常見(jiàn) WEB攻擊方法及其安全防范策略的研究.pdf

1、WEB服務(wù)安全是信息安全研究領(lǐng)域的重點(diǎn)之一。在近幾年的信息安全領(lǐng)域中，WEB服務(wù)攻擊的次數(shù)或流量幾乎成幾何倍增長(zhǎng)。而且攻擊WEB服務(wù)的范圍也越來(lái)越大，從最開(kāi)始的一般的門(mén)戶網(wǎng)站到后來(lái)的金融服務(wù)或大型的電子商務(wù)平臺(tái)等都遭受了不同程度的攻擊。為應(yīng)對(duì)這種WEB服務(wù)攻擊，企業(yè)或公司被迫采購(gòu)相關(guān)的防火墻或者安全產(chǎn)品設(shè)備，但由于安防軟件或設(shè)備價(jià)格高昂，對(duì)有安全需求的公司或企業(yè)來(lái)說(shuō)是他們無(wú)力承擔(dān)的，而且這種安全防護(hù)軟件或設(shè)備一般情況下需要廠商維護(hù)升級(jí)，

2、而客戶所擁有的權(quán)限有限，不能夠直接進(jìn)行維護(hù)，通常情況下是在出現(xiàn)問(wèn)題后才會(huì)有人處理?；谏鲜鰡?wèn)題，該課題研究常見(jiàn)的WEB服務(wù)攻擊，并提供一些基本的集成解決方案。主要完成的工作有以下幾點(diǎn)：
　　首先，設(shè)計(jì)實(shí)驗(yàn)環(huán)境。由于WEB服務(wù)攻擊的多樣性，而且每種攻擊的特性也各不相同，所需的研究或?qū)嶒?yàn)環(huán)境也不同，因此，在課題的研究過(guò)程中，針對(duì)不同的WEB服務(wù)攻擊搭建不同的模擬實(shí)驗(yàn)環(huán)境，供測(cè)試實(shí)驗(yàn)。實(shí)驗(yàn)的主要研究對(duì)象為XSS攻擊防護(hù)、Connecti

3、on Flood攻擊防護(hù)及SQL注入攻擊防護(hù)。
　　其次，根據(jù)不同的攻擊方式設(shè)計(jì)不同的防范策略。
　　1、提出新的解決方案應(yīng)對(duì)XSS攻擊，主要針對(duì)原有或廠商提供的解決方案的缺陷進(jìn)行完善，提高防護(hù)系統(tǒng)的可維護(hù)性，使得管理員能夠自己進(jìn)行維護(hù)升級(jí)本地的敏感字符庫(kù)；設(shè)計(jì)中斷機(jī)制，先響應(yīng)服務(wù)，再處理危險(xiǎn)字符，并設(shè)計(jì)頁(yè)面標(biāo)簽，防止字符回顯帶來(lái)的擴(kuò)展攻擊。
　　2、針對(duì)Connection Flood攻擊提供一些輕型的解決方案，可供

4、WEB開(kāi)發(fā)人員或者系統(tǒng)維護(hù)人員便捷的集成到系統(tǒng)當(dāng)中，應(yīng)對(duì)一般的 DDOS攻擊。根據(jù)Connection Flood的攻擊特性，設(shè)計(jì)具有針對(duì)性的防護(hù)方案，并實(shí)現(xiàn)主要的防護(hù)功能。
　　3、SQL注入攻擊在近些年中，對(duì)WEB服務(wù)的威脅尤為嚴(yán)重，在課題的研究中，設(shè)計(jì)SQL專用過(guò)濾字符功能函數(shù)，并給出具體的應(yīng)用實(shí)例，研究中所涉及的主要內(nèi)容是完善SQL在執(zhí)行前的一些必要防護(hù)操作。
　　最后，實(shí)驗(yàn)驗(yàn)證策略的有效性。搭建模擬的WEB服務(wù)，將