一种基于渗透测试的跨站脚本漏洞检测方法

为提升面向Web应用的跨站脚本(XSS)漏洞检测方法的检测效果,提出了基于隐马尔科夫模型(HMM)的攻击向量动态生成和优化方案。通过使用决策树模型对攻击向量进行分类,并使用代码混淆策略对攻击向量进行变形,用生成变形后的攻击向量组成攻击向量库用于XSS漏洞的渗透测试。测试前,使用探子算法去除一部分不存在XSS漏洞的页面,以减少测试阶段与Web服务器的交互次数。此外,还对获取的注入点进行了去重处理,以避免重复检测不同Web页面中相同的注入点,进一步采用XPath路径定位技术提高漏洞检测中结果分析的效率。实验结果表明,该方法能够有效改善XSS漏洞的检测效率。     

跨站脚本漏洞渗透测试技术

为提升跨站脚本(XSS)漏洞检测方法的检测效果,本文提出了基于隐马尔科夫模型(HMM)的攻击向量动态生成和优化方法。采用决策树模型和代码混淆策略对攻击向量进行分类和变形,获得测试用攻击向量。使用注入点去重处理和探子技术去除一部分不存在XSS漏洞的Web页面,避免重复检测不同Web页面中相同的漏洞注入点,减少测试阶段与Web服务器的交互次数;进一步采用XPath路径定位技术提高漏洞检测结果分析的效率。对比实验结果表明,本文提出的方法降低了响应时间和漏报率,提高了检测效率。     

Web应用常见注入式安全漏洞检测关键技术综述

针对各种动态Web技术的应用和发展加剧了Web应用注入式恶意攻击防范难度的问题,围绕Web应用典型的SQL注入和XSS注入漏洞,综述了近年来提出的、适用于Web应用注入式漏洞检测的研究进展。介绍了Web应用常见的注入式安全漏洞的分类,总结了这类漏洞的成因,梳理了安全漏洞检测的复杂性;阐述了注入式安全漏洞检测的关键技术,包括漏洞注入点的分析和识别、符号执行和污点分析以及基于软件分析和测试模型的漏洞检测方法;最后给出了研究展望。     

基于代理的XSS漏洞检测与收集系统的实现

针对Web遭受跨站脚本攻击越来越严重的问题,设计了一个基于代理的客户端系统模型,并在网络中心实验室进行了实现,通过对实验结果的分析可知,该系统可以很好地自动检测映射XSS攻击和存储XSS攻击,并对这些攻击进行漏洞收集.     

基于特征集合的XSS漏洞安全研究

跨站脚本XSS是Web安全的主要威胁。在分析网页爬虫的爬取流程基础上,提出一种网络爬虫架构,根据特征集合对爬取的网页资源进行XSS漏洞分析。通过Java和Python环境下的实验测试,该爬虫架构能爬取到页面的细小方面,使用特征提取能够进行有效的识别。     

基于数据关系图的恶意假数据注入攻击检测

分析了假数据注入攻击的原理,并在4节点16测点系统上进行了攻击验证.最后提出了基于数据关系图的电力系统状态估计检测方法,并在4节点16测点系统上对假数据注入攻击进行了检测效果实验.实验结果表明,基于数据关系图的电力系统状态估计检测能够检测假数据注入攻击,并能辨识攻击注入点.     

Web应用中的ReDoS检测方法研究

该文分析了一种Web应用中新型的拒绝服务攻击-正则表达式拒绝服务攻击.在深入分析形成的原因和机理的基础上,该文提出了一个防范此攻击的检测模型.该模型从静态分析人手,检测网页源代码中可能存在的有漏洞的正则表达式,从渗透测试的角度对提取到的正则表达式进行动态测试,给出相应的漏洞防范措施,从而确保Web应用系统的可用性.     

基于Metasploit下的浏览器渗透攻击

渗透测试的研究不仅可以发现网络系统下的某一特殊漏洞,还能在第一时间还原并确定产生漏洞的过程错误,从而达到确保网络安全的连续性.本文以浏览器渗透测试为例,利用Metasploit渗透测试框架,发起针对内网WINXP主机的浏览器渗透攻击,在成功获得主机访问权后,进行渗透攻击,获取主机内重要信息,并以此被攻陷主机为跳板,攻击内网中另一台LINUX主机,最终获得其访问控制权.基于完整渗透测试方案,可揭示网络安全的隐患,提高网络安全防范意识.     

面向SOAP消息的Web服务注入攻击检测方法

面向SOAP消息的注入攻击对Web服务的发展前景和应用产生重要的影响,而目前尚缺乏有效的检测方法,为此我们提出了一种基于行为模式的注入攻击检测方法.该方法在Web服务访问日志行为建模阶段采用长度不同的特征子串来表示行为模式,并通过序列模式的支持度来建立正常消息行为模式轮廓;针对注入攻击复杂多变的特点,进一步提出基于矩阵相似匹配结合相似判决阈值的注入攻击检测模型.实验结果表明,与多种其他经典检测方法相比,该检测方法在检测率和误报率等方面检测效果好,可有效地检测出注入攻击.     

SQL注入攻击与防护探析

SQL注入攻击是针对网站中存在的漏洞,利用特殊构造的SQL语句对网站前端应用、后台管理、数据库系统、操作系统进行入侵、窃密、破坏的过程。本文着重介绍了SQL注入攻击的原理、攻击常用方式方法,并在此基础上对如何防范SQL注入攻击给出了一些防御方法,以期抵御大部分的SQL注入攻击,更好地保护Web网站安全。     

网页结构模板生成新方法研究

Web页面所表达的主要信息通常隐藏在大量无关的结构和文字中,使用户不能迅速获取主题信息,限制了Web的可用性.为了高效地抽取基于模板的网页主题信息,提出了一种新的从HTML网页结构分析入手的模板生成方法.该方法以文档对象模型(DOM)为基础,通过对网页对应的DOM树层次结构进行分析,来判断两个网页是否相似,结构上相似的网页可以作为一个样本集.利用生成的样本集可以比较方便的抽象出网页结构模板,实现高效的信息抽取.实验表明,该方法准确率可达97%.     

基于文件过滤驱动的网页防篡改方法研究

为了避免Web页面被篡改,提出了一种文件过滤驱动的分布式网页防篡改系统.系统包括Web文件监控、内容发布、Web代理、备份恢复、监控中心5个子系统,并采用Windows文件过滤驱动实现Web文件监控,基于代理实现Web入侵检测,具备灾难备份恢复功能,可以有效地防止网站内容被篡改,适用于各种编程语言和Web服务器.实验对Web文件监控做了功能性验证.     

基于XML技术的USPTO专利抽取系统

为了给北京市知识产权预警能力研究提供基础数据,通过检索美国专利商标局(USPTO)网络专利数据库可以得到动态网页形式的专利信息.基于XML相关技术,提出了将这些网页形式的专利数据抽取到关系数据库的技术和方法.使用正则表达式匹配的方法进行页面过滤,将网页解析为文档对象模型(DOM)进行清洗,通过可扩散样式表转换语言(XSLT)模板抽取专利信息,并通过对象映射的方法将专利信息存入关系数据库,实现了专利信息抽取原型系统.实验结果表明,该原型系统具有较高的召回率和准确率.     

一种基于浏览器的CSRF攻击检测方法

互联网的安全形势日益严重,CSRF漏洞是最严重的Web漏洞之一,如何检测CSRF攻击成为业内热点。目前的CSRF检测技术主要通过验证字段例如Fom表单字段、验证SameOrigin等传统方式,但字段容易被攻击者更改,从而成功绕过CSRF检测。在验证字段的基础上,通过进一步分析网页内容,提出一种基于浏览器的CSRF检测方法,首先通过HTTP请求分析初步判断,再进一步分析网页内容检测CSRF攻击,告警提示用户。通过基于 Chrome浏览器的扩展插件技术实现所提出的检测方法,并通过实验进行验证与分析。     

一种状态检测防火墙的攻击防御机制

讨论了一种在Linux操作系统内核防火墙的攻击防御机制,提出了检测网络攻击的机制和总体架构。在Linux操作系统防火墙的基础上构建了攻击防御框架,针对不同的攻击模式,该框架提供相应的状态检测方法判定攻击的发生并使攻击不能成功。提出的攻击防御体系具有通用、可扩展的特点,可以有效克服传统包过滤防火墙在抗攻击和入侵检测方面的局限性。结果表明:该攻击防御机制可以显著改善防火墙系统的IP安全性。     

攻击与故障共存的ICPS综合安全控制方法

针对同时存在假数据注入（FDI）攻击与执行器故障的工业信息物理融合系统（ICPS）,在离散事件触发机制（DETCS）下,综合应用Lyapunov稳定性理论及更具少保守性的仿射Bessel-Legendre不等式,研究执行器故障与FDI攻击估计、综合安全控制与通讯协同设计问题. 从主动防御攻击的态势入手,综合考虑通讯资源与计算资源的高效利用与合理分配,给出DETCS下的ICPS综合安全控制架构,将鲁棒估计器与综合安全控制器的设计统一于同一非均匀数据传输机制下. 将执行器故障与FDI攻击增广为同一向量,给出系统状态、增广故障鲁棒估计器的设计方法. 基于所得估计结果并结合事件触发条件,对执行和传感双侧网络中的FDI攻击分别采用分离与补偿的防御策略,对执行器故障进行故障调节,给出综合安全控制器设计方法,实现对FDI攻击和执行器故障主动容侵和主动容错的综合安全控制与通讯协同设计. 通过数值算例和四容水箱实例,仿真验证了提出方法的有效性.     

一种基于Proxy的Web应用安全漏洞检测方法及实现

指出了Web应用中存在的各种安全漏洞,在分析并总结Web应用安全漏洞特点的基础上,设计了一种基于Proxy的Web应用安全漏洞检测方法,该方法可以用来检测一些常见的Web应用安全漏洞,如参数篡改、跨站点脚本漏洞等.给出了利用该方法检测SQL代码插入、跨站点脚本算法的JAVA语言实现.     

基于RNN的智能电网拓扑变异型FDI攻击检测方法

针对近年来对智能电网运行状态构成严重安全威胁的虚假数据注入问题,提出一种基于循环神经网络的智能电网拓扑变异型虚假数据注入攻击检测方法.通过分析电力系统状态估计方法的不足和虚假数据注入攻击绕过系统监测与防御的入侵方式,引入循环神经网络分析连续数据序列的时序变化,并在IEEE-30节点系统上进行仿真验证.仿真结果表明,提出的方法能够高效、准确地检测智能电网中产生的虚假数据注入攻击行为,其检测准确率可达99.9%,相比于其他检测方法具有较大的优势.     

基于贝叶斯攻击图的动态安全风险评估模型

攻击者通过分析网络中漏洞的相互关联关系逐步攻破多个漏洞,而攻击图模型虽然能描述网络内潜在威胁的传播路径,但未充分考虑攻击事件对攻击图中所有属性节点置信度的动态影响。为此,提出一种基于贝叶斯攻击图的动态风险评估(dynamic risk assessment based on Bayesian attack graphs, DRA-BAG)模型。该模型运用贝叶斯信念网络建立用于描述攻击行为中多步原子攻击间因果关系的概率攻击图,其中采用通用漏洞评分系统指标计算漏洞利用成功概率,并利用局部条件概率分布表评估属性节点的静态安全风险;进而结合入侵检测系统观测到的实时攻击事件,运用贝叶斯推理方法对单步攻击行为的后验概率进行动态更新,最终实现对目标网络整体安全性的评估。实验结果表明,本文方法可评估动态安全风险和推断攻击路径,为实施安全防护策略提供依据。