基于消息組合變異的Web服務(wù)脆弱性測試研究.pdf

1、Web服務(wù)互聯(lián)互通的特點是Web服務(wù)集成和應(yīng)用的基礎(chǔ)，它支持開放、動態(tài)的互操作模式，可以大大的降低系統(tǒng)集成的開銷和復(fù)雜性，因此獲得了學(xué)術(shù)界和產(chǎn)業(yè)界的高度重視和大力支持。Web服務(wù)以XML、SOAP、WSDL和UDDI為核心；以WSDL語言定義消息的格式和內(nèi)容。Web服務(wù)以SOAP協(xié)議為基礎(chǔ)進(jìn)行通信，Web服務(wù)通信內(nèi)容經(jīng)常包涵應(yīng)用系統(tǒng)的重要業(yè)務(wù)，若其通信內(nèi)容安全得不到有效保障，則可能導(dǎo)致巨大的損失和嚴(yán)重的后果，故針對Web服務(wù)的安全性測試

2、的研究開始得到重視。
　　Web服務(wù)的脆弱性本質(zhì)上是指 Web服務(wù)中存在的安全漏洞，利用它可以危害 Web服務(wù)的安全策略，導(dǎo)致信息的出錯或者丟失。目前針對Web服務(wù)的測試大部分集中于Web服務(wù)的功能和可靠性研究。本文提出了基于SOAP消息組合變異的Web服務(wù)脆弱性測試方法，并設(shè)計了一個測試Web服務(wù)脆弱性的原型系統(tǒng)。本文的主要工作：
　　1.針對具有多個方法（或參數(shù)）的Web服務(wù)提出了組合測試方法；解析Web服務(wù)的WSDL文

3、檔，獲取Web服務(wù)原始的SOAP消息，手動分析其交互關(guān)系，對參數(shù)的取值進(jìn)行預(yù)處理，設(shè)計了可組合變異算子集，利用基于One-test-at-a-time的測試用例生成策略，生成測試用例，對服務(wù)進(jìn)行脆弱性測試。
　　2.針對僅有單個方法（或參數(shù)）的Web服務(wù)提出了基于模糊測試的簡單Web服務(wù)脆弱性測試方法；該方法用于檢測僅有一個方法（或參數(shù)）的Web服務(wù)的脆弱性。在原有變異算子集合的基礎(chǔ)上進(jìn)行了擴(kuò)展，針對服務(wù)參數(shù)的不同類型分別設(shè)計了不