Web安全性测试技术综述

对Web应用程序进行有效彻底的测试是及早发现安全漏洞、提高Web应用安全质量的一种重要手段。首先介绍了Web应用安全威胁分类,总结了常见的Web应用安全漏洞;然后对当前Web安全性测试技术的研究进行了全面概述,比较了静态技术和动态技术各自的优缺点,同时对在Web安全性测试中新兴涌现的模糊测试技术进行了详细的介绍和总结;最后指出了Web安全测试中有待解决的问题以及未来的研究方向。     

基于安卓系统的代码隐藏类规避技术检测框架

随着恶意软件检测和分析技术的发展,大量恶意软件采用规避技术来对抗安全分析。其中,代码隐藏类规避技术将应用代码对静态分析隐藏起来,使分析结果错误或缺失。爆炸式增长的恶意软件数量要求了对代码隐藏类规避技术的自动化检测。通过对142个恶意样本进行人工分析,总结出一种代码隐藏类规避技术的检测方法,并实现了一个通用的自动化检测框架。使用检测框架在第三方应用市场2 278个样本上进行了实验,发现有34.9%的样本使用了代码隐藏类规避技术。     

Android移动应用检测研究

随着Android操作系统在智能设备上的广泛应用,Android应用的安全性检测成为了当前关注的重点。为了从Android应用程序中检测出恶意软件,研究Android应用静态分析技术、动态分析技术及基于机器学习的Android应用检测技术。提出一个通用的恶意软件检测框架。该框架通过逆向工程从Android应用中提取(安全应用、受感染应用)特征信息并建立关键信息特征库。通过机器学习建立检测模型,采用分类检测技术完成检测。通过该检测框架,可在软件安装前执行应用安全评估,其检测正确率高,并具有良好的扩展性,为Android应用的安全性检测提供参考。     

面向场景的安卓应用代码定位方法

在开发新的需求功能或维护已有代码的过程中,安卓应用开发者会尝试获取与特定主题功能相对应的代码片段并了解其逻辑结构。当涉及代码层次上的分析工作时,复杂的源代码结构以及开发者不良的代码风格将会导致开发者需要花费大量的时间去定位代码片段并理清实现逻辑。因此,找出一种能够快速定位到代码片段的方法对于开发者具有重要的实际意义。提出了一种面向场景的安卓应用代码定位方法,其目标是根据特定主题功能的执行场景,综合运用动态与静态相结合的分析技术来确定与该主题功能相关的代码片段。此方法的执行步骤包括主题功能执行轨迹的收集与分析、安卓应用源代码的静态分析、基于静态与动态方法信息的匹配与综合以及方法信息的可视化展现。基于该方法实现了一款插件工具,该工具支持用户便捷查找与主题功能相关的代码信息,并支持高亮标记用户所指定的方法片段。     

自动的恶意代码动态分析系统的设计与实现

现代的恶意代码采用多态和加壳等方法来隐藏自己,使得恶意代码的分析检测变得越来越困难.传统的手工分析需要耗费大量时间和人力,不能满足恶意代码分析的需要.本文设计实现的自动化恶意代码动态分析系统MwDAS,可以自动地对恶意代码样本进行快速的动态分析,通过Kernel Hooking和Filter Driver技术在内核态提取其行为特征,生成详细的分析报告.实验结果表明MwDAS可以提高恶意代码的分析效率.     

组件拒绝服务漏洞自动挖掘技术

针对Android应用对获取到的数据没有进行空数据和异常数据的安全验证,会发生崩溃导致组件拒绝服务的问题,提出了一种组件拒绝服务漏洞自动化挖掘框架。通过逆向分析和静态数据流分析技术获取安卓应用的包名和组件信息,同时跟踪应用对Intent对象的数据访问,提取Intent对象携带的数据信息,并且识别公开组件启动私有组件的路径信息,辅助动态模糊测试挖掘漏洞。为了增大测试用例的覆盖范围和实现自动化,该框架增加了对Intent的Action、Category、Data和Extra属性的畸变,并且采用Accessibility技术自动关闭应用崩溃弹窗,大幅提高了检测效率。为了验证框架的有效性和实用性,利用所提的框架设计实现了工具——DroidRVMS,并与Intent Fuzzer工具进行了对比。实验结果表明,DroidRVMS能够有效地发现动态广播组件的拒绝服务漏洞和大部分类型异常导致的拒绝服务攻击。     

基于Android平台恶意代码逆向分析技术的研究

文章针对当前基于安卓平台恶意代码分析技术的滞后性,介绍了安卓平台的基本结构,结合目前基于安卓平台恶意代码的主要破坏方式,采用静态分析机制,研究了基于安卓平台恶意代码逆向分析技术,为公安机关打击移动网络环境下的违法犯罪活动提供技术支持。     

程序脆弱性发现中的测试数据生成方法研究

为有效产生程序测试数据,提高Fuzzing测试数据的生成效率和测试覆盖率的问题,提出了一种新的Fuzzing测试数据生成算法--H-Fuzzing.其主要思想是通过程序静态分析结果和动态运行属性,收集程序关键分支谓词的相关信息,得到其与输入变量之间的关联关系,进而指导测试数据算法的收缩,达到能够在少量的随机输入产生过程中得到较高的测试覆盖率的目的.     

软件解密技术简介

没有更锋利的矛,盾永远不会变得更加坚固。软件的加密解密技术也一样,只有了解解密,才能更好地加密。一个不熟悉敌手的战士不会有太多的胜利机会,不熟悉解密技术的软件开发者,也很难开发出不易被攻破的保护技术。     

用Google WebAPI实现网页搜索

随着Internet技术的发展，网页搜索的作用越来越重要。基于Web Services技术的应用程序接口（API）技术的发展，使网页搜索应用软件的开发成为可能。本文介绍了用Google Web API实现网页搜索的方法，给出了用VB-NET语言实现的部分程序清单，并对程序作了注释。     

基于Goolge Maps API的WebGIS应用研究

Google Maps API是Google公司开发的在网络上进行地图发布的免费API函数集。介绍了其特点、功能、基于Goolge Maps API的WebGIS开发方法,并给出了开发实例。研究表明：基于Google Maps API可以方便地在网页中嵌入地图,它的数据的分辨率高,用户可以根据需要进行功能扩展,借助Google Maps API可以真正实现WebGIS的大众化应用。     

基于用户使用历史与信誉评价的Web API推荐

随着网络上发布的Web API服务越来越多,如何推荐给开发者用户感兴趣、信誉度高的Web API服务,以构建高质量高可信的软件服务系统,成为一个具有挑战性的研究问题。为此,提出一种基于用户使用历史与信誉评价的Web API服务推荐方法。计算用户使用历史记录与Web API之间的相似度,获得Web API的用户兴趣值。综合用户的Web API评分,调用Web API的Mashup服务的评价贡献和Alexa统计的Web API访问流量,获得Web API的信誉评价值。根据Web API的用户兴趣值以及信誉评价值,实现Web API的排名与推荐。实验结果表明,该方法推荐的Web API用户兴趣度DCG值高于SR-Based方法,服务信誉度DCG值高于UI-Based方法。     

Flash环境Google Web API的实现

随着Internet技术的发展,网页搜索的作用越来越重要。基于Web Services技术的应用程序接口（API）技术的发展,使网页搜索应用软件的开发成为可能。文章介绍了Flash环境下Google Web API的实现,给出了用AS3.0语言实现的部分程序清单,并对程序作了注释。     

基于NuSOAP及Google Search API搜索技术的研究与实现

Web Services已经成为目前解决分布式系统的主流技术。Google搜索引擎基于Web Services技术为开发者提供了Google Search API,使得开发人员可以在应用程序当中通过与Google Web服务的访问,来获取搜索服务。本文阐述如何在PHP集成开发环境下,利用NuSOAP组件访问Google Search API,构建PHP环境下搜索系统的方法和技术。     

基于搜索引擎Web API和模拟请求方式的搜索服务研究

传统的基于网页方式的搜索引擎服务不能很好地满足用户个性化的需求,搜索引擎Web API概念的提出较好地解决了这一问题。文中讨论了非商业网站如何使用搜索引擎Web APIs实现网站搜索服务。为避免搜索引擎Web APIs在搜索次数上的限制,给出一种不使用Search APIs而直接通过模拟请求方式得到搜索结果的新方法。     

Web service API recommendation for automated mashup creation using multi-objective evolutionary search

Modern software development builds on external Web services reuse as a promising way that allows developers delivering feature-rich software by composing existing Web service Application Programming Interfaces, known as APIs. With the overwhelming number of Web services that are available on the Internet, finding the appropriate Web services for automatic service composition, i.e., mashup creation, has become a time-consuming, difficult, and error-prone task for software designers and developers when done manually. To help developers, a number of approaches and techniques have been proposed to automatically recommend Web services. However, they mostly focus on recommending individual services. Nevertheless, in practice, service APIs are intended to be used together forming a social network between different APIs, thus should be recommended collectively. In this paper, we introduce a novel automated approach, called SerFinder, to recommend service sets for automatic mashup creation. We formulate the service set recommendation as a multi-objective combinatorial problem and use the non-dominated sorting genetic algorithm (NSGA-II) as a search method to extract an optimal set of services to create a given mashup. We aim at guiding the search process towards generating the adequate compromise among three objectives to be optimized (i) maximize services historical co-usage, (ii) maximize services functional matching with the mashup requirements, and (iii) maximize services functional diversity. We perform a large-scale empirical experiment to evaluate SerFinder on a benchmark of real-world mashups and services. The obtained results demonstrate the effectiveness of SerFinder in comparison with recent existing approaches for mashup creation and services recommendation. The statistical analysis results provide an empirical evidence that SerFinder, significantly outperforms four state-of-the-art widely-used multi-objective search-based algorithms as well as random search.     

基于ASP.NET Web API框架的校园一卡通手机客户端研究

详细介绍基于ASP.NET Web API框架设计的校园一卡通手机客户端的实现。通过引用一卡通相关的Web Service,再封装Web API接口供手机端以HTTP方式调用。校园一卡通手机客户端使用户可以利用碎片化时间,随时随地处理校园卡有关业务,突破了传统校园卡应用的时空局限,开创了新局面。     

基于Google Web API的单机版维文元搜索引擎技术研究

随着Internet的发展,基于多种文字信息的维文信息也越来越多。为了获取有用的维文Web信息,必须要创建符合维文信息检索需求的搜索引擎。文章从分析维文文字的多种性、编码的多样性以及维文Web表示的特殊性等问题的基础上,探讨如何利用Google Web API来实现基于维文信息的单机版元搜索引擎。