针对Web攻击的防御技术的研究

《针对Web攻击的防御技术的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、ResearchontheDefenseagainstWebAttacksPresentedbyFANGYiSupervisedbyProf．XIELiandProf．MAOBingAthesissubmittedtotheGraduateSchoolofNanjingUniversityfortheDegreeofMasterDepartmentofComputerScienceandTechnologyNanjingUniversityNanjing，Apr2011声明本人声明所呈交的论文是我个人在导师指导下、在南京大学及导师提供的研究环境(含标明的项目资助)下作为导师领导的项目组项目

2、整体的组成部分而完成的研究工作及取得的研究成果。除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果。与我一同工作的同志对本研究所做的任何贡献均己在论文中作了明确的说明并表示了谢意。南京大学及导师所有权保留：送交论文的复印件，允许论文被查阅和借阅：公布论文的全部或部分内容；可以采用影印、缩印或其它复制手段保存该论文。学生签名：导师签名：、／勺一一玄幺／1o日期：沙f(．牛日期：DeclarationImakeadeclarationherethatthethesissubmittediscomposedoftheresearchingworkbymyselfan

3、ditscorrespondingresearchingresultsfinishedasaconstituentpartofthewholeprojectintheprojectteamleadedbymyadvisor．Thethesisiscompletedwiththeguidanceofmyadvisor，andundertheresearchingcircumstancesofferedbyNanjingUniversityandmyadvisor(includingtheprojectsupportindicated)．Thethesisdoesnotincludeother

4、people’Sresearchingresultseverpublishedorcomposed，exceptthatarespeciallyannotatedandacknowledgedsomewhereinthearticle．Anycontributionmadetotheresearchbymyworkingpartnersisdeclaredexplicitlyandacknowledgedinthethesis．NanjingUniversityandtheadvisorretainthecopyrightasfollows：submittingthecopiesofthe

5、thesis，allowingthethesistobeconsultedandborrowed；publicizingthewholeorpartofthethesis’content；keepingthethesisbyphotocopy，microcopyorothercopymethods．AuthorSignature：AdvisorSignature：M心＆VTrb少Date：如“·牟Date：摘要软件功能在不断增强的同时，软件的庞杂程度也在提高，这样就无可避免的带来软件漏洞。软件漏洞攻击带来的巨大经济损失，迫切需要我们对各种漏洞攻击的方式进行剖析，从而深刻理解攻击的实现方式和

6、攻击的本质，为攻击的防范和攻击的修复提供更多的信息。近年来，由于基于B／S架构的Web应用程序在部署和维护方面，相对于传统的C／S架构的应用有着很大的优势，因此Web应用程序已经逐渐取代传统的C／S应用程序成为主流应用的实现方式。随着Web2．0理念大行其道，Blog，Wiki，SNS等应用如雨后春笋般出现，Web应用的安全问题的重要性也凸显出来，与Web应用的广泛流行相对的，是在Web应用程序的安全问题上，人们的认识还显得很不足够。在Web安全领域，一方面，存在一些由来已久的攻击方式，另一方面，新的攻击方式也层出不穷。XSS是当前分布最广泛的Web应用程序漏洞，本文通过利用浏览器的通用实

7、现惯例以及脚本执行条件的研究，结合传统的Taint技术，从对不可信内容进行执行干扰的角度入手，探索了一种基于服务器端的对抗XSS脚本攻击的新的方法，该方法能够有效的防御已知和未知的XSS攻击形式，而且实验证明在性能上也比较令人满意。JITspraying是一种新型的代码重用技术，这种技术可以让黑客通过重用由VM进行JIT编译后得到的代码，来发起进攻。这种新型的攻击技术已经被证实拥有突破象DEP(DataExecution