ajax 应用安全研究

《ajax 应用安全研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、Ajax应用安全研究宣以广（浙江省信息安全重点实验室，浙江杭州310012）【摘要】Ajax作为为Web应用提供丰富的事件和语义层次的技术，无可置疑的正在成为互联网应用和企业信息系统开发的革命性技术。但是，其广泛应用也带来了大量的安全性问题。本文对Ajax技术、Ajax安全漏洞、以及Ajax安全漏洞检测工具进行了介绍。【关键词】Ajax；安全漏洞；攻击；安全评测ResearchontheSecurityofAjaxApplicationsXuanyiguang(InformationSecuritypriorityLaboratoryofZ

2、hejiangProvince,Zhejiang310012,china)【Abstract】AsprovidingawealthofeventsandsemanticlevelsoftechnologyfortheWebapplication,NodoubtAjaxIsbecominganInternetapplicationandenterpriseinformationsystemdevelopedrevolutionarytechnology.But,Itswiderangeofapplicationshasalsobroughta

3、largenumberofsecurity.ThearticleintroducedtheAjaxtechnology,Ajaxsecurityvulnerabilities,aswellasAjaxsecuritytestingtool.【Keywords】Ajax；Securityvulnerabilities；Attacks；SecurityTesting一、引言上世纪九十年代以来，Web应用从互联网领域逐步扩展至企业信息化领域，并替代桌面胖客户机逐渐成为应用开发的主流。传统的Web应用用户交互过程基于页面转换序列，基于多页面界面的交

4、互模型用于开发简单的内容交换方面极具优势，但在开发具备友好的人机交互的应用软件时遇到较大限制。自google地球应用Ajax技术提供了基于Web的地理信息应用以来，Ajax技术正在Web应用领域快速流行，越来越多的互联网应用和企业信息系统都倾向于使用Ajax技术作为改善用户使用信息的方式。作为Web2.0的基础构件之一，Ajax技术正在推动各类传统的桌面类应用如字处理、电子表格、Gis以及复杂表单等并成为Web主流应用，企业信息系统和互联网信息系统正在Ajax、Soa技术的推动下进行重构，并正在成为Web应用的主流趋势。但是，Ajax技术对

5、开发过程也带来了新课题，Ajax技术引进的大量事件、数据处理和复杂的交互过程，都需要软件代码既要具备高性能还要具备良好的可维护性，用户交互过程需要完整清晰的定义和测试。软件开发人员在考虑应用Ajax技术时，除了面对与传统Web应用不同的体系结构区别、Ajax技术应用底层框架环境的选择、Ajax应用的性能响应的设计第7页共7页等因素以外，还应对因采取Ajax技术而引发的独特的安全特点加以必要的考虑。二、Ajax技术的特点Ajax(AsynchronousJavaScriptandXML)是多种技术的综合，提供了异步的传输接口，克服了旧的Web

6、应用基础体系结构中的一些缺陷，无状态的多页面能够被设计成具备用户状态数据的单页面，用户界面对象能够被单独加以更新，不再需要刷新整个页面对象树；浏览器不再只是内容的展示，能够以完整的应用运行环境的地位出现在系统架构中，带有大量代码的客户端应用被动态部署到浏览器中，使浏览器端能够产生极为丰富的具有用户应用语义交互的事件，并负责处理这些事件的异步响应。在基于Ajax技术设计的系统中，服务器端的作用突出于提供用户交互上下文所需的数据集合，一般具有严格的数据类型规范，而不再是松散的展示语言定义的内容。Ajax技术的异步事件响应和异步数据传输模式，使得

7、拖拽、多重点击等用户界面事件的处理代价极小，系统设计者能够利用异步事件机制实现丰富的用户界面交互过程。下图为传统Web应用模型与基于Ajax技术的Web应用模型的区别：Ajax应用由于只有少量上下文变化需要的数据才会被在浏览器和服务器之间传输，而且这些数据只是一些特定编码的数据字符或者Xml结构化数据，同时能够在浏览器端实现丰富的客户端交互类型，能够实现大量传统Web应用无法实现的功能，使得Ajax应用具有占用网络带宽较少、速度较快、用户体验较好等优点，因此极大地扩展了Web应用的领域，已逐渐成为互联网和企业信息系统开发的新宠。但是，如果A

8、jax技术的安全风险得不到软件开发过程的足够重视，对安全加以详细的设计、实现和测试，未来伴随其部署增长的，必然是大量的安全漏洞。三、Ajax技术的安全性分析尽管Ajax技术能够极