基于灰盒测试web应用程序安全漏洞检测

《基于灰盒测试web应用程序安全漏洞检测》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、学位论文数据集中图分类号TP311．56学科分类号520．40论文编号1001020130088密级公开学位授予单位代码100lO学位授予单位名称北京化工大学作者姓名栗国斌学号2011210088获学位专业名称控制工程获学位专业代码085210课题来源自选题目研究方向软件测试论文题目基于灰盒测试的Web应用程序安全漏洞检测数据库注入漏洞，跨站脚本漏洞，跨站请求伪造漏洞，关键词静态分析，基于攻击特征测试技术论文答辩日期2013．05．25+论文类型应用研究学位论文评阅及答辩委员会情况姓名职称工作单位学科专长软件测试与软件可靠指导教师赵瑞莲教授北京化工大学性相关技术评阅人1王晶

2、教授北京化工大学先进过程控制评阅人2赵英教授北京化工大学计算机网络评阅人3评阅人4评阅人5答辩委员会主席王晶教授北京化工大学先进过程控制现代信号处理与嵌入式答辩委员1王学伟教授北京化工大学信息处理技术答辩委员2赵英教授北京化工大学计算机网络答辩委员3夏涛副教授北京化工大学计算机仿真系统答辩委员4孙洪程高工北京化工大学过程控制工程答辩委员5注：一．论文类型：1．基础研究2．应用研究3．开发研究4．其它二．中图分类号在《《中国图书资料分类法》查询。三．学科分类号在中华人民共和国国家标准(GB／T13745．9)《(学科分类与代码))中查询。四，论文编号由单位代码和年份及学号的后

3、四位组成。摘要基于灰盒测试的Web应用程序安全漏洞检测Web应用程序方便、快捷，已逐渐渗透到人们生活工作的方方面面。随着Web应用程序的广泛使用，Web应用的安全性变得日益重要，对Web应用程序进行安全漏洞检测已成为当前研究的热点。测试人员通过收集Web应用程序安全漏洞相关信息，对其进行归纳整理，将常见的Web应用程序安全漏洞分为数据库注入漏洞(SQM)、跨站脚本漏洞(xss)和跨站请求访问漏洞(CSRF)--类，目前已有一些针对不同安全漏洞的防范、检测办法，也存在相应的安全漏洞检测工具，但这些工具常会出现误报和漏报现象。为减少Web应用程序安全漏洞检测的误报和漏报率，本文

4、提出了一种基于灰盒测试的Web应用程序安全漏洞检测方法，针对SQLI、XSS以及CSRF这三种常见的Web应用程序进行安全漏洞检测。该方法将基于白盒的静态分析技术和基于黑盒的攻击特征测试技术相结合，利用静态分析找到被测程序中所有可能含有安全漏洞的页面，对这些页面应用攻击特征测试技术检测页面是否存在安全漏洞。并在此基础上，设计实现了一款基于灰盒测试的Web应用程序安全漏洞检测工具。针对基于JSP的Web应用程序进行上述三类安全漏洞的检测，实验结果表明该工具能够检测出这三种安全漏洞，具有较好的安全漏洞检测能力。相对于其他漏洞检测工具，该工具减少了对安全漏洞的北京化工大学硕士学位

5、论文误报、漏报现象，提高了Web应用程序安全漏洞检测的充分性和准确性，具有一定的推广应用价值。关键词：数据库注入漏洞，跨站脚本漏洞，跨站请求伪造漏洞，静态分析，基于攻击特征测试技术AB盯RACTWEBAPPLICATIONSECURITYVULNERABILITESDETECTIoNBASEDoNGRA：HBoXTESTABSTRACTWebapplicationisgraduallypenetratingintoourlifeforitsspeedandconvenience．AsWebapplicationhasbeenwidelyusedthesedays，these

6、curityofWebapplicationisbecomingmoreandmoreimportant．ThedetectionofWebapplicationsecurityvulnerabilityhasbecomeanewhotfiledofresearch．SometesterssummarizedWebapplicationsecurityvulnerabilitiesintothreecategories，SQLinjection，cross—sitescriptingandcross。siterequestforgery，bycollectingandana

7、lyzingvulnerabilityinformation．Althoughdifferentpreventiveanddetectivemethodsfordifferentsecurityvulnerabilitieshavebeenproposedandsecurityvulnerabilitydetectiontoolshavebeendeveloped，falsepositivesandfalsenegativesstillcameoutffequently．ThispaperpresentsaWeba