web应用安全攻防策略

《web应用安全攻防策略》由会员分享，可在线阅读，更多相关《web应用安全攻防策略（15页珍藏版）》请在金锄头文库上搜索。

1、Xx学院（软件学院）毕业论文题目Web应用安全攻防策略姓名专业班级指导教师完成时间200x年x月XX学院（软件学院）制摘要：随着全世界网民的增加，极大的刺激了互联网络的发展Internet技术日 成熟，已经开始了从以提供和保证网络联通性为主要目标的第一代 Internet 技 向以提供网络数据信息服务为特征的第二代 Internet 技术的过渡。与此同时， 以万计的商业公司、政府机构在多年的犹豫、观望之后，意识到采用 Internet 技术并使企业数据通信网络成为 Internet 的延伸已成为发展趋势。这使得企业 据网络正迅速地从以封闭型的专线、专网为特征的第二代技术转向以 Internet

2、 联技术为基础的第三代企业信息网络。所有这些，都促使了计算机网络互联技术 速的大规模使用。众所周知，作为全球使用范围最大的信息网，Internet自身协 的开放性极大地方便了各种计算机连网，拓宽了共享资源。但是，由于在早期网 协议设计上对安全问题的忽视，以及在管理和使用上的无政府状态，逐渐使Internet 自身安全受到严重威胁，与它有关的安全事故屡有发生。对网络安全的 胁主要表现在：非授权访问，冒充合法用户，破坏数据完整性，干扰系统正常运行 利用网络传播病毒，线路窃听等方面。这以要求我们与 Internet 互连所带来的 全性问题予以足够重视。为了让用户的合法权益不受侵害，网络安全技术研究应

3、 ； I :而声。关键词：网络安全 web 安全 web 应用目录二. 网络安全概述网络安全研究背景什么是安全三. WEB应用攻击过程什么是WEB应用攻击应用攻击特点网络攻击过程四web应用安全攻击方法注入.XSS（拒绝服务）社会工程学五网络安全防范策略防范sql注入式攻击验证码技术防火墙技术加强网络管理人员以及使用人员的安全意识六.总结参考文献.引言计算机网络是一个开放和自由的网络，它在大大增强了网络信息服务 灵活性的同时，也给黑客攻击和入侵敞开了方便之门。不仅传统的病 毒借助互联网加快了其传播速度并扩大了其传播范围，而且各种针对 网络协议和应用程序漏洞的新型攻击方法层出不穷。这些黑客把先进

4、 的计算机网络技术，当成一种新式犯罪工具和手段，不仅影响了网络 稳定运行和用户的正常使用，造成重大经济损失，而且会威胁到国家 安全。如何更有效地保护重要的信息数据、提高计算机网络系统的安 全性已经成为影响一个国家的政治、经济、军事和人民生活的重大关 键问题。近年来，网络系统的安全性和可靠性开始成为世界各国共同 关注的焦点.在信息时代，信息可以帮助团体或个人，使他们受益，同 样，信息也可以用来对他们构成威胁，造成破坏。因此网络安全包括 组成网络系统的硬件、软件及其在网络上传输信息的安全性，使其不 致因偶然的或者恶意的攻击遭到破坏，网络安全既有技术方面的问题， 也有管理方面的问题，两方面相互补充，

5、缺一不可。二.网络安全概述网络安全研究背景20 世纪 40 年代，随着计算机的出现，计算机安全问题也随之产 生。随着计算机在社会各个领域的广泛应用和迅速普及，使人类社会 步入信息时代，以计算机为核心的安全、保密问题越来越突出。70 年代以来，在应用和普及的基础上，以计算机网络为主体的信 息处理系统迅速发展，计算机应用也逐渐向网络发展。网络化的信息 系统是集通信、计算机和信息处理于一体的，是现代社会不可缺少的 基础。计算机应用发展到网络阶段后，信息安全技术得到迅速发展， 原有的计算机安全问题增加了许多新的内容。同以前的计算机安全保密相比，计算机网络安全技术的问题要多 得多，也复杂的多，涉及到物理

6、环境、硬件、软件、数据、传输、体 系结构等各个方面。除了传统的安全保密理论、技术及单机的安全问 题以外，计算机网络安全技术包括了计算机安全、通信安全、访问控 制的安全，以及安全管理和法律制裁等诸多内容，并逐渐形成独立的 学科体系。换一个角度讲，当今社会是一个信息化社会，计算机通信网络在 政治、军事、金融、商业、交通、电信、文教等方面的作用日益增大 社会对计算机网络的依赖也日益增强，尤其是计算机技术和通信技术相结合所形成的信 息基础设施已经成为反映信息社会特征最重要的基础设施。人们建立 了各种各样完备的信息系统，使得人类社会的一些机密和财富高度集 于计算机中。但是这些信息系统都是依靠计算机网络接

7、受和处理信息， 实现其相互间的联系和对目标的管理、控制。以网络方式获得信息和 交流信息已成为现代信息社会的一个重要特征。随着网络的开放性、 共享性及互联程度的扩大，特别是 Internet 网的出现，网络的重要性 和对社会的影响也越来越大。随着网络上各种新业务的兴起，比如电 子商务(ElectronicCommerce)、电子现金(ElectronicCash)、数字 货币(DigitalCash)、网络银行(NetworkBank)等的兴起，以及各种 专用网(比如金融网等)的建设，使得安全问题显得越来越重要，因 此对网络安全的研究成了现在计算机和通信界的一个热点。什么是网络安全简单地说在网络

8、环境里的安全指的是一种能够识别和消除不安全 因素的能力。安全的一般性定义也必须解决保护财产的需要，包括信 息和物理设备（例如计算机本身）。安全的想法也涉及到适宜性和从属 性概念。负责安全的任何一个人都必须决定谁在具体的设备上进行合 适的操作，以及什么时候。当涉及到公司安全的时候什么是适宜的， 在公司与公司之间是不同的，但是任何一个具有网络的公司都必需具 有一个解决适宜性、从属性和物理安全问题的安全政策。伴随着现代的、先进的复杂技术例如局域网和广域网、Internet, 安全的想法和实际操作已变得更加复杂，对于网络来说，一个人可以 定义安全为一个持续的过程。计算机网络安全之所以重要,其主要原因在

9、于：1）计算机存储和处理的是有关国家安全的政治、经济、军事、国 防的情况及一些部门、机构、组织的机密信息或是个人的敏感信息、 隐私,因此成为敌对势力、不法分子的攻击目标。2）随着计算机系统功能的日益完善和速度的不断提高,系统组成 越来越复杂、系统规模越来越大,特别是 Internet 的迅速发展,存取 控制、逻辑连接数量不断增加,软件规模空前膨胀,任何隐含的缺陷、 失误都能造成巨大损失。3）人们对计算机系统的需求在不断扩大,这类需求在许多方面都 是不可逆转、不可替代的。4）随着计算机系统的广泛应用,各类应用人员队伍迅速发展壮大, 教育和培训却往往跟不上知识更新的需要,操作人员、编程人员和系 统

10、分析人员的失误和缺乏经验都会造成系统的安全功能不足。5）计算机网络安全问题涉及许多学科领域，既包括自然科学，又 包括社会科学。就计算机系统的应用而言，安全技术涉及计算机技术、 通信技术、存取控制技术、检验认证技术、容错技术、加密技术、防 病毒技术、抗干扰技术、防泄漏技术等等，因此是一个非常复杂的综 合问题，并且其技术、方法和措施都要随着系统应用环境的变化而不 断变化。6）从认识论的高度看，人们往往首先关注对系统的需要、功能， 然后才被动地从现象注意系统应用的安全问题。因此广泛存在着重应 用轻安全、质量法律意识淡薄、计算机素质不高的普遍现象。计算机 系统的安全是相对不安全而言的，许多危险、隐患和

11、攻击都是隐藏的、 潜在的、难以明确却又广泛存在的。学习计算机网络安全技术的目的不是要把计算机系统武装到百分 百安全，而是使之达到相当高的水平，使入侵者的非法行为变得极为 困难、危险、耗资巨大，获得的价值远不及付出的代价高。在网络环境里安全是一种能够识别和消除不安全因素的能力。安 全的目的是使入侵者获得的价值远不及付出的代价高。三WEB应用攻击过程什么是WEB应用攻击WEB应用攻击，本质就是指通过http协议篡改应用程序。进而控 制目标服务器，甚至控制整个目标网络。其中有包括有 guiweb 攻击， url 攻击，请求方法、请求头、数据体，资源，认证、会话、授权， web客户端和html， ss

12、l/tls，其他协议等等。应用攻击特点目前的网络攻击者主要是利用网络通信协议本身存在的缺陷或因 安全配置不当而产生的安全漏洞进行网络攻击。目标系统攻击或者被 入侵的程度依赖于网络攻击者的攻击思路和采用攻击手段的不同而不 同。可以从攻击者的行为上将攻击区分为以下两类：被动攻击：攻击者简单地监视所有信息流以获得某些秘密。这种 攻击可以是基于网络或者基于系统的。这种攻击是最难被检测到的， 对付这类攻击的重点是预防，主要手段是数据加密。主动攻击：攻击者试图突破网络的安全防线。这种攻击涉及到数 据流的修改或创建错误信息流，主要攻击形式有假冒、重放、欺骗、 消息篡改、拒绝服务等。这类攻击无法预防但容易检测

13、，所以，对付 这种攻击的重点是“测”而不是“防”，主要手段有：防火墙、入侵检 测系统等。网络攻击过程无论网络入侵者攻击的是什么类型的目标，其所采用的攻击手段 和过程都有一定的共性。网络攻击一般分为如下几个步骤：调查、收 集和判断出目标计算机网络的拓扑结构和其他的信息；对目标系统安 全的脆弱性进行探测与分析；对目标系统实施攻击。（1）调查、收集和判断目标网络系统的网络结构等信息。入侵者 利用操作系统中现有的网络工具或协议收集远程目标系统中各个主机 的相关信息，为对目标系统进行进一步分析和判断做准备。（2）制定攻击策略和确定攻击目标。收集到远程目标的一般网络 信息后确定攻击对象，这与入侵者所制定的

14、攻击策略有关。一般情况 下，入侵者想要获得的是 1个主系统上或 1个可用的最大网段的根访 问权限，通常只要成功入侵 1台主机后，就可以控制整个网络。（3）扫描目标系统。入侵者确定扫描远程目标系统，以寻找该系 统的安全漏洞或安全弱点，并试图找到安全性最薄弱的主机作为入侵 对象。因为某些系统主机的管理员素质不高，而造成的目标系统配置 不当，所以这会给入侵者以机会。而且有时攻破 1个主机就意味着可 以攻破整个系统。（4）攻击目标系统。入侵者使用扫描方法探测到目标系统的一些 有用信息并进行分析，寻找到目标系统由于种种原因而存在的安全漏 洞后，就可以进行攻击并试图获得访问权限。一旦获得访问权限，入 侵者

15、就可以搜索目录，定位感兴趣的信息，并将信息传输、存储起来。 通过这台薄弱的主机，入侵者也可以对与本机建立了访问连接和信任 关系的其他网络计算机进行攻击。四web应用安全攻击方法注入Sql注入式攻击是指利用设计上的漏洞，在目标服务器上运行Sql 命令以及进行其他方式的攻击动态生成 Sql 命令时没有对用户输入的 数据进行验证是 Sql 注入攻击得逞的主要原因。SQL 注入是从正常的 WWW 端口通过对页面请求访问，而且表面看 起来跟一般的Web页面访问没什么区别，所以目前市面的防火墙很少 会对SQL注入发出警报，如果管理员没查看IIS日志的习惯，可能被 入侵很长时间都不会发觉。SQL 注入的手法

16、相当灵活，可以根据具体情况进行分析，构造巧妙的 SQL 语句，从而获取想要的数据。程序存在SQL注入，追其原因，是因为代码或者编码的不完善。 但说到底，是程序员的惰性。代码的不完善，往往是因为在程序编写 的过程中，没有考虑到代码的健壮性及安全性的结果，就国内现状来 看，大多数网站使用的脚本语言，用 ASP+Access 或 SQLServer 的占 70%以上，PHP+MySQL占20%，其他的不足10%,并且因为开发者水平 的参差不齐,代码编写的过程考虑不够周全，程序代码的安全性值得怀 疑，而程序脚本被注入也成为必然。当然，程序运行环境的先天缺陷也是人为的，这种现象无法完全 杜绝避免。从攻击者的角度来看，使用SQL注入能够避免绝大多数防