Web应用的安全现状与防护技术研究

随着互联网技术的发展,Web技术得到了日益广泛的应用,越来越多基于Web应用的系统被部署在互联网上以提供各式各样的服务,由于互联网本身的开放性使其时刻面临着潜在恶意攻击,其安全性问题日益突出。在这样的背景下,进行Web应用安全现状与防护技术的研究具有很强的现实意义,为了提高Web安全性,建立健全Web防护体系,这里从客户端、服务器端和传输三方面对当今Web应用所面临的安全成胁进行了系统地分析,并针对各自面临的常见安全威胁提出了相应的安全防护方案和防护建议。     

Web应用系统的安全威胁及其防护

对Web应用系统的安全威胁进行了分析,提出了相应的Web安全防护措施。现阶段的安全解决方案均把重点放在网络层,当应用层被攻击（如SQL（结构查询语言）注入攻击、跨站脚本攻击、恶意代码等）时,传统的网络层安全设备,如防火墙、IDS（入侵检测系统）／IPS（入侵防御系统）等形同虚设,无能力阻挡攻击。文中注重分析在众多因素综合影响下,使Web应用潜在的隐患轻易暴露在互联网之下,承受较大的风险,并且叙述了服务器端和客户端的安全防护技术。     

基于SAML的安全技术在电子商务中的应用

论文首先简要介绍了增强Web服务安全性的新技术,然后提出一种基于Web服务的电子商务应用模型,并分析了该模型的安全需求,最后针对这些安全需求提出了用SAML技术来实现安全电子商务的方法。     

基于SOA的Web安全通信模型研究

论文对SOA体系结构及其工作原理进行了阐述,并详细分析了面向服务的体系结构的安全需求和威胁。文章以Web Services为例,分析了其协议结构,给出了协议中存在的安全威胁和受到的攻击,并根据Web Services协议提出了一种基于SOAP的Web服务安全通信模型解决方案。     

网络应用程序漏洞挖掘技术研究

研究和分析了漏洞挖掘技术,针对客户端应用程序提出一种基于Fuzzing的客户端应用程序漏洞挖掘方法,研究了网络数据自动分析的方法和基于数据包内容的Fuzzing测试的方法,解决了客户端网络数据包自动采集的问题。实验结果表明,该方法相比主流测试方法,可测试范围广,测试速度快。针对Web应用程序提出一种基于Fuzzing的Web应用程序漏洞挖掘方法。研究了基于脚本和测试数据集的Web应用程序Fuzzing测试方法,解决了Web网络数据采集的问题。实验结果表明,该方法比主流Web漏洞检测工具检测范围广,可扩展性强。     

面向网络环境的SQL注入行为检测方法

SQL注入攻击是Web应用面临的主要威胁之一,传统的检测方法针对客户端或服务器端进行。通过对SQL注入的一般过程及其流量特征分析,发现其在请求长度、连接数以及特征串等方面,与正常流量相比有较大区别,并据此提出了基于长度、连接频率和特征串的LFF（length-frequency-feature）检测方法,首次从网络流量分析的角度检测SQL注入行为。实验结果表明,在模拟环境下,LFF检测方法召回率在95%以上,在真实环境下,该方法也取得较好的检测效果。     

Web服务安全性分析及研究

目前Web服务体系架构存在标准限制且需要支持多种类型的客户端的问题,因而使得Web服务的安全极具挑战。文章通过对Web服务的基本组件和协议的分析,说明了如何利用现有的技术来应对Web服务安全所面临的风险,并对一些基本的保护机制作了说明。在此基础上,提出了一种基于标准的、新的安全体系架构,满足企业的Web服务安全需要。     

基于JDeveloper 10g的搜索应用程序设计

文章探讨如何访问一项搜索服务，并在一个简单的搜索应用程序中使用该服务。Web服务提供者使用Google Web API服务，并使用Oracle JDeveloper 10g生成一个Web服务客户端，同时以该客户端作为基础构建搜索应用程序。     

基于HoneyClient蜜罐的挂马检测

针对当前互联网客户端攻击频发的态势,首先阐述了基于本地程序漏洞的客户端攻击概念,着重讲解了网站挂马攻击的特征。其次阐明了客户端蜜罐系统的基本原理,并介绍了一种高效的客户端蜜罐系统HoneyClient。随后通过对网站挂马攻击的特征分析提出了使用HoneyClient对其进行有效检测的方案,并对该方案进行了事实验证。最后通过对实验结果的分析与总结,提出了对网页木马型客户端攻击进行检测的改进策略和展望。     

Web应用中XSS攻击的分析和防御

随着Web应用在互联网中的迅速发展,出现了大量的Web安全漏洞,其中最为突出的是跨站脚本（XSS）漏洞攻击.为了对Web应用中的XSS漏洞进行有效的检测和防御,通过分析XSS漏洞的特征及原理,总结出产生该漏洞攻击的几大主要原因,结合目前常用漏洞检测方法提出几种XSS漏洞攻击的防御方法,可有效识别和防范XSS漏洞攻击,对Web应用具有较高的实用性.     

基于Web应用的网络安全漏洞发现与研究

随着Web应用系统的不断普及,越来越多的网络安全漏洞被发现,给人们的工作和生活都造成了极大的威胁。Web安全漏洞可以分成基于Web应用的网络安全漏洞和基于Web平台的网络安全漏洞两种。文章通过阐述这两种网络安全漏洞的现状及安全误区,总结几种常见的安全漏洞攻击方法,并提出有效措施以防范黑客攻击漏洞,维护网络系统的安全。     

Web Services安全机制研究

Web Services作为实现SOA的主流技术标准,得到了广泛应用,其安全性值得高度关注。基于WS-Security标准,对Web Services的安全机制进行了研究,对Web Services安全防护的功能、遵循的标准进行了分析,并结合工程实践,从身份识别、SOAP消息安全防护和访问控制等方面提出了Web Services安全防护的实现方案,可以实现核心的安全防护功能,对基于Web Services技术架构的系统安全防护具有指导意义。     

语义Web安全研究

针对语义Web技术本身以及由遍及Internet各个角落的语义Web应用构成的语义数据网可能引入新的安全、隐私和信任问题及需求,详细分析了语义Web所面临的安全问题及其安全现状。在此基础上,提出了语义Web的安全参考技术框架。最后,指出在该安全框架下语义Web安全急需研究的关键技术、策略规范和安全标准。     

基于RASP的Web安全检测方法

目前,传统的Web安全检测方法作用于程序输入输出端,不能防范经变形混淆后绕过检测进入程序内部执行的恶意代码,难以满足当前Web应用安全防护新需求。本方法基于对传统数据流监控方法风险的深入分析,结合RASP技术特性,提出了基于RASP的Web安全检测方法,在Web应用程序内部的权限判别函数参数、系统命令执行函数参数、数据库操作函数参数处埋下 RASP 探针,在代码解释器层面实时检测数据流的变化。本方法基于Java语言进行了实现,在实验室证明该方法在准确率和检测时间上优于传统的Web安全检测方法,并在最后分析提出了本方法的部署和应用场景。     

Web安全测试及对策研究

随着WEB应用程序在更广泛范围的使用及WEB工程概念的提出,Web安全的测试就成为一项重要的工作.而Internct和Web媒体的不可预见性使得测试变得困难,必须为测试复杂的基于Web的系统研究新的方法和技术.文章在分析WEB系统的布署环境,应用程序,数据库和系统容错等方面存在安全漏洞的基础上,对Web安全测试的要点和方法进行了探讨,并对测试中可能发现的问题给出了解决方法.     

基于数据挖掘的Web服务器攻击检测

随着Web技术的飞速发展,越来越多的单位使用Web方式为用户提供服务,黑客的矛头也逐渐转向了Web服务器。文中研究了如何使用数据挖掘的方法对Web服务器日志进行安全性分析,从而快速发现攻击,并针对Web服务器日志特有的格式,对现有的基于相似系数的异常点检测算法进行了改进,使其符合研究的要求,同时构建了两个安全性分析的数据挖掘模型。通过对现有Web日志记录的挖掘,验证了所述方法的可行性。     

Web服务中信息安全的综述

Web服务是当前的主流技术,但其的信息安全问题正成为其发展瓶颈之一.通过PKI和XML两个关键技术融合起来,提出了一个新的Web服务分层安全模型.基于PKI和XML两大技术的Web服务分层安全模型的建立,能够解决Web服务的信息安全问题.在今后的工作中将进一步对Web服务的安全模型的改进和扩展,以容纳新的规范标准.