论文研究-基于分布式跨站脚本漏洞检测技术的研究 .pdf

所需积分/C币:16 2019-08-16 23:42:24 457KB .PDF
收藏 收藏
举报

基于分布式跨站脚本漏洞检测技术的研究,杨君,马兆丰,在Web应用程序的众多攻击中, XSS攻击是最常见的安全隐患之一。本文针对跨站脚本漏洞检测准确率和效率低下的问题,提出了一种分布��
山国武花论文在丝 分布式ⅹSS攻击检测架构图 号爬行器 攻击向量库生成模 块 爬虫模 模拟攻 检测结 块 果 Master S号爬行器 攻击向量库生成模 链接提链接存 「任务分发 块 取模块储分发 测数据返回 爬虫模 模拟政 检测报 块 告 S号爬行器 攻击向量库生成模 块 爬虫模 模拟攻 检测结 块 果 图分布式攻击检测架构图 该系统包含四台主机,其中一台做控制器,主要负责将待爬取的网站中所有的链接收集 起来,并按队列的方式存储在链接伃储分发模块,这里我们顺序给每·个链接个编号, 然后用该链接的对取模,结果为则分发给号爬行器,结果为则分发给号爬行 器,结果为则分发给号爬行器 ,,号爬行器为三个充当爬行器的主机。每一个爬行器主要包含三个子模块: 表单 和含参数的爬虫模块,攻击向量库生成模块以及漏洞检测模块。表单和含参 数的爬取模块首先获取一个待检测链接,然后通过模拟浏览器发送 请求, 载该链接下的页面源码并保存至木地供漏泂检测模玦分析使用。漏泂检测模块 从下载的页面源代码中提取注入点,利用动态生戊的攻击向量库对漏洞注入点进行模拟攻 击,判断漏洞是否存在,最后生成检测结果发送给号爬行器,由号爬行器汇总 成检测报告发回给控制器 本文所设计的漏洞检测系统利用应用程序代码的动静态结合的检测原理,基 于分布式爬虫算法爬取出获取所有的静态页面源码,然后根据正则表达式匹提取出表单和含 参数的元素,即可能的漏洞注入点,根据该漏洞注入点动态牛成攻击冋量库,利用攻 击向量库中的攻击向量对这些可能存在漏洞的注入点进行模拟试探性注入攻击,从而验证这 些注入点是否存在漏洞。 山国武花论文在丝 功能及算法设计 控制器链接提取模块算法 链接提取算法是漏洞爬虫模块的重要组成部分,本方案中控制器 链接提取 模块采用的是广度优先策略。深度优先策略就是指网络爬虫从起始页面开始,首先抓取 该页面中的所有子链接,然后雨选择其中一个子链接页面,继续抓取该页面中所有的子链接。 这种算法可以快速扫描到比较重要的页面,有利」多线程爬取。该算法的具体实现过程是: )输入初始种子,记做种子 )爬取种子页面中的所有子链接,记做一层; ()给种子分配一个编号,并计算出该的值,按照队列结构放入控 制器 的链接存储转发模块; ()将一层的按照多线程方式抓取其包含的所有子链接,记做二层 ()将抓取过子链接的一层按照步骤顺序给其分配一个下标,并计算此 的值,如果值与之前的的值重复则将该抛弃,若不重复则并按 照队列结构放入控制器 的链接存储转发模块; ()重复步骤和,直到链接提取完毕或者已经达到设定的爬取条件为止。 这里采用正则表达式的方法对于的进行提取。主要对< a href=”URL>, Img src=URL”>,< framers=”URL”>以及“ document,location. hre='URL” window open(URL)等这些属性的值进行提取。此外,该算法利用值去重,礼貌爬 行,避免过于频繁地访问该服务器上的网页而造成的流量压力。控制器多线程链接爬虫 模块具体流程如图所示: 多线程链接爬虫模块具体流程 获取初始种子URL 获取种子URL页面中的子URL URL编号存 储 为空或完成爬虫任 多线程调用 从上层[R提取下层URL 从上层LRL提取下层LRL 空或完成爬虫任务 为空或完成爬虫任务 结束 图控制器多线程链接爬虫模块 爬行器检测模型 本文所设计的爬行器用来爬取分析每个响应页面中的用户注入点,然后利用攻击 向量库生成模块对注入点作模拟攻山,攻击向量库生成模垬从最基本的攻向量开始,依次 进行变换直到检测出该注入点的漏洞或攻击向量库中所有变换向量全部用完为止。根据 山国武花论文在丝 模拟攻击的响应结果判断是否存在跨站脚本漏洞,将该漏洞检测结果转发给号爬行器。 再由号爬行器整理收集转发给充当控制器的主机。其具体步骤是: ()开启多线程爬虫; ()从控制器分发的任务队列中依次领取一个 ()下载该的页面源码 ()利用正则表达定位页面表单和含参数的元素即漏泂注入点; ()根据该漏洞注入点动态生成攻击向量库 ()从攻击向量中提取个攻击向量,模拟浏览器功能,向服务器发送请求; ()分析服务器的响应消息,若有漏洞或者攻山向量库为空则生成漘洞信息,若无漏 洞且攻击向量不为空则返回地步,直到检测出漏洞或者攻击向量库为空。 爬行器洧洞检测只体步骤如下图所小: 爬行器多线程漏洞检测具体流程 开始 获取一个URL 获取一个URL 下载页面源码 下献面弹吗 提取表单元素 提取表单元素 生成攻击向量库 生成咳击向量库 提取一个攻击向量 提取一个政击向量 模拟攻击 模拟攻击 报洞政攻击向量库为一 报漏或攻击向量库为空 生成漏洞报告 图爬行器工作流程图 攻击向量库生成算法 攻击向量库生成模块是漏洞检测的另一个重要模块。由于浏览器对用户的输入会 釆取一定的过滤措施,而黑客则会取各种绕过机制避免浏览器的过滤。该模块就是模 拟黑客的绕过机制,根据漏洞注入点构造出一组攻击向量,动态生成一个攻击向量库 然后利用攻击向量库中的攻击向量个个地进行试探性模拟攻击。这里我们先介绍·下基 本的攻击向量,然后再阐述如何利用这些基本攻击向量生成完整的变形攻击向量。 基本攻击向量就是没有经过各种转换的,可以直接执行的攻击脚本。我们可以根 据表单和含参数的信息生成基本攻山向量。下表为几种常用的基本攻击向量 表基本攻击向量 序号 示例代码 描述 使用 脚本注入 1Ing src-“ javascript alert(1)”>,使用伪协议注入法 山国武花论文在丝 hretjavascript alerte(1)”, 使用事件注入脚本方式,可避免一些特 ≤ lIng src# onerror-”aler(1)”>, 殊符号被过滤掉。 onload=alert(1)>< /body> text javascript”> 使用层叠样式表注入 alert( 'xss); </style 当我们定位了漏洞注入点之后,就可以确定其基木攻击冋量,然后对基木攻击向量进行如下几种变换: ()对基本攻击向量采取闭合标签的操作 ()使用最短向量避兔浏览器的长度限制 ()对基木向量加入换行符或者空臼符,绕过浏览器对字符串的过滤; ()对基本攻击向量采用随机大小写机制; ()在基本攻击向量中随机嵌入特殊字符,包括注释符,控訇字符竽 ()对攻击向量进行 编码 ()对女击向量采用 八进制编码; ()对攻击向量进行 编码; ()对攻击向量采用 编码 ()对攻击向量进行编码; 经过上述攻击向量的种变换,生成多样攻击向量库,形成较全面的攻山向量,避免 对溻洞检测的遗漏。利用编码方式实现避免浏览器的过滤,提交恶意代码, 编码还 有十进制和十六进制绲码,并且分号可有可无,实际向量库中会添加所有可能,以满足多样 性全面检测。在 标签里浏览器只解析 实体编码,不会解析编码,在 标签里放编码,放进去是什么就解析成什么。如果输入点在标签里,就要使用 解析器解码了, 编码包括 编码、八进制、十进制。此外,编码 又包括 和 编码 该算法具有可扩展性,可以根据需求或发现新的漏洞类型铼续添加攻击向量。攻击向量 构造完成后依次取出攻击向量对注入点进行试探性模拟攻击,根据响应结果生成漏洞 检测报告。 实验结果及测评 为验证本文系统设计的可行性及有效性,我们确定了测试日标,搭建了虚拟机,来检测 该分布式漏洞检测系统。并从漏洞误报率和检沨效率两方面对该漏洞检测工具进 行测试。这里我们用 和本文设计的系统对某心理 咨询网站进行安全性检测,并且与其他两和漏泂检测软件的检测结果进行了比较,如下表 所小 表实验对比结果 测试具 本系统 扫漏时间 分钟杪 分钟秒 分钟秒 发现漏洞数 个 个 从上表中可以看岀,本系统针对其他漏泂检测工只检测效牽和准确率不烂的冋题,提岀 的基于分布式的漏洞检测机制能够有效地提晑漘洞检测效率,方苿中采用的宽庋爬虫算法和 动态攻击向量库模拟攻山的方法网站漏洞检测准确率都冇了显著的提高。 结论 本论文提出了一种基于分布式爬虫算法的漏泂检测工具,分析了应用安全漏 洞的现状,研究了跨站脚本检测的相关知识,提岀对现有的漏洞检测工具的改进措施, 实现一种效率史高矍盖率更广的漏洞检测方法。实验结果证明该系统只有一定的准确 度和晑效性,提晑了检测效牽,能够检沨出更多的漏洞 山国武花论文在丝 该系统还有些不足之处有待进步深入研究。本文只对分布式多线程漏泂注入 点的爬取和攻山向量库的生成进行了详细分析,而对分布式系统的通信规则 模拟攻 击和漏洞报告牛成模块没有展开详尽的分析和改进,此外本文也没有针对现有的反爬虫策略 做出相应的改进措施。这几点将在今后的学习中将进一步完善。 参考文献 吴翰清白帽子讲安全电子工业出版社 杜晔陈贺男黎妹红张大伟应用安全实验教学探讨与案例评析计算机教育 张大卫鮮永刚杨亚彪何红玲攻击分析与防御机制研究数字技术与应用 李宗森基丁 的和防御研究与实现西安电子科技大学 文凯何小东一种基于网络爬虫的跨站脚本灀洞检测方法电脑编程技巧与维护 岳雨俭基丁 分布式刚络爬虫技术的研究安徽理工大学 曹黎波曹天杰基丁动态测试的漏泂检测方法研究计算机应用与软件 张明许博义许飞一种基于混合模式的入侵检测系统架构研究信息网终安全 李婷分布式爬虫任务调度与 页面抓取研究电子科技大学 吴少华程书宝朗勇基于的攻击检测技术计算机科学 张烨青应用安全漏洞扫描器爬虫技术的改进与实现北京邮电大学 刘鑫扒名松唐亮基于代理的漏洞检测与收集系统的实现哈尔滨理工大学学 报

...展开详情
试读 7P 论文研究-基于分布式跨站脚本漏洞检测技术的研究 .pdf
立即下载 低至0.43元/次 身份认证VIP会员低至7折
    抢沙发
    一个资源只可评论一次,评论内容不能少于5个字
    img
    • 至尊王者

      成功上传501个资源即可获取

    关注 私信 TA的资源

    上传资源赚积分,得勋章
    最新推荐
    论文研究-基于分布式跨站脚本漏洞检测技术的研究 .pdf 16积分/C币 立即下载
    1/7
    论文研究-基于分布式跨站脚本漏洞检测技术的研究 .pdf第1页
    论文研究-基于分布式跨站脚本漏洞检测技术的研究 .pdf第2页
    论文研究-基于分布式跨站脚本漏洞检测技术的研究 .pdf第3页

    试读已结束,剩余4页未读...

    16积分/C币 立即下载 >