学位论文 > 优秀研究生学位论文题录展示

基于白名单的Web应用程序安全防护研究

作 者: 沈壮毫
导 师: 唐屹
学 校: 广州大学
专 业: 应用数学
关键词: 白名单 Web防护 安全策略
分类号: TP393.08
类 型: 硕士论文
年 份: 2013年
下 载: 30次
引 用: 0次
阅 读: 论文下载
 

内容摘要


Web应用程序是当前最流行的一类计算机软件应用程序,这个程序采用基于浏览器的语言编码,依赖于通用网页浏览器来表现执行结果。浏览器所渲染解释的网页信息可以是静态的对象,也可以是动态的脚本,这些信息可以来自不同的源。为解决来自不同源的动态脚本的访问安全问题,人们提出了同源策略,以阻止从一个源加载的脚本获取或设置另一个源加载的文档的属性。然而,攻击者可以利用应用程序中存在的跨站脚本(XSS)等安全漏洞,绕过同源策略的限制,迫使浏览器运行攻击者注入的脚本,并实施进一步的攻击。Web攻击的成功完成需要访问第三方的网站,以下载恶意代码或发送盗取的信息。针对这个特点,本文提出一类基于白名单的Web应用安全防护策略WhiteDomain。其基本想法是用户Alice信任所访问的站点Bob,这类信任不仅仅是指Bob所提供的服务,也指相信对Bob的访问不会威胁到Alice本身节点的安全。而Web攻击者为达到通过Bob攻击Alice的目的,将利用Bob上的Web应用程序漏洞,注入攻击脚本,迫使Alice的浏览器访问第三方的网站。如果网站Bob能够向用户Alice提供其认可的白名单站点,则可以限制浏览器只能访问这些站点,使浏览器在渲染页面时,先加载服务器端的白名单,并根据白名单阻止恶意内容被渲染,切断Web应用程序与第三方恶意服务器的通信,从而达到阻止攻击的目的,加大了拦截恶意代码嵌入的有效性,通过浏览器插件的形式来实现策略,提高了该策略在实际应用中的扩展性。

全文目录


摘要  5-6
Abstract  6-11
第一章 绪论  11-16
  1.1 研究意义  11-12
  1.2 Web 应用程序安全防护方式  12-13
  1.3 国内外的研究现状和发展趋势  13-15
  1.4 本文的组织结构  15-16
第二章 Web 应用程序通信与威胁  16-39
  2.1 同源策略  16-20
    2.1.1 统一资源定位符(Uniform Resource Locator, URL)  16-17
    2.1.2 同源策略概念说明  17-19
    2.1.3 利用同源策略进行攻击  19-20
  2.2 浏览器架构渲染过程  20-24
    2.2.1 概述  20-21
    2.2.2 文档对象模型(Document Object Model, DOM)概述  21-23
    2.2.3 Firefox 浏览器的页面渲染过程  23-24
  2.3 HTTP/HTTPS 协议  24-30
    2.3.1 HTTP 协议概述  24-26
    2.3.2 HTTP 协议与 Web 通信  26-30
  2.4 XSS 攻击  30-33
    2.4.1 反射型 XSS 攻击  30-31
    2.4.2 存储型 XSS 攻击  31-32
    2.4.3 基于 DOM 的 XSS 攻击  32-33
  2.5 网页木马  33-38
    2.5.1 网页木马概述  33-34
    2.5.2 网页木马隐藏技术  34-38
  2.6 本章小结  38-39
第三章 白名单策略的设计与实现  39-44
  3.1 白名单描述  39
  3.2 通信过程  39-40
  3.3 白名单策略算法的设计  40-42
  3.4 插件实现  42-43
  3.5 本章小结  43-44
第四章 实验与讨论  44-48
  4.1 实验环境  44
  4.2 实验过程与结果分析  44-47
  4.3 本章小结  47-48
第五章 总结与展望  48-50
  5.1 总结  48-49
  5.2 未来工作展望  49-50
参考文献  50-53
附录 1 实现白名单策略的关键代码  53-57
攻读硕士学位期间发表学术论文  57-58
致谢  58

相似论文

  1. 电子政务网络安全分析与防范策略的研究,TP393.08
  2. 网络流量清洗系统的设计与实现,TP393.08
  3. 郑州联通办公自动化网络安全防护策略探讨,TP393.08
  4. 基于驾驶心理的高速公路隧道安全策略研究,U491.254
  5. 斯特林发动机燃油系统控制装置失效安全策略研究,TK403
  6. 电子政务中安全公文系统的研究与设计,TP393.08
  7. 分布式拒绝服务攻击防御若干关键技术研究,TP393.08
  8. 白名单主动防御系统的设计与实现,TP393.08
  9. 基于安全策略的校园网组建,TP393.18
  10. 基于自动白名单的个人数字身份保护技术研究,TP393.08
  11. 垃圾邮件处理模型的研究与应用,TP393.098
  12. XX企业网络安全分析与实现,TP393.18
  13. “数字湖工”校园网中安全策略的设计与实现,TP393.18
  14. 网络环境下白名单子系统的设计与实现,TP393.08
  15. 数字化校园中一卡通建设的研究与实现,TP273.5
  16. 诈骗短信查杀仿真器研究与实现,TP391.1
  17. 武威职业学院校园网安全策略分析与研究,TP393.18
  18. 网络安全评测信息系统的开发与应用,TP393.08
  19. 校园一卡通系统服务器数据库安全策略研究与设计,TP393.18
  20. 基于JXTA平台的视频会议的研究与实现,TN948.63
  21. 蜜罐技术在校园网安全机制中的应用研究,TP393.18

中图分类: > 工业技术 > 自动化技术、计算机技术 > 计算技术、计算机技术 > 计算机的应用 > 计算机网络 > 一般性问题 > 计算机网络安全
© 2012 www.xueweilunwen.com