web应用安全研究

《web应用安全研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、WEB应用安全研究　　摘要　　随着Ineternet技术的不断发展和延伸，WEB服务成为互联网上的使用最普遍的应用服务，本文从WEB服务架构的发展具体分析了可能带来安全威胁的各个层面的原因，并对于这些威胁提出了相关的安全体制构建机制和构想。　　【关键词】WEB安全WEB防火墙HTTPS　　1概述　　自从互联网时代开启以来，网页浏览成为上网最普遍的行为。这种行为导致了WWW（万维网）的兴盛和发展。据美国互联网研究机构Netcraft统计，截止到2016年6月全球网站数量已经突破了10亿大关。随着网络信息化

2、和移动互联网的进一步发展，网页的浏览和使用已经成为日常生活中不可或缺的一部分。WWW是由?S多互相连接的超文本组成的系统，通过互联网进行访问，在这个系统中每个事物都称之为一个“资源”，并且有一个全域的URL（统一资源标识符）表示。　　基于网页浏览的应用随着互联网技术发展不断推进，人们不仅可以通过网页浏览来欣赏视频，播放歌曲，进行娱乐互动，也可以通过网页浏览的方式享受社交网络，电子邮件以及网络购物等服务。随着应用和服务的兴盛，网页浏览的安全问题也日益凸显，各种针对于网页服务器端的攻击层出不穷，网页的信息容

3、易遭到篡改并植入有害代码，个人信息大量泄露利用浏览器的漏洞的挂马网站大量泛滥，据相关安全机构统计，80%的电脑中毒都来源于用户浏览了带病毒的网页和链接，网页攻击成为黑客入侵的主要手段之一。　　2WEB架构和发展　　WEB的本意是蜘蛛网和网的意思，在网页设计中我们称之为网页，主要表现为超文本（hypertext）、超媒体（hypermedia）、超文本传输协议（HTTP）的集合。在WWW世界中WEB服务指的是这种超文本的资源集合通过浏览器/服务器架构和Http协议呈现给客户的服务。随着用户更加注重交互和内

4、容的分享，WEB2.0引入了由用户主导而生成内容的互联网模式，出现了数据与服务的分离，分布式数据和服务等变化，大大增强了交互性。　　在早期，客户使用WEB浏览器通过http协议通过互联网访问WEB服务器，一般使用的是html静态页面。静态页面是指用户通常访问的页面都存储在WEB服务器的某个固定目录下，比如.html文件和.xml文件，用户通过点击网页上的“超链接”（URL）来获取相关内容，内容通过TCP/IP链接传输并经过客户端浏览器解释呈现给用户。静态页面往往只能完成信息的发布和展示这些简单的功能，当

5、用户需要一些互动甚至是内容的创作者的时候，静态页面就无法满足这种频繁的互动需求，在这个背景下动态网页的概念就应运而生了：通过在在网页中嵌入一些可以运行的小程序（比如Java，PHP，ASP，FLASH等），通过客户浏览器的插件技术来解释和运行这些小程序从而实现和用户灵活的交互。这些小程序用法灵活而且可以根据用户的角度进行定制化处理，使得网页设计的交互性得到极大的提高，使得WEB服务具备强大的双向交流模式：可以像传统软件一样进行各种计算处理，文件编辑，信息提交等。这些小程序既可以嵌入在html页面中，也可

6、以以文件的形式单独存储在服务器的目录中，比如.php、.class、.jsp文件，既可以由浏览器解释执行，也可以由服务器运行。这样的功能性小程序的集合形成常用的工具包进行单独管理就构成了中间件服务器，它实际上是WEB服务器处理能力的扩展。　　动态网页中属于动态数据的内容往往很多需要经常的更新，比如新闻滚动，状态更新甚至是互动游戏等，这些内容往往采用专业的数据库，采用程序和数据分离的方式进行管理。WEB服务往往都带有数据库服务器，当用户请求页面时，嵌入式插件进行小程序的解释执行，小程序根据利用sql数据库

7、语言从数据库中读取并获得最新的数据，完成后按照html页面指定的方式生成一个完整的动态的页面呈现给用户。　　除了应用数据的变化，用户的一些状态信息，属性信息也需要针对性记录。而WEB服务器是不对这些信息进行记录和存储的，为了这种定制化访问的需要，往往在客户端通过Cookie和服务器端的Session的机制进行定制化信息的记忆和存储，使得呈现给用户的访问界面更加友好和人性化。由于HTTP协议是无状态的协议，所以服务端需要记录用户的状态时，就需要用Session的机制来标识具体的用户，Session具有唯一

8、的标示，可以通过数据库，内存或者文件进行存储。而Cookie则是客户端为了方便用户或进行Session跟踪把一些用户信息包括用户名和口令等存储在客户端的硬盘临时文件中的一种机制。一般来说Session和Cookie会结合起来使用。　　3WEB安全和威胁　　在上一节描述的WEB架构中，我们不难看出WEB的威胁主要来自于对于服务器端，客户浏览器，以及中间基于http协议的传输过程，WEB服务应用攻击四个部分。WEB服务器是WEB服务的必经之路，