Web服务攻击技术研究综述
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
务实施攻击 的第一步 。这一 步至关 重要 ， 攻击者 能从 中找到潜 在 的漏洞和攻击 入 口。攻 击者 可 以使 用 ＷＳ Ｌ扫描或 利用差 Ｄ 错信息等方式进行 Ｗｅ ｂ服务探测攻击 。
威胁 。详 细分析 了针 对单 个 Ｗｅ 服 务 以及 Ｗｅ ｂ ｂ服务 组合 过程 的各 种常 见攻 击技 术的原理 、 特点 ， 讨 了相 应 的 探
检 测和 防御 措施 ， 结合 已有研 究成 果 ， 论 了 Ｗｅ 务 攻击 防护将 来 的研 究方 向以及 面临的挑 战 。 讨 ｂ服
关键 词 ：Ｗｅ ｂ服务 ；安全 ；攻 击 ；防御
ｄ ｒｃｔ ｎ ｎ ｈ ｈ￣ｌｎｇ ｓ ｏ ｅ ｅ ｉ ｅ ｄ ｆｎ ｅ ｇ ｉ ｔａｔｃ ． ｉｅ ｉ ｓ ａ ｄ ｔｅ ｃ ｏ ｅ ｅ ｆＷ ｂ ｓ ｒ ｃ ｅｅ ｓ ｓａ ａｎｓ ｔ ｋｓ ｖ ａ
Ｋｅ ｒ ｓ Ｗｅ ｅ ｉｅ ｅ ｕ ｉ ；ａｔ ｃ ；ｄ ｆｎ ｅ ｙ ｗｏ ｄ ： ｂ ｓ ｒ ｃ ；ｓ ｃ ｒ ｙ ｔ ｋ ｅｅ ｓ ｖ ｔ ａ
中 图分类 号 ：Ｔ ３ ３ ０ Ｐ０ ．８
文 献标 志码 ：Ａ
文章编 号 ：１０ — ６ ５ ２ １ ） １０ １ — ６ ０ １３ ９ （ ０ ０ Ｏ — ０ ７ ０
ｄ ｔ１ ． ９ ９ ．ｓｎ １ ０１３ ９ ２ １ ０１ ０ ５ ｏ ：０ ３ ６ ／ｉｉｓ ． ０ —６ ５． ０ ０． ． ０
ｐ ｅ ｅ ｔ ｎ ｃ ｕ ｔｒ ａ ｕ ｅ ．Ｏｎ ｔ ｅ ｂ ｓｓｏ ｕ ｒ ｎ ｅ ｅ ｒ ｈ ａ ｈ ｅ ｅ ｎ ｓ ｌｏ ｐ ｅ ｅ ｔ ｄ ａ ｄ ｓ ｕ ｓｏ ｎ ｔ ｅ ｆｔ ｒ ｅ ｅ ｒｈ ｒ ｖ ｎ ｉ ｏ ｎ ｅｍｅ ｓ ｒ ｓ ｏ ｈ ａ ｉ ｆｃ ｒｅ ｔ ｓ ａｃ ｃ ｉｖ ｍｅ ｔ ，ａｓ ｒ ｓ ｎ ｅ ｉｃ ｓ ｉｎ ｏ ｈ ｕ ｅ ｒ ｓ ａ ｃ ｒ ｕ
黄康宇 贺正求 赖海光 吴礼发 ， ， ，
（ 解放 军理 工 大学 指挥 自动化 学院 ａ 研 究生 管理 大队 ；ｂ 计 算机 系，南京 ２ ０ ０ ） ． ． １０ ７
摘
要 ：Ｗｅ 服 务在 给基 于异 构平 台的应 用 集成带 来极 大便利 的 同时 ， 自身各核 心 组件也 面 临着 恶意 攻击 的 ｂ 其
ｃｒ ｏ ｏ ｅ ｃ ｍｐｏ ｅ ｔ ｒ ａ ｅ ｔ ｈ ｅ ｔ ｆｍａｉｉ ｕ ｔａ ｋ ． Ｔ ｓｐａ ｒｄ ｔｉｅ ｌ ｎａｙ ｅ ｈ ｒｎ ｉｌ ｓａ ｄ ｃ ｒ ｃｅ ｓｉ ｓｏ ｎ ｎ ｓａ ｅｆ ｃ ｄ ｗｉ ｔｒ ａｓ ｏ ｌｃｏ ｓａ ｔｃ ｓ ｈｉ ｐｅ ｅａ ｌｄ ｙ ａ ｌｚ ｄ ｔ ｅ ｐ ｃｐ ｅ ｎ ｈａａ ｔｒ ｔｃ ｆ ｈ ｉ ｉ ｖ ｒｏ ｓｆ ｍｉｉｒａｔ ｃ ｓｏ ｉ ｇｅ Ｗ ｅ ｅｖ ｃ ｎ ｅ ｅ ｉｅ ｃ ｍｐ ｓｔｏ ａ ｉｕ ａ ｌａ ｔａ ｋ ｎ ｓｎ ｌ ｂ ｓ ｒ ｉ ｅ ａ ｄ Ｗ ｂ ｓ ｒ ｃ ｏ ｏ ｉ ｎ，ａ ｄ ｐ ｉ ｅ ｕｔｔｅ ｃ ｒｅ ｐ ｎ ｎ ｅｅ ｔｏ ｎ ｖ ｉ ｎ ｏｎｔｄ ｏ ｈ ｏｒ ｓ ｏ ｄｉｇ ｄ ｔｃｉ ｎ ａ ｄ
渗透 ； 逐步提 升权限 ； 维持访 问或拒绝 服务 ； 授权使用资 源 ； 未 清除或伪造活动轨迹 。从 这些步 骤 中可以得知攻 击者是 怎样 利用 Ｗｅ ｂ服务实现协议上 的漏洞 ， 进行准备和实施攻击 的。
１ １ Ｗｅ ． ｂ服 务 探 测攻 击
探测攻击 的 目的是 收集 Ｗｅ ｂ服务 相关信 息 ， 向 Ｗｅ 是 ｂ服
实施 攻 击 的 方 法 包 含 以下 几 个 基 本 步 骤 ： 查 Байду номын сангаас 评 估 ； 用 和 调 利
０ 引言
Ｗｅ 服务是一个软件 系统 ， ｂ 用来支持 网络上机器到机 器间 的互操作 。它建立在一组 通用的标准协议 之上 ， 有一个 清晰 的、 机器可处理的标准描述格 式。其他 系统使用该 描述 中指定 的方式与 Ｗｅ ｂ服务进行交互 ， 并使用 Ｓ Ａ Ｏ Ｐ消息格式进行通信。
Ｃ ｉａ ｈｎ ）
Ａｂ ｔ ａ ｔ ｓｒ ｃ ：Ｗ ｅ ｅｖ ｃ ｒ ａｌ ａ ｉ ｔ ｔｓ ｔ ｅ ａ ｐ ｉａｉ ｎ ｔ — ｐ ｌ ａｉ ｎ ｉ ｔｇ ａｉ ｎ ｂ ｓ ｄ ｏ ｅｅ ｏ ｅ ｅ ｕ ｌ ｔ ｒ ｂ ｓ ｒ ｉ ｅ ｇ ｅ ｔ ｆｃｌ ａｅ ｈ ｐ ｌ ｔ — ａ ｐ ｉ ｔ ｎ ｅ ｒ ｔ ａ ｅ ｎ ｈ ｔｒ ｇ ｎ ｏ ｓ ｐ ａｆ ｍ，ｂ ｔｉ ｙ ｉ ｃ ｏ ｏ ｃ ｏ ｏ ｏ ｕ ｔ ｓ
Ｒｅ ｅ ｒ ｈ ｏ ｔａ ｋ ｔ ｃ ｎ ｌ ｇ ｅ ｏ ｅ ｅ ｖ ｃ ｓ ａ ｃ ｆ ａｔ ｃ ｅ ｈ ｏ ｏ ｉ ｓ ｆ ｒＷ ｂ ｓ ｒ ｉ ｅ
ＨＵＡＮＧ ｎ ｙ ，ＨＥ ｅ ｇ— ｉ ， ＬＡＩＨａ —ｕａ ｇ Ｋａ ｇ—ｕ Ｚｈ ｎ ｑｕ ｔｇ ｎ ，Ｗ Ｕ Ｉｉｆ 』 ａ —
第２ ７卷 第 １期
２１ ０ ０年 １月
计 算 机 应 用 研 究
Ａｐ ｌ ａ ｉｎ Ｒｅ ｅ ｒ ｈ ｏ ｍｐ ｔ ｒ ｐ ｉ ｔ ｓ ａ ｃ ｆＣｏ ｕ ｅ ｓ ｃ ｏ
Ｖｏ ＿ ７ Ｎｏ １ ｌ２ ．
Ｊｎ ２ １ ａ． ００
Ｗｅ ｂ服 务 攻 击 技 术 研 究 综 述 木
（ ． ｏｔｒｄａｅＴａ ａＰ ｓ ａ ｕｔ ｅｍ，ｂ Ｄｐ．ｏ ｏ ｐ ｔｒ ｃｏｌ ｏ ａ ｄＡ ｔ ｔｎ， Ｌ ｎｖｎｔ ｃ ｎｅ＆ Ｔｃｎｌ ｙ ａ ｎ １０ ７ ｇ ｅｔ ｆ Ｃ ｍ ｕ ，Ｓｈｏ Ｃ ｍｍ ｎ ｕ ｍ ｉ Ｐ ＡＵ ｉ ｉ ｏ Ｓｉ ｃ ｅ ｆ ｏ ｏ ａ ｏ ｅ ｙｆ ｅ ｅｈｏｏ ，Ｎ ｇ２ ０ ０ ， ｇ
威胁 。详 细分析 了针 对单 个 Ｗｅ 服 务 以及 Ｗｅ ｂ ｂ服务 组合 过程 的各 种常 见攻 击技 术的原理 、 特点 ， 讨 了相 应 的 探
检 测和 防御 措施 ， 结合 已有研 究成 果 ， 论 了 Ｗｅ 务 攻击 防护将 来 的研 究方 向以及 面临的挑 战 。 讨 ｂ服
关键 词 ：Ｗｅ ｂ服务 ；安全 ；攻 击 ；防御
ｄ ｒｃｔ ｎ ｎ ｈ ｈ￣ｌｎｇ ｓ ｏ ｅ ｅ ｉ ｅ ｄ ｆｎ ｅ ｇ ｉ ｔａｔｃ ． ｉｅ ｉ ｓ ａ ｄ ｔｅ ｃ ｏ ｅ ｅ ｆＷ ｂ ｓ ｒ ｃ ｅｅ ｓ ｓａ ａｎｓ ｔ ｋｓ ｖ ａ
Ｋｅ ｒ ｓ Ｗｅ ｅ ｉｅ ｅ ｕ ｉ ；ａｔ ｃ ；ｄ ｆｎ ｅ ｙ ｗｏ ｄ ： ｂ ｓ ｒ ｃ ；ｓ ｃ ｒ ｙ ｔ ｋ ｅｅ ｓ ｖ ｔ ａ
中 图分类 号 ：Ｔ ３ ３ ０ Ｐ０ ．８
文 献标 志码 ：Ａ
文章编 号 ：１０ — ６ ５ ２ １ ） １０ １ — ６ ０ １３ ９ （ ０ ０ Ｏ — ０ ７ ０
ｄ ｔ１ ． ９ ９ ．ｓｎ １ ０１３ ９ ２ １ ０１ ０ ５ ｏ ：０ ３ ６ ／ｉｉｓ ． ０ —６ ５． ０ ０． ． ０
ｐ ｅ ｅ ｔ ｎ ｃ ｕ ｔｒ ａ ｕ ｅ ．Ｏｎ ｔ ｅ ｂ ｓｓｏ ｕ ｒ ｎ ｅ ｅ ｒ ｈ ａ ｈ ｅ ｅ ｎ ｓ ｌｏ ｐ ｅ ｅ ｔ ｄ ａ ｄ ｓ ｕ ｓｏ ｎ ｔ ｅ ｆｔ ｒ ｅ ｅ ｒｈ ｒ ｖ ｎ ｉ ｏ ｎ ｅｍｅ ｓ ｒ ｓ ｏ ｈ ａ ｉ ｆｃ ｒｅ ｔ ｓ ａｃ ｃ ｉｖ ｍｅ ｔ ，ａｓ ｒ ｓ ｎ ｅ ｉｃ ｓ ｉｎ ｏ ｈ ｕ ｅ ｒ ｓ ａ ｃ ｒ ｕ
黄康宇 贺正求 赖海光 吴礼发 ， ， ，
（ 解放 军理 工 大学 指挥 自动化 学院 ａ 研 究生 管理 大队 ；ｂ 计 算机 系，南京 ２ ０ ０ ） ． ． １０ ７
摘
要 ：Ｗｅ 服 务在 给基 于异 构平 台的应 用 集成带 来极 大便利 的 同时 ， 自身各核 心 组件也 面 临着 恶意 攻击 的 ｂ 其
ｃｒ ｏ ｏ ｅ ｃ ｍｐｏ ｅ ｔ ｒ ａ ｅ ｔ ｈ ｅ ｔ ｆｍａｉｉ ｕ ｔａ ｋ ． Ｔ ｓｐａ ｒｄ ｔｉｅ ｌ ｎａｙ ｅ ｈ ｒｎ ｉｌ ｓａ ｄ ｃ ｒ ｃｅ ｓｉ ｓｏ ｎ ｎ ｓａ ｅｆ ｃ ｄ ｗｉ ｔｒ ａｓ ｏ ｌｃｏ ｓａ ｔｃ ｓ ｈｉ ｐｅ ｅａ ｌｄ ｙ ａ ｌｚ ｄ ｔ ｅ ｐ ｃｐ ｅ ｎ ｈａａ ｔｒ ｔｃ ｆ ｈ ｉ ｉ ｖ ｒｏ ｓｆ ｍｉｉｒａｔ ｃ ｓｏ ｉ ｇｅ Ｗ ｅ ｅｖ ｃ ｎ ｅ ｅ ｉｅ ｃ ｍｐ ｓｔｏ ａ ｉｕ ａ ｌａ ｔａ ｋ ｎ ｓｎ ｌ ｂ ｓ ｒ ｉ ｅ ａ ｄ Ｗ ｂ ｓ ｒ ｃ ｏ ｏ ｉ ｎ，ａ ｄ ｐ ｉ ｅ ｕｔｔｅ ｃ ｒｅ ｐ ｎ ｎ ｅｅ ｔｏ ｎ ｖ ｉ ｎ ｏｎｔｄ ｏ ｈ ｏｒ ｓ ｏ ｄｉｇ ｄ ｔｃｉ ｎ ａ ｄ
渗透 ； 逐步提 升权限 ； 维持访 问或拒绝 服务 ； 授权使用资 源 ； 未 清除或伪造活动轨迹 。从 这些步 骤 中可以得知攻 击者是 怎样 利用 Ｗｅ ｂ服务实现协议上 的漏洞 ， 进行准备和实施攻击 的。
１ １ Ｗｅ ． ｂ服 务 探 测攻 击
探测攻击 的 目的是 收集 Ｗｅ ｂ服务 相关信 息 ， 向 Ｗｅ 是 ｂ服
实施 攻 击 的 方 法 包 含 以下 几 个 基 本 步 骤 ： 查 Байду номын сангаас 评 估 ； 用 和 调 利
０ 引言
Ｗｅ 服务是一个软件 系统 ， ｂ 用来支持 网络上机器到机 器间 的互操作 。它建立在一组 通用的标准协议 之上 ， 有一个 清晰 的、 机器可处理的标准描述格 式。其他 系统使用该 描述 中指定 的方式与 Ｗｅ ｂ服务进行交互 ， 并使用 Ｓ Ａ Ｏ Ｐ消息格式进行通信。
Ｃ ｉａ ｈｎ ）
Ａｂ ｔ ａ ｔ ｓｒ ｃ ：Ｗ ｅ ｅｖ ｃ ｒ ａｌ ａ ｉ ｔ ｔｓ ｔ ｅ ａ ｐ ｉａｉ ｎ ｔ — ｐ ｌ ａｉ ｎ ｉ ｔｇ ａｉ ｎ ｂ ｓ ｄ ｏ ｅｅ ｏ ｅ ｅ ｕ ｌ ｔ ｒ ｂ ｓ ｒ ｉ ｅ ｇ ｅ ｔ ｆｃｌ ａｅ ｈ ｐ ｌ ｔ — ａ ｐ ｉ ｔ ｎ ｅ ｒ ｔ ａ ｅ ｎ ｈ ｔｒ ｇ ｎ ｏ ｓ ｐ ａｆ ｍ，ｂ ｔｉ ｙ ｉ ｃ ｏ ｏ ｃ ｏ ｏ ｏ ｕ ｔ ｓ
Ｒｅ ｅ ｒ ｈ ｏ ｔａ ｋ ｔ ｃ ｎ ｌ ｇ ｅ ｏ ｅ ｅ ｖ ｃ ｓ ａ ｃ ｆ ａｔ ｃ ｅ ｈ ｏ ｏ ｉ ｓ ｆ ｒＷ ｂ ｓ ｒ ｉ ｅ
ＨＵＡＮＧ ｎ ｙ ，ＨＥ ｅ ｇ— ｉ ， ＬＡＩＨａ —ｕａ ｇ Ｋａ ｇ—ｕ Ｚｈ ｎ ｑｕ ｔｇ ｎ ，Ｗ Ｕ Ｉｉｆ 』 ａ —
第２ ７卷 第 １期
２１ ０ ０年 １月
计 算 机 应 用 研 究
Ａｐ ｌ ａ ｉｎ Ｒｅ ｅ ｒ ｈ ｏ ｍｐ ｔ ｒ ｐ ｉ ｔ ｓ ａ ｃ ｆＣｏ ｕ ｅ ｓ ｃ ｏ
Ｖｏ ＿ ７ Ｎｏ １ ｌ２ ．
Ｊｎ ２ １ ａ． ００
Ｗｅ ｂ服 务 攻 击 技 术 研 究 综 述 木
（ ． ｏｔｒｄａｅＴａ ａＰ ｓ ａ ｕｔ ｅｍ，ｂ Ｄｐ．ｏ ｏ ｐ ｔｒ ｃｏｌ ｏ ａ ｄＡ ｔ ｔｎ， Ｌ ｎｖｎｔ ｃ ｎｅ＆ Ｔｃｎｌ ｙ ａ ｎ １０ ７ ｇ ｅｔ ｆ Ｃ ｍ ｕ ，Ｓｈｏ Ｃ ｍｍ ｎ ｕ ｍ ｉ Ｐ ＡＵ ｉ ｉ ｏ Ｓｉ ｃ ｅ ｆ ｏ ｏ ａ ｏ ｅ ｙｆ ｅ ｅｈｏｏ ，Ｎ ｇ２ ０ ０ ， ｇ