基于模糊测试的Web应用安全性检测方法研究

摘要

随着互联网的不断发展，Web应用在带给用户方便与快捷的同时，由于开发资源和时间的限制、用户环境的复杂性和不可控制性等原因，Web应用仍存在着大量的安全漏洞隐患。为了保障Web应用的安全性，在Web应用部署和使用前模仿用户的输入，对可能存在的漏洞进行安全性检测是至关重要的。而作为一种模拟用户攻击的测试方法，模糊测试正普遍应用于Web应用漏洞的安全性检测工作中。现有模糊测试大都是基于“获取数据—输入攻击测试用例—分析漏洞数据”的流程对Web应用进行安全性检测，该流程中存在测试用例覆盖率低、漏洞响应无法有效验证及漏洞检测结果无法量化评估等问题，导致漏洞检测结果存在较多的漏报和误报。
　　本文针对测试用例覆盖率低导致漏洞检测漏报率高的问题，提出一种基于动态生成和协议变形的测试用例生成方法。该方法针对典型的XSS跨站脚本和SQL注入测试用例进行特征提取后生成特征库，然后通过特征组合动态生成大量测试用例；同时，针对Web应用的过滤机制进行分析，根据分析后的过滤规则采用相应的变形方法指导测试用例的生成。实验表明，该方法在Web应用过滤环境复杂的情况下较动态生成方法和随机枚举方法具有较低的漏报率。针对漏洞响应无法有效验证导致漏洞检测误报率高的问题，提出一种基于污染传播策略的漏洞数据分析方法，该方法采用模糊测试后得到的SQL注入和XSS跨站脚本漏洞注入点数据和测试用例数据为污染数据，根据污染传播规则动态跟踪污染数据，最后经过污染检测分析验证是否存在漏洞。实验表明，该方法较现有测试工具的漏洞响应分析方法具有较低的误报率。针对漏洞检测结果无法量化评估的问题，提出Web安全性检测结果的量化评估方法。该方法根据Web应用的高危、中危以及低危漏洞数量，量化计算Web安全性检测结果，使Web安全测评人员对Web应用的安全状况有较为直观的了解，实验结果表明，该方法可直观表示Web应用存在的漏洞情况。

目录

封面

声明

目录

中文摘要

英文摘要

第1章 绪论

1.1 研究背景和意义

1.2 国内外研究现状

1.3 论文主要工作

1.4 论文的结构

第2章 Web应用安全性检测相关理论

2.1 Web应用的体系结构

2.2 Web应用安全漏洞

2.3 XSS跨站脚本漏洞

2.4 SQL注入漏洞

2.5 Web应用模糊测试理论

2.6 本章小结

第3章 基于动态生成和协议变形的测试用例生成方法

3.1 现有的XSS攻击和SQL注入测试用例生成方法

3.2 基于动态生成和协议变形的测试用例生成方法

3.3 XSS攻击测试用例生成方法

3.4 SQL注入测试用例生成方法

3.5 本章小结

第4章 基于污染传播策略的漏洞数据分析方法及漏洞检测量化评估方法

4.1 污染传播策略

4.2 基于污染传播策略的漏洞数据分析方法

4.3 漏洞检测的量化评估方法

4.4 本章小结

第5章 实验与分析

5.1 评价指标

5.2 实验数据

5.3 实验方案与设定

5.4 实验结果与分析

5.5 本章小结

第6章 总结与展望

6.1 总结

6.2 工作展望

参考文献

致谢

攻读硕士学位期间发表的论文及参与的课题