基于特征策略的XSS漏洞检测技术研究

Web漏洞日渐成为网络安全的一个重要隐患,尤其是.近年来较为流行的XSS跨站脚本漏洞,其危害性及快速的传播能力都越来越严重.针对Web和程序的诸多漏洞过滤不严的现状,提出了基于特征匹配的XSS漏洞检测.实验证明该方法能够有效地减少检测漏报率和误报率,在实际应用中也取得了很好的效果.     

基于用户行为模拟的XSS漏洞检测

为改进XSS漏洞检测系统中对复杂网页漏洞注入点发现不够充分、动态地分析目标站点的响应信息不足等问题,改善XSS漏洞检测系统的注入点提取、攻击测试向量生成和响应分析等,提出了基于用户行为模拟的XSS漏洞检测方法.通过分析网页结构找到多种非格式化注入点,并通过综合考虑字符串长度、字符种类等因素对攻击向量进行了优化,以绕过服务器的过滤函数,缩短漏洞测试所用的时间.测试结果表明所提方法提高了漏洞注入点的检测覆盖率,提升了XSS漏洞的检测效果.     

基于程序动态信息的漏洞自动利用技术研究

近年来,随着模糊测试技术的发展,漏洞自动挖掘工作取得了较大研究进展,而漏洞自动利用研究进展相对缓慢。文章重点深入研究漏洞利用生成,旨在解决潜在漏洞仍需大量人工辅助进行利用性分析的问题,主要研究工作如下:(1)以Linux系统下的ELF文件为研究目标,综合考虑各种漏洞利用方式和缓解措施,提出自动化漏洞利用模型;(2)基于动态插桩获取程序对内存数据的读写情况,并在污点分析基础上提出了一种改进的内存信息获取技术,将程序对内存数据的读写情况记录成能够帮助漏洞利用生成的信息,并在Linux操作系统上实现了一个自动化漏洞利用系统(Exploiter),Exploiter针对目标程序以及使目标程序崩溃的异常输入,可输出一个在目标程序中打开的系统命令解析器。最后的实验结果验证了Exploiter的有效性和整体性能。     

Android应用软件漏洞静态挖掘技术

结合信息流分析与控制流分析,获取Android应用函数调用图和敏感数据传播路径,提出一种基于静态分析的漏洞挖掘方法.通过使用多种逆向分析方法,该系统能够反编译成功大多数执行文件.根据Android应用反编译的中间代码,逐个分析与某些对象相关的漏洞,提高漏洞挖掘的准确性.分析了15种常见漏洞,并使用实际应用市场中的应用和样例应用进行了分析,验证了系统的准确性和可用性.     

模型检验技术在软件漏洞自动挖掘中的应用

将在工业设计领域应用很成功的模型检验技术引入到信息技术软件产品的安全漏洞挖掘中,提出了针对源码的漏洞挖掘系统原型,以开放源代码的操作系统Linux为例,建立了特权释放和文件创建的安全属性模型,并举例加以验证.研究结果表明:该方法是一种自动化挖掘软件安全漏洞并证明漏洞存在性的形式化方法,对挖掘已经确认机理类型的漏洞非常有效.     

基于符号执行的格式化字符串漏洞自动验证方法研究

格式化字符串漏洞是一种常见的危害较大的软件漏洞.现有格式化字符串漏洞自动验证系统未充分考虑参数存储位置位于栈以外空间的情况,造成对该部分漏洞可利用性的误判.针对该问题,论文设计实现了一种基于符号执行的格式化字符串漏洞自动验证方法,首先根据参数符号信息检测当前格式化字符串函数漏洞,然后分别构建参数存储于不同内存空间情况下的漏洞验证符号约束,最后利用约束求解自动得到漏洞验证代码,实现了格式化字符串漏洞的自动验证.在Linux系统下对不同类型测试程序进行了实验,验证了方法的有效性.     

基于XSS框架机制的Web应用程序语境安全性研究

分析了XSS过滤抽象框架提供的安全性和应用程序语境相关性,也分析了Web浏览器的新模式、特点及XSS语境过滤.优化了Web框架模型,Web浏览器详细描述内部组织的模式来解释XSS清除的方法及其内部结构的相互作用.研究了服务器端执行的威胁过滤通过浏览器的内容解析到DOM过程而被有效地撤消的XSS漏洞.提出了非信任性数据需要以不同的方式根据其语境在HTML文档中被过滤,自动清除可以安全地在一个语境中使用的威胁清除功能而在另一个语境中使用是不安全的,自动过滤必须与语境相关的.     

基于Web的专用爬虫的研究

网络爬虫是全文搜索引擎系统的核心模块,它实现对站内信息的检索和特定Web信息的搜索。然而,万维网规模越来越巨大,产生了专业爬虫。主要研究了怎样建立一个有效的专用爬虫,它可以自动发现和下载用户感兴趣的页面。包括的内容:超文本分类器、提取器、爬虫的基本功能、数据存储及核心算法。     

基于本体语义的定题爬虫

定题爬虫能迅速获取网络上特定主题的大量信息,对专业搜索引擎及数据挖掘应用都具有重大价值.针对目前通用的基于关键词主题过滤策略的不足,在概念聚集思想启发下,提出了基于本体语义的主题过滤策略.同时根据网页具有不同位置不同信息重要性的特点,提出了改进的加权特征项权值计算公式,实现基于语义的网页实时过滤.为进一步提高爬虫的工作效率提出链接相关度预测算法.对比实验表明此策略具有可行性.     

基于评论挖掘的新协同过滤推荐模型

考虑到产品评论对于消费者的购买行为非常具有参考价值,将评论挖掘引入协同过滤推荐模型中,通过产品评论特征值挖掘出用户对产品的详细特征偏好,并引入时间遗忘对产品兴趣的影响,设计出综合相似度,应用到协同过滤推荐模型中,提高了推荐的准确性.     

基于模糊集和粗糙集的关联规则挖掘策略

提出了一种对原始数据先进行模糊聚类,再提取规则的基于模糊集和粗糙集技术的关联规则挖掘策略,可以在一定程度内减少噪声数据的干扰,消除数据对象中的冗余属性,有利于提高规则挖掘的有效性．     

基于启发式规则的Deep Web接口发现

为了有效地利用Deep Web资源,Deep Web数据集成成为当前研究的热点之一.能否高效地发现Deep Web站点是Deep Web数据集成的基础和关键.在此,提出了一种Deep Web接口发现方法,包括基于领域知识来确定合适的查询提交词和用启发式规则发现领域内Deep Web接口.实验结果表明,该方法达到了较高的准确率和召回率,具有良好的可行性和实用性.     

基于规则排序的介词用法自动识别研究

在基于规则介词用法自动识别中,使用规则的不同顺序可以得到不同的用法识别准确率.对规则进行全排序并进行用法自动识别可以得到用法识别准确率最高的最佳排序方案,但是时间复杂度较高.首先对全排序的结果进行筛选,然后用筛选之后的结果进行用法自动识别则可以大大降低时间复杂度.实验结果表明,这种方法可以以较小的代价找到接近最佳排序的方案.     

基于粗糙集和包含度理论的决策规则提取方法

粗糙集理论是一种处理模糊和不确定知识的数学工具，正越来越被人们所重视．首先介绍了集值信息系统和粗糙集理论的相关知识，说明经典信息系统可以作为简单的集值信息系统处理。然后在集值信息系统中，以粗糙集理论为基础，引入包含度的概念，介绍包含度的几种生成方法，建立包含度的知识发现方法，最后通过具体的例子说明这种决策规则提取方法是有效的．     

基于关联规则挖掘的汉语语义搭配规则获取方法

针对自然语言处理系统在短语分析时的词汇排歧和结构排歧需要,本文提出了一种基于语料库的汉语短语语义搭配规则自动获取方法.该方法以《知网》为语义知识资源,在标注了句法语义信息的汉语短语熟语料库基础上,先采用数据挖掘中元规则制导的交叉层关联规则挖掘方法,自动发现汉语短语的语义搭配规律,再根据统计结果自动优选后生成语义搭配规则库.实验结果表明该方法是切实可行的.运用该方法自动获取的语义搭配规则具有较好的排歧效果.     

基于集合理论的IP地址并行搜索技术

针对现有的IP地址查询技术存在查找速度慢、性能低、可扩展性差、算法空间复杂度大以及成本高等问题,提出了一种结合使用软硬件的方法执行IP地址查询,将路由集合分割成奇偶位两个子集,然后对每个子集进行搜索.此方案能以较低的硬件代价在较短的时间内搜索到IP地址的网络ID号,减少了查找的比较次数和存储空间.     

一种基于粗糙集的机械装配知识发现方法

为了解决机械装配行业工艺知识提取困难的问题,提出一种基于粗糙集理论的装配知识发现方法,给出其计算机软件实现方案,并用实例验证方法的有效性。该方法运用粗糙集中属性重要度的概念和方法,实现属性核和属性约简的求解,并根据约简挖掘隐含在经验数据中的专家知识,形成相应的决策规则。实例验证结果说明,该方法可以有效地提高装配效率和装配知识的学习。     

基于贝斯准则和待定词集模糊矩阵的满文识别后处理

将满文单词识别系统的识别信息和满文的词组信息有机地结合起来,建立满文词组和待定词集统计信息库,利用贝叶斯准则,综合满文待定词的后验概率和词组的先验概率信息,建立合理有效便于实现的数据结构,对满文单词识别系统输出存在的拒识词和错识词进行检测和纠正,从而有效地提高满文识别系统的识别率·实验表明:后处理性能除取决于语言模型外,还取决于后概率的精确估计·另外,在单词识别系统识别率高的情况下,后处理的纠错能力会增强·     

基于概率统计的正负关联规则挖掘算法

正关联规则与负关联规则有着同样重要的作用,而传统的关联规则算法只能挖掘正关联规则.本文对关联规则的相关度进行判断,并在此基础上提出了一个能同时挖掘正负关联规则的算法,实验证明改进算法是有效的.     

基于粗糙集理论的主机安全评估方法

针对大多数安全评估系统不能评估漏洞的组合对网络安全危害的缺陷 ,提出采用粗糙集理论进行主机安全评估的方法 .该方法利用历史评估记录 ,把漏洞作为安全要素 ,在基于粗糙集理论的属性约简能力上 ,建立了安全评估模型以及具有安全要素、服务和主机 3个层次的安全风险度量模型 ,再结合安全要素和服务重要性因子进行加权 ,计算主机的安全风险 ,进而评估、分析系统的安全态势 .与其他方法相比 ,该方法能够自动建立基于规则的安全评估模型 ,评估单个安全要素和安全要素的组合对系统安全的威胁 ,且能够监控因系统配置改变引起的系统安全状态的变化 .通过仿真实验建立了系统安全态势曲线 ,从 7天的实验记录中还发现了 9条有用的评估规则 ,这表明采用该方法的评估结果更加准确、直观