Web系统安全渗透测试方案的分析与设计--《北京邮电大学》2011年硕士论文
Web系统安全渗透测试方案的分析与设计
【摘要】：黑客攻击趋势已经从网络层转向了应用层,利用软件漏洞成功实施攻击的案例越来越多,传统安全体系已经无法做出有效防护。近年来我国网络建设和信息化建设步伐不断加快,国家重要信息系统业务模式与互联网紧密融合,在给国家带来巨大经济效益的同时,也给网络安全和管理风险带来了严峻的挑战,我部门的职能之一就是要做好国家重要信息系统重大安全漏洞分析和隐患的发现工作。
根据Gartner的调查,信息安全攻击有75%都是发生在Web应用层而非网络层面上。同时数据也显示,2/3的Web站点都相当脆弱,易受攻击。
渗透测试是发现Web系统安全隐患很好的手段。在国外,对于渗透性测试的研究以美国为代表的信息化发达国家早已经起步,几乎影响着全世界在风险评估领域的概念、观念和理念。目前我们国家的Web系统结构十分复杂,所集成的软件也各不相同,故而必须对渗透性测试方法和手段进行研究,这样才能适应Web系统安全渗透性测试的需求,建立可信的信息化工作体系。
本文从Web系统安全风险点出发。根据OWASP提出的前十大安全风险列表,并根据实际项目经验深入分析了Web系统常见的高风险漏洞,设计了整个渗透测试的流程,并详细介绍了各个流程内容。同时,本文研究了渗透测试风险规避与应急措施。在文章的最后分多个层次整理出了常用到的渗透测试工具列表。本文主要工作总结如下：
1.根据OWASP发布的高风险列表以及实际项目经验,深入分析了Web系统常见的高风险漏洞攻击原理、危害和防范措施,包括SQL注入漏洞、跨站脚本漏洞、文件上传漏洞和安全配置错误。
2.设计渗透测试的流程和内容,分为5个阶段包括准备阶段、信息搜集阶段、渗透测试阶段(高风险弱点的利用、普通弱点的利用)、风险分析阶段和报告编写阶段,结合实际讨论了每个阶段应该完成的内容,并阐述了这些阶段不一定是顺序执行的,它们之间存在联系。最后,给出了一个应用测试方案完整实例。
3.提出渗透测试过程中是存在风险的,需要对渗透测试阶段的风险进行规避与应急,尤其是要做好重要数据的备份,否则后果是灾难性的。
4.为了提高渗透测试效率,需要借助自动化的渗透测试工具。本文最后从系统自带、免费以及商业版等角度整理归纳了常见的渗透测试工具,并罗列了主要的功能。
另外本文也强调了由于时间、技术水平等多因素影响,通过一次渗透测试不可能发现系统存在的所有安全隐患。同时为了不对测试目标造成破坏,对于某些可能会对测试对象造成负面影响的攻击方法和手段,在渗透测试中也不建议使用。
【关键词】：
【学位授予单位】：北京邮电大学【学位级别】：硕士【学位授予年份】：2011【分类号】：TP393.08【目录】：
摘要4-6ABSTRACT6-10第一章 引言10-14 1.1 课题背景10-11 1.2 WEB系统安全发展现状11-12 1.3 课题任务12 1.4 论文结构12-14第二章 WEB系统安全理论分析14-31 2.1 WEB应用基础14-17
2.1.1 Web安全概述14-15
2.1.2 典型的Web应用分析15-17 2.2 WEB系统安全风险点17-21 2.3 WEB系统高风险漏洞分析21-30
2.3.1 SQL注入漏洞21-24
2.3.2 跨站脚本漏洞24-26
2.3.3 文件上传漏洞26-27
2.3.4 安全配置错误27-30 2.4 本章小结30-31第三章 WEB系统安全渗透测试方案的设计31-53 3.1 准备阶段32-37 3.2 信息收集阶段37-41 3.3 渗透测试阶段41-48
3.3.1 高风险漏洞的利用41-47
3.3.2 普通漏洞的利用47-48 3.4 风险分析阶段48-51 3.5 报告编写阶段51-52 3.6 本章小结52-53第四章 渗透测试实例应用53-62 4.1 概述53 4.2 被测系统概况53-54 4.3 渗透测试实施过程54-61 4.4 本章小结61-62第五章 WEB系统渗透测试中风险规避与工具62-69 5.1 数据备份的重要性62-63 5.2 其他风险规避措施63-64 5.3 渗透测试工具64-68
5.3.1 系统自带工具64-65
5.3.2 其他渗透测试工具65-68 5.4 本章小结68-69第六章 结束语69-71参考文献71-72致谢72
欢迎：、、)
支持CAJ、PDF文件格式
【参考文献】
中国期刊全文数据库
胡迎松,彭利文,池楚兵;[J];计算机应用研究;2003年10期
张勇,李力,薛倩;[J];现代电子技术;2004年15期
中国硕士学位论文全文数据库
蒲石;[D];西安电子科技大学;2010年
【共引文献】
中国期刊全文数据库
汪松鹤,任连兴;[J];安徽电子信息职业技术学院学报;2004年Z1期
宋平平;;[J];安徽工程科技学院学报(自然科学版);2006年03期
俞正方;;[J];信息安全与技术;2010年08期
姚晟;;[J];安庆师范学院学报(自然科学版);2006年04期
梁伍七;李立;;[J];安庆师范学院学报(自然科学版);2007年01期
师云秋,王锡钢;[J];鞍山师范学院学报;2004年06期
李翠梅;;[J];安徽水利水电职业技术学院学报;2010年01期
陈嘉骏;;[J];包钢科技;2006年03期
韩猛;刘秀萍;;[J];包钢科技;2008年05期
张仙妮;;[J];北京工业职业技术学院学报;2009年01期
中国重要会议论文全文数据库
龚成清;;[A];第三届全国软件测试会议与移动计算、栅格、智能化高级论坛论文集[C];2009年
文齐;印桂生;杨光;;[A];2006北京地区高校研究生学术交流会——通信与信息技术会议论文集（下）[C];2006年
黄帆;李佳辉;;[A];广西计算机学会2009年年会论文集[C];2009年
曹锐;董华;;[A];海南省通信学会学术年会论文集（2007）[C];2007年
林璟锵;冯登国;;[A];第十七次全国计算机安全学术交流会暨电子政务安全研讨会论文集[C];2002年
李彬;;[A];第二十五届中国（天津）2011’IT、网络、信息技术、电子、仪器仪表创新学术会议论文集[C];2011年
方舟;王霓虹;;[A];黑龙江省计算机学会2007年学术交流年会论文集[C];2007年
胡惊涛;李华波;陈刚;;[A];2008通信理论与技术新进展——第十三届全国青年通信学术会议论文集（上）[C];2008年
孙和凯;魏海平;;[A];2010通信理论与技术新发展——第十五届全国青年通信学术会议论文集（上册）[C];2010年
陈国兴;;[A];中国计量协会冶金分会2009年年会论文集[C];2009年
中国博士学位论文全文数据库
王金林;[D];天津大学;2010年
张志明;[D];西北工业大学;2003年
周世杰;[D];电子科技大学;2004年
张险峰;[D];电子科技大学;2004年
张功萱;[D];南京理工大学;2005年
张亚平;[D];天津大学;2005年
宋绍成;[D];吉林大学;2006年
田文春;[D];华南理工大学;2002年
段斌;[D];湘潭大学;2004年
刘寅斌;[D];同济大学;2006年
中国硕士学位论文全文数据库
杨映玲;[D];华中农业大学;2010年
林治晖;[D];山东科技大学;2010年
刘庆明;[D];哈尔滨工程大学;2010年
李冠广;[D];大连理工大学;2010年
覃娜;[D];大连理工大学;2008年
李丹丹;[D];辽宁工程技术大学;2009年
张晓光;[D];大连海事大学;2010年
张文茹;[D];大连海事大学;2010年
刘波;[D];中国海洋大学;2010年
卢俊;[D];北京邮电大学;2011年
【二级参考文献】
中国期刊全文数据库
黄玮;崔宝江;胡正名;;[J];电信科学;2009年02期
王蕊;葛昕;;[J];科协论坛(下半月);2008年06期
李明;;[J];信息网络安全;2008年08期
【相似文献】
中国期刊全文数据库
李方敏;[J];计算机工程与应用;1999年06期
宋如顺,姜乃松;[J];计算机工程;1999年06期
王红霞,姚家亮;[J];计算机应用;1999年09期
邓劲生,张银福;[J];计算机应用研究;1999年09期
刁兴春,李赤红;[J];小型微型计算机系统;1999年06期
高昆;[J];北华大学学报(社会科学版);1999年05期
王清心,胡建华;[J];昆明理工大学学报;1999年02期
李晶,朱秋萍;[J];计算机工程;2000年06期
刘波,代亚非,杜跃进;[J];计算机应用;2000年06期
武庄,刘友丹;[J];计算机应用研究;2000年05期
中国重要会议论文全文数据库
石晶;龚震宇;裘杭萍;;[A];第十九届全国数据库学术会议论文集（技术报告篇）[C];2002年
李利波;刘明利;;[A];2011年全国通信安全学术会议论文集[C];2011年
游争光;刘建勋;唐明董;;[A];CCF NCSC 2011——第二届中国计算机学会服务计算学术会议论文集[C];2011年
梁兴开;赵泽茂;黄亮;;[A];浙江省电子学会2011学术年会论文集[C];2011年
殷华蓓;李通;唐常杰;张天庆;左志松;;[A];第十七届全国数据库学术会议论文集（研究报告篇）[C];2000年
;[A];第十七届全国数据库学术会议论文集（研究报告篇）[C];2000年
邓长寿;郭景峰;杨焱林;邓安远;;[A];第十八届全国数据库学术会议论文集（研究报告篇）[C];2001年
;[A];第二十七届中国控制会议论文集[C];2008年
胡建强;周斌;尹刚;邹鹏;;[A];第二十届全国数据库学术会议论文集（技术报告篇）[C];2003年
黄建波;丁扬;方芳;;[A];2010通信理论与技术新发展——第十五届全国青年通信学术会议论文集（上册）[C];2010年
中国重要报纸全文数据库
赵晓涛;[N];网络世界;2008年
赵晓涛;[N];网络世界;2008年
彭敏;[N];电脑商报;2009年
毛江华;[N];计算机世界;2009年
闫冰;[N];网络世界;2009年
赵晓涛;[N];网络世界;2009年
边歆;[N];网络世界;2009年
泰乐公司首席技术官兼执行副总裁Vikram S[N];通信产业报;2009年
;[N];网络世界;2009年
Anchiva中国区总经理
李松;[N];网络世界;2008年
中国博士学位论文全文数据库
张建武;[D];北京邮电大学;2012年
李常宝;[D];北京邮电大学;2011年
魏登萍;[D];国防科学技术大学;2011年
朱俊武;[D];南京航空航天大学;2008年
许笑;[D];哈尔滨工业大学;2011年
杨卉;[D];吉林大学;2011年
马建斌;[D];河北农业大学;2010年
陈世展;[D];天津大学;2010年
胡佳;[D];天津大学;2010年
王辉;[D];天津大学;2010年
中国硕士学位论文全文数据库
蒲石;[D];西安电子科技大学;2010年
唐黎;[D];重庆大学;2011年
吴新勇;[D];上海交通大学;2011年
徐卫;[D];华中科技大学;2011年
姜本臣;[D];沈阳工业大学;2012年
温梨梨;[D];中国海洋大学;2011年
焦燕廷;[D];山东科技大学;2011年
黄亮;[D];杭州电子科技大学;2012年
赵春娟;[D];天津理工大学;2011年
任强;[D];苏州大学;2011年
&快捷付款方式
&订购知网充值卡
400-819-9993
《中国学术期刊（光盘版）》电子杂志社有限公司
同方知网数字出版技术股份有限公司
地址：北京清华大学 84-48信箱 知识超市公司
出版物经营许可证 新出发京批字第直0595号
订购热线：400-819-82499
服务热线：010--
在线咨询：
传真：010-
京公网安备75号山石网科Web应用防火墙获得OWASP认证
山石网科Web应用防火墙获得OWASP认证
近日，综合网络安全领导厂商山石网科宣布其Web应用防火墙SG-6000 W系列产品通过全球性开源安全组织OWASP的测评并获得认证，Web防护能力获得权威认可。
OWASP(开放Web软体安全项目- Open Web Application Security Project)长期致力于协助政府或企业了解并改善网页应用程序与网页服务的安全性。OWASP发布的TOP 10应用程序风险列表则已经被业界视为Web安全防护的权威参考。美国联邦贸易委员会（FTC）强烈建议所有企业需遵循OWASP所发布的十大Web弱点防护守则，国际信用卡数据安全技术PCI标准更将其列为必要组件。
随着网站泄露事件的激增，Web网站的安全问题被越来越多的用户所重视。Gartner报告也指出，Web应用防火墙成为当下最具人气的网络安全防护产品，并且也是检测当前Web应用安全控制水平的理想方案。OWASP所推出的“OWASP Web应用防火墙认证”是目前全球最全面的针对Web应用防火墙的认证，覆盖了WAF产品测试的各个方面，包括检测能力、防御能力、性能、自身安全、用户习惯等多个方面的综合测试。能够获得该认证说明WAF产品的安全性和可信性更高，可以对抗更高程度的威胁，产品也更符合Web网站安全防护要求，同时也适用更高级别的风险环境。
评测结果显示，山石网科Web应用防火墙的稳定性和可靠性各项指标均达到了100%，检测和防御能力各项指标平均也达到了98%以上，Web防护能力处于业界领先水平。山石网科的WAF产品具备深度Web安全防御、多种应用加速有助提升访问体验、多维度的人性化管理及多环境的灵活可靠部署四大特点，可广泛适用于政府、企业、金融、教育等行业中涉及Web应用安全防护的场景，满足如PCI-DSS（支付卡行业数据安全标准）、等级保护、行业规范等政策法规的安全建设要求。
编 辑：章芳
余承东： 华为超越苹果三星 需四到五年时间
CCTIME推荐
CCTIME飞象网
CopyRight &
京ICP备号&& 京公网安备号
公司名称： 北京飞象互动文化传媒有限公司
未经书面许可，禁止转载、摘编、复制、镜像Web安全测试规范_V1.2.1_百度文库
两大类热门资源免费畅读
续费一年阅读会员，立省24元！
Web安全测试规范_V1.2.1
上传于||暂无简介
阅读已结束，如果下载本文需要使用1下载券
想免费下载本文？
下载文档到电脑，查找使用更方便
还剩60页未读，继续阅读
你可能喜欢会话固定测试
本文所属图书&>&
本书是一本讲解Web应用中最常见的安全风险以及解决方案的实用教材。它以当今公认的安全权威机构OWASP（Open Web Application Security Project）制定的OWASP Top 10为蓝本，介绍了十项最严重的Web应用程序...&&
10.5& 如何测试
10.5.1& 会话固定测试
固定会话发生在Web 应用程序在不废止现有的会话ID（未经验证）前提下验证一个用户，从而导致应用程序继续使用未验证之前所用到的同一个会话ID。
假设我们对一个网站进行测试，这时我们从服务器得到的反馈信息为：
HTTP/1.1 200 OK
Date: Wed, 14 Aug :11 GMT
Server: Apache-Coyote/1.1
Set-Cookie: JSESSIONID=0000d8eyYq3L0z2fgq10m4v-rt4:-1; Path=/; secure
Cache-Control: no-cache=&set-cookie,set-cookie2&
Expires: Thu, 01 Dec :00 GMT
Keep-Alive: timeout=5, max=100
Connection: Keep-Alive
Content-Type: text/charset=Cp1254
Content-Language: en-US
我们注意到服务器返回给用户一个新的Session ID：0000d8eyYq3L0z2fgq10m4v- rt4:-1，下一步，如果我们采用POST HTTPS 成功通过应用验证：
POST /authentication. HTTP/1.1
User-Agent: Mozilla/5.0 (W U; Windows NT 5.1; rv:1.8.1.16) Gecko/ Firefox/2.0.0.16
text/xml,application/xml,application/x+xml,text/;q=0.9, text/q=0.8,image/png,*/*;q=0.5
Accept-Language: zh-CN,q=0.8,en-q=0.5,q=0.3
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Cookie: JSESSIONID=0000d8eyYq3L0z2fgq10m4v-rt4:-1
Content-Type: application/x-www-form-urlencoded
Content-length: 57
Name=Meucci&wpPassword=secret!&wpLoginattempt=Log+in
我们从服务器得到的反馈信息为：
HTTP/1.1 200 OK
Date: Thu, 14 Aug :58 GMT
Server: Apache-Coyote/1.1
X-Powered-By: Servlet 2.4; JBoss-4.0.5.GA
Content-language: en
Cache-Control: private, must-revalidate, max-age=0
X-Content-Encoding: gzip
Content-length: 4090
Connection: close
Content-Type: text/ charset=UTF-8
--具体的HTML内容，在此略过
我们发现，返回的结果中没有Set-Cookie字段，所以会话劫持可能会发生。我们如果给用户发送一个有效的Session ID，然后等他们来验证，验证通过以后我们就可以用这个Session ID做这个用户可以做的事情了。
您对本文章有什么意见或着疑问吗？请到您的关注和建议是我们前行的参考和动力&&
(window.slotbydup=window.slotbydup || []).push({
id: '2467141',
container: s,
size: '1000,90',
display: 'inlay-fix'
您的浏览器不支持嵌入式框架，或者当前配置为不显示嵌入式框架。
(window.slotbydup=window.slotbydup || []).push({
id: '2467142',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467143',
container: s,
size: '1000,90',
display: 'inlay-fix'
(window.slotbydup=window.slotbydup || []).push({
id: '2467148',
container: s,
size: '1000,90',
display: 'inlay-fix'