Web服务攻击技术研究

Web服务具有平台无关性、动态性、开放性和松散耦合等特征,这给基于异构平台的应用集成带来极大便利,使越来越多的企业使用Web服务。Web服务技术在得到快速发展和应用的同时,它的安全问题越来越重要,成为黑客或者攻击者选择的目标,Web服务提供者对于保证Web服务安全要面临着严峻的考验。文中分析了Web服务攻击技术的特点、原理,讨论了用于攻击基于XML的Web服务的各种技术和目前比较流行的防御措施。进一步讨论了Web服务攻击将来的研究方向以及面临的挑战。     

组合Web服务劫持攻击的研究与实现

组合Web服务在给基于异构平台的应用集成带来极大便利的同时,其自身面临着各种恶意攻击的威胁.根据组合Web服务开放性、分布式的特点,提出了针对组合Web服务的服务劫持攻击方案,包括劫持洪泛攻击、服务假冒攻击和服务重放攻击.详细介绍了这些攻击方式的设计思想,模拟实验结果表明设计的攻击方案对组合Web服务产生了严重影响.论文的研究成果有助于设计针对组合Web服务的攻击检测方法.     

Web服务搜索技术综述*

随着Web服务应用的迅速发展与日益普及, 如何快速、准确地搜索到用户所需的Web服务成为了制约Web服务发展的关键问题之一。目前的Web服务搜索技术包括：基于UDDI注册中心、通过Web服务网站、使用专用搜索引擎与使用通用搜索引擎四种方式。对现有主要Web服务搜索技术进行了详细评述。在对典型Web服务搜索技术分析比较的基础上, 指出了建立专用的Web服务搜索引擎的必要性以及所面临的问题与挑战。     

基于本体的Web服务攻击检测技术研究

Web服务在给基于异构平台的应用集成带来极大便利的同时,各核心组件也面临着被恶意攻击的威胁。目前,主要依靠入侵检测系统(IDS)来检测这些攻击,但是分布在网络中的IDS往往是由不同的厂商或组织开发的,没有用于交换知识的可被共同理解的词汇集,难以交互和协作,工作效率低且很难抵御多层次、分布式攻击。提出了一种基于本体和Web本体标准语言（OWL）的Web服务攻击分类和描述方法,通过构建Web服务攻击本体以提供不同IDS共同理解的词汇集。在此基础上,设计了一种基于Web服务攻击本体库的入侵检测系统(O-IDS),能有效弥补现有IDS难以交互的不足,提高对多层次、分布式攻击的检测能力。     

Web服务恶意内容攻击检测技术

基于SOAP消息的恶意内容攻击对Web服务的应用与推广具有很大的影响,但目前尚缺乏能有效检测SOAP消息中恶意内容的方法,为此提出了一种新的SOAP消息特征检测方法。通过定义SOAP项和SOAP规则来描述恶意内容的特征,提出了SOAP消息解析算法和SOAP规则匹配算法,用来实施恶意内容的特征检测。根据提出的方法,设计并实现了一个Web服务攻击检测的原型系统。攻击检测实验和性能分析实验的结果表明,该方法有较好的检测效果和性能。     

Web攻击及安全防护技术研究

对于不同的网站应用程序,构建有效的网站应用安全防护机制非常重要。在详细分析Web攻击行为的基础上,对Web安全防护技术进行了深入探讨．提出了预防为主．软硬件结合的多重Web安全防护技术。     

基于PHP安全漏洞的Web攻击防范研究

文章以PHP语言为例对跨站脚本漏洞、文件上传漏洞的常见攻击进行了较为详细的分析并给出了相应的防范措施,以此为基础,总结出了Web应用程序安全漏洞产生的一般原因和开发安全Web应用的一些建议。     

基于Ajax的Web攻击及防御方法

Ajax作为Web 2.0的核心技术,可以异步地向服务器发出请求并实现页面的局部刷新,已经成为开发Web应用的必备技术之一。伴随着此项技术的蓬勃发展,越来越多的安全问题也浮出水面。本文分析基于Ajax的几种Web攻击方式和防御方法,并对其中一种攻击进行实例分析,验证文中提出的防御方法的有效性。     

Web攻击及安全防护技术研究

对于不同的网站应用程序,构建有效的网站应用安全防护机制非常重要。在详细分析Web攻击行为的基础上,对Web安全防护技术进行了深入探讨,提出了预防为主,软硬件结合的多重Web安全防护技术。     

基于源地址伪造的Web服务DoS攻击防御方法

为缓解Web服务面临的DoS攻击,对Web服务安全标准(WSS)的核心内容进行研究,基于WSS中的安全令牌,设计并提出一种防范基于源地址伪造DoS攻击的安全令牌,并采用RSA算法对该令牌进行加密.实验结果表明,该安全令牌能够有效缓解基于源地址伪造的Web服务DoS攻击,提高Web服务的安全性.     

对一种无线Web服务密钥协商协议的改进

极大的商务应用潜力对无线网络中Web服务的安全与效率提出了更高的要求,其中之一就是密钥协商问题。研究者从不同角度提出基于口令的密钥协商改进方案。近期,张学英与杨晋吉提出的一种无线环境下的Web服务身份认证密钥协商协议(Z-Y协议)经证明存在严重的安全缺陷。改进方案不仅继承原协议较高的效率和基本安全属性,而且能够有效地抵抗中间人攻击和重放攻击,弥补了原协议安全性能的不足。     

分布式拒绝服务攻击建模与形式化描述

分布式拒绝服务（DDoS）攻击严重威胁网络的安全性。需要有合适的模型来刻画DDoS攻击的行为特征,指导DDoS攻击的分析、检测和防御。使用攻击树对分布式拒绝攻击进行建模,并引入Object_Z语言对具体攻击模式进行了面向对象的形式化描述。分布式拒绝服务攻击的攻击树模型可以刻画出分布式拒绝服务攻击的本质特征,对其具体子类的形式化描述又可以降低构造攻击模型的复杂度,从而易于使用,分析和维护。     

基于本体的服务管理代理的研究与实现

在服务管理代理应用模型中应用本体理论和相关技术,设计内部UDDI保存软件系统所适用的Web服务信息,通过匹配引擎的匹配算法实现Web服务本体和服务请求本体的匹配,应用反射技术实现动态调用被选的Web服务并将结果返回给服务请求者,从而提高了基于面向服务结构的软件系统的灵活性、稳定性和可靠性,进而满足服务请求的要求。     

在线自学自测系统的安全测试与分析

本文针对自己参与开发的基于B/S结构的外语在线自学自测系统,利用当今最常用的Web攻击手段,通过黑盒测试方法对其进行安全性测试,并对存在的漏洞进行了静态分析,最后对源代码进行了完善。     

互联网络攻击的控制与防范

计算机网络的攻击技术越来越成熟，新一代的攻击目标直指互联网基础协议TCP／IP和操作系统层次，本文介绍了主动式Sniffer、内核rootkits、sniffer/Backdoors、DRDoS等新出现的网络攻击技术，分析了其原理和特性，着重介绍了与传统攻击手段的不同之处，提出了应对网络攻击、加强网络安全防范、健全网络安全体系的五项措施，为解决网络安全做出了有益的探索。     

基于DNS的拒绝服务攻击研究与防范

基于域名系统(DNS)的拒绝服务攻击利用DNS协议的缺陷,对计算机网络的基础设施或可用资源进行攻击,能迅速使被攻击目标资源耗尽,给网络信息安全带来了严重威胁.在分析DNS特点和缺陷的基础上,阐述利用DNS进行拒绝服务攻击的原理,重点研究欺骗式和反弹式两种攻击方式,构建实验环境深入分析攻击技术,最后提出了4种有效的防范措施.     

基于连接件的Web服务自愈框架研究

借鉴软件体系结构的研究思想,提出了服务连接件的概念,并以此扩展面向服务的体系结构,设计了一个基于服务连接件的、轻量级的、独立的Web服务自愈框架;分析了Web服务故障监控的因素及其规约的方法,给出了Web服务故障处理三种策略模式,并运用实例表明了方法的可行性。     

一种面向Web服务的分级服务模型*

以服务响应时间为QoS参数,提出了一种面向Web服务的分级QoS方法,该方法从预测请求响应时间入手,通过区分操作类型并采用优先级队列调度策略,进而保证请求响应时间.在ONCE平台内置SOAP引擎SOAPExpress的基础上进行了原型实现.实验表明,该方法能有效地保证不同级别用户的请求响应时间,实现服务分级.