn)其中存在的0個(gè)SQL注入漏洞和13個(gè)跨站
Web頁面時(shí)這些惡意代碼將在后者的客戶端被執(zhí)行,從而達(dá)點(diǎn)腳本漏洞。
第11期
于莉莉,等:Web安全性測試技術(shù)綜述
4003
 Chess等人安全編程的角度詳細(xì)介紹了如何利用靜 Dafydd Stuttard開發(fā)的 Burp Suite是一款功能全面的
態(tài)分析技術(shù)改善軟件的安全性,其中包括如何在Web應(yīng)用安Wcb應(yīng)用滲透測試工具 Burp Suite收費(fèi)版本中提供了攔截代
全性測試中應(yīng)用靜態(tài)分析技術(shù)去發(fā)掘Web應(yīng)用在輸入驗(yàn)證、理服務(wù)器( burp proxy)、web爬蟲( burp spider)、掃描器(burp
會(huì)話管理方面的安全漏洞。
 intruder器 burp sequencer( burp repeater)
 Stuttard等人將基于源代碼審查的靜態(tài)分析技術(shù)總結(jié)等部件。其中攔截代理服務(wù)器部件提供了詳細(xì)的攔截規(guī)則
為以下三個(gè)步驟:a)從進(jìn)入點(diǎn)開始追蹤用戶向Web應(yīng)用提交能夠準(zhǔn)確地分析HTP消息的結(jié)構(gòu)和內(nèi)容;Web爬蟲部件能夠
的數(shù)據(jù),審查負(fù)責(zé)處理這些數(shù)據(jù)的代碼;b)在代碼中搜索表示遍歷被測Web應(yīng)用,記錄所訪問的每個(gè)頁面;掃描器部件可以
存在常見漏洞的簽名,并審查這些簽名,確定某個(gè)漏洞是否確自動(dòng)實(shí)施各種定制攻擊;序列生成器部件能夠?qū)?huì)話令牌、會(huì)
實(shí)存在c)對(duì)內(nèi)在危險(xiǎn)的代碼進(jìn)行逐行審查理解應(yīng)用程序的話標(biāo)志或其他出于安全原因需要隨機(jī)產(chǎn)生的鍵值的可預(yù)測性
邏輯,并確定其中存在的所有問題,需要進(jìn)行仔細(xì)審查的功能進(jìn)行分析;重放器部件允許用戶調(diào)整并重新提交之前被記錄的
組件包括Web應(yīng)用中的關(guān)鍵安全機(jī)制(身份驗(yàn)證會(huì)話管理、請求。
訪問控制與任何應(yīng)用程序范圍內(nèi)的輸入確認(rèn))、外部組件接口
 Paros是一款使用Java語言開發(fā)的Web安全漏洞掃描工
以及任何使用本地代碼的情況。
具,同樣支持對(duì)客戶端和服務(wù)器之間的HTTP/ HTTP/HTTPS數(shù)據(jù)信
靜態(tài)分析技術(shù)具有以下幾點(diǎn)優(yōu)勢:
息進(jìn)行攔截和竄改,能夠支持對(duì)SQL注入、跨站點(diǎn)腳本等多種
a)具有程序內(nèi)部代碼的高度可視性,可以對(duì)程序進(jìn)行全類型漏洞的發(fā)掘。 Paros的優(yōu)點(diǎn)在于它使用通過代理服務(wù)器的
面分析,能夠保證程序的所有執(zhí)行路徑得到檢測,而不局限于請求作為攻擊的基礎(chǔ),能夠有效地覆蓋被測Web應(yīng)用的所有
特定的執(zhí)行路
功能。 Nikto是 Chris Sullo使用Perl語言開發(fā)的開源Web安全
b)可以在執(zhí)行前驗(yàn)證程序的安全性,進(jìn)而在運(yùn)行程序前黑盒測試工具,主要針對(duì)Web服務(wù)器的錯(cuò)誤配置和不安全的
檢驗(yàn)程序安全性、修補(bǔ)安全漏洞。
文件和腳本進(jìn)行測試,其底層功能基于 LibWhisker實(shí)現(xiàn),能夠
c)無須實(shí)際執(zhí)行被測程序,不會(huì)產(chǎn)生程序運(yùn)行開銷,快速在 Windows、 Linux Mac OS等多個(gè)平臺(tái)上運(yùn)行 Stuttard等人
高效,自動(dòng)化程度高。
在文獻(xiàn)[13]中通過大量實(shí)例詳細(xì)介紹了Web應(yīng)用防御機(jī)制和
同時(shí),靜態(tài)分析技術(shù)也存在以下幾點(diǎn)不足:
常見的安全性問題,以及測試人員在滲透測試中使用的方法和
a)通用性較差,一般需要針對(duì)某種程序語言及其應(yīng)用平技巧,包括對(duì)驗(yàn)證機(jī)制、會(huì)話管理、訪問控制的攻擊等。Hope
臺(tái)來設(shè)計(jì)特定的靜態(tài)分析工具,具有一定的局限性。
等人在文獻(xiàn)[15]中從工程實(shí)踐的角度較為系統(tǒng)地介紹了Web
b)誤報(bào)( false positive)、漏報(bào)( false negative)率高靜態(tài)分應(yīng)用安全測試中常用的動(dòng)態(tài)分析技術(shù),包括以多種方式竄改輸
析工具通常需要在兩者之間尋求平衡。
入、自動(dòng)化批量掃描、操縱會(huì)話等。
c)靜態(tài)分析技術(shù)依賴于被測程序的源代碼。
與靜態(tài)分析技術(shù)相比,動(dòng)態(tài)分析技術(shù)通常是在真實(shí)的運(yùn)行
環(huán)境中對(duì)被測目標(biāo)進(jìn)行測試,直接模擬攻擊者的行為,因此其
3動(dòng)態(tài)分析技術(shù)
測試結(jié)果往往具有更高的準(zhǔn)確性,漏報(bào)、誤報(bào)率也相對(duì)較低;此
動(dòng)態(tài)分析( dynamic analysis)技術(shù)是從外圍或者客戶端測外動(dòng)態(tài)分析技術(shù)不需要應(yīng)用程序的源代碼,只需提供與被測
試執(zhí)行程序的技術(shù),是一種典型的黑盒測試技術(shù)。面向Web
Web應(yīng)用的網(wǎng)絡(luò)連接即可,具有較高的靈活性。
應(yīng)用的動(dòng)態(tài)分析技術(shù),比較具有代表性的是滲透測試( penetra-4模糊測試技術(shù)
 tion testing)技術(shù)。滲透測試是指測試人員模擬惡意用戶的行
為對(duì)Web應(yīng)用進(jìn)行安全評(píng)估,針對(duì)Web應(yīng)用中可能存在的代
 Fuzzing技術(shù)源于軟件測試中的黑盒測試技術(shù),其基本思
碼缺陷邏輯設(shè)計(jì)錯(cuò)誤等問題進(jìn)行測試,最終發(fā)掘其中的安全想是自動(dòng)產(chǎn)生和發(fā)送大量隨機(jī)或經(jīng)過變異的輸入值給軟件,
漏洞。開放式Web應(yīng)用程序安全項(xiàng)目將Wcb應(yīng)用滲透測試分旦發(fā)生失效或異常便可挖掘出軟件系統(tǒng)存在的薄弱環(huán)節(jié)和安
為被動(dòng)階段( passive mode)和主動(dòng)階段( negative mode來進(jìn)全漏潤2相比傳統(tǒng)的黑盒測試方法,模糊測試關(guān)注任何
行前者內(nèi)測試人員需要盡可能地去搜集被測eb應(yīng)用可能引發(fā)未定義或者不安全行為的輸入,其優(yōu)點(diǎn)包括簡單、有
的信息,如通過使用Web代理觀察HTTP請求和響應(yīng)等,了效、自動(dòng)化程度高以及可復(fù)用性強(qiáng)等;其缺點(diǎn)也十分明顯,如不
該應(yīng)用的邏輯結(jié)構(gòu)和所的點(diǎn)(access point)后者內(nèi)測試可避免地生成大量冗余的測試數(shù)據(jù)代碼覆蓋率不足以及黑盒
人員需要從各個(gè)角度、使用各種方法對(duì)被測Web應(yīng)用進(jìn)行滲測試共有的低智能性。低智能性即黑盒測試通常只對(duì)程序的
透測試,主要包括配置管理測試、業(yè)務(wù)邏輯測試、認(rèn)證測試授初始狀態(tài)進(jìn)行測試,而很多程序的缺陷都是隱藏在程序的后續(xù)
權(quán)測試、會(huì)話管理測試、數(shù)據(jù)驗(yàn)證測試、拒絕服務(wù)測試、Web服狀態(tài)中的。
務(wù)測試和AJAX測試等。近年來,動(dòng)態(tài)分析技術(shù)在Web應(yīng)用4.1模糊測試技術(shù)在Web應(yīng)用測試中的發(fā)展
安全性測試領(lǐng)域的研究成果主要有以下內(nèi)容。
面向Web應(yīng)用的模糊測試技術(shù)的基本思想是模擬惡意用
 Ratproxy Google信息安全技術(shù)團(tuán)隊(duì)開發(fā)的被動(dòng)式(pas戶行為,有目的地構(gòu)造大量異常非法包含攻擊載荷的模糊測
sive)網(wǎng)絡(luò)應(yīng)用程序安全評(píng)估工具運(yùn)行Ratproxy后可以在本試數(shù)據(jù)并提交給Web應(yīng)用,同時(shí)監(jiān)測Wcb應(yīng)用的行為,判斷
地啟動(dòng)一個(gè)代理服務(wù)器,測試人員需要將服務(wù)器地址設(shè)置為Wcb應(yīng)用中是否存在安全漏洞。近年來,面向Web應(yīng)用的模
web瀏覽器的代理在后續(xù)測試中只需要使用瀏覽器正常地糊測試技術(shù)研究中涌現(xiàn)出了許多研究成果,其中一部分已經(jīng)在
訪問被測Wcb應(yīng)用,如登錄操作、填寫表單等 Raproxy會(huì)截獲eb應(yīng)用的測試實(shí)踐中得到了廣泛的應(yīng)用和認(rèn)可。 Hammers
這些請求并對(duì)其進(jìn)行竄改后發(fā)送給Web應(yīng)用,并在后臺(tái)記錄and認(rèn)為用戶輸入可能會(huì)使Wcb應(yīng)用處于一種不確定狀
相關(guān)日志,支持將測試報(bào)告導(dǎo)出為HTML格式。
態(tài),從而導(dǎo)致Web應(yīng)用出現(xiàn)異常行為。他在研究中提出用一
第11期
于莉莉,等:Web安全性測試技術(shù)綜述
4005
資源和時(shí)間的限制迅速發(fā)展的形勢帶來的威脅等。對(duì)于持續(xù)華大學(xué)出版社2010.
快速發(fā)展的Web應(yīng)用而言,存在的安全漏洞在很大程度上都[6 OEHLERT Violating assumptions with fuzzing IEEE Security
是由于Web應(yīng)用自身對(duì)用戶的輸入數(shù)據(jù)缺乏有效的校驗(yàn)和過 and Privacy,200,3(2):58-62
濾所造成的。因此,針對(duì)不同的應(yīng)用情況,采取合適的處理方7 MILLER FREDRIKSENso. An empirical study of the re
式執(zhí)行有效的安全測試是十分必要的。
Mm
 liability of UNIX utilities[]. Communications of the ACM, 1990.
鑒于上述目的,本文依據(jù)對(duì)Web應(yīng)用程序代碼處理的不
33(12):32-4
同方式,分別介紹了三種發(fā)現(xiàn)Web應(yīng)用安全漏洞的技術(shù),靜8 LANZI MARTIGNONI MONGA et al smart fuzzer fo
態(tài)分析、動(dòng)態(tài)分析和模糊測試,并依次分析了三種技術(shù)的優(yōu)缺
 X86 executables[ C]//Proc of the 3rd International Workshop on Soft
點(diǎn)。針對(duì)傳統(tǒng)的靜態(tài)分析和動(dòng)態(tài)分析兩種方法的優(yōu)缺點(diǎn),建議
 ware Engineering for Secure Systems. Washington DC: IEEE Computer
采取相互結(jié)合的方式以達(dá)到取長補(bǔ)短提高查找安全漏洞能力
 Society,2007.
的目的。而針對(duì)目前模糊測試技術(shù)在Wcb應(yīng)用中存在的自動(dòng)
 [19] VUAGNOUX M. Autodafe an act of software torture R ] [S.L. ]
化程度不高、漏報(bào)/誤報(bào)率高、可擴(kuò)展性差等不足,結(jié)合目前開
 Swiss Federal Institute of Technology, Cryptograhy and Security Laho
2006
展的研究工作,筆者認(rèn)為應(yīng)該從自動(dòng)分析Web應(yīng)用改進(jìn)漏洞2om GREENE AMINI.模測試:強(qiáng)制性安全滿潤發(fā)
發(fā)掘方法提高可擴(kuò)展性等方面入手。
[M].黃,于莉莉李虎北京:機(jī)械工業(yè)出版社200
參考文獻(xiàn):
21]吳志勇,王紅川,孫樂昌,等 Fuzzing技術(shù)綜述[J].計(jì)算機(jī)應(yīng)用
] CNNIC.中國互聯(lián)網(wǎng)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告(2012年1月)[R/OL]研究,2010,27(3):829-83
 (2012-01-16) http://www. ennie. net. cn/hlfryj/hlwxzbg/201201/ [22] HAMMERSLAND R. Finding weaknesses in Web applications
po2012070934526469680.pdf
 through the means of fuzzing D]. Giovik, Norway Gjovik Universi-
 [2] Symantee Corporation. S
 Intemet security threat report. trends
ty,2008.
 [3] TIPTON H F, KRAUSE M. Information security managemnent 23] HAMMERSLAND R, SNEKKENES E. Fuzz testing of Web applica-
 for January-June 07, Volume XII[ R]. 2007.
 tions[ ER/OL]. htp://. harnmersland. net/tekst/fuzzing_ article.
 book[]. 6th ed. New York: Auerbach Publictions, 2006.
 pdf.
 [4] Open Web Application Security Project. OWASP top 10-2010 the 24] De GRAAF M. Intelligent fuzzing of Web applications]. Amster-
 ten most critical Web application security risks[ R)]. 2010.
 dam: Universit of Amsterdam, 2009.
 [5] IEEE STD 610. 12-1990. IEEE standard glossary of software engineer- [25] OWASO. Category: OWASO Web Scarab project EB/OL]. 2012
 ing ter
 logy[]. New York: IEEE, 1990.
 01-08). https: //www, owasp. org/index. php/category: owaso.
 [6] HUANG Yao-wen, HUANG S K, LIN T P. al. Web application
w.
 nt by fault injection and behavior monitoring C]// 26] WADDELL, JONES N, STEED C, et al. Using the workflow tech-
 Proe of the 12th International World Wide Web Conference. New
 nology in secure software engincering education[]//Proc of the 14th
 York: ACM Press,2003: 148-159.
 Colloquium for Information Systems Security Education. 2010: 76-82
 [7] SHIREY R. RFC 2828, Intemet security gloszny[]. 2000
 [27]STOECKEL D M, STELZER E A. DICK L K. Evaluation of two
 [8] ZHANG Jin, DIMITROFF A. The impact of metadata implementation
 ent of extraction efficiency in
 on Webpage visibili
 [J]. Informa
 microbial source tracking studies [J]. Water Research,2009.43
 tion Processrs anagement. 2005,41(3) 691-715.
(19):4820-4827
] CHESS WEST安全編程:代碼靜態(tài)分析[M]董啟雄,韓[28] LIN Jin-cheng- CHEN Jan-min An automated mechanism for secure
年,譯北京:機(jī)械工業(yè)出版社2008
 input handling[]. Joumal of Computers, 2009,4(9):837-844.
 [10] JOVANOVIC N, KRUEGEL C KIRDA. Pixy a static analysis tool [29] ERIKSSON B, DAHL O E, BOLLER R, et al. A new oral direct
 for detecting Web appli
 pilities short paper) C]//Proe thrombin inhibitor dahigatran etexilate, compared with enoxaparin for
 of IEEE Symposium on Security and Privacy Washington DC: IEEE
 Conputer Society, 2006 258-263.
 placement: the BISTRO II
 Throm
 d trial[]. Joumal of Throm-
 11] HUANC Yai-wen, YU Fang, HANG C, er al. Securing Web applica-
 bosis and Haemost
0
05,3(1):103-111
 tion
 untime protection C]//Proe of the [30] HENTEHZADEH N, MEHTA A, GURBANI K, al. Statistical
 13th Intemational World Wide Web Conference. New York: ACM
 analysis of self-similar session initiation protocol (SIP) messages for
 Press,20
 anomaly detection C]// of the 4th Intemational Conference on
 12] MARTIN M, LAM M. Au
 n of XSS and SQL injec- New Technologies, Mobility and Security. 2011:1-5
 tion attacks with
 d model checking[ C]//Proc of the 17th [31 SPI Dynamics. Web application security assessmenM[]. 2003
 USENIX Security Sy
 1. Berkeley: USENIX Association, 2008 [32] AMMANN P, WIJESEKERA D, KAUSHIK S. Sealable, graph
31-43
 based network vulnerability analysis[ C]//Proe of the 9th ACM Co
13 STUTTARD, PINTO.黑客攻防技術(shù)寶典:Web實(shí)戰(zhàn)篇[M]
石華耀,等譯北京:人民郵電出版社2009
 ference on Computer and Communications Seurity. New York ACM
 Press20027-24
 Open Web Application Security Project OWASP testing guide v3都基子模柵測試方法的Wcb應(yīng)用安全性測試技術(shù)的研究及
rl(2008)hp:ww.wp./ [r/ol]. (2008). https://www. owasp. org/images/5/56/0wasp_[]./s/6/asp其工具實(shí)現(xiàn)[D].上海:華東師范大學(xué),201
 Testing_Guide_v3. pdf.
[34]劉為基于模糊測試的XSS漏洞檢測系統(tǒng)研究與實(shí)現(xiàn)[D]長沙:
5] HOPE, WALTBER.web安全測試[M]傅鑫,等譯北京:清湖南大學(xué),2010

網(wǎng)友評(píng)論 more

綜合安全論文最新內(nèi)容

05-04