搜索

[684] 2019-06-03_防范web应用攻击的方法、挑战和启示

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2019-06-03_防范web应用攻击的方法、挑战和启示 防 范 w e b 应 用 攻 击 的 方 法 、 挑 战 和 启 示 A r k T e a m   A r k T e a m   2 0 1 9 - 0 6 - 0 3 作 者 ： { E s i } @ A r k T e a m 原 文 作 者 ： D i m i t r i s   M i t r o p o u l o s ;   P a n o s   L o u r i d a s   ;   M i c h a l i s   P o l y c h r o n a k i s   ;   A n g e l o s   D e n n i s   K e r o m y t i s 原 文 标 题 ： D e f e n d i n g   A g a i n s t   W e b   A p p l i c a t i o n   A t t a c k s :   A p p r o a c h e s ,   C h a l l e n g e s   a n d   I m p l i c a t i o n s 原 文 出 处 ： I E E E   T r a n s a c t i o n s   o n   D e p e n d a b l e   a n d   S e c u r e   C o m p u t i n g ,   2 0 1 7 . W e b 应 用 程 序 攻 击 可 能 涉 及 安 全 性 错 误 配 置 ， 破 坏 的 身 份 验 证 和 会 话 管 理 或 其 他 问 题 。 但 是 ， 一 些 最 危 险 和 最 流 行 的 W e b 应 用 程 序 攻 击 利 用 与 不 正 确 的 验 证 或 不 受 信 任 的 输 入 过 滤 相 关 ， 从 而 导 致 注 入 恶 意 脚 本 ， 例 如 x s s 和 s q l 注 入 等 ， 尽 管 在 过 去 几 年 中 采 取 了 一 系 列 对 策 来 应 对 这 些 攻 击 ， 但 这 些 攻 击 一 直 高 居 各 种 安 全 排 行 榜 前 列 。 在 本 文 中 ， 作 者 分 析 了 针 对 W e b 代 码 注 入 攻 击 的 各 种 防 御 机 制 ， 提 出 了 一 个 模 型 ， 突 出 实 现 这 些 攻 击 的 关 键 弱 点 ， 并 为 研 究 可 用 的 防 御 提 供 了 一 个 共 同 的 视 角 。 作 者 提 供 了 逐 步 开 发 模 型 ， 以 帮 助 对 W e b 应 用 程 序 执 行 代 码 注 入 攻 击 过 程 的 理 解 。 图 1 说 明 了 不 同 类 别 攻 击 所 需 的 步 骤 ， 例 如 s q l 注 入 ， x s s 和 c s r f 。 步 骤 之 间 的 链 接 标 记 为 使 用 该 路 径 的 不 同 攻 击 ， 而 攻 击 标 签 旁 边 的 数 字 表 示 特 定 攻 击 的 步 骤 序 列 。 大 多 数 步 骤 在 所 有 攻 击 中 都 很 常 见 ， 因 为 不 同 的 攻 击 类 型 遵 循 类 似 的 利 用 路 径 ， 过 渡 时 的 大 “ X ” 标 记 对 应 于 我 们 在 此 工 作 中 考 虑 的 防 御 检 测 或 防 止 攻 击 的 点 。 图 1 攻 击 模 型 作 者 提 出 W e b 应 用 攻 击 防 御 机 制 的 研 究 具 有 双 重 性 。 首 先 ， 防 御 机 制 可 能 很 重 要 ， 因 为 它 可 以 用 可 靠 的 方 式 检 测 或 阻 止 攻 击 ； 其 次 ， 防 御 机 制 可 能 不 仅 仅 是 一 项 研 究 贡 献 ， 而 是 作 为 一 种 实 用 工 具 。 作 者 从 准 确 性 、 可 用 性 、 运 行 时 性 能 、 易 用 性 、 安 全 性 和 检 测 点 6 个 维 度 进 行 了 分 析 ， 并 提 出 了 相 对 应 的 6 个 标 准 。 针 对 注 入 攻 击 的 W e b 应 用 程 序 防 御 的 分 类 。 我 们 可 以 分 为 三 大 类 ： 内 因 ， 外 表 特 征 和 混 合 原 因 。 内 因 是 根 据 其 原 因 和 起 源 阻 止 攻 击 的 机 制 。 外 表 特 征 类 别 包 含 各 种 方 案 ， 用 于 检 查 应 用 程 序 的 行 为 并 根 据 其 不 良 状 态 检 测 攻 击 。 混 合 机 制 基 于 上 述 两 个 类 别 的 特 征 。 作 者 总 结 一 共 有 3 种 主 要 的 内 因 方 法 用 于 保 护 W e b 应 用 程 序 免 受 注 入 攻 击 ， 分 别 是 ： 解 析 树 验 证 ， 策 略 实 施 和 指 令 集 随 机 化 。 基 于 外 表 特 征 主 要 遵 循 两 种 方 法 。 跟 踪 不 受 信 任 的 输 入 并 禁 止 对 其 进 行 某 些 操 作 ； 和 了 解 要 信 任 的 代 码 ， 然 后 批 准 他 们 认 为 安 全 的 执 行 代 码 。 作 者 通 过 观 察 为 开 发 人 员 提 供 了 一 些 有 用 的 经 验 和 建 议 。 特 别 是 ， 要 求 提 高 实 验 测 试 和 代 码 可 用 性
的 准 确 性 ， 同 时 旨 在 降 低 性 能 开 销 和 部 署 障 碍 。 本 文 的 主 要 贡 献 有 以 下 三 点 ： · 基 于 代 码 注 入 为 不 同 类 型 的 W e b 应 用 程 序 攻 击 提 供 统 一 的 开 发 模 型 。 · 使 用 一 套 对 建 立 保 护 机 制 很 重 要 的 标 准 对 提 议 的 防 御 进 行 分 类 和 分 析 。 · 根 据 分 析 中 出 现 的 问 题 提 供 见 解 ， 强 调 可 能 阻 碍 保 护 机 制 广 泛 部 署 的 因 素 ， 以 及 工 具 从 研 究 到 实 践 的 过 渡 。 最 后 作 者 提 出 改 善 测 试 不 佳 ， 开 销 高 ， 缺 乏 可 公 开 的 原 型 ， 部 署 困 难 ， 安 全 性 受 损 这 些 方 面 中 的 任 何 一 个 问 题 不 仅 会 增 加 研 究 工 作 作 为 实 用 工 具 的 价 值 ， 而 且 还 会 提 高 其 研 究 价 值 。 准 确 的 检 测 报 告 有 助 于 评 估 不 同 的 方 法 ， 广 泛 的 性 能 测 量 可 以 揭 示 不 切 实 际 的 设 计 并 将 重 点 放 在 其 他 地 方 ， 源 代 码 的 可 用 性 增 强 了 基 本 的 科 学 任 务 ， 如 验 证 和 复 现 性 ， 易 于 部 署 带 来 了 实 验 的 简 便 性 ， 安 全 方 法 可 以 构 成 开 发 覆 盖 范 围 更 广 的 方 法 的 基 础 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理