基于waf入侵检测和变异webshell检测算法的web安全研究

《基于waf入侵检测和变异webshell检测算法的web安全研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、中图分类号ＴＰ３９３论文编号１００６０１６－０３１８５２０３０４０学科分类号．密级＊义寺嗦乂净ＴＩＡＮＪＩＮＵＮＩＶＥＲＳＩＴＹＦＴＥＬＯＧＹＯＣＨＮＯｃｈ＾＼ｉｎ／硕壬学位论支基于ＷＡＦ入侵检测和变异ＷｅｂＳｈｅｌｌ捡测算法的Ｗｅｂ安全研究ＴｈｅＲｅｓｅａｒｃｈｏｎＷｅｂＳｅｃｕｒｉｔｂａｓｅｄｏｎＷＡＦＩｎｔｒｕｓｉｏｎｙＤｅｔｅｃｔｉｏｎａｎｄＶａｒｉａｎｔＷｅｂＳｈｅｌｌＤｅｔｅｃｔｉｏｎＡｌｏｒＵｈｍｇＩＯｉｌ麵＇－－—’三！－，－￡：＝与．与：ｖ．＝＇

2、－Ｌ－；！ｇａ菁細＾ａｓＥａｉｉｗ雛ｚ程＇－Ｔ７＾＝－＝＇￣－＇－＾－＝－Ｔ５５＝ｉ＊＾Ｅｒ＾■ａ壬帶Ｅｌｌ马艳发封稱臟员天津理工大学研究生院二〇－六年Ｚ月分类号：TP393520.3040密级：天津理工大学研究生学位论文基于WAF入侵检测和变异WebShell检测算法的Web安全研究（申请硕士学位）学科专业：软件工程研究方向：网络与信息安全作者姓名：马艳发指导教师：王怀彬研究员2016年3月ThesisSubmittedtoTianjinUniversityofTechnologyfortheMaster’sDegreeTheResear

3、chonWebSecuritybasedonWAFIntrusionDetectionandVariantWebShellDetectionAlgorithmByYanFaMaSupervisorHuaiBinWangMarch2016韓准１牲声巧本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取得的研究成果，除了文中持别加Ｗ标注和致谢之处外，论文中不包含其他人己经发表或撰写过的研究成果，也不包含为获得天津理工大学或其他教育机构的学位或证书而使用过的材料一。与我同工作的同志对本研巧所做的任何贡献均已在论文中作了明确的说明并表示了谢意。＂学化

4、冷文作者签名签拿ｇ期；月ｇ；年＾名屯５Ｊｆ学隹冷文胶权使巧援牧书本学位论文作者完全了解天津理工大学有关保留、使用学位论文的规定。特授权天津理工大学可Ｗ将学位论文的全部或部分内容编入有关数据库进行检索，并采用影印、缩印或扫描等复制手段保存、汇编，供查阅和借阅。同意学校向国家有关部口或机构送交论文的复本和电子文件。（保密的学位论文在解密后适用本授权说明）／学位冷文作者签為；导邱签名；签拿ｇ期：扣１］月Ｓ日签拿ｇ期；方ｏ／ｔ年＾月長口摘要随着互联网Web2.0的蓬勃发展，Web不仅提供丰富、动态的交互式应用，而且已经成为公司和国家的门户

5、和入口，也正是因为如此，这些Web应用成为了黑客攻击者的主要目标，黑客通过各种安全漏洞登录Web应用系统，上传WebShell，获取服务器权限，窃取用户信息，所以Web应用系统迫切需要一个检测能力强、反应速度快、易于维护的防火墙。Web应用防火墙主要是通过与黑名单规则库完成特征匹配来起到安全防护的作用，但是目前的防火墙所采用的黑名单规则库是基于已知攻击方式的特征建立的，这种方式不仅对新的安全漏洞不具备预防和检测能力，并且随着时间的累积，黑名单规则库会越来越庞大，随之所带来的管理也越来越复杂。此外，变异WebShell经常采用特殊的变型方式与业务相结合，检测难度系数较高，一般

6、的WebShell检测方法已不能满足当前的网络安全需求。本文针对以上问题，从基于ModSecurity防火墙的消极安全模型和变异WebShell检测两个方面进行了深入的探究。首先，通过研究ModSecurity的工作机制，分析SecRule的规则，调研当前Web应用防火墙的检测策略，本文提出了与自学习TL模型相结合的一种新的入侵检测算法，采用先收集、整理和归纳网页参数特征进行自学习，生成标准正则表达式，再与用户提交数据进行规则匹配并给出权值判断的方法。模拟实验结果证明，改进后的入侵检测算法具备了更好的安全机制并提高了对规则库的管理效率，具有一定的实用价值。其次，通过对PHP

7、变异WebShell的代码以及PHP语言的灵活性进行分析，针对函数名在程序的执行环境中动态生成和运行所导致的某些字符串函数动态生成特殊的执行函数的问题，本文提出了两种针对PHP变异WebShell的检测方法，基于PHP特殊字符信息熵和基于引号信息熵的算法，并以正常的项目文件和收集的WebShell作为样本进行实验，结果表明了上述两种算法能够检测出绝大多数的变异WebShell，增强了WebDir检测系统的检测能力，具有一定的实用和研究价值。最后，通过研究WebShell检测系统，提出基于C/S架构的WebDir监控