基于WAF入侵檢測和變異WebShell檢測算法的Web安全研究.pdf

1、隨著互聯(lián)網(wǎng)Web2.0的蓬勃發(fā)展，Web不僅提供豐富、動態(tài)的交互式應(yīng)用，而且已經(jīng)成為公司和國家的門戶和入口，也正是因?yàn)槿绱?，這些Web應(yīng)用成為了黑客攻擊者的主要目標(biāo)，黑客通過各種安全漏洞登錄Web應(yīng)用系統(tǒng)，上傳WebShell，獲取服務(wù)器權(quán)限，竊取用戶信息，所以Web應(yīng)用系統(tǒng)迫切需要一個(gè)檢測能力強(qiáng)、反應(yīng)速度快、易于維護(hù)的防火墻。
　　Web應(yīng)用防火墻主要是通過與黑名單規(guī)則庫完成特征匹配來起到安全防護(hù)的作用，但是目前的防火墻所采用的

2、黑名單規(guī)則庫是基于已知攻擊方式的特征建立的，這種方式不僅對新的安全漏洞不具備預(yù)防和檢測能力，并且隨著時(shí)間的累積，黑名單規(guī)則庫會越來越龐大，隨之所帶來的管理也越來越復(fù)雜。此外，變異WebShell經(jīng)常采用特殊的變型方式與業(yè)務(wù)相結(jié)合，檢測難度系數(shù)較高，一般的WebShell檢測方法已不能滿足當(dāng)前的網(wǎng)絡(luò)安全需求。
　　本文針對以上問題，從基于ModSecurity防火墻的消極安全模型和變異WebShell檢測兩個(gè)方面進(jìn)行了深入的探究。<

3、br>　　首先，通過研究ModSecurity的工作機(jī)制，分析SecRule的規(guī)則，調(diào)研當(dāng)前Web應(yīng)用防火墻的檢測策略，本文提出了與自學(xué)習(xí)TL模型相結(jié)合的一種新的入侵檢測算法，采用先收集、整理和歸納網(wǎng)頁參數(shù)特征進(jìn)行自學(xué)習(xí)，生成標(biāo)準(zhǔn)正則表達(dá)式，再與用戶提交數(shù)據(jù)進(jìn)行規(guī)則匹配并給出權(quán)值判斷的方法。模擬實(shí)驗(yàn)結(jié)果證明，改進(jìn)后的入侵檢測算法具備了更好的安全機(jī)制并提高了對規(guī)則庫的管理效率，具有一定的實(shí)用價(jià)值。
　　其次，通過對PHP變異WebS

4、hell的代碼以及PHP語言的靈活性進(jìn)行分析，針對函數(shù)名在程序的執(zhí)行環(huán)境中動態(tài)生成和運(yùn)行所導(dǎo)致的某些字符串函數(shù)動態(tài)生成特殊的執(zhí)行函數(shù)的問題，本文提出了兩種針對PHP變異WebShell的檢測方法，基于PHP特殊字符信息熵和基于引號信息熵的算法，并以正常的項(xiàng)目文件和收集的WebShell作為樣本進(jìn)行實(shí)驗(yàn)，結(jié)果表明了上述兩種算法能夠檢測出絕大多數(shù)的變異WebShell，增強(qiáng)了WebDir檢測系統(tǒng)的檢測能力，具有一定的實(shí)用和研究價(jià)值。