基于反过滤规则集和自动爬虫的XSS漏洞深度挖掘技术

为解决Web网站跨站脚本攻击(XSS)问题,通过对XSS漏洞特征及过滤方式的分析,提出了通过反过滤规则集转换XSS代码并用自动爬虫程序实现漏洞代码的自动注入和可用性检验的XSS漏洞挖掘技术,依此方法可以获取XSS漏洞代码的转换形式及漏洞的注入入口,以实现对Web跨站漏洞深度挖掘.提出的XSS漏洞挖掘技术在邮箱XSS漏洞挖掘及Web网站XSS漏洞检测方面的实际应用验证了该技术的有效性.     

基于用户行为模拟的XSS漏洞检测

为改进XSS漏洞检测系统中对复杂网页漏洞注入点发现不够充分、动态地分析目标站点的响应信息不足等问题,改善XSS漏洞检测系统的注入点提取、攻击测试向量生成和响应分析等,提出了基于用户行为模拟的XSS漏洞检测方法.通过分析网页结构找到多种非格式化注入点,并通过综合考虑字符串长度、字符种类等因素对攻击向量进行了优化,以绕过服务器的过滤函数,缩短漏洞测试所用的时间.测试结果表明所提方法提高了漏洞注入点的检测覆盖率,提升了XSS漏洞的检测效果.     

跨站脚本攻击与防范研究

目前网站的安全问题日益突出,详细地介绍了XSS攻击的漏洞类型,并对每种漏洞攻击进行了实例分析,通过对真实的入侵实例进行分析,总结了XSS攻击防范的方法,为XSS攻击防范提供了一些参考,减少了网站被XSS攻击的可能性。     

基于深度网络模型的网络XSS攻击入侵检测方法

XSS网络攻击是一种在Web应用程序中普遍存在的漏洞,具有较大的危害性.为了提高XSS入侵检测的准确率和效率,提出了一种基于改进Resnet模型的XSS攻击入侵模型.该模型在Resnet的基础上加入了新的池化方法,使得整个网络具有了更好的特征表示能力,从而能更好地对网络攻击进行检测.为了验证所提出的方法的优越性,将其与经典的方法 XSS-Filter以及Resnet模型进行比较,结果表明本文所提出的方法具有较高的准确率和召回率,具有较大的优越性.     

WEB应用漏洞攻击及其防护

作为一种大众平台,WEB越来越多地承载了某学院各个部门的核心业务,也成为网络主要的攻击对象,使得网页浏览中面临各种威胁.WEB应用攻击是攻击者通过浏览器或攻击工具,在网页地址或其他输入区域(比如表单等),向WEB服务器发送特殊请求,从中发现WEB应用程序的可能漏洞,从而进一步操纵网站,查看、修改未授权的信息.本论述针对WEB应用漏洞攻击方面常见的脚本漏洞攻击XSS漏洞和SQL注入漏洞,通过分析两种漏洞的攻击方式和危害,尝试提出一整套应对WEB应用漏洞攻击的相应防范方案,以保证WEB应用中业务数据的安全性和保密性,提高网络系统的运行安全.     

网络环境中XSS漏洞攻击与防御研究

本文针对Web应用程序下的XSS漏洞攻击进行分析,以XSS攻击概念为切入点,对其漏洞分类、攻击形式进行分析,通过详细的理论论述谭涛涛出有效防御措施。     

基于XSS框架机制的Web应用程序语境安全性研究

分析了XSS过滤抽象框架提供的安全性和应用程序语境相关性，也分析了Web浏览器的新模式、特点及XSS语境过滤.优化了Web框架模型，Web浏览器详细描述内部组织的模式来解释XSS清除的方法及其内部结构的相互作用.研究了服务器端执行的威胁过滤通过浏览器的内容解析到DOM过程而被有效地撤消的XSS漏洞.提出了非信任性数据需要以不同的方式根据其语境在HTML文档中被过滤，自动清除可以安全地在一个语境中使用的威胁清除功能而在另一个语境中使用是不安全的，自动过滤必须与语境相关的.     

面向Web应用的漏洞扫描器的设计与实现

本文采用渗透测试技术,设计并实现一个Web应用扫描器。扫描器通过爬虫获取结果,然后调用插件检测常见漏洞,能够进行目录文件爆破、CMS识别、端口扫描、爬虫、SQL注入检测、XSS漏洞检测等扫描,最终通过输出扫描报告达到一次完整的网站扫描。     

探析网站安全编程

介绍了基于Web的网页编程特点以及编程中容易出现的一些漏洞,这些程序的漏洞往往比网站服务器本身的漏洞更具威胁性,从而导致遭到更为严重的攻击.对因程序漏洞遭到的Web攻击及避免办法作了较为详细的探析.     

基于OVAL的漏洞实时监测系统

传统检测工具时效性差,难以应对多变的系统环境带来的漏洞威胁,本文在基于主机漏洞检测方法的基础上,提出了漏洞实时检测方法,将使用钩子技术实现的主机实时监控与漏洞检测技术相结合,改进了传统检测方法时效性差的缺点.本文讲述了漏洞监测系统的设计与实现,主要论述了两方面的内容,使用钩子技术进行系统监控和将开放漏洞评估语言进行检测流程改进,使之能够用于漏洞的实时检测.最后对系统进行了有效性测试,结果表明,本系统能够及时对系统环境变化做出反应,同时能够准确有效的检测到漏洞威胁,弥补了传统检测工具的不足     

基于结构化文本及代码度量的漏洞检测方法

目前的源代码漏洞检测方法大多仅依靠单一特征进行检测,表征的维度单一导致方法效率低.针对上述问题提出一种基于结构化文本及代码度量的漏洞检测方法,在函数级粒度进行漏洞检测.利用源代码结构化文本信息及代码度量结果作为特征,通过构造基于自注意力机制的神经网络捕获结构化文本信息中的长期依赖关系,以拟合结构化文本和漏洞存在之间的联系并转化为漏洞存在的概率.采用深度神经网络对代码度量的结果进行特征学习以拟合代码度量值与漏洞存在的关系,并将其拟合的结果转化为漏洞存在的概率.采用支持向量机对由上述两种表征方式获得的漏洞存在概率做进一步的决策分类并获得漏洞检测的最终结果.为验证该方法的漏洞检测性能,针对存在不同类型漏洞的11种源代码样本进行漏洞检测实验,该方法对每种漏洞的平均检测准确率为97.96%,与现有基于单一表征的漏洞检测方法相比,该方法的检测准确率提高了4.89%~12.21%,同时,该方法的漏报率和误报率均保持在10%以内.     

分布式漏洞检测系统的设计与实现

针对目前主流的漏洞检测工具检测时间长、误报率高以及使用攻击代码影响系统运行等缺点,提出了一种基于OVAL的分布式漏洞检测系统,采用基于主机的漏洞检测方法发现系统存在的安全漏洞.该系统由检测代理和中心管理子系统组成,其中检测代理执行检测插件对目标主机系统进行漏洞检测,而中心管理子系统提供安全知识定义和检测算法.经实验测试,与其他漏洞检测工具相比,具有检测速度快、精度高、对网络运行状况影响小和可扩展性强的优点.适用于检测大规模局域网中各主机系统的漏洞状况.     

基于用户轮廓的可扩展Web流量模拟方法

针对M IT L inco ln L ab数据集评测方法中背景超文本传输协议(hypertex t transfer protoco l,HTTP)流量在用户建模和流量模拟时会造成偏差,提出了一种基于用户轮廓的W eb流量模拟方法。该方法在应用层进行数据采集并对用户行为特征进行建模生成用户轮廓知识库,模拟时可根据不同网络环境特征扩展生成虚拟用户轮廓。实验分析表明,该方法能同时兼顾流量模拟的扩展性和真实性,生成的数据集流量特征与实际网络相吻合,用于入侵检测系统评测时能有效降低误报率指标。     

Worst-Input Mutation Approach to Web Services Vulnerability Testing Based on SOAP Messages

The growing popularity and application of Web services have led to increased attention regarding the vulnerability of software based on these services. Vulnerability testing examines the trustworthiness and reduces the security risks of software systems. This paper proposes a worst-input mutation approach for testing Web service vulnerability based on Simple Object Access Protocol （SOAP） messages. Based on characteristics of SOAP messages, the proposed approach uses the farthest neighbor concept to guide generation of the test suite. The corresponding automatic test case generation algorithm, namely, the Test Case generation based on the Farthest Neighbor （TCFN）, is also presented. The method involves partitioning the input domain into sub-domains according to the number and type of SOAP message parameters in the TCFN, selecting the candidate test case whose distance is the farthest from all executed test cases, and applying it to test the Web service. We also implement and describe a prototype Web service vulnerability testing tool. The tool was applied to the testing of Web services on the Internet. The experimental results show that the proposed approach can find more vulnerability faults than other related approaches.     

基于机器学习的Android应用组件暴露漏洞分析

现阶段已有很多Android应用软件的自动化漏洞检测方法,针对现有漏洞检测方案仍然依赖于先验知识并且误报率较高的问题,本文研究了基于机器学习的Android应用软件组件暴露漏洞的分析方法.在对Android应用软件结构进行全方位分析的基础上,结合组件暴露漏洞模型,建立了相应的机器学习系统,并能够对Android漏洞特征进行提取、数据清理和向量化.结合人工分析与验证,建立了1 000个Android APK样本集,并通过训练实现了组件暴露漏洞的自动化识别,达到了90%以上的精确度.      

多接口非限制下组件化手机Web前端会话劫持攻击检测方法研究

多接口非限制下组件化手机的Web前端容易遭遇会话劫持攻击。当前会话劫持攻击检测方法需建一个含有全部攻击特征的检测模型,不易实现,且检测结果不可靠。提出一种新型组件化手机Web前端会话劫持攻击检测方法,分析多接口非限制下组件化手机Web前端会话劫持攻击,预处理RTT历史数据,以降低多接口非限制下组件化手机Web前端奇异数据对正常数据RTT特征提取的影响。采用滑动数据窗和最小二乘平滑结合的方法对组件化手机Web前端正常数据的RTT特征进行提取,依据RTT特征提取结果,通过滑动窗口平均方法对会话劫持攻击进行检测。实验结果表明,所提方法具有很高的攻击检测精度和效率。     

基于改进HMM模型的组合服务故障诊断方法

针对现有组合Web服务诊断模型故障诊断准确率普遍不高的问题，提出一种新颖的基于改进隐马尔可夫模型(Improved-HMM)的故障诊断方法.首先，从组合服务监测数据中提取多维特征序列训练HMM模型.训练过程中，考虑到基于BW的方法仅在某观测条件下进行参数评估，获得的参数准确度不高，提出基于贝叶斯估计的学习方法，得到更客观的参数;进一步，基于改进的HMM模型计算当前特征序列对应的各类故障类型发生概率，推断最有可能的故障类型.实验结果表明，提出的方法具有较高的诊断率和较低的漏报率，适合在网络环境中进行实时故障检测.     

选课管理系统的安全分析与防范研究

为了建设信息化校园,开发了一种公共选修课选课管理系统．该系统基于B／S三层结构和．NET技术开发．不仅能满足目前全院师生的选课和管理需求,还能针对穷举攻击、SQL注入攻击、XSS跨站攻击和文件上传攻击等常见的Web攻击进行防御和容忍,通过了多次公开测试,在2013年6月进行的全院师生网络选课的考验中表现良好．本文着重研究该系统的安全问题．实践证明,该系统基本性能良好,安全性较好．