导航：安全管理网>> 安全论文>> 综合安全论文>>正文

Web安全性测试技术综述

文档作者：于莉莉杜蒙杉张平纪玲利文档来源： 1.北京航空航天大学计算机科学与技术系2.二炮软件测评中心3.空军装备研究院通信导航与指挥自动化研究所4二炮装备研究院		点击数：	更新时间： 2021年07月13日
下载地址：点击这里	文件大小： 439.44 KB 共5页	文档格式： PDF	下载点数： 1 点（VIP免费）

全屏查看

内容预览 [文件共5页]

本文件共5页，如需编辑使用，请下载。

注：预览效果可能会出现部分文字乱码（如口口口）、内容显示不全等问题，下载是正常的。

	文件大小：439.44 KB 共5页文件格式：PDF 下载点数：1 点（VIP会员免费）

下一篇：强化安全文化建设构建本质安全企业

上一篇：基于SDL的软件安全测试方法研究

文本预览

仅提取页面文字内容，供快速阅读使用。

第29卷第11期
计算机应用研究
 Vol. 29 No. 11
2012年11月
 Application Research of Computers
Nov.2012
e安全性测试技术综述
于莉莉,杜蒙杉,张平,纪玲利
(1.北京航空航天大学计算机科学与技术系,北京100191;2.二炮软件测评中心,北京1000853.空军装备研
究院通信导航与指挥自动化研究所,北京1000854二炮装备研究院,北京100085)
摘要:对Web应用程序进行有效彻底的测试是及早发现安全漏洞、提高Web应用安全质量的一种重要手段。
首先介绍了Web应用安全威胁分类,总结了常见的Web应用安全漏;然后对当前Web安全性测试技术的研
究进行了全面概述,比较了静态技术和动态技术各自的优缺点,同时对在Web安全性测试中新兴涌现的模糊测
试技术进行了详细的介绍和总结;最后指出了We安全测试中有待解决的问题以及未来的研究方向。
关键词:Web应用安全漏洞;静态分析;动态分析;模糊测试
中图分类号:TP391·文献标志码:A文章编号:1001-695(2012)-401-0
001
doi:10.3969/jiss.1001-3695.2012.11.00
 Survey on Web security testing technologies
 YU Li-li 2, DU Meng-shan', ZHANG Ping', JI Ling-li
 (1. Dept. of Computer Science Technology, Beihang Unirersity, Beyjing 100191, China 2. Sofiware Testing E
 ion Center of the Sec-
 ond Artillery Force, Beijing 100085, China; 3. Com
 n Narigation Auto
 100085, China; 4. The Second Arilley Force Equipment Academy, Beijing 10085, China)
 Abstract: A thorough test for Web applicati
 proving the security quality of Web application. This paper firstly
 Web application security
 threat and summarized common Web application security vulr
 state of Web
 d the dynamic
 technologies. At the same time, it introduced and concluded the detail of
 technology in
 eb security testing. At last, this paper presented the problem to be
已经通过认证的用户3。开放式Web应用程序安全项目
0引言
(open Web application security project, OWASP)在2010年公布
近20年来,互联网技术在全球范围内得到了持续快速的的Web应用十大安全漏洞(图1)中,排名靠前的注(in
发展。在我国的中国互联网络信息中心(CNNIC)2012年1 jection本cross site scriptingxs限制ur
发布的《中国互联网络发展状况统计报告》中指出:截止211访( failure to restrict URL access种漏洞都是由于未能
年12月,网民规模达到5亿,互联网普及率攀至38.3正确处理用户请求而引起的。
30%
互联网已经成为一项重要的社会基础设施,Web应用也逐渐
25%
成为软件开发的主流之一。以电子商务、社交网络、博客、论坛
20%
15%
社区为代表的Web应用已经在人们的生活中扮演了越来越重
要的角色,并逐渐改变了人们的生活方式。
但在Web应用中存在的各种安全漏洞也逐渐暴露出来,
这些漏洞可能导致Web应用遭受各种攻击,严重影响了社会
稳定、经济发展和人们的正常生活。根据 Symantec发布的《sy
图1 OWASP十大安全漏(2010年)
 mantec Internet security threat report,0%以上的软件安全
造成Web应用安全漏洞的原因一方面是Web应用开发人
漏洞是关于Web应用的。这些安全漏洞可能信员经验不足、对安全问题不够重视,更重要的则是缺乏全面彻
遭受各种攻击,如拒绝服务攻击、SQL注入、窃取用户信息等底的安全性测试。根据IEEE的软件工程标准术语,软件测试
尽管防火墙、入侵检测等技术已经比较成熟,Web应用的特殊
性往往导致防范各类安全性问题的难度很大,因为Wcb应用
被定义为:使用人工和自动手段来运行或测试某个系统的过
程,其目的在于检验它是否满足规定的需求或是弄清预期结果
攻击通常来自应用层,并且可能来自任何在线用户,甚至包括
与实际结果之间的差别。该定义中提到的需求通常包括了
稿日期:012-03-25修日期:2012051基金项目:二研究院青年创新基全资助项目201619)国家自然科学基全资助项目
18018)
作者简介:于莉(1978-),女,河南开封人,博士研究生,要研究方向为回归测试、质性研究方法、软件维(er-2326e)杜蒙杉(1978-)
辽宁沈阳人工程师,主要研究方向为软件工程;张平工程师,主要研究方向为软件测试;纪琳俐,高级工程师,主要研究方向为软件安全
4002
计算机应用研究
第29卷
软件功能性能可用性、安全性等诸多方面,而在传统Web应到攻击者的恶意目的。
用测试过程中,测试人员更注重对正常功能的验证,往往忽视4)缓冲区溢出
安全性方面的需求。Wcb应用作为
种特殊的软件,面临着
攻击者可以利用这个漏洞发送特定请求给Web应用,使
比传统单机软件更为严峻的安全威胁和更为复杂的用户环境。其执行任意代码。
因此在Wcb应用发布前对其进行全面彻底的安全性测试,发5)隐藏的字段
据Web应用中的安全漏洞和潜在的安全隐患是非常有必
用户可以通过在Web浏览器中执行“查看源文件”等操作
要的。
在Web应用领域中,发现安全漏洞的常用技术方法有静过URL参数传回给服务器端攻击者可以通过修改HTML
态分析技术和动态分析技术。模糊测试( fuzzing技术作为软文件中的这些隐藏字段达到恶意攻击的目的。
件测试研究中一种新的思路和方法,近年来开始被应用到Web6)不恰当的异常处理
应用测试领域cb应用存在的漏洞和安全隐患很大程度上用户提交给Wcb应用的正常请求有可能频繁地产生错误
是由于对用户的某些输入数据缺乏相应的校验或异常处理机和异常情况,如内存不足、系统调用失败、数据库链接错误等。
制造成的在Web应用测试中,利用模糊测试技术有目的不恰当的异常处理会将详细的内部错误信息如堆栈追踪
地构造大量的有效或者无效的用户输入数据提交给eb应(stack trace)、数据库结构以及错误代码等提供给攻击者,给
用,同时能够通过多种方式监测Web应用的行为进而分析任Web应用带来安全隐患。
何引起Web应用出现异常甚至崩溃的原因,将有助于发掘
7)远程命令执行
web应用中存在的安全漏洞和隐患,最终达到提高eb应用eb服务器可能简单地将用户提供的输入数据传递给其
安全性的目的。
他应用或操作系统本身。如果这些输入数据没有经过适当的
1web应用安全漏洞
验证,那么攻击者就可以直接执行目标系统上的命令。
8)远程代码注人
RFC2828将漏洞定义为系统设计、实现或者操作和管理
引起这个漏洞的主要原因是Web应用开发者不良的编码
中存在的缺陷和弱点,可能被攻击者所利用,从而突破系的习惯,如允许将未经验证的用户输入传递给如 include()或
安全策略,访问未授权的资源和数据eb应用安全漏 require()这样的方法,这将允许本地应用或远程的PHP代码
则可以定义为一个Web系统的各个组件(包括Web用、Web被包含进来,攻击者可将他们自己的PHP代码注入到目标
服务器、数据库等)在设计与实现以及安全策略上的漏洞
web应用中
Web应用安 Web全协会( Application Security Consortium2静态分析技术
wasc)的Web安全威 threat classification TTC)项目
将Web应用安全威胁分为如表1所示的六类。
静态分析( static analysis)技术是指在不执行的情况下对
表eb应用安全威胁分类
程序代码进行评估,是一种典型的白盒测试方法。其基本
Web安全威胁类别
概念
思想是通过分析程序的运行流程来构建程序工作的数学模型,
验证用来确认某用户服务或应用身份的攻击手段
然后对该数学模型进行审查以发掘程序的安全缺陷。常见的
授权
用来确认某用户、服务或应用身份的攻击手段
静态分析方法主要包括词法语法分析、模式匹配分析数据流
客户端攻击用来扰乱或探测Wcb应用用户的攻击手段
分析、补丁比较分析和模型化分析等。近年来,静态分析技术
命令执行在Wb服务器上执行远程命令的攻击手段
信息暴露
用
在Web应用安全性测试领域的研究成果主要包括以下内容。
用来获取Wb应用具体系统信息的攻击手段
 Jovanovic等人实现了针对PHP语言的源代码静态分
逻辑性攻击用来扰乱或探测Wcb应用逻辑流程的攻击手段
析工具Pixy,该工具通过对PHP源代码执行静态数据流分析
当前Web应用中常见的安全漏洞主要为八类。
来发掘PHP应用中SQL注入、跨站点脚本等类型的漏洞,具有
1)未被验证的输入
效率高、误报率低等优点,但是存在不能支持PHP的面向对象
攻击者可以改P请求的任何部分,包括URL、询特性以及无法解决源代码中文件包含等问题。类似的工具还
字符串、HTTP头部 http cookie,  PHP String Analyzer PHP-Sat表单等试图越过站点的安全机包括PPStringnalyzerphp-sat等
制。常见的输入窜改攻击方式有跨站点脚本、缓冲区溢出、格
 Huang等人将Web应用程序漏洞看做是一个安全信息
式化字符串攻击、SQL注入等。
流问题( secure information flow problem),提出了源自类型系统
2)SQL注入
和类型状态的基于格的静态分析算法,并阐述了它的可靠性。
SQL注入是指攻击者在输入域中插特殊字符,改变SQL同时,他们根据该算法实现了 WebSSARI工具,并对 Source
查询的本意,欺骗数据库服务器执行非法操作,而破坏数据 Forge.net上230个开源Web应用进行了测试,发现其中69个
库或非法获取存储在数据库中的数据清单的行为。SQL注入有安全隐患。
是Web应用漏洞中最普遍也是最严重的漏洞之一。
 Martin等人提出了一种目标导向的模型检验(goal
3)跨站点脚本
 directed model-checking-)方法来自动生成测试用例,发掘由Ja
跨站点脚本是指攻击者在客户端(通常是Web浏览器)va开发的大型Web应用中基于污点数据(ant- based)的漏洞
古
过Web页面提交的输入数据中嵌入恶意代码,若服务器将这他们选取了源代码总行数达到13000行的3个大型Web应
些数据不经过滤或转义而直接返回,那么其他用户在访问该用进行实验,发现其中存在的0个SQL注入漏洞和13个跨站
Web页面时这些恶意代码将在后者的客户端被执行,从而达点脚本漏洞。
第11期
于莉莉,等:Web安全性测试技术综述
4003
 Chess等人安全编程的角度详细介绍了如何利用静 Dafydd Stuttard开发的 Burp Suite是一款功能全面的
态分析技术改善软件的安全性,其中包括如何在Web应用安Wcb应用渗透测试工具 Burp Suite收费版本中提供了拦截代
全性测试中应用静态分析技术去发掘Web应用在输入验证、理服务器( burp proxy)、web爬虫( burp spider)、扫描器(burp
会话管理方面的安全漏洞。
 intruder器 burp sequencer( burp repeater)
 Stuttard等人将基于源代码审查的静态分析技术总结等部件。其中拦截代理服务器部件提供了详细的拦截规则
为以下三个步骤:a)从进入点开始追踪用户向Web应用提交能够准确地分析HTP消息的结构和内容;Web爬虫部件能够
的数据,审查负责处理这些数据的代码;b)在代码中搜索表示遍历被测Web应用,记录所访问的每个页面;扫描器部件可以
存在常见漏洞的签名,并审查这些签名,确定某个漏洞是否确自动实施各种定制攻击;序列生成器部件能够对会话令牌、会
实存在c)对内在危险的代码进行逐行审查理解应用程序的话标志或其他出于安全原因需要随机产生的键值的可预测性
逻辑,并确定其中存在的所有问题,需要进行仔细审查的功能进行分析;重放器部件允许用户调整并重新提交之前被记录的
组件包括Web应用中的关键安全机制(身份验证会话管理、请求。
访问控制与任何应用程序范围内的输入确认)、外部组件接口
 Paros是一款使用Java语言开发的Web安全漏洞扫描工
以及任何使用本地代码的情况。
具,同样支持对客户端和服务器之间的HTTP/ HTTP/HTTPS数据信
静态分析技术具有以下几点优势:
息进行拦截和窜改,能够支持对SQL注入、跨站点脚本等多种
a)具有程序内部代码的高度可视性,可以对程序进行全类型漏洞的发掘。 Paros的优点在于它使用通过代理服务器的
面分析,能够保证程序的所有执行路径得到检测,而不局限于请求作为攻击的基础,能够有效地覆盖被测Web应用的所有
特定的执行路
功能。 Nikto是 Chris Sullo使用Perl语言开发的开源Web安全
b)可以在执行前验证程序的安全性,进而在运行程序前黑盒测试工具,主要针对Web服务器的错误配置和不安全的
检验程序安全性、修补安全漏洞。
文件和脚本进行测试,其底层功能基于 LibWhisker实现,能够
c)无须实际执行被测程序,不会产生程序运行开销,快速在 Windows、 Linux Mac OS等多个平台上运行 Stuttard等人
高效,自动化程度高。
在文献[13]中通过大量实例详细介绍了Web应用防御机制和
同时,静态分析技术也存在以下几点不足:
常见的安全性问题,以及测试人员在渗透测试中使用的方法和
a)通用性较差,一般需要针对某种程序语言及其应用平技巧,包括对验证机制、会话管理、访问控制的攻击等。Hope
台来设计特定的静态分析工具,具有一定的局限性。
等人在文献[15]中从工程实践的角度较为系统地介绍了Web
b)误报( false positive)、漏报( false negative)率高静态分应用安全测试中常用的动态分析技术,包括以多种方式窜改输
析工具通常需要在两者之间寻求平衡。
入、自动化批量扫描、操纵会话等。
c)静态分析技术依赖于被测程序的源代码。
与静态分析技术相比,动态分析技术通常是在真实的运行
环境中对被测目标进行测试,直接模拟攻击者的行为,因此其
3动态分析技术
测试结果往往具有更高的准确性,漏报、误报率也相对较低;此
动态分析( dynamic analysis)技术是从外围或者客户端测外动态分析技术不需要应用程序的源代码,只需提供与被测
试执行程序的技术,是一种典型的黑盒测试技术。面向Web
Web应用的网络连接即可,具有较高的灵活性。
应用的动态分析技术,比较具有代表性的是渗透测试( penetra-4模糊测试技术
 tion testing)技术。渗透测试是指测试人员模拟恶意用户的行
为对Web应用进行安全评估,针对Web应用中可能存在的代
 Fuzzing技术源于软件测试中的黑盒测试技术,其基本思
码缺陷逻辑设计错误等问题进行测试,最终发掘其中的安全想是自动产生和发送大量随机或经过变异的输入值给软件,
漏洞。开放式Web应用程序安全项目将Wcb应用渗透测试分旦发生失效或异常便可挖掘出软件系统存在的薄弱环节和安
为被动阶段( passive mode)和主动阶段( negative mode来进全漏润2相比传统的黑盒测试方法,模糊测试关注任何
行前者内测试人员需要尽可能地去搜集被测eb应用可能引发未定义或者不安全行为的输入,其优点包括简单、有
的信息,如通过使用Web代理观察HTTP请求和响应等,了效、自动化程度高以及可复用性强等;其缺点也十分明显,如不
该应用的逻辑结构和所的点(access point)后者内测试可避免地生成大量冗余的测试数据代码覆盖率不足以及黑盒
人员需要从各个角度、使用各种方法对被测Web应用进行渗测试共有的低智能性。低智能性即黑盒测试通常只对程序的
透测试,主要包括配置管理测试、业务逻辑测试、认证测试授初始状态进行测试,而很多程序的缺陷都是隐藏在程序的后续
权测试、会话管理测试、数据验证测试、拒绝服务测试、Web服状态中的。
务测试和AJAX测试等。近年来,动态分析技术在Web应用4.1模糊测试技术在Web应用测试中的发展
安全性测试领域的研究成果主要有以下内容。
面向Web应用的模糊测试技术的基本思想是模拟恶意用
 Ratproxy Google信息安全技术团队开发的被动式(pas户行为,有目的地构造大量异常非法包含攻击载荷的模糊测
sive)网络应用程序安全评估工具运行Ratproxy后可以在本试数据并提交给Web应用,同时监测Wcb应用的行为,判断
地启动一个代理服务器,测试人员需要将服务器地址设置为Wcb应用中是否存在安全漏洞。近年来,面向Web应用的模
web浏览器的代理在后续测试中只需要使用浏览器正常地糊测试技术研究中涌现出了许多研究成果,其中一部分已经在
访问被测Wcb应用,如登录操作、填写表单等 Raproxy会截获eb应用的测试实践中得到了广泛的应用和认可。 Hammers
这些请求并对其进行窜改后发送给Web应用,并在后台记录and认为用户输入可能会使Wcb应用处于一种不确定状
相关日志,支持将测试报告导出为HTML格式。
态,从而导致Web应用出现异常行为。他在研究中提出用一
第11期
于莉莉,等:Web安全性测试技术综述
4005
资源和时间的限制迅速发展的形势带来的威胁等。对于持续华大学出版社2010.
快速发展的Web应用而言,存在的安全漏洞在很大程度上都[6 OEHLERT Violating assumptions with fuzzing IEEE Security
是由于Web应用自身对用户的输入数据缺乏有效的校验和过 and Privacy,200,3(2):58-62
滤所造成的。因此,针对不同的应用情况,采取合适的处理方7 MILLER FREDRIKSENso. An empirical study of the re
式执行有效的安全测试是十分必要的。
Mm
 liability of UNIX utilities[]. Communications of the ACM, 1990.
鉴于上述目的,本文依据对Web应用程序代码处理的不
33(12):32-4
同方式,分别介绍了三种发现Web应用安全漏洞的技术,静8 LANZI MARTIGNONI MONGA et al smart fuzzer fo
态分析、动态分析和模糊测试,并依次分析了三种技术的优缺
 X86 executables[ C]//Proc of the 3rd International Workshop on Soft
点。针对传统的静态分析和动态分析两种方法的优缺点,建议
 ware Engineering for Secure Systems. Washington DC: IEEE Computer
采取相互结合的方式以达到取长补短提高查找安全漏洞能力
 Society,2007.
的目的。而针对目前模糊测试技术在Wcb应用中存在的自动
 [19] VUAGNOUX M. Autodafe an act of software torture R ] [S.L. ]
化程度不高、漏报/误报率高、可扩展性差等不足,结合目前开
 Swiss Federal Institute of Technology, Cryptograhy and Security Laho
2006
展的研究工作,笔者认为应该从自动分析Web应用改进漏洞2om GREENE AMINI.模测试:强制性安全满润发
发掘方法提高可扩展性等方面入手。
[M].黄,于莉莉李虎北京:机械工业出版社200
参考文献:
21]吴志勇,王红川,孙乐昌,等 Fuzzing技术综述[J].计算机应用
] CNNIC.中国互联网发展状况统计报告(2012年1月)[R/OL]研究,2010,27(3):829-83
 (2012-01-16) http://www. ennie. net. cn/hlfryj/hlwxzbg/201201/ [22] HAMMERSLAND R. Finding weaknesses in Web applications
po2012070934526469680.pdf
 through the means of fuzzing D]. Giovik, Norway Gjovik Universi-
 [2] Symantee Corporation. S
 Intemet security threat report. trends
ty,2008.
 [3] TIPTON H F, KRAUSE M. Information security managemnent 23] HAMMERSLAND R, SNEKKENES E. Fuzz testing of Web applica-
 for January-June 07, Volume XII[ R]. 2007.
 tions[ ER/OL]. htp://. harnmersland. net/tekst/fuzzing_ article.
 book[]. 6th ed. New York: Auerbach Publictions, 2006.
 pdf.
 [4] Open Web Application Security Project. OWASP top 10-2010 the 24] De GRAAF M. Intelligent fuzzing of Web applications]. Amster-
 ten most critical Web application security risks[ R)]. 2010.
 dam: Universit of Amsterdam, 2009.
 [5] IEEE STD 610. 12-1990. IEEE standard glossary of software engineer- [25] OWASO. Category: OWASO Web Scarab project EB/OL]. 2012
 ing ter
 logy[]. New York: IEEE, 1990.
 01-08). https: //www, owasp. org/index. php/category: owaso.
 [6] HUANG Yao-wen, HUANG S K, LIN T P. al. Web application
w.
 nt by fault injection and behavior monitoring C]// 26] WADDELL, JONES N, STEED C, et al. Using the workflow tech-
 Proe of the 12th International World Wide Web Conference. New
 nology in secure software engincering education[]//Proc of the 14th
 York: ACM Press,2003: 148-159.
 Colloquium for Information Systems Security Education. 2010: 76-82
 [7] SHIREY R. RFC 2828, Intemet security gloszny[]. 2000
 [27]STOECKEL D M, STELZER E A. DICK L K. Evaluation of two
 [8] ZHANG Jin, DIMITROFF A. The impact of metadata implementation
 ent of extraction efficiency in
 on Webpage visibili
 [J]. Informa
 microbial source tracking studies [J]. Water Research,2009.43
 tion Processrs anagement. 2005,41(3) 691-715.
(19):4820-4827
] CHESS WEST安全编程:代码静态分析[M]董启雄,韩[28] LIN Jin-cheng- CHEN Jan-min An automated mechanism for secure
年,译北京:机械工业出版社2008
 input handling[]. Joumal of Computers, 2009,4(9):837-844.
 [10] JOVANOVIC N, KRUEGEL C KIRDA. Pixy a static analysis tool [29] ERIKSSON B, DAHL O E, BOLLER R, et al. A new oral direct
 for detecting Web appli
 pilities short paper) C]//Proe thrombin inhibitor dahigatran etexilate, compared with enoxaparin for
 of IEEE Symposium on Security and Privacy Washington DC: IEEE
 Conputer Society, 2006 258-263.
 placement: the BISTRO II
 Throm
 d trial[]. Joumal of Throm-
 11] HUANC Yai-wen, YU Fang, HANG C, er al. Securing Web applica-
 bosis and Haemost
0
05,3(1):103-111
 tion
 untime protection C]//Proe of the [30] HENTEHZADEH N, MEHTA A, GURBANI K, al. Statistical
 13th Intemational World Wide Web Conference. New York: ACM
 analysis of self-similar session initiation protocol (SIP) messages for
 Press,20
 anomaly detection C]// of the 4th Intemational Conference on
 12] MARTIN M, LAM M. Au
 n of XSS and SQL injec- New Technologies, Mobility and Security. 2011:1-5
 tion attacks with
 d model checking[ C]//Proc of the 17th [31 SPI Dynamics. Web application security assessmenM[]. 2003
 USENIX Security Sy
 1. Berkeley: USENIX Association, 2008 [32] AMMANN P, WIJESEKERA D, KAUSHIK S. Sealable, graph
31-43
 based network vulnerability analysis[ C]//Proe of the 9th ACM Co
13 STUTTARD, PINTO.黑客攻防技术宝典:Web实战篇[M]
石华耀,等译北京:人民邮电出版社2009
 ference on Computer and Communications Seurity. New York ACM
 Press20027-24
 Open Web Application Security Project OWASP testing guide v3都基子模栅测试方法的Wcb应用安全性测试技术的研究及
rl(2008)hp:ww.wp./ [r/ol]. (2008). https://www. owasp. org/images/5/56/0wasp_[]./s/6/asp其工具实现[D].上海:华东师范大学,201
 Testing_Guide_v3. pdf.
[34]刘为基于模糊测试的XSS漏洞检测系统研究与实现[D]长沙:
5] HOPE, WALTBER.web安全测试[M]傅鑫,等译北京:清湖南大学,2010

网友评论 more

综合安全论文最新内容

05-04