web應用程序漏洞發(fā)掘原理new

《web應用程序漏洞發(fā)掘原理new》由會員上傳分享，免費在線閱讀，更多相關內容在教育資源-天天文庫。

1、http://www.paper.edu.cnWEB應用程序漏洞發(fā)掘原理黃瑋北京郵電大學信息工程學院，北京（100876）E-mail：huangwei1983@gmail.com摘要：Web應用程序由于其良好的跨平臺性和交互性特點，正在得到越來越普遍的應用。伴隨著Web應用程序發(fā)展的過程中，各種針對Web應用程序的攻擊也在逐步的發(fā)展。本文就目前Web應用程序所面臨的各種安全威脅從漏洞發(fā)掘的角度進行了歸納和分析，從漏洞產(chǎn)生原因上去介紹構建安全Web應用程序需要注意的問題。關鍵詞：WEB應用程序，漏洞，安全中圖分類號：TP3931.引言Web應用程序在發(fā)展的開始僅僅局限

2、于靜態(tài)頁面的展示，用戶可以做的僅僅是“瀏覽網(wǎng)頁”。直到20世紀90年代初期開始，基于服務器端的腳本和CGI技術的發(fā)展，使得Web應用第一次實現(xiàn)了用戶交互。今天我們所看到的和經(jīng)常使用的Web應用程序，如Gmail，GoogleMaps，Blog等等，都得歸功于Web2.0技術帶給我們的全新的Web應用程序用戶體驗。圖1Web應用發(fā)展簡史圖1簡要的總結了Web應用程序從最初的靜態(tài)頁面到今天的Web2.0技術的發(fā)展歷程。從圖上我們可以看出，Web應用程序發(fā)展的一個重要的趨勢就是越來越高的用戶交互性。不論是AJAX技術也好，還是Flash也罷，Web應用程序從來都沒有像今天這

3、樣發(fā)展的越來越接近桌面應用程序。更高的用戶輸入響應速度，完善和靈活的用戶UI設計，客戶端“0維護”成本，等等，越來越多的理由讓我們去普及和應用最新的Web技術去獲得更高的用戶交互性體驗。而作為Web2.0技術發(fā)展的基礎，從微軟的ASP.NET到Sun的JSF框架，再到最新的PHP的Smarty模版技術，“動態(tài)網(wǎng)頁”仍然將在今后很長一段時間內主導Web應用程-1-http://www.paper.edu.cn序的主流。然而，自從在Web應用程序中引入了“交互性”，各種針對Web應用程序的攻擊和漏洞利用也開始隨著“交互性”的發(fā)展而迅速發(fā)展。這里面既有Web應用程序的基礎—

4、—HTTP協(xié)議和其他相關TCP/IP協(xié)議的脆弱性，也有Web應用程序本身在編碼實現(xiàn)時候的不規(guī)范性，更有Web應用程序部署和管理上的疏忽和大意原因。2.Web應用程序風險分類及漏洞發(fā)掘原理[1]根據(jù)SANSInstitute2006年的一份最新的安全報告，在過去的一年中，互聯(lián)網(wǎng)上的安全攻擊目標中，Web應用程序已經(jīng)成為跨平臺的應用程序中最頻繁遭受攻擊的對象。對比[2][3]2005和2004年的情況，Web應用程序風險經(jīng)歷了從Web服務器的頻繁遭受攻擊，到針對PHP、ASP等動態(tài)腳本網(wǎng)頁技術本身的漏洞攻擊，再到現(xiàn)在的不局限于具體動態(tài)網(wǎng)頁實現(xiàn)技術的各種跨站腳本攻擊(XSS

5、)和各種數(shù)據(jù)注入攻擊(DataInjection)，攻擊的目標和手段不斷的變化，但基本的漏洞利用原理仍然無非是2個方面，一個就是Web應用程序對用戶輸入和請求參數(shù)的校驗漏洞，而另一個則是Web應用服務部署和管理的缺乏安全意識和粗心大意。2.1.輸入和參數(shù)校驗在各種Web應用程序的漏洞利用中，排除Web應用程序服務器本身的安全漏洞，對用戶提交的表單請求和GET請求中參數(shù)的過濾不嚴格導致的Web應用程序漏洞構成了當今Web應用程序漏洞利用的主要方式。下面重點討論各種可能的漏洞利用情況。2.1.1.緩沖區(qū)溢出漏洞這種漏洞利用多見于針對CGI腳本構建的動態(tài)Web應用程序，具體

6、的CGI腳本可能是C，漏洞利用一般是通過構造超長請求字符串來測試是否存在漏洞。實際上，緩沖區(qū)溢出攻擊幾乎可以應用于所有的Web應用程序。對于使用Java/J2EE的應用程序來說，如果啟用了本地方法調用或者允許系統(tǒng)調用就使得其存在被緩沖區(qū)溢出攻擊的可能；對于.NET應用程序來說，如果使用P/Invoke方式進行了Win32本地API調用或者是使用COMInterop技術使用了COM組件，也會可能存在上述漏洞；Perl、Python、PHP等腳本如果調用了外部應用程序或者使用了一些不安全的程序庫，也會可能存在上述漏洞。2.1.2.跨站腳本漏洞現(xiàn)在只要談到跨站腳本漏洞，大家

7、一般會想到的危害就是偷取用戶cookie，重定向用戶的表單請求偷取用戶登陸信息等等。一個簡單的跨站腳本漏洞的利用方法是在正常的URL請求后添加一小段JS代碼，如下所示：點擊參加抽獎如果用戶點擊了上述這段代碼生成的超鏈接，將會把用戶在www.example.com的cookie發(fā)送到