Web漏洞掃描系統(tǒng)設(shè)計與實現(xiàn).pdf

1、伴隨著計算機網(wǎng)絡(luò)技術(shù)的快速發(fā)展,Web及其相關(guān)技術(shù)得到廣泛的應(yīng)用,網(wǎng)站設(shè)計的需求越來越大,但同時其安全問題也日益突出,對它的安全性也越來越受關(guān)注,保障 Web應(yīng)用的安全性成為一個重要的課題。目前有許多用于防御Web應(yīng)用攻擊的防護系統(tǒng),但是會產(chǎn)生不小的性能損耗以及維護成本。因此盡早發(fā)現(xiàn)WEB漏洞并將其修復(fù)可以極大的降低后續(xù)軟件維護開銷,避免不必要的損失。Web漏洞掃描是基于Web安全的一種應(yīng)用非常廣泛的主動防御技術(shù),它已經(jīng)在當前的網(wǎng)絡(luò)環(huán)境

2、中得到普遍的應(yīng)用,能有效的幫助檢測Web存在的漏洞,使漏洞檢測更加準確和高效[1]。
　　本文主要的工作重點在于對Web應(yīng)用程序漏洞中的關(guān)鍵技術(shù)進行研究,在此基礎(chǔ)上針對Web應(yīng)用程序漏洞的XSS和SQL注入的漏洞特征,基于網(wǎng)絡(luò)爬蟲設(shè)計的一個具有針對性和實用性的掃描系統(tǒng)。
　　本文以Web應(yīng)用程序中的XSS和SQL注入漏洞為研究對象,主要有以下幾方面工作:
　　1.研究各種不同的Web應(yīng)用程序漏洞的特性。詳細剖析了XSS

3、及SQL注入等漏洞。主要包括原因、分類、危害和防御方法。
　　2.針對XSS和SQL注入漏洞的特性,設(shè)計實現(xiàn)了基于主題的網(wǎng)絡(luò)爬蟲模塊,主要解析含有參數(shù)的URL,手機可能存在XSS和SQL注入的頁面,同時設(shè)置爬蟲深度,直至爬蟲結(jié)束。
　　3.設(shè)計實現(xiàn)了基于注入惡意代碼進而進行靜態(tài)掃描代碼的方式XSS檢測模塊。
　　4.設(shè)計及實現(xiàn)了基于繞過用戶驗證的方式和基于注入錯誤代碼查看返回信息的方式SQL注入檢測模塊。
　　5