基于污点分析的web安全检测系统的研究与实现

《基于污点分析的web安全检测系统的研究与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、学校代号：10532学密号：S11102026级：普通湖南大学硕士学位论文基于污点分析的Web安全检测系统的研究与实现TheResearchandImplementationofWebVulnerabilityDetectionSystemBasedonTaintAnalysesbyXIAOⅥ，enminB．E．(ChangshaUniVersity)20l1AthesissubmittedinpartialsatisfactionoftheRequirementsforthedegreeofMasterofEngineeringInCompu

2、terScienceandTechnologyintheGraduateSchoolofHunanUniversitySupervisorAssociateProfessorSUNJianhuaMay，2014湖南大学学位论文原创性声明本人郑重声明：所呈交的论文是本人在导师的指导下独立进行研究所取得的研究成果。除了文中特别加以标注引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写的成果作品。对本文的研究做出重要贡献的个人和集体，均已在文中以明确方式标明。本人完全意识到本声明的法律后果由本人承担。作者签名：商量：缸日期：2Dl叶年易月了日

3、学位论文版权使用授权书本学位论文作者完全了解学校有关保留、使用学位论文的规定，同意学校保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。本人授权湖南大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。本学位论文属于1、保密口，在年解密后适用本授权书。2、不保密团。(请在以上相应方框内打“4”)作者签名：肖重名丈．导师签名：扣也净日期：如脚年占月厂日日期：2。¨年易月，曰基于污点分析的Web安全检测系统的研究与实现摘要随着Web技术的蓬勃发展，互联网变得越来越

4、丰富，随之而来的是，针对Web应用程序漏洞的攻击也越来越多，其危害程度也越来越大，给Web应用程序的安全带来了巨大的威胁，其中最为著名的有跨站脚本攻击、SQL注入、跨站请求伪造、点击劫持。攻击者可以利用这些漏洞注入自己编写的恶意代码、改变程序的执行流程、破坏用户程序以及窃取用户敏感信息等。现有的Web安全措施主要集中在服务端，客户端的安全机制相对比较薄弱，客户端安全检测防御工作亟需完善，因此研究一种客户端的安全检测防御方法是个有意义的课题。传统的污点检测方法大多是针对服务端特定语言，由于服务端web应用程序所使用的编程语言多种多样，实现一种适用

5、于服务端所有编程语言的通用污点分析方法几乎是件不可能的事。而通过扩展浏览器内核加强客户端安全是一种复杂且不通用的方法，主要是因为浏览器的种类繁多，不同版本的浏览器其实现也不同。针对上述问题，本文提出了一种新的web漏洞检测防御方法，基于客户端代码重写的动态污点分析方法，目的是在无需修改服务端和客户端代码的情况下能够阻止恶意脚本的非法行为。该方法首先将客户端JavaScript代码转换成中间代码，然后实现具体的污点分析引擎，该引擎在程序运行时动态的追踪敏感数据的处理过程，记录所有敏感数据的信息流，找出目标数据与源数据之间的依赖关系，阻止不信任域的

6、源数据流入到目标数据中，从而达到检测防御漏洞攻击的目的。在上述动态污点分析方法的基础上，本文设计并实现了一个W曲漏洞攻击检测防御系统，系统以代理的形式部署在浏览器端，对w曲数据进行实时实验，实验结果表明，本系统在信息的机密性和完整性保护以及算法的准确性上都取得了较好的结果，同时能有效的阻止常见的Web漏洞攻击。关键词：Web安全；污点分析；信息流分析；跨站脚本IIAbstractWiththerapiddevelopmentofwebtechnology，theinternetisbecomingincreasinglyrichandpreva

7、lence．Whilethenumberofattacksagainstwebapplicationvulnerabilitiesaregettingmorenumerous，ithasbroughtahugethreattothesecurityofwebapplicationsforthesakeofthevarioustypeofmaliciousattack，particularlyforcross—sitescriptingattacks，SQLinjection，cross-siterequestforgery，clickhijac

8、king．Anattackercouldexploitthesevulnerabilitiestoinjectingcustommaliciousco