2023年基于Web应用安全问题的探究.docx

基于Web应用平安问题的探究 ：随着web技术的不断开展，Web应用逐渐深入人们的生活，Web应用平安方面的问题日益凸显，用户的信息存在平安方面的威胁。所以，关于Web应用平安的研究是十分必要且有重要意义的。该文将从常见的Web应用攻击和Web应用平安的防护两个方面来阐述关于web应用平安的研究。 关键词：Web应用攻击；Web应用平安防护 中图分类号：TP393 文献标识码：A 文章编号：1009-3044〔2023〕27-6303-02 Abstract： With the continuous development of web technology， web application gradually into people"s life， the web application security issues become increasingly prominent， the user information in the presence of security threat. Therefore， research on Web application security is very necessary and important. This paper from the two aspects of the common protection of web application attacks and security of web application to study on Web application security. Key words： Web application attack； Web application security protection 随着近十年来网络的普及以及网络技术的不断开展，一些Web的应用走入人们的生活，称为必不可少的一局部，如电子邮件、人人网、土豆网等等。此外，基于Web应用的效劳还在军事、教育、经济等其他领域发挥它的巨大作用。 但是，人们在广泛使用基于Web应用的技术时，却并没有保 障Web程序的平安性，使得Web应用程序存在较大的平安隐患。攻击者发现并利用这些漏洞篡改、破坏用户的重要信息。所以，为了保障Web应用程序的平安性，必须要防患于未然，了解各种Web应用的平安漏洞以及攻击者可能采用的攻击方法，针对这些可能发生的情况，采取有效的应对措施，及时发现及时修复。 本文涉及了Web应用平安的现状以及存在的漏洞和常见的攻击，然后针对不同的攻击给出了相应的解决方案，最后对全文进行了总结。 1 常见的Web应用攻击 从十大Web应用平安来看，不仅有Web应用程序本身的漏洞存在，还有平安管理方面的问题，例如Security Misconfiguration平安配置错误。所以不仅需要重视Web应用程序本身的平安性，还应该将Web应用程序管理标准起来，降低不平安的风险。 下面将从Web平安的源头开始分为效劳器端、效劳器端到客户端的传输过程中、客户端三个过程中的不同类型的攻击的原理进行深入的探究： 1.1 Web效劳器端存在的平安威胁 Web效劳器通常存储着大量的用户信息以及各种秘密的文件，攻击者通过发现Web效劳器的漏洞攻击效劳器可以获得许多它想获得的信息，或者用来存储恶意的攻击代码。Web效劳器端可能面临的平安威胁有： 1〕效劳器中存储的信息：攻击者通过攻击可以获得用户银行的账户和密码，将用户银行中的钱转移到自己的账户中。此外，还可以获取获取效劳器中存储的商业机密文件等等。 2〕 存储恶意的攻击代码：攻击者将恶意的攻击代码存入效劳器中，也可以实现恶意攻击，例如：网页挂马攻击。 下面对于效劳器端典型的攻击的原理进行深入的分析： 1.2 SQL注入攻击 SQL注入，即为用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据。SQL 注入攻击利用效劳器端自身存在的漏洞进行攻击，在发现SQL的注入位置之后，把 SQL命令注入到 Web应用程序中，绕过数据库的身份认证，将程序命令当作用户输入数据提交给程序执行，根据SQL查询的结果获取系统管理员权限，进行恶意攻击。 1.3 传输过程中可能存在的平安威胁 常见的攻击方式包括主动攻击和被动攻击两种： 1〕 主动攻击：主动攻击通过伪装、重放、修改报文、拒绝效劳、分布式拒绝效劳五种方式对数据流进行篡改，以到达攻击的目的。 2〕 被动攻击：攻击者通过嗅探、监听、窃听等方式获取正在传输的信息。 1.4 客户端存在的平安威胁 1.4.1 跨脚本攻击〔XSS〕 跨脚本攻击〔Cross Site Scripting〕的攻击原理是，为了获取授权用户的Cookie信息，攻击者对网页进行篡改，插入恶意的脚本，使得用户在浏览网页时在不知情的情况下被攻击者所攻击。在效劳器端，每一个包含认证 Cookie 的 Web请求都看作来自与之相关用户发出的请求，所以，攻击者可以利用窃取的Cookie冒充授权用户完成当前会话。XSS分为三种类型： 1〕 持久型跨脚本攻击，也称存储型，指的是恶意代码存储在与 Web应用程序交互的数据库中，当用户访问该页面时，Web 应用程序从数据库中返回恶意代码给用户。当浏览该页面时，这种攻击自动运行，此种方式也是最直接的危害方式。 2〕 非持久型跨脚本攻击，也称反射型，，这种攻击方式是在攻击的过程中反射给用户，它通过给用户发送带有恶意脚本代码参数的统一资源定位符URL ，当 URL 地址被翻开时，带有的恶意代码参数被 HTML 解析执行。 3〕 DOM跨脚本攻击，客户端脚本处理逻辑错误导致的平安问题。 1.4.2 点击劫持 点击劫持是一种恶意的攻击手段，攻击者通常使用一个透明的 Web 元素，将网页上的某局部进行覆盖，但网页看上去是正常的，而当用户在点击该页面时，可能会点击到透明的 Web 元素，从而实现对用户点击操作的劫持，视觉上就是用户的鼠标被控制了。 2 Web应用平安的防护 加强Web应用平安的防护应针对Web应用的平安，应从Web应用开发阶段、Web应用运行阶段、Web应用日常管理三个不同阶段采取不同的平安防护措施： 2.1 Web应用开发编程阶段 代码的平安性直接决定了网站Web 应用的平安性。所以，在Web应用开发编程阶段，开发人员应遵循特定的 Web 编程平安标准，以尽量防止Web应用代码的平安问题。其次，还可以在Web应用中增加平安模块，例如身份验证、检查访问者的访问权限，使得Web应用具有根本的平安防护机制。 2.2 web应用运行阶段 Web应用运行阶段更是平安防护中的重点。首先，在Web应用效劳器端增加平安防护措施，例如Apache的Mod_Security是一个具有入侵检测、防御引擎功能的开源Web应用平安程序，它以Apache web效劳器的模块方式运行， 增强Web应用程序的平安性， 防止Web应用程序受到或未知的攻击。 其次，可以定期维护Web应用程序的代码，检查效劳器是否存在平安问题，有漏洞及时修复，打补丁，防患于未然。 2.3 日常Web应用管理 开发人员更多关注技术上的防护，往往容易忽略Web应用管理平安上的漏洞带来的威胁。可以从以下几方面加强对Web应用平安的管理： 1〕 完善规章制度，加强平安防护：建立和完善Web应用程序开发标准、效劳器平安管理，标准网站的管理制度，保障Web应用程序平安稳定运行。 2〕 加强平安教育，引入平安意识：对Web效劳器的运营维护管理分工明确，并定期开展平安培训。 3〕 定期对 Web 应用效劳器测评。 3 总结 随着web技术的不断开展和进步，Web 应用渗入到每个人的日常生活。从e-mail，购物，网络虚拟银行到社交网络，Web 应用扮演Web Service中十分重要角色。与此同时，Web 相关应用的复杂度急剧增加，但各种类型的平安漏洞也不断涌现。 另一方面，Web 效劳所相关的关键数据和程序吸引了越来越多的被经济利益驱动的攻击者，并针对web应用的平安漏洞发起更强烈的攻击。 当前 Web应用处在一个高速开展的时代，同时也是web应用平安威胁与日俱增的时代。深入了解潜在的平安威胁的机理，对开发有效的新型防御检测技术有很重要的作用与意义。 参考文献： [1] 肖遥，网站入侵与脚本攻防修炼[M].北京：电子工业出版社，2023：9-10，26-28. [2] 杨林，杨鹏，李长齐.Web 应用漏洞分析及防御解决方案研究[J].信息平安与通信保密，2023〔02〕：58-60. [3] 黄耀锋，吴迪.Web应用的平安现状及防护[J].科技资讯，2023，35〔16〕：16.