论文部分内容阅读
随着互联网的飞速发展,Web应用系统已经被广泛应用在医疗、教育、理财等各个领域。Web应用由于易用性、开放性和易于开发性等特点,其安全问题也日益凸显。攻击者利用Web应用程序的漏洞进行恶意攻击,不仅严重威胁到用户的信息安全,而且给用户和企业带来巨大的经济损失。Web安全问题已经上升到了国家安全的级别,引起国家和人民的高度重视。为保障Web应用安全,及时发现漏洞并修补漏洞成为一件很重要的事情。使用Web应用漏洞扫描技术,要求站在攻击者的立场审视Web应用的安全环境。其实质是,构造用以检测某种漏洞的数据包,并发送HTTP请求到服务器,通过分析响应信息,对目标站点是否存在某种特定漏洞进行判断,从而发现系统的安全问题,提高网络系统的安全性,更好地保护用户数据。作者在理解网络爬虫技术、SQL注入攻击原理、XSS攻击原理的基础上,通过大量的攻击模拟实验,掌握SQL注入和XSS的攻击模式,设计更为全面的漏洞测试样例库。在本文中实现了使用广度优先爬取策略对Web页面进行爬取,之后将抓取结果进行分发至SQL注入和XSS漏洞检测中间件;检测时以大量的漏洞测试样例为基础,对可能的注入点构造有针对性的攻击测试;实施模拟攻击之后,将攻击成功的结果计入漏洞数据库存储,最终生成报告。本文的具体工作从以下几个方面进行:1.学习并总结国内外关于Web安全扫描工具的相关研究和设计,形成自己的思路,给出论文的组织架构。2.学习并研究漏洞检测的关键技术。在对网络爬虫、SQL注入漏洞和XSS漏洞的攻击模式的研究的基础上,完成Web安全扫描工具的总体架构设计;在对爬虫、SQL注入和XSS漏洞检测工具的研究的基础上,完成Web安全扫描工具的各个功能模块的详细设计。3.在对Web安全扫描工具的整体架构的设计以及各功能模块的详细设计的基础之上,实现Web安全扫描工具的各个模块的功能。4.对Web安全扫描工具进行测试,根据扫描的结果对Web安全扫描工具进行改进,进而提高其扫描效率和准确率,从而开发出更加完善的基于网络爬虫的Web安全扫描工具。