web应用安全的研究

目录

第一章绪论 (3)

1．1研究背景 (3)

1．1．1 HTTP协议模型 (3)

1．1．2 Web安全问题 (5)

1．2研究现状 (5)

1．3本论文的研究工作 (5)

第二章 Web应用安全问题 (6)

2．1 Web应用常见的几个安全问题 (6)

2．2 Web应用安全的现状及其重要性 (7)

2．3 Web应用安全攻击方式 (9)

第三章 Web应用安全漏洞研究 (11)

3．1 漏洞级别 (12)

3．2 Web应用程序漏洞分类 (12)

3.3 Web应用安全测试技术 (13)

3.3.1 基于主机的漏洞扫描器 (13)

3.3.2 Web应用安全测试 (14)

第四章网络防火墙 (15)

4.1 防火墙的功能和策略 (15)

4.2 防火墙的分类 (15)

4.2.1. 包过滤防火墙 (15)

4.2.2 代理防火墙 (16)

4.3 防火墙的体系结构 (16)

4.4 WEB应用防火墙技术 (18)

第五章安全对策 (18)

5.1配置及各种对策 (18)

5.2攻击及对策 (19)

结束语 (19)

致谢 (19)

参考文献 (20)

Web应用安全的研究

电子信息工程专业

120352009024 张丽萍指导老师：陈冠楠

【摘要】web应用的安全日益突出的问题，主要由Web的易用性、开放性和Web的开发性引起。因此Web应用成为了攻击者攻击的主要对象，命令的插入、缓冲区溢出、表单篡改、跨站点脚本等各种Web 安全的漏洞不断出现，使Web应用成为当今网络最大的安全盲点之一。传统的网络防火墙无法保护基于web的应用程序，对Web应用的保护还不够充分。因此，对Web应用的安全性进行科学、准确、高效地测试评估是十分必要的。在应用过程中加强web应用安全性的防范和设计主要是针对攻击者可能采取的系统漏洞和攻击方法。本论文对Web应用安全扫描技术和Web应用程序漏洞进行了较为全面的研究，在此基础上提出了一系列Web应用所需的安全对策。

【关键字】Web应用安全，漏洞，网络防火墙，网络攻击，安全对策

【Abstract】The openness of the Web usability and Web applications easier to development ,to make Web application security problem increasingly prominent .Web sites become the main objects of network attacks, form to tamper with the cross-site scripting ,commands the insert ,buffer overflow and other ,Web security vulnerabilities appear constantly. Web applications are becoming the biggest security blind spot .Of traditional network firewall to protect the Web application is insufficient,can't protect web-based applications.Therefore, scientific ,efficient and accurate testing Web applications for security assessment is necessary ,From the perspective of the attacker, understand an attacker might take system vulnerabilities and attack methods, in the process of application design and enhance the safety of prevention in this paper .In this paper, the Web application characteristics and Web application security vulnerability scanning technology has carried on more comprehensive research, puts forward a model of Web application security scanning system based on host.

【Key words】Web application security vulnerabilities, network firewall, network attack and security countermeasures.

第一章绪论

1．1研究背景

随着Internet的普及，网络对人类起着越来越重要的作用，因为Internet的开放性、以及对系统的安全性和信息的保密考虑的不够周到，造成网络的攻击与破坏事件层出不穷，对人们日常生活和经济社会造成了很大的麻烦。自2000年以来，网络攻击事件也越来越多地出现在网络应用上。Web应用已经成为网络上最常使用的服务，因此Web应用的安全问题也成为人们关注的重大问题。电子商务、银行、政务等在线服务在我国使用的频率不断增加。如今每年Web站点应用于各个领域的数量急速增多。

表1-1 1997—2007年Web站点数量指标

图1-1 2009年网络安全工作报告

根据网络安全工作报告，可知Web应用正成为最大的安全盲点。因此Web应用安全问题也成为人们关注的网络安全核心问题之一。

1．1．1 HTTP协议模型

Web服务是基于客户机，服务器模式的。主要用来存放Web的文档，用户通过客户机进

行浏览所需要的站点，服务器通过其端口与客户机进行连接。建立连接后，客户机与服务器通过HTTP协议进行请求与应答。

如图1-1 Web应用工作模型：

图1-2web应用工作模型

HTTP(Hypertext Transfer Protoco1)是一个通用的、无状态的、基于对象的超文本传输协议，通过HTTP客户程序和HTTP服务程序之间建立端对端的连接，实现互联网上超文本文件的传输。

HTTP是应用级协议，其主要特点有

1.HTTP工作在应用层：基于TCP／IP的连接方式，但是不提供可靠性或重传机制。

2.请求/响应消息：一旦建立了传输会话，一端必须向响应的另一端发送HTTP(超文本传输协议)请求，响应的一端则返回HTTP消息作为应答内容。

3.无状态性：服务器不保留以前的请求或会话的历史记录，因为每个HTTP请求都是自包含的，这样大大减轻了服务器记忆负担，从而保持较快的响应速度。

4.双向传输：浏览器请求Web网页时，服务器把网页地址传输给浏览器，而且HTTP也允许浏览器向服务器传输数据。

5.面向对象：HTTP通过长度来标识和数据类型所传送的数据内容和大小，允许传送任意类型的数据对象，并且对数据进行压缩传送。

6.协商能力：HTTP允许浏览器和服务器协商一些细节，如在传输中使用字符集；发送方和接受方的传输能力；HTTP消息首部所使用的文档表示和编码等。

7.支持代理：HTTP允许在浏览器到服务器之间路径上作为代理服务器，将web页面放入高速缓存并从中响应浏览器的请求。

8.支持高速缓存：HTTP允许服务器控制是否能高速缓存页面、如何高速缓存页面以及页面的生命期，也允许浏览器页面强制请求绕过高速缓存，从拥有该页面的服务器上得到新的副本。

图1-3HTTP消息的传输模型

在HTML文档中用户定义了一个超文本链接后，浏览器通过TCP／IP（即传输控制协议/互联网络协议）协议与指定的服务器建立连接。若客户在TCP端口（HTTP端口默认80）上打开一个套接字，一旦服务器在这个端口上监听连接，该连接就会建立起来。其次客户通过该连接发送一个包含请求方法的请求块。根据客户请求服务器将完成相应的操作，并返回给客户，最后关闭连接。

1．1．2 Web安全问题

Web安全主要包括Web应用服务器安全、Web应用程序安全、应用客户端安全和数据传输安全。然而，通常意义上的Internet的安全问题更为复杂。Web安全主要分为以下三个方面：

1．保护Web服务器及其数据的安全

必须保证服务器能够持续运行；保证只有经过授权才能修改服务器上的信息；保证能够把数据发送给指定的接收者。

2．保护Web服务器和用户之间传递的信息的安全

必须确保用户提供给Web服务器的信息不被第三方阅读、修改和破坏。同时必须保护由Web服务器端发送给用户的信息。用户与服务器之间的链路也要进行保护，使攻击者不能轻易地破坏该链路。

3．保护Web应用客户端及其环境安全

用户使用Web浏览器时，必须保证不会被被恶意程序破坏或病毒感染。用户无论是在自己的计算机上，或是使用在线服务时都应该保护好自己的个人隐私及私人信息，确保还是在使用中不会遭到破坏

1．2研究现状

Web应用安全研究主要有以下两类：

(1)对Web应用进行运行监控，记录并分析运行的状态和结果；

(2)通过在各种情况下web所出现的高危漏洞中研究并开发出Web应用的安全对策。

1．3本论文的研究工作

目前，已有的网络扫描器大部分是针对普遍使用的操作系统、大型系统软件本身的安全问题设计的。较少专门面向Web应用进行有针对性的扫描，所以从需求出发，研究满足需求和设计要求的关键技术，使其能够适应当前的Web应用需求，对Web网站进行快速精确的安全测试扫描能力，将是一项重大的研究工作。

1.研究意义

本论文主要针对web应用安全的各种攻击方式及多种漏洞进行一系列的研究，并给予相应的安全对策。该研究对提高Web应用系统的安全性具有重要意义，为web应用提高了安全的可靠性，同时也为用户解决了一大安全问题。

2.研究目标及内容

建立一个web应用安全的可靠系统，为Web应用的信息提供安全的保障。避免各种病毒对此系统的的破坏或攻击者进行一系列有意的入侵。

本论文的研究内容主要包括三个方面：

（1）Web应用中存在的安全问题；

（2）如何划分和提取Web应用缺陷信息；

（3）Web应用安全扫描系统的设计和实现。

第二章 Web应用安全问题

2．1 Web应用常见的几个安全问题

1、未验证参数

若提供给Web应用程序使用的请求信息没有经过有效性验证，攻击者就可能利用这一缺陷恶意构造请求中包含某个字段。如攻击者可使用请求字符串，URL（统一资源定位符），表单项，Cookie 头部，隐含参数传递代码进行攻击操作。

2、访问控制缺陷

非法用户可以操作信息，主要在于用户身份认证策略没有被执行。攻击者利用此漏洞得可到其他用户的帐号、执行未授权访问、对私人文件的浏览、删减并更改用户所保存的内容，最为严重的是取得网站管理员的权限，对此进行破坏。

一些特定的访问控制问题有：

（1）不安全的Web网站通常使用一定形式的关键字或者索引来代表用户、对象角色、内容、或功能，指定相应的机制确保提供的值是授权给正在使用用户。

（2）在正常情况下任何用户都不能直接访问无权限访问的文件，只允许该路径通过URL提交或其他方式最终访问一个文件。

（3）不允许用户绕过带有安全检查的页面直接访URL。

（4）服务器上不可被共享的本地文件主要是指Web服务器和应用程序提供访问的控制列表。（其中本地文件包括脚本文件、缺省文件以及配置文件）

3、会话及账户管理缺陷

攻击者可以得到口令密码、会话Cookie和其他标记，并获得用户权限限制，主要是由于会话和账户标记未被有效保护。

4、远程管理漏洞

远程管理：大部分 Web 应用允许管理者通过 Web 接口来对其站点实施远程管理。倘若这些管理机制没有对访问者实施合理的身份认证。那么攻击者就可以通过该接口拥有站点的相关权限。

5、跨站脚本漏洞

跨站脚本：在远程 Web 页面的HTML（超文本标记语言）代码中插入含有恶意目的的代码片段，用户误认为该页面是可使用的。因此当浏览器下载该页面时，嵌入其中的脚本将会被解释执行。

6、命令注入漏洞

命令注入：Web 应用程序在与外部系统或本地操作系统交互时，需要传递参数。如果攻击者在传递参数中嵌入了恶意代码，外部系统可能会执行这些指令。如SQL注入攻击，就是

攻击者将SQL命令插入到 Web表单的输入域或页面请求的查询字符串。

7、Web 服务器及应用服务器配置不当

对 Web 应用来说，服务器的健康状态是至关重要的。服务器的配置复杂，比如 Apache 服务器的配置文件完全由命令和注释组成，若干参数组成一个命令。如果配置不当对安全性影响很大。

8、缓冲区溢出

导致数据溢出的原因是Web 应用组件没有正确检验输入数据的有效性。攻击者可以利用这一缺陷执行一段精心构造的代码，获得程序的控制权。可能被利用的组件包括库文件、驱动文件、CGI、和Web 服务器。

9、错误处理问题

在正常操作没有被有效处理的情况下，会产生错误提示或服务器不可用、网络超时、内存不足、系统调用失败等。因 Web 应用不能处理，所以攻击者可某些提示中获得系统的相关信息。例如，当我们要判断一个文件是否存在于远程主机上，可通过其返回的信息判断。“访问被拒绝”则为文件存在但无访问权限，“文件未找到”则表示无此文件。

表2-1与异常处理相关的漏洞、威胁和对策

2．2 Web应用安全的现状及其重要性

当今世界，Internet已成为一个非常重要的基础平台。众多企业都将应用架设在该平台上，为客户提供更方便，更快捷的服务支持。这些应用在功能和性能上，都在不断的提高和完善。然而在安全性上，却没有足够的重视。网络技术日趋成熟，黑客们也逐渐将注意力从转移到对web应用的攻击上。

web应用的三层架构模型：如下图可知第一层是客户端，第二层中间层，第三层数据库。

图2-2 web应用的三层结构模型

在企业web应用的各个层面，会使用不同的技术来确保安全性。

1.为保护客户端机器的安全，用户会安装防病毒软件；

2.为保证用户数据到企业web服务器的传输安全，通信层通常会使用s安全套接层技术加

密数据。

图2-3 2000-2006年美国CERT/CC漏洞数量统计图

图2-4 2001-2005年Symantec Corporation漏洞数量统计图只要访问顺利通过企业的防火墙，web应用就毫无保留地呈现在用户面前。只有加强web 应用自身的安全，才能真正的解决web应用安全带来的各种隐患。

2．3 Web应用安全攻击方式

为了寻找网络中存在的漏洞并加以利用以达到自己的目的，攻击者使用了各式各样的网络攻击。因此为了实现周密的安全防范，必须分析攻击者入侵网络的各种方式。攻击者攻击网络的方式有本地攻击、远程攻击和伪远程攻击。攻击者的目的主要有：能够非法访问目标系统获取不应有的访问权限、获取所需资料以及篡改有关的数据。例如修改重要的资料可利用有关资源，如分布式攻击、占用存储空间、发布虚假信息等。攻击者对Web攻击的过程是：第一找出该Web系统中已存在的漏洞，然后根据漏洞的类型采取有效的攻击手段，最后获取

想要的权限或信息。

图2-5 Web应用的多种攻击方式

目前常见的攻击手段，主要有以下几种00

1．口令入侵

这种方式有三种方法：一是缺省的登录界面攻击法，即在被攻击主机上默认启动一个可执行程序，该程序显示一个伪造的登录界面。当用户在这个伪装的界面上键入登录信息(用户名、密码等)后，程序将用户输入的信息传送到攻击者主机，然后关闭界面，给出提示信息“系统故障”，要求用户重新登录，而后给出真正的登录界面。二是通过网络监听非法得到用户口令，这类方法有一定的局限性，但危害性极大，监听者往往能够获得其所在网段的所有用户账号和口令，对局域网安全威胁巨大。三是在知道用户的账号后(如电子邮件“@”前面的部分)，利用一些专门软件强行破解用户口令，例如，如果应用程序没有对用户输入进行过滤或验证，也没有为用户提供正确的访问控制，攻击者可以通过一个特殊的黑客字典中的单词或一些特殊的参数来进行试探，从而实施有效的注入式攻击，获取系统或数据库的非法权限和内容。

2．电子邮件攻击

这种方式一般是采用电子邮件炸弹(E-mail Bomb)，是攻击者常用的一种攻击手段。它利用了应用程序中的拒绝服务的漏洞，通过用伪造的职地址和电子邮件地址向同一信箱发送数以千计、万计甚至无穷多次的内容相同的恶意邮件耗尽邮件服务器提供给用户的有限的存储资源，使得某个用户的正常接收邮件操作被拒绝，甚至危害电子邮件服务器操作系统，导致其瘫痪，造成所有的邮件服务请求被拒绝。

3．特洛伊木马攻击

特洛伊木马程序”技术通过在系统中隐藏一个会在Windows启动时运行的程序。采用服务器／客户机的运行方式，从而达到在上网时控制目标主机的目的。攻击者可利用它窃取口令、浏览驱动器、修改文件、登录注册表等，如比较流行的冰河木马。现在流行的很多病毒也都带有木马性质，如影响面极广的“Nimda”，“求职信”、“红色代码”及“红色代码Ⅱ”等。攻击者可以假冒系统管理员，将代码或程序通过电子邮件的方式发送到目的地，如某些单位的网络管理员会定期给用户免费发送防火墙升级程序，这些程序多为可执行程序，

这就为攻击者提供了可乘之机，使很多用户无意中遗失重要信息。对于这样的攻击方式，管理员可以考虑加强系统的安全配置管理，对于非法的可执行程序进行阻止，加强对重要信息如注册表的管理和访问控制，禁止对重要信息的随意修改。

4．Sn城监听

在网络上窃取数据就叫做嗅探(Sniffing)。监听器(Sniffer)截获网络上传输的信息，并把它们用在以太网或其它共享传输介质的网络上。利用监听器可截获口令和专有的秘密信息。

5．诱入法

攻击者将一些看起来“合法”的程序，上传到某些FTP站点或是提供给某些个人主页，用户下载。当一个用户下载软件时，攻击者的软件被一起下载到用户的机器上，该软件会跟踪用户的操作，记录用户输入的每个口令，然后把获取的信息发送给攻击者指定的邮箱。例如，攻击者发送电子邮件给用户，提出进行某种合理的调查，并给出一些诱惑用户执行的条件，实际上该程序是在搜集用户的口令，并把它们发送给攻击者。

6．寻找安全漏洞

许多系统都存在各种安全漏洞，有些是操作系统或应用软件本身具有的不安全的配置管理漏洞，如Send mail漏洞，Windows98中的共享目录密码验证漏洞和IES漏洞等，这些漏洞在补丁未被开发出来之前一般很难防御攻击者的破坏i有些是在程序设计过程中人为造成的漏洞，比如开发者采用模块化的程序设计思想完成功能复杂的应用时，为了测试、更改和增强模块功能的需要，为每个应用模块留有“后门”。若在开发完成后，没有及时消除“后门”，它们就会成为攻击者实施攻击的“入口”，获取应用的非法权限和内容。

图2-6Web应用攻击原理分析

第三章 Web应用安全漏洞研究

根据对Web应用程序漏洞的认知和处理角度的不同，人们对Web应用程序漏洞进行分类。

图3-1传统安全防范的漏洞

3．1 漏洞级别

1. D级漏洞

该漏洞允许远程用户获取主机上的一些信息，并不会对系统造成任何危害。攻击者用于在攻击的初始阶段获取目标网络或主机的脆弱性信息，比如机器是否启动、运行FTP服务的端口号、操作系统类别及软件版本等。

2. C级漏洞

属于等级较低的漏洞，用户不能对程序和文件进行访问，攻击者无法取得系统中的任何访问权。存在于任何在Internet上运行的TCP／IP操作系统的网络服务系统中。

3. B级漏洞

指允许本地用户获得增加的和非授权的访阔。如读取，写或执行系统上的非root用户的文件、写或执行系统上的root用户的文件。此漏洞出现在多种应用程序中，利用这一漏洞，可获取局域网的信息。

4. A级漏洞

能够使恶意入侵者获得有限的访问权限或root权限，从而控制整个系统。对系统中的数据进行非法访问，篡改和破坏，此漏洞威胁性最大。

3．2 Web应用程序漏洞分类

1.信息泄露漏洞

信息泄露漏洞是由于Web服务器或应用程序的一些特殊请求没有正确处理，导致Web服务器的信息泄露，造成信息泄露主要有以下三种原因：

（1）Web服务器本身存在漏洞，输入一些特殊的字符时，可以访问未授权的文件。

（2）Web服务器的配置存在问题，一些配置文件直接暴露在互联网中。

（3）Web程序的编写存在问题，对用户的请求没有进行过滤，直接使用提交上来的数据。

2.目录遍历漏洞

目录遍历漏洞的定义是攻击者向Web服务器发送请求，通过特殊意义的目录或URL符号，

使攻击者能够访问在Web服务器的根目录，以及未授权的目录执行命令。

3. 命令执行漏洞

指通过URL（统一资源定位符）发起请求，在服务器端执行未授权的命令。如获取系统信息、篡改系统配置、控制整个系统等。

命令执行漏洞主要有两种情况：

（1）通过目录遍历漏洞，访问系统，执行系统的命令；

（2）攻击者提交的命令，Web程序没有进行检测，就将请求作为指令进行操作，导致命令任意执行。

4.文件包含漏洞

攻击者向Web服务器发送请求时添加了非法参数，由于Web服务器端程序过滤不严，导致非法的文件名作为参数处理。此文件名可能是服务器本地的某一个文件，同时也可能是远端的某一个恶意文件。

5.跨站脚本漏洞

因为Web应用程序没有对用户提交的SQL语句和PHP变量进行过滤或限制，攻击者通过Web 页面的输入区域向SQL或HTML的页面提交恶意代码，当用户打开恶意代码的页面时，攻击者通过恶意代码自动访问Web浏览器，达到攻击目的。跨站脚本漏洞的危害性很大，尤其是被广泛使用的网络银行及一些在线服务。通过此漏洞，攻击者可以冒充某一用户访问其重要账户，盗取企业的重要信息。

6.SQL注入漏洞

SQL注入漏洞是Web应用程序没有对用户输入的数据进行合法性的判断，使得攻击者可以获得用户者的私密信息。数据库注入攻击在Web攻击中非常盛行，攻击者利用SQL注入漏洞获得管理员的相应权限，在网页上添加各种恶意程序和木马，盗取企业和用户的私密信息。

图3-2 黑客攻击流程及危害性

以上的六个漏洞，经多家漏洞研究机构的调查表明，其中跨站脚本漏洞和SQL注入漏洞造成的危害更为巨大。

3.3 Web应用安全测试技术

3.3.1 基于主机的漏洞扫描器

1.基本结构和工作原理0 0

基于主机的漏洞扫描器通常采用基于主机的客户端/服务器3层体系结构；漏洞扫描器控

制台、漏洞扫描器管理器和漏洞扫描器代理。

图3-3 漏洞扫描系统模型的系统结构图

其工作原理为：漏洞扫描器控制台安装在一台计算机中，漏洞扫描器管理器安装在企业网络中，所有的目标系统都需要安装漏洞扫描器代理。漏洞扫描器代理安装后，需要向漏洞扫描器管理器注册。当漏洞扫描器代理收到漏洞扫描器管理器发来的扫描指令时，漏洞扫描器代理单独完成本目标系统的漏洞扫描任务。扫描结束后，漏洞扫描器代理将结果传给漏洞扫描器管理器，最终用户可以通过漏洞扫描器控制台浏览扫描报告。

2．扫描器优缺点

(1)基于主机的漏洞扫描器主要优点：

①扫描的漏洞数量多。

②集中化管理：基于主机的漏洞扫描器通常由集中的服务器作为扫描服务器，控制所有扫描的指令，服务器下载到最新的代理程序后，分发给各个代理。

③网络流量负载小：由于漏洞扫描器管理器与漏洞扫描器代理之间只有通讯的数据包，漏洞扫描部分都由漏洞扫描器代理单独完成，这就大大减少了网络的流量负载。当扫描结束后，漏洞扫描器代理再次与漏洞扫描器管理器进行通讯，传送扫描结果给漏洞扫描器管理器。

④通讯过程中的加密机制：所有的通讯过程中的数据包都经过加密。

(2)基于主机的漏洞扫描器同时存在以下不足之处：

①价格较高：基于主机的漏洞扫描器的价格，通常由一个管理器的许可证价格加上目标系统的数量来决定，当一个企业网络中的目标主机较多时，扫描工具的价格就非常高。

②基于主机的漏洞扫描器，需要在目标主m_L安装代理或服务，从管理员的角度出发，在重要的机器上安装不确定的软件是不被允许的。

③随着所要扫描的网络范围的扩大，在设计基于主机的漏洞扫描工具的代理软件的时候，需要与每个目标系统的用户打交道，必然延长了首次设计扫描器的工作周期。

3.3.2 Web应用安全测试

一般传统曲扫描器有两个特点：

1.目标服务器返回的响应消息，其中最关键的内容就是HTTP响应包的状态代码，Web扫描器将直接根据状态代码来判断是否测试成功。

2.保存漏洞特征的漏洞库，传统的漏洞库中只包含己知漏洞，即已经公布的操作系统，服务器软件，硬件平台、网络协议的漏洞。

传统的扫描工具目前最大的不足之处是对具体的Web应用难以进行有效评估。因为漏洞

库中没有Web应用程序的漏洞特征。传统的Web扫描工具测试存在一定的盲目性，测试通常是在Web系统的接口处实施，无论是否存在漏洞，都提交测试参数，造成很多不必要的测试，浪费了系统的资源。

根据传统Web漏洞扫描器的不足，针对性的提出以下几点进行改善：

(1)如何发现和描述现有的、潜在的Web应用漏洞特征。

(2)如何提高Web测试的针对性和有效性，降低盲目性。

(3)如何完善漏洞库的优化。

(4)如何提高漏洞库的拓展性和兼容性问题。

(5)采用什么样的方式定位Web应用中存在的漏洞。

第四章网络防火墙

4.1 防火墙的功能和策略

1.功能

防火墙的基本功能：

（1）控制不安全的服务：只有授权的服务才能通过防火墙，控制不安全的服务，提高了网络的的安全度。

（2）站点访问控制：防火墙提供了一些对站点的防问控制。防火墙不允许访问不需要访问的主机和服务，在网络边界设置了一到关口。防火墙是用户保护的最好选择。

（3）集中安全保护：若一个子网需要改动的软件能放在防火墙的系统中，防火墙的保护就相对集中。尤其对于身份认证软件和其他密码口令系统等。

（4）强化私有权：防止通过DNS域名服务以及finger等造成泄密。防火墙能封锁域名服务信息。

（5）网络连接的日志记录及使用统计：当防火墙系统被设置连接都需要经过安全的系统，防火墙能够对其访问做出日志记录。

（6）其他安全控制:根据要求配置防火墙系统，实现其他的安全控制。

2.策略：

防火墙的基本策略：

（1）一切未被禁止的就是允许的：其准则防火墙需转发信息流，屏蔽有害服务。弊端：网络服务多样性，受保护范围大，难提供安全可靠的服务。

（2）一切未被允许的就是禁止的：其准则防火墙需封锁信息流，进行开放服务。弊端：用户的方便性受约束，使用范围也有严格的限制。

4.2 防火墙的分类

4.2.1. 包过滤防火墙

优点：

（1）逻辑简单，价格便宜，有较强的透明性；

（2）与应用层无关，抑郁安装和使用。

缺点：

（1）需要对IP、ICMP、TCP和UDP等各种协议有深入的了解否则配置不当容易出现问题；（2）只有网络层和传输层进行了过滤判别，难以得到充分的满足；

（3）不能防止外部客户与内部主机直接连接，无法提供用户鉴别机制。

如下图所示

图4-1 包过滤防火墙

1.静态包过滤防火墙工作在TCP/IP协议模型的IP层或OSI模型的网络层。

2.状态包过滤防火墙采用了一个网络安全策略的软件引擎。用于提取相关的状态和通信信息，并在动态链接进行信息的存储和更新。

4.2.2 代理防火墙

1.应用级网关防火墙工作于TCP/IP或OSI模型的应用层。

优点：

（1）易于配置，界面友好；

（2）可以给单位用户授权，并且可以与授权、认证等安全手段便于集成；

（3）可以为用户提供透明的加密机制，而且可以隐藏内部的IP地址；

（4）不允许内外主机的直接连接。

缺点

（1）代理速度比包过滤慢；

（2）代理对用户不透明。

2.电路级网关防火墙工作于TCP/IP协议模型的TCP层或OSI互联模型的会话层。

4.3 防火墙的体系结构

双宿/多宿主机模式如下图：

图4-2 1.屏蔽主机模式如下图：

图4-3 2.屏蔽子网模式结构示意图：

图4-4

4.4 WEB应用防火墙技术

在网络中的防火墙，入侵防御系统(IPS)，入侵检测系统(IDS)等设备，已经不能适用web 应用了，原因在于传统的网络安全设备对攻击防范作用有限。防火墙工作在网络层，通过对网络层数据的过滤，实现访问控制的功能。所有的应用都在网络层处理，因此攻击在网络层次上是无法检测出来的。IPS、IDS用于检查应用层流量，实现对应用层攻击的防护。Web应用防火墙实现了对将来才会出现的攻击的保护，有IPS和IDS进行有效防护。应用防火墙通过执行应用会话请求处理应用层，保护所有相关的应用资源。

Web应用防火墙的特点

Web应用防火墙：为Web应用提供实时的防护。与传统防火墙差异性体现在：

(1)对HTTP有本质的理解：能够完整地解析HTTP（超文本传输协议），包括报文头部、载荷及参数。支持各种HTTP编码，提供的HTTP协议验证和HTML（超文本标记语言）限制，支持各类字符集编码，具备响应（Response）过滤的能力。

(2)提供应用层规则：传统的防火墙针对已知漏洞的处理不够有效。WAF（网站应用级入侵防御系统）提供应用层规则，能够检测变形攻击。

(3)提供会话防护机制：HTTP协议的最大弊端就是缺乏一个可靠的会话管理机制。WAF系统可进行有效补充，防护基于会话的攻击类型。

(4)提供正向安全模型：为提高安全性的可靠程度提供了一个外部输入的验证机制。

第五章安全对策

5.1配置及各种对策

根据WEB应用程序的需要，应选择更为安全的身份验证机制。如

1.WEB应用程序的配置安全及对策

WEB应用程序支持配置界面和系统功能，允许操作员更改系统参数和更新网站内容，执行常规维护。常见的配置威胁：对界面的未授权访问、对配置存储区的未授权访问和越权的应用程序。

2.对界面的末授权访问及安全对策

管理界面是通过附加的网页或单独的Web应用程序提供，该网页或Web应用程序允许管理

员、操作员和内部开发人员管理网站内容和参数配置，仅限于经过授权的用户使用。访问恶意用户可能会破坏网站和数据库，并破坏配置数据。防止对管理界面的未授权访问的对策有：使管理界面的数量最小化；使用强身份验证，如使用证书；使用加密通道(如带有VPN技术或SSL)；使用IPS策略来将远程管理限制在内部网络中的计算机。

3.对配置存储区的未授权访问

配置在存储区中的数据应具有很强的保密性。需对存储区的安全性给予确保，配置存储区的保护对策有：在配置文件Machine．con．fig和Web．Con.fig中配置受限制的ACL：在Web 空间外保存自定义配置存储区，避免用户下载Web服务器配置文件并利用其漏洞的可能性：限制对配置存储区的游同舴为一种重要防御机制，应该对敏感数据(如密码和连接字符串)加密，以防止外部攻击者获取敏感的配置数据和访问其他系统韵数据库连接字符串和帐户凭证。

4.越权的应用程序和服务帐户

如果向WEB应用程序和服务帐户授予访问权以更改系统中的配置信息。则攻击者可能操纵它们来执行此操作。安全对策有：通过使用最低特权的服务和应用程序帐户；除非设计明确要求，否则不要允许帐户修改其配置信息。

5.2攻击及对策

1.网络偷听及安全对策

以文本形式从客户端向服务器传递身份验证，攻击者就会利用同一网络的其它主机捕捉并获得该用户名和密码。相应的对策：不通过网络传输用户密码的验证机制。如果必须通过网络传输密码，用户应该将密码进行加密，或者使用已加密的通讯设备，如SSL（安全套接层）。

2.字典攻击及安全对策

在字典攻击中，攻击者使用程序可计算每个词的哈希值，将数据存储区的值与生成的哈希进行比较。若密码较强如，被破解的可能性就更小，可使用Hashed算法存储用户密码。若攻击者取得了密码哈希列表，便可脱机执行字典攻击，且不需要与应用程序交互。防止字典攻击的对策：可使用强密码，就是要复杂点，例如密码可混用大小写字母和特殊字符，不能只是单一的数字或字母。

3. Cookie重播攻击及安全对策

攻击者使用监测软件获得用户的身份验证Cookie（小型文本文件）值，将其给应用程序，通过使用虚假身份获取各种访问权。防止Cookie重播的对策：在传输身份验证Cookie时，应使用系统提供的SSL（安全套接层）加密通道，并将Cookie设置为一个较小的值，在经过短时间间隔后进行身份验证。

4.凭证偷窃及安全对策

因为缓存中存储用户登录信息和浏览器历史记录，如果用户以外的人使用了这个终端并且点击了相同的页面，则之前保存的登录信息和浏览的历史记录便被泄露。防止凭证偷窃的对策：必须强制使用强密码。

结束语

本论文主要是针对web应用安全进行研究。首先对web应用安全的背景、现状进行了描述；其次进一步阐明了web应用常见的安全问题以及web应用安全的攻击方式；接着研究web应用安全的漏洞讲述了漏洞的分类、web应用安全的测试；然后叙述了防火墙的功能、策略，其中重点说明了防火墙的体系结构和web应用防火墙的技术；最后给出各种配置及其安全的对策和各类攻击的安全对策。

致谢

四年的大学生涯即将结束，在段时光里我受益良多，在此要由衷地感谢那些帮助和关心我的同学、老师。因为中有你们的陪伴与鼓励，我的人生才会如此的多姿多彩。

首先要感谢我的辅导员，四年来为我们所做的工作，教会了我们如何学会做人，告诉我们要懂得生活，要有勇敢面对挫折的心，不畏惧，不退缩。其次要感谢我的指导老师，给予我的指导，使我对所写的论文有了进一步的了解，明白论文大致的一些要求。最后要特别的感谢我的父母对我支持和鼓励。他们的关心与认可让我有了克服困难的信心与勇气，是我成长与前进的精神支柱！

参考文献

丁妮．web应用安全研究[D]．中国优秀硕士学位论文全文数据库，2007—5：19-23．尹虹．WEB应用程序漏洞主动扫描器的研究与实现．国防科技大学硕士研究生论文，2005 徐亮．基于网络的WEB应用程序漏洞检测系统研究与实现．国防科技大学硕士研究生论文，2005

李涛.网络安全概论.电子工业出版社,2004年，第1版，295-303.

孙知信，徐红霞．一种新型网络安全评估系统研究．南京邮电大学学报(自然科学版)，第26卷第3期，27-32

赵振国，蔡皖东．网络漏洞扫描器的设计与实现．微电子学与计算机，2005年第22卷第4期。122-125

杨波，朱秋萍．Web安全技术综述．计算机应用研究，2002年第10期，1-4

孟宪虎，张延军．开发Web信息处理的可靠和安全性探讨．计算机工程与应用，2001，v01．37，No．14，74-75

张世永．信息安全审计技术的发展和应用．电信科学，2003年12期，29·32

张敏波，网络安全实战详解[M]．北京：电子工业出版社，2008—5：365—369

李承，王伟钊，程立，汪为农，李家滨．基于防火墙日志的网络安全审计系统研究与实现．计算机工程，第28卷第6期，2002年6月，17·19

镲冰，李启炎，朱茜．XML解析器应用分析．计算机系统应用，2002年0l期，30．32 周洪吴，张剡，柏文阳．安全审计系统的设计与实现．计算机应用研究，2004年07期，105—107

王伟钊，李承，李家滨．网络安全审计系统的实现方法．计算机应用与软件，2002年11期，24-27