Web应用安全监测系统设计与应用 被引量：6

1

作者 高国柱 吴海燕 《计算机工程与设计》 CSCD 北大核心 2010年第17期3760-3762,3811,共4页

针对Web应用的攻击种类繁多、变化多样,基于静态规则库的旧的防护体系已经很难适应当前Web应用安全的新状况,提出了将无指导学习方法与合法规则检测模型相结合的Web应用安全防护新思路,设计了基于Web应用结构分析和流程分析的安全监测算... 针对Web应用的攻击种类繁多、变化多样,基于静态规则库的旧的防护体系已经很难适应当前Web应用安全的新状况,提出了将无指导学习方法与合法规则检测模型相结合的Web应用安全防护新思路,设计了基于Web应用结构分析和流程分析的安全监测算法,并进行了系统实现。实现的Web应用安全监测系统现已应用于清华大学网络学堂,很好地实现了对Web应用访问请求信息的安全分析与监测。 展开更多

关键词 web应用安全 web应用安全监测 web日志安全分析 无指导学习 合法规则监测

在线阅读 下载PDF 职称材料

数字校园web应用安全问题研究 被引量：1

2

作者 吴海燕 高国柱 苗春雨 《中山大学学报（自然科学版）》 CAS CSCD 北大核心 2009年第S1期358-361,共4页

B/S技术已经成为数字校园的主流技术,同时web应用也给数字校园的信息安全带来了新的挑战。文章分析了web应用常见的安全威胁,提出了数字校园web应用安全防护模型,最后对两种目前比较成熟的web应用安全评测技术进行了介绍。

关键词 web应用安全 数字校园 web应用安全漏洞扫描

在线阅读 下载PDF 职称材料

Web应用安全扫描系统及关键技术研究 被引量：7

3

作者 顾韵华 王兴 丁妮 《计算机工程与设计》 CSCD 北大核心 2008年第18期4715-4717,4779,共4页

讨论了开放环境下一种Web应用安全扫描系统的设计方案,该系统由漏洞特征库和遍历扫描、分析引擎、攻击测试、安全审计和报告生成等部分组成。研究了漏洞特征库描述、网站拓扑结构提取、标记解析和攻击测试算法等系统关键技术。提出了一... 讨论了开放环境下一种Web应用安全扫描系统的设计方案,该系统由漏洞特征库和遍历扫描、分析引擎、攻击测试、安全审计和报告生成等部分组成。研究了漏洞特征库描述、网站拓扑结构提取、标记解析和攻击测试算法等系统关键技术。提出了一种基于XML的Web应用漏洞标记语言——WAML,基于站点遍历实现了站点拓扑结构提取。对所实现的原型系统进行了测试分析,结果表明,系统是有效的。 展开更多

关键词 web应用安全 扫描 网站拓扑结构 标记解析 攻击测试

在线阅读 下载PDF 职称材料

基于OWASP和WASC的多维度Web应用安全体系 被引量：4

4

作者 吴震 崔建 +1 位作者 周昌令 张蓓 《广西大学学报（自然科学版）》 CAS CSCD 北大核心 2011年第A01期148-154,共7页

本文分析比较了国内外安全机构与安全厂商公布的安全报告及统计数据,认为Web应用安全已成为校园网中首要的安全问题。从OWASP和WASC的安全标准,归纳设计出多维度的校园网Web应用安全体系,并对核心的统一安全策略中心进行阐述。然后根据... 本文分析比较了国内外安全机构与安全厂商公布的安全报告及统计数据,认为Web应用安全已成为校园网中首要的安全问题。从OWASP和WASC的安全标准,归纳设计出多维度的校园网Web应用安全体系,并对核心的统一安全策略中心进行阐述。然后根据该安全体系结构,采用目前较为成熟并广泛应用的防火墙、应用防火墙、入侵检测、入侵防御、漏洞扫描、堡垒机等技术进行部署、实现,在北京大学校园网上选取50个有代表性的网站进行监控、分析,从而验证本文所设计的Web应用安全体系的有效性。 展开更多

关键词 web应用安全 OWASP WASC 多维度安全体系

在线阅读 下载PDF 职称材料

基于Apache的Web应用安全防护研究 被引量：4

5

作者 周敬利 汪健 夏洪涛 《计算机工程与科学》 CSCD 2006年第4期1-2,22,共3页

Apache是因特网上使用最广泛的Web服务器,其版本2·0的新特性很适合于在其上扩展新的功能。本文对使用ApacheFilter实现基于Apache的Web应用入侵保护进行了研究。

关键词 web应用安全 入侵检测保护Apache

在线阅读 下载PDF 职称材料

基于熵权的Web应用安全模糊综合评估模型 被引量：1

6

作者 顾韵华 李丹 《南京信息工程大学学报（自然科学版）》 CAS 2009年第1期71-75,共5页

针对Web应用安全评估问题,提出一种基于熵权和模糊综合评价方法的Web应用安全评估模型.该模型将熵权与模糊理论相结合,利用熵权系数法确定Web应用安全评价因素集中的权重向量,采用最大隶属度原则确定安全漏洞风险等级.实例分析结果表明... 针对Web应用安全评估问题,提出一种基于熵权和模糊综合评价方法的Web应用安全评估模型.该模型将熵权与模糊理论相结合,利用熵权系数法确定Web应用安全评价因素集中的权重向量,采用最大隶属度原则确定安全漏洞风险等级.实例分析结果表明该方法简单、实用,能有效进行Web应用安全漏洞风险等级的评估. 展开更多

关键词 web应用安全 熵权 评估

在线阅读 下载PDF 职称材料

PowerRASP:基于RASP的高性能Web安全防护方法研究

7

作者 何成刚 丁宏强 《现代电子技术》 北大核心 2025年第9期93-103,共11页

针对当前Web应用面临前所未有的安全攻击威胁,如SQL注入、Webshell攻击和日益突出的0day安全漏洞等严重威胁,Web应用的安全直接关系到社会正常秩序和国家安全等重要方面。但目前的Web应用安全防护方法和工具易被安全攻击绕过,误报高、... 针对当前Web应用面临前所未有的安全攻击威胁,如SQL注入、Webshell攻击和日益突出的0day安全漏洞等严重威胁,Web应用的安全直接关系到社会正常秩序和国家安全等重要方面。但目前的Web应用安全防护方法和工具易被安全攻击绕过,误报高、配置繁琐,无法在不断增长的应用需求与日益繁杂的恶意攻击中进行高效防护。为此提出基于RASP的PowerRASP高性能应用安全防护方法与框架,用来解决目前Web应用安全防护准确性低、无法快速阻挡0day安全漏洞和严重影响Web应用性能等“卡脖子”问题。实验结果表明:在安全攻击防护准确率方面,PowerRASP的安全防护准确率达到100%,而百度OpenRASP的安全防护准确率仅为77.60%;在对被保护应用性能影响方面,PowerRASP对应用性能的影响非常小,比OpenRASP在CPU使用率上降低5.2%,在内存使用率方面降低0.41%。 展开更多

关键词 web应用安全防护 安全漏洞 高性能 高效防护 PowerRASP 快速阻挡0day

在线阅读 下载PDF 职称材料

基于博弈的Web应用程序中访问控制漏洞检测方法 被引量：3

8

作者 何海涛 许可 +3 位作者 杨帅林 张炳 赵宇轩 李嘉政 《通信学报》 EI CSCD 北大核心 2024年第6期117-130,共14页

针对工业互联网中程序的访问控制策略隐藏在源码中难以提取,以及用户的访问操作难以触发所有访问路径而导致逻辑漏洞的通用化检测难以实现的问题,将博弈思想应用于访问控制逻辑漏洞检测中,通过分析不同参与者在Web应用程序中对资源页面... 针对工业互联网中程序的访问控制策略隐藏在源码中难以提取,以及用户的访问操作难以触发所有访问路径而导致逻辑漏洞的通用化检测难以实现的问题,将博弈思想应用于访问控制逻辑漏洞检测中,通过分析不同参与者在Web应用程序中对资源页面的博弈结果来识别漏洞,使得不同用户的访问逻辑能被有针对性地获取。实验结果表明,所提方法在开源的11个程序中检测出31个漏洞,其中8个为未公开的漏洞,漏洞检测覆盖率均超过90%。 展开更多

关键词 web应用程序安全 漏洞检测 访问控制漏洞 访问控制策略 博弈

在线阅读 下载PDF 职称材料

Web安全性测试技术综述 被引量：12

9

作者 于莉莉 杜蒙杉 +1 位作者 张平 纪玲利 《计算机应用研究》 CSCD 北大核心 2012年第11期4001-4005,共5页

对Web应用程序进行有效彻底的测试是及早发现安全漏洞、提高Web应用安全质量的一种重要手段。首先介绍了Web应用安全威胁分类,总结了常见的Web应用安全漏洞;然后对当前Web安全性测试技术的研究进行了全面概述,比较了静态技术和动态技术... 对Web应用程序进行有效彻底的测试是及早发现安全漏洞、提高Web应用安全质量的一种重要手段。首先介绍了Web应用安全威胁分类,总结了常见的Web应用安全漏洞;然后对当前Web安全性测试技术的研究进行了全面概述,比较了静态技术和动态技术各自的优缺点,同时对在Web安全性测试中新兴涌现的模糊测试技术进行了详细的介绍和总结;最后指出了Web安全测试中有待解决的问题以及未来的研究方向。 展开更多

关键词 web应用安全漏洞 静态分析 动态分析 模糊测试

在线阅读 下载PDF 职称材料

Web应用程序客户端恶意代码技术研究与进展 被引量：9

10

作者 黄玮 崔宝江 胡正名 《电信科学》 北大核心 2009年第2期72-79,共8页

随着Web应用程序特别是Web2.0应用的日益广泛,针对Web应用程序的恶意代码开始大肆传播,成为网络安全的重大威胁。本文首先介绍了目前Web应用程序面临的威胁状况,然后讨论了Web应用程序客户端恶意代码技术以及Web浏览器的漏洞研究和利用... 随着Web应用程序特别是Web2.0应用的日益广泛,针对Web应用程序的恶意代码开始大肆传播,成为网络安全的重大威胁。本文首先介绍了目前Web应用程序面临的威胁状况,然后讨论了Web应用程序客户端恶意代码技术以及Web浏览器的漏洞研究和利用技术,最后对Web应用程序客户端恶意代码技术的发展趋势进行了展望,并给出了Web应用程序客户端安全的加固策略。 展开更多

关键词 web应用程序安全 恶意代码 蠕虫 JavaScript恶意代码 XSS CSRF web浏览器安全

在线阅读 下载PDF 职称材料

HTML5安全研究 被引量：11

11

作者 孙松柏 Ali Abbasi +2 位作者 诸葛建伟 段海新 王珩 《计算机应用与软件》 CSCD 北大核心 2013年第3期1-6,16,共7页

HTML5是目前富互联网应用(RIA)中最重要的技术之一。由于得到了业界厂商的大力支持,发展迅速,已经成为未来Web应用发展的事实标准。新技术的引用,在给用户提供丰富多彩互联网的同时,也引入了新的安全问题:CORS、XHR-LEVEL2等已经打破了... HTML5是目前富互联网应用(RIA)中最重要的技术之一。由于得到了业界厂商的大力支持,发展迅速,已经成为未来Web应用发展的事实标准。新技术的引用,在给用户提供丰富多彩互联网的同时,也引入了新的安全问题:CORS、XHR-LEVEL2等已经打破了浏览器原有的同源策略准则(SOP);Web Storage、Application Cache等新功能在增强客户端能力的同时,也提供了一些新型的客户端攻击机制;Web Workers、Web Socket等新特性则引入了新的滥用手段。在中国互联网上,越来越多的网站开始逐步采用HTML5技术,但在安全防护方面还存在众多弱点。与此同时,目前大多数Web应用扫描器都不具备检测HTML5安全问题的特性,这使得HTML5安全问题在安全评估与渗透测试过程中成为盲点。深入探讨HTML5新引入的安全威胁,通过对国内支持HTML5大型网站的测试发现了大量安全问题,并对现有Web应用扫描器对HTML5支持情况进行了调查分析,结果验证了国内互联网网站对于HTML5新形态安全威胁的脆弱性。 展开更多

关键词 HTML5 web应用安全 CORS web应用扫描

在线阅读 下载PDF 职称材料

基于二维安全防护体系的WAF系统 被引量：5

12

作者 王坤 关溪 +1 位作者 张阳 蔡镇 《计算机应用与软件》 CSCD 北大核心 2012年第5期274-277,294,共5页

针对Web攻击,传统防火墙对应用层防护存在不足,而Web应用防火墙可利用其架构的技术优势,应对繁多的攻击方式。给出二维安全防护系统及Web服务器核心内嵌模型,进一步给出Web应用防火墙设计实现方案。实验表明,该系统能够解决Web应用安全... 针对Web攻击,传统防火墙对应用层防护存在不足,而Web应用防火墙可利用其架构的技术优势,应对繁多的攻击方式。给出二维安全防护系统及Web服务器核心内嵌模型,进一步给出Web应用防火墙设计实现方案。实验表明,该系统能够解决Web应用安全问题,具有较高的网络性能,支持策略的定制与扩展。 展开更多

关键词 web应用安全 二维防护体系 web服务器核心内嵌模型 web应用防火墙

在线阅读 下载PDF 职称材料

基于Pastry的可信Web入侵防御系统 被引量：2

13

作者 王芳 王勇 +1 位作者 何倩 龙运坚 《计算机工程与设计》 CSCD 北大核心 2014年第12期4126-4130,4144,共6页

针对当前Web应用入侵防御系统可扩展性欠佳和检测实时性不高的问题,提出一种基于Pastry的可信Web入侵防御模型。所有检测节点组成一个结构化的P2P覆盖网,通过基于Pastry的通信算法和节点信任管理算法,实现完全分布式、可扩展和自组织的... 针对当前Web应用入侵防御系统可扩展性欠佳和检测实时性不高的问题,提出一种基于Pastry的可信Web入侵防御模型。所有检测节点组成一个结构化的P2P覆盖网,通过基于Pastry的通信算法和节点信任管理算法,实现完全分布式、可扩展和自组织的可信Web入侵防御系统。分析及实验结果表明,该系统能够检测Web应用典型攻击,有效解决了传统分布式系统单点失效、负载不均衡的问题。 展开更多

关键词 web应用安全 入侵防御 对等 可信 分布式

在线阅读 下载PDF 职称材料

基于符号执行的注入类安全漏洞的分析技术 被引量：5

14

作者 孙基男 潘克峰 +1 位作者 陈雪峰 张君福 《北京大学学报（自然科学版）》 EI CAS CSCD 北大核心 2018年第1期1-13,共13页

采用符号值作为输入,模拟程序执行,提取执行路径上相应的约束条件,即安全约束、攻击约束以及防御约束,并构成可满足矩阵(SAT)以及不可满足矩阵(UNSAT)两个注入类漏洞安全分析与检测模型,矩阵模型的求解结果可映射为注入类安全漏洞的安... 采用符号值作为输入,模拟程序执行,提取执行路径上相应的约束条件,即安全约束、攻击约束以及防御约束,并构成可满足矩阵(SAT)以及不可满足矩阵(UNSAT)两个注入类漏洞安全分析与检测模型,矩阵模型的求解结果可映射为注入类安全漏洞的安全状态。对Web应用注入类漏洞的检测实验表明,与目前安全分析主流工具相比,该分析技术具有降低误报率、漏报率、能自动生成攻击向量等优点。 展开更多

关键词 注入类安全漏洞 符号执行 程序静态分析 web应用安全

在线阅读 下载PDF 职称材料

基于DCNN-GRU模型的XSS攻击检测方法 被引量：8

15

作者 许丹丹 徐洋 +1 位作者 张思聪 付子爔 《计算机应用与软件》 北大核心 2022年第2期324-329,共6页

为了提高跨站脚本攻击的检测效率,利用一维DCNN快速处理时序问题的能力和GRU模型处理上下文具有长期依赖关系问题的能力,提出基于DCNN-GRU模型的XSS攻击检测方法。对原始数据做规范化处理,将数据转化为可以对深度学习网络模型进行输入... 为了提高跨站脚本攻击的检测效率,利用一维DCNN快速处理时序问题的能力和GRU模型处理上下文具有长期依赖关系问题的能力,提出基于DCNN-GRU模型的XSS攻击检测方法。对原始数据做规范化处理,将数据转化为可以对深度学习网络模型进行输入的特征向量。通过卷积层和池化层处理特征向量,GRU层作为门控机制来保留代码间的依赖关系。通过全连接层实现归一化处理,利用Softmax分类器实现分类完成攻击检测。使用foxscheduler数据集进行对比实验,结果表明,DCNN-GRU模型与单一的DCNN、GRU、LSTM模型及SVM模型相比,训练时间更短,检测结果中准确率、召回率和F1值都是最高的。 展开更多

关键词 web应用安全 深度学习 跨站脚本 深度卷积神经网络 门控循环单元

在线阅读 下载PDF 职称材料

基于BiLSTM-Attention-CNN的XSS攻击检测方法 被引量：4

16

作者 李克资 徐洋 +1 位作者 张庆玲 张思聪 《贵州师范大学学报（自然科学版）》 CAS 2022年第4期76-83,共8页

在基于深度学习XSS检测的研究中,双向长短期记忆网络(BiLSTM)和CNN模型均无法区分输入特征信息中关键特征和噪音特征对模型效果的影响。针对这一问题,引入注意力机制,提出一种将BiLSTM和CNN相结合的XSS检测模型。首先利用BiLSTM提取XSS... 在基于深度学习XSS检测的研究中,双向长短期记忆网络(BiLSTM)和CNN模型均无法区分输入特征信息中关键特征和噪音特征对模型效果的影响。针对这一问题,引入注意力机制,提出一种将BiLSTM和CNN相结合的XSS检测模型。首先利用BiLSTM提取XSS攻击载荷双向序列信息特征,然后引入注意力机制计算不同特征在XSS检测中的权重,最后将加权后的特征向量输入CNN提取局部特征。实验表明BiLSTM-Attention-CNN相比SVM、ADTree、AdaBoost机器学习算法分别提高了9.45%、7.9%和5.5%的准确率,相比单一的CNN、GRU、BiLSTM提高了检测精度,相比BiLSTM-CNN在保持检测精度的同时减短了5.1%收敛时间。 展开更多

关键词 web应用安全 XSS CNN 双向长短期记忆网络 注意力机制

在线阅读 下载PDF 职称材料

网络攻击的智能精准检测方法与实践 被引量：1

17

作者 林榆坚 梁宁波 《信息安全研究》 2018年第5期440-446,共7页

网络安全新形势下,如何改变基于有限特征库来抵御变幻莫测的网络攻击的状况,成为新时代安全防御的主题.提高检测、监测和溯源能力攻击者的蛛丝马迹是当前唯一途径.针对高检测、监测和溯源能力,安赛创想科技提出了在Netflow和sFlow这2种... 网络安全新形势下,如何改变基于有限特征库来抵御变幻莫测的网络攻击的状况,成为新时代安全防御的主题.提高检测、监测和溯源能力攻击者的蛛丝马迹是当前唯一途径.针对高检测、监测和溯源能力,安赛创想科技提出了在Netflow和sFlow这2种协议字段融合的前提下,通过智能算法集进行关联分析检测.该方法首先克服了单一网络协议的数据局限性的弊端,降低了网络数据存储量和运行主机的CPU负载率;其次运用智能算法集,精确判断出攻击行为;最后运用Web应用攻击周期理念,将检出结果清晰展现. 展开更多

关键词 web应用攻击周期 关联分析 关联规则 网络流技术 web应用安全 大数据

在线阅读 下载PDF 职称材料