面向web应用的漏洞扫描技术研究

《面向web应用的漏洞扫描技术研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、？？＇＇一：－＇一、’＼二’＞；、－餐＂ｉ．．．），Ｖ．Ｗ．譯？）．＿’‘．４吃‘早袭ＷＶ／■提＇■．：芳＞．－考．Ｖ兵．＇、－＇酒文抹．－＾＾：，一ａ；公＾ｊ二倾．级么ｒ這短＂．．—，：妾．Ｊ打？气／Ｖ祭－．！：ｒ＾＂＼声致，４３－＂、．一學；＾Ｖ．：．ｒ．款＂＇一＾－．．．－Ｊ．葦受ｖ１；＾７．’．，：．令？苗ｖ；苗紙．鸣＇＇．接＇塞打３僅＜雀著ｆ．苦巧ｉ：＾梦．鄉＞一＾．－一．气片．軒，．／：蒸ＩｉｔＬ：钱巫女ｎａ吉＇荐夺家硕化ｋＶ■．Ｖ；．；＞＇．ｒ．、＞．：＂４；冻＇．Ｔ．，Ｌ養凌％：．：

2、ｌ＾互：為—濟零弘７蕾ｉ苗藥辱．；＞．ｖ．＇‘０．＂＞－；ｉ；替Ｖｗ．Ｖ＇ｖ；＼，；＇＾一：讓．ｖ．？ｆ、与；ｉｖｉ；：＞％和；」麵夕＇：遠ｌ命．，ｅ＾＾＇，挺’、辞：石巧．ｌ．１１舊／＇－％孤寒ｐ爵一贫．．蛛；．．－‘黃琴－．ｓｍｉ岐面Ｗ＾巧刷小扫描就研巧／畫．．：，ｒ／身；。．Ｖ＇｜．．Ｔ，、＇．錢．．‘追’学。王Ｕ齡６巧；．．．＇＼／＞：辕：＇Ｖ；１Ｉ＿姓Ｖｖｖ叫琪．＂ｖ／．－或知、－案‘ｉ．－－＇％－＂．ｒｆ，导，為＞蔡鮮置、‘．．為義‘、１－．＞Ｃ＇２５＾＾纖轉￣口柳Ｈｖ．

3、；：．．．？．套类－！巧全日制＞磯；／；‘；；赛：＇寺’．ｒ＿．论斬，＼＞巧如通缸Ｌ亩：毒．；ｒ．－．＾．．＇皆．三别如ｒｖ－化年４／＊．气＇．；‘六、＇．－．．．＾＼－．．．＂－，於＞－＼Ｖ足ｖ，斗善饼．韦ｆ．ｒ：苗＞ｉ．管！別，一；一瀑蒙户．、托．－，！＇．＂房．＾起！．營’．、．＾：＇」、Ｖ‘餐若，儀整：．记宅：．致秦咨５■赛：留Ｉ基追兹式＞１墙撫幽息絶＾Thevulnerabilityscanningtechnologyresearchfo

4、rWebapplicationsThesisSubmittedtoNanjingUniversityofPostsandTelecommunicationsfortheDegreeofMasterofEngineeringByQi.WANGSupervisor:Prof.Xiangbao.CAIApril2016摘要Web应用日益强大的功能性和实用性不断吸引了广大用户和黑客的关注。数据表明互联网已经成为数据泄露频发地，Web应用安全面临越来越严重的挑战。Web应用的漏洞扫描是在漏洞检测数据库基础上，对远程或者本地Web应用进行自动化扫描，以发现可利用漏洞的安全检测行为。本文的主要工作：

5、1.目前大多网站过分依赖WAF防御技术，而忽略对Web应用代码的提升。漏洞扫描过程中常常遭遇WAF拦截，导致漏洞扫描工具存在较高的误报率和误报率。本文在Skipfish扫描模块中加入WAF绕过脚本模块，提出两级漏洞探测策略加深漏洞探测深度。经验证该方案能够成功绕过大部分WAF防御，提升漏洞扫描准确率。2.面对日新月异的黑客技术和互联网安全的挑战，漏洞扫描模块的探测参数也应根据实际情况不断予以更新和优化。本文提出一种依据探测参数等级划分的优化方案，不同类型的参数依据其成功率进行等级划分。这种优化方案能够保证系统二次开发过程中依据不同等级实现系统参数更新。3.从扫描策略和扫描任务管理方面着

6、手改进Skipfish开源软件，以Skipfish为原型搭建B/S模式的Web漏洞扫描系统。该系统新增自主选择漏洞扫描类型和扫描任务管理功能。新系统可依据项目需要自行选择不同的扫描类型，提供更多人性化管理功能。本文从漏洞扫描与渗透思想融合的角度，将漏洞扫描的思路扩展到新的高度，为下一步Web应用的漏洞扫描技术的发展奠定了基础。关键词:Web应用，WAF，渗透测试，漏洞扫描IAbstractWebapplicationshavedrawnincreasingattentionofusersandhackersforthemoreandmorepowerfulfunctionalityan

7、dpracticality.Internetisthemainwaytorevealdata，whichleadtoaseriouschallengeforWeb.ThevulnerabilityscanningofWebapplicationisbasedonvulnerabilitydatabaseandachievesautomatedscanningfortheremoteorlocalwebapplicationstofindavai