自动化Web安全测试的局限及手工测试方法

合集下载

相关主题

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

ｓｅｃｕｒｉｙｔｔｅｓｔｉｎｇｔｏｏｌｓ，ａｎｄｇｉｖｅｓｔｈｅｍｅｔｈｏｄｏｆｍａｎｕａｌｔｅｓｔｉｎｇ．
பைடு நூலகம்
Ｋｅｙｗｏｒｄｓ：ｗｅｂｓｅｃｕｒｉｙ；ｔａｕｔｏｍａｔｅｄｗｅｂｓｅｃｒｉｕｙｔｔｅｓｔｉｎｇ；ＡＪＡＸ；ｗｅｂｓｅｒｖｉｃｅ；ｍａｎｕａｌｓｅｃｕｒｉｔｙｔｅｓｔｉｎｇ
２０１３年第Ｏ１期
■ ｄｏｉ：１０３９６９￣ｉｓｓｎ１６７１ — １１２２２０１３０１０２１
自动化Ｗｅｂ安全测试的局限及手工测试方法
孙歆，韩嘉佳，唐秋杭
（１．浙江省电力公司电力科学研究院，浙江杭州３１００１４；２．浙江省电力设计院，浙江杭州３１００１２）
０引言
随着网银、网购、网游、微博等互联网应用越来越火爆，黑客利用ＳＱＬ注入、文件包含、ＷｅｂｓｈｅｌｌＩ￣传、远程命令执行等
手段控制服务器、篡改网页、窃取数据，给企业造成重大损失。所以Ｗｅｂ安全防护应从应用程序编码上去实现，对ＨＴＴＰ输入输出数据进行严格验证和过滤，从根源上解决问题，不应单纯依赖外部的防护手段。安全测试是发现Ｗｅｂ安全漏洞的有效手段，从黑盒的角度发送安全测试向量，通过目标系统的返回数据判断系统是否存在安全问题。本文分析了几种自动化Ｗｅｂ安全测试工具的漏报情况，并给出相应的手工测试方案。
ＤｉｓｃｕｓｓｉｏｎｏｎｔｈｅＬｉｍｉｔｓｏｆＡｕｔｏｍａｔｅｄＷｅｂＳｅｃｕｒｉｔｙＴｅｓｔｉｎｇＴｏｏｌｓａｎｄ
ＭａｎｕａｌＴｅｓｔｉｎｇＭｅｔｈｏｄ
手工测试方案。
关键词：ｗｅｂ安全；自动化ｗｅｂ安全测试；ＮＡＸ；Ｗｅｂｓｅｒｖｉｃｅ；手工安全测试中图分类号：ＴＰ３９３．０８文献标识码：Ａ文章编号：１６７１ — １１２２（２０１３）Ｏ１ — ００７９ — ０３
摘要：如今Ｗｅｂ安全已受到企业的极大关注，市面上的自动化Ｗｅｂ安全测试工具也层出不穷。由于
自动４￣－ｒ－具在检测过程中存在漏报现象，故完全信任自动化工具的检测结果往往会造成测试不全面、严重漏
洞未检出等情况，给企业带来风险。文章探讨自动化Ｗｅｂ安全测试工具漏报情况及其原理，并给出相关的
Ａｂｓｔｒａｃｔ：ＮｏｗａｄａｙｓＷｅｂｓｅｃｕｒｉｔｙｈａｓｂｅｅｎａｇｒｅａｔｃｏｎｃｅｒｎ．ＷｅｃａｎｉｎｆｄｖａｒｉｅｔｉｅｓｏｆａｕｔｏｍａｔｅｄＷｅｂｓｅｃｕｒｉｔｙｔｅｓｔｉｎｇｔｏｏｌｓｏｎｔｈｅｍａｒｋｅｔ．Ｂｕｔａｕｔｏｍａｔｅｄｔｏｏｌｓｍａｙｐｒｏｄｕｃｅｆａｌｓｅｎｅｇａｔｉｖｅｓ．Ｉｆｗｅｆｕｌｌｙｔｒｕｓｔｔｈｅｒｅｓｕｌｔｓｏｆａｕｔｏｍａｔｅｄｔｏｏｌｓ，ｉｔｗｉｌｌｃａｕｓｅａｎｉｎｃｏｍｐｒｅｈｅｎｓｉｖｅｔｅｓｔｉｎｇｏｒｓｅｒｉｏｕｓｖｕｌｎｅｒａｂｉｌｉｔｉｅｓｎｏｔｄｅｔｅｃｔｅｄｗｈｉｃｈｗｉｌｌｂｒｉｎｇｉｓｒｋｓｔｏｔｈｅｏｒｇａｎｉｚａｔｉｏｎ．Ｔｈｉｓｐａｐｅｒｄｉｓｃｕｓｓｅｓｔｈｅｆａｌｓｅｎｅｇａｔｉｖｅｐｈｅｎｏｍｅｎｏｎａｎｄｉｔ ’ ＳｐｒｉｎｃｉｐｌｅｓｏｆａｕｔｏｍａｔｅｄＷｅｂ
ＳＵＮＸｉｎ，ＨＡＮＪｉａ－ｊｉａ，ＴＡＮＧＱｉｕ — ｈａｎｇ
（１．ＺＪＰＥＰＣＥｌｅｃｔｒｉｃＰｏｗｅｒＲｅｓｅａｒｃｈＩｎｓｔｉｔｕｔｅ，ＨａｎｇｚｈｏｕＺｈｅｊｉａｎｇ３１００１４，Ｃｈｉｎａ，＂２．Ｚｈ￣ｉａｎｇＥｌｅｃｔｒｉｃＰｏｗｅｒＤｅｓｉｇｎＩｎｓｔｉｔｕｔｅ，ＨａｎｇｚｈｏｕＺｈ￣ｉａｎｇ３１００１２，Ｃｈｉｎａ）