基于web漏洞掃描及分析系統(tǒng)設(shè)計(jì)

摘 要
隨著信息技術(shù)的發(fā)展和網(wǎng)絡(luò)應(yīng)用在我國(guó)的普及，針對(duì)我國(guó)境內(nèi)信息系統(tǒng)的惡意網(wǎng)絡(luò)攻擊也越來(lái)越多，并且隨著黑客攻擊技術(shù)的不斷地更新，網(wǎng)絡(luò)犯罪行為變得越來(lái)越難以應(yīng)對(duì)，用戶日常訪問(wèn)的網(wǎng)站是否安全對(duì)于普通網(wǎng)民而言難以辨別，保護(hù)人民不受不法侵害也是難上加難。如何識(shí)別網(wǎng)站的潛在危險(xiǎn)性，以及網(wǎng)站出現(xiàn)安全性問(wèn)題該如何防御，盡可能減少網(wǎng)站被攻擊后造成的實(shí)際損失，是目前迫切需要解決的難題。
本文使用VMware虛擬機(jī)技術(shù)模擬真實(shí)的網(wǎng)絡(luò)環(huán)境，使用滲透測(cè)試技術(shù)對(duì)模擬網(wǎng)絡(luò)進(jìn)行薄弱點(diǎn)測(cè)試信息收集、攻擊測(cè)試等，再現(xiàn)了滲透測(cè)試的重要流程和技術(shù)方法。在對(duì)目標(biāo)主機(jī)實(shí)施滲透測(cè)試時(shí)，會(huì)從系統(tǒng)層面和Web層面兩個(gè)維度進(jìn)行測(cè)試，掃描出存在的漏洞，根據(jù)網(wǎng)站源碼分析導(dǎo)致漏洞的原因，給出應(yīng)對(duì)普遍性問(wèn)題的解決辦法。本課題參考現(xiàn)有的PTES滲透測(cè)試執(zhí)行標(biāo)準(zhǔn)，對(duì)真實(shí)的案例進(jìn)行滲透測(cè)試，使最終得到的研究結(jié)果在實(shí)際中能夠得以應(yīng)用。
除此之外，本課題使用python語(yǔ)言設(shè)計(jì)實(shí)現(xiàn)適用于普通網(wǎng)民的SQL漏洞掃描工具。該工具會(huì)幫助用戶測(cè)試目標(biāo)網(wǎng)站安全性，并會(huì)根據(jù)掃描結(jié)果給出適合用戶的安全提示,重點(diǎn)是SQL注入漏洞的提示。SQL注入檢測(cè)工具讓普通人能夠在上網(wǎng)時(shí)進(jìn)行主動(dòng)防御，這對(duì)國(guó)家網(wǎng)絡(luò)安全建設(shè)有著非常重要的意義。
關(guān)鍵詞： Web安全；SQL注入；網(wǎng)絡(luò)安全；漏洞掃描。
?
Research and implementation of injection vulnerability scanning tool and protection method based on Web penetration technology

Abstract
With the development of information technology and the popularization of network applications in China, there are more and more malicious network attacks against China's information systems. With the continuous updating of hacker attack technology, cyber crimes become more and more difficult to deal with. Whether the Websites users visit daily are safe or not is difficult for ordinary Internet users to distinguish, and it is even more difficult to protect people from illegal infringement. How to identify the potential danger of the Website and reduce the actual loss caused by the attack is an urgent problem to be solved
This paper will use VMware virtual machine technology to build a simulated company's network environment, use penetration testing technology to collect weak point test information and attack testing on the simulated network, and reproduce the important processes and technical methods of penetration testing. When performing penetration testing on the target host, it is tested from the two dimensions of system level and Web level, scans for existing vulnerabilities, analyzes the causes of vulnerabilities according to the Website source code, and gives solutions to common problems. This project refers to the existing PTES penetration testing implementation standards, and conducts penetration testing on real cases, so that the final research results can be applied in practice.
In addition, this topic uses Python language to design and implement SQL vulnerability scanning tool suitable for ordinary Internet users. The tool will help users test the security of the target Website and give security tips suitable for users according to the scanning results, focusing on the tips of SQL injection vulnerabilities. SQL injection detection tool enables ordinary people to take the initiative to defend when surfing the Internet, which is of great significance to the construction of national network security.
Key words: Web security；SQL injection；network security；vulnerability scanning.
目錄
基于web漏洞掃描及分析系統(tǒng)設(shè)計(jì)
摘 要
Abstract
1、緒論
1.1 研究背景
1.2 研究現(xiàn)狀
1.3 研究目的與內(nèi)容
1.4 設(shè)計(jì)目標(biāo)及論文結(jié)構(gòu)
2、滲透測(cè)試概要及流程
2.1 PTES滲透測(cè)試標(biāo)準(zhǔn)
2.1.1 PTES滲透測(cè)試流程
2.1.2 PTES 標(biāo)準(zhǔn)的缺陷
2.2 定制化滲透測(cè)試流程
2.3本章小結(jié)
3、測(cè)試實(shí)驗(yàn)環(huán)境搭建
3.1測(cè)試目標(biāo)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)
3.2 測(cè)試目標(biāo)網(wǎng)絡(luò)配置
3.3 測(cè)試主機(jī)及測(cè)試工具
3.3.1 Kali Linux概述
3.3.2 Windows 概述
3.3.3測(cè)試工具M(jìn)etasploit Framework
3.3.4測(cè)試工具 Nmap
3.3.5其他測(cè)試工具
3.4 測(cè)試目標(biāo)主機(jī)概述
3.4.1 Windows server2008 靶機(jī)
3.5本章小結(jié)
4、系統(tǒng)漏洞研究
4.1系統(tǒng)漏洞現(xiàn)狀及攻擊態(tài)勢(shì)
4.2掃描活躍主機(jī)
4.2.1掃描目標(biāo)主機(jī)
4.2.2其他探測(cè)結(jié)果
4.3 系統(tǒng)漏洞測(cè)試
4.3.1 系統(tǒng)漏洞復(fù)現(xiàn)
4.3.2 分析測(cè)試結(jié)果
4.4 本章小結(jié)
5、Web漏洞研究
5.1 Web安全現(xiàn)狀
5.2 SQL注入漏洞概述
5.3 SQL注入漏洞復(fù)現(xiàn)過(guò)程
5.3.1 SQL注入漏洞產(chǎn)生原因分析
5.3.2 漏洞修復(fù)建議
5.4 本章小結(jié)
6、SQL注入漏洞檢測(cè)工具
6.1 現(xiàn)狀分析
6.2 功能需求分析
6.3 總體設(shè)計(jì)
6.4 模塊設(shè)計(jì)與實(shí)現(xiàn)
6.4.1 用戶輸入模塊
6.4.3 報(bào)告模塊
6.4.4 掃描結(jié)果分析
6.5 功能測(cè)試及其他測(cè)試
6.6 本章小結(jié)
7、總結(jié)
參考文獻(xiàn)
附 錄
致 謝
?
1、緒論
1.1 研究背景
隨著互聯(lián)網(wǎng)的快速普及，為了業(yè)務(wù)的方便快捷，各行各業(yè)都相繼把重要的信息類業(yè)務(wù)搬到了網(wǎng)絡(luò)上。因此信息網(wǎng)絡(luò)安全與各行各業(yè)的關(guān)系越發(fā)緊密，所以保障網(wǎng)絡(luò)運(yùn)行穩(wěn)定和安全也是在保護(hù)各大行業(yè)甚至國(guó)家的穩(wěn)定運(yùn)行。隨著近些年來(lái)一些駭人聽(tīng)聞的網(wǎng)絡(luò)安全事件的發(fā)生，各行各業(yè)都開(kāi)始關(guān)注網(wǎng)絡(luò)安全問(wèn)題，尤其是規(guī)模較大的公司和企業(yè)以及政府的相關(guān)機(jī)構(gòu)，網(wǎng)絡(luò)安全成為了重中之重。
在一般情況下，開(kāi)發(fā)人員會(huì)根據(jù)安全開(kāi)發(fā)需求進(jìn)行相應(yīng)的應(yīng)用開(kāi)發(fā)，然而在開(kāi)發(fā)時(shí)難免會(huì)出現(xiàn)考慮不在周全的現(xiàn)象，或者對(duì)于開(kāi)發(fā)人員缺乏安全相關(guān)的培訓(xùn)，導(dǎo)致在開(kāi)發(fā)時(shí)期察覺(jué)不到漏洞的存在，所以經(jīng)常會(huì)在應(yīng)用上線之后，漏洞被不法分子利用的情況發(fā)生。同時(shí)也會(huì)造成一系列難以彌補(bǔ)的損失。
科技在發(fā)展，滲透技術(shù)也在不斷升級(jí)，更新的漏洞利用技術(shù)以及更新的惡意代碼編制技術(shù)，都讓計(jì)算機(jī)系統(tǒng)時(shí)時(shí)刻刻面臨著被攻擊的可能性?，F(xiàn)如今，隨著自動(dòng)化測(cè)試工具的普及，在實(shí)施網(wǎng)絡(luò)滲透時(shí)，攻擊者只需要找出計(jì)算機(jī)系統(tǒng)的一個(gè)不起眼的漏洞，然后使用相應(yīng)的自動(dòng)化工具加以利用就可以上傳惡意代碼[5]，然而這些不起眼的漏洞就會(huì)導(dǎo)致整個(gè)計(jì)算機(jī)系統(tǒng)陷入危險(xiǎn)的境地。
網(wǎng)站數(shù)據(jù)泄露事件頻發(fā)的今天，數(shù)據(jù)泄露事件最大的受害者最終還是普通網(wǎng)民。一些網(wǎng)站疏于管理[1]，頁(yè)面存在大量的不安全漏洞，作為普通人上網(wǎng)時(shí)難以辨別，所以本課題將設(shè)計(jì)并實(shí)現(xiàn)適用于普通網(wǎng)民的頁(yè)面簡(jiǎn)潔、操作方便的SQL注入漏洞掃描工具，在上網(wǎng)時(shí)遇到需要采集重要信息的頁(yè)面，用SQL注入掃描工具可以確定網(wǎng)站頁(yè)面的安全性，判斷是否存在容易被利用的SQL注入漏洞，能夠在一定程度上保護(hù)人民信息財(cái)產(chǎn)的安全。這對(duì)國(guó)家信息安全的建設(shè)有著非常重要的意義。

1.2 研究現(xiàn)狀
互聯(lián)網(wǎng)時(shí)代，眾多企業(yè)都會(huì)利用Web站點(diǎn)對(duì)外提供電子商務(wù)、電子政務(wù)、在線支付等服務(wù)。隨著企業(yè)服務(wù)的多樣化，龐大的計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)往往漏洞百出，不法分子進(jìn)程會(huì)利用Web應(yīng)用存在的漏洞進(jìn)行非法獲利。
目前，眾多互聯(lián)網(wǎng)安全廠商都推出了自己的網(wǎng)絡(luò)安全設(shè)備，比如綠盟科技的漏洞掃描系統(tǒng)、天融信的防火墻設(shè)備、啟明星辰的入侵防御系統(tǒng)。這些設(shè)備都能夠?qū)δ壳邦l發(fā)的不安全漏洞進(jìn)行掃描或者修補(bǔ)。因?yàn)閷?duì)應(yīng)的漏洞必須在被發(fā)現(xiàn)并且研究過(guò)后，開(kāi)發(fā)出對(duì)應(yīng)的防御插件，還要及時(shí)更新到各設(shè)備上才能對(duì)受保護(hù)的網(wǎng)絡(luò)系統(tǒng)進(jìn)行對(duì)應(yīng)的掃描或者防御。這個(gè)過(guò)程中包括對(duì)漏洞的發(fā)現(xiàn)、研究、設(shè)計(jì)開(kāi)發(fā)插件、測(cè)試、發(fā)布更新[6]。這整個(gè)流程需要耗費(fèi)大量的時(shí)間，經(jīng)常是數(shù)周或者數(shù)月。然而，當(dāng)一個(gè)漏洞被發(fā)現(xiàn)時(shí)，它已經(jīng)是被不法分子利用過(guò)的，而且該漏洞的覆蓋面也是相當(dāng)廣泛的，比如最近爆出的log4j中的第五個(gè)安全漏洞CVE-2021-44832，它影響日志庫(kù)的所有版本，從 2.0-alpha7 到 2.17.0，2.3.2 和 2.12.4 除外。所以在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中部署過(guò)對(duì)應(yīng)的安全設(shè)備后，也會(huì)被黑客繞過(guò)或者利用0day漏洞進(jìn)行攻擊。所以針對(duì)漏洞的被動(dòng)防御往往存在滯后性。
目前網(wǎng)絡(luò)安全問(wèn)題主要集中在黑客攻擊、應(yīng)用軟件漏洞和企業(yè)缺乏規(guī)范化管理。不法分子將木馬程序或者病毒通過(guò)信息網(wǎng)絡(luò)中存在的漏洞通過(guò)互聯(lián)網(wǎng)的通訊數(shù)據(jù)傳送到攻擊目標(biāo)服務(wù)器中達(dá)到犯罪目的。信息系統(tǒng)中應(yīng)用軟件作為企業(yè)對(duì)外提供服務(wù)的主體，隨著業(yè)務(wù)的拓展升級(jí)，計(jì)算機(jī)系統(tǒng)上集成的應(yīng)用軟件越來(lái)越多元化，各應(yīng)用軟件的漏洞共同成為了整個(gè)信息系統(tǒng)的漏洞，無(wú)論哪個(gè)應(yīng)用的都有可能導(dǎo)致整個(gè)系統(tǒng)的癱瘓。當(dāng)計(jì)算機(jī)系統(tǒng)的運(yùn)維管理人員缺乏規(guī)范性的管理也是信息系統(tǒng)的不安全因素之一。
為了保障計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的相對(duì)安全和應(yīng)對(duì)國(guó)家相關(guān)法律的規(guī)定，企業(yè)會(huì)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)實(shí)施模擬黑客攻擊的滲透測(cè)試來(lái)評(píng)估計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)的安全性，測(cè)試人員通過(guò)標(biāo)準(zhǔn)的滲透測(cè)試流程對(duì)目標(biāo)網(wǎng)絡(luò)進(jìn)行滲透。最終給被測(cè)單位提供記錄系統(tǒng)中存在安全問(wèn)題的滲透測(cè)試報(bào)告。
在互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全形勢(shì)日益嚴(yán)峻的今天，眾多學(xué)者都在研究Web安全，比如蒲石對(duì)于SQL注入漏洞和XSS漏洞的形成原因和漏洞的驗(yàn)證方法的研究[30]、鄭雷雷等人對(duì)Web應(yīng)用常見(jiàn)的安全漏洞和測(cè)試方法的研究[31]、田偉提出了模型驅(qū)動(dòng)的SQL注入滲透測(cè)試方法[32]，能夠提高對(duì)Web應(yīng)用進(jìn)行SQL注入的安全漏洞測(cè)試的準(zhǔn)確性等等。通過(guò)這些學(xué)者的研究，發(fā)現(xiàn)以往的研究通常是集中于已經(jīng)公布的高危漏洞的發(fā)現(xiàn)和防范[33]。以往對(duì)于滲透測(cè)試流程的研究往往是對(duì)滲透測(cè)試流程中的某一個(gè)步驟進(jìn)行深入研究，對(duì)于整體的介紹相對(duì)較少，也沒(méi)有對(duì)于滲透測(cè)試流程實(shí)施過(guò)后整體的效果進(jìn)行分析研究。
對(duì)于自動(dòng)化滲透測(cè)試工具的研究，研究人員的目標(biāo)一般是開(kāi)發(fā)出安全有效的滲透測(cè)試工具，以提高測(cè)試的效率和準(zhǔn)確性，達(dá)到降低成本的目的。目前比較成熟的滲透測(cè)試工具有CoreImpact和Metasploit Framwork，這些工具為測(cè)試人員提供了極大的便利，但同時(shí)也會(huì)成為黑客的有力武器。

1.3 研究目的與內(nèi)容
基于規(guī)范化的安全開(kāi)發(fā)，不免在開(kāi)發(fā)結(jié)束后或者產(chǎn)品交付后會(huì)遇到一些邏輯上的，或者變量處理不全面等漏洞，為了使計(jì)算機(jī)系統(tǒng)相對(duì)比較安全，所以廠商一般會(huì)對(duì)自家的產(chǎn)品或者自家的計(jì)算機(jī)信息系統(tǒng)進(jìn)行滲透測(cè)試，即模擬黑客攻擊，以攻擊者的視角對(duì)計(jì)算機(jī)信息系統(tǒng)的安全性進(jìn)行較為全面的評(píng)估，從攻擊者的角度對(duì)計(jì)算機(jī)系統(tǒng)的任何弱點(diǎn)、技術(shù)缺陷或者針對(duì)漏洞的主動(dòng)分析，這樣可以發(fā)現(xiàn)并消除大多數(shù)的漏洞，使得計(jì)算機(jī)信息系統(tǒng)在今后的使用中出現(xiàn)安全問(wèn)題的可能性大大降低。這也能提高所有相關(guān)人士的網(wǎng)絡(luò)安全防護(hù)意識(shí)，也能對(duì)企業(yè)或組織的信息系統(tǒng)安全做出深入且具體的安全風(fēng)險(xiǎn)評(píng)估。
本課題將會(huì)在VMware虛擬機(jī)上搭建模擬公司的網(wǎng)絡(luò)環(huán)境，參考現(xiàn)有的滲透測(cè)試流程，設(shè)計(jì)出適合本次研究的測(cè)試流程，使用滲透測(cè)試技術(shù)對(duì)目標(biāo)靶機(jī)進(jìn)行信息收集、漏洞掃描、漏洞測(cè)試及利用。在測(cè)試過(guò)程中，會(huì)用到現(xiàn)如今滲透測(cè)試人員在實(shí)施項(xiàng)目時(shí)經(jīng)常使用的掃描工具進(jìn)行測(cè)試，一方面是因?yàn)槭褂脻B透測(cè)試工具會(huì)大大提高測(cè)試的效率和準(zhǔn)確性，另一方面為達(dá)到盡可能貼合現(xiàn)實(shí)，使研究出的成果能夠高效的應(yīng)用于現(xiàn)實(shí)的目的。

1.4 設(shè)計(jì)目標(biāo)及論文結(jié)構(gòu)
本論文中，將使用VMware搭建漏洞測(cè)試需要用到的靶機(jī)以及kali Linux攻擊計(jì)算機(jī)。課題整體是通過(guò)系統(tǒng)漏洞和Web漏洞兩個(gè)方面針對(duì)靶機(jī)進(jìn)行滲透測(cè)試，并且通過(guò)對(duì)靶機(jī)存在的漏洞進(jìn)行研究，得出漏洞的形成原因、防御方法和手段以及滲透測(cè)試的實(shí)施流程進(jìn)行研究，將通過(guò)研究個(gè)別已存在的實(shí)例，挖掘上面的漏洞，研究分析網(wǎng)站源碼，總給出能夠解決一類問(wèn)題的通性防御方法，這對(duì)于網(wǎng)絡(luò)安全的防護(hù)有著實(shí)際的意義。
第一章中，整體是為了理清并分析當(dāng)前網(wǎng)絡(luò)安全行業(yè)的現(xiàn)狀以及國(guó)家乃至全世界面臨的共同問(wèn)題，從中剖析出本課題的研究?jī)r(jià)值。
第二章，根據(jù)實(shí)際的需求，區(qū)分實(shí)驗(yàn)與現(xiàn)實(shí)，根據(jù)不同的滲透測(cè)試目標(biāo)，定制符合需求的滲透測(cè)試流程，根據(jù)實(shí)驗(yàn)的深究性和實(shí)際的嚴(yán)謹(jǐn)性分別設(shè)計(jì)符合要求的滲透測(cè)試流程，針對(duì)不同步驟適當(dāng)進(jìn)行增加或精簡(jiǎn)。
第三章，本章主要會(huì)根據(jù)本課題中的漏洞研究涉及到的內(nèi)容在VMware上搭建符合需求的虛擬測(cè)試環(huán)境，并且還會(huì)對(duì)實(shí)驗(yàn)中用到的系統(tǒng)、工具和網(wǎng)絡(luò)環(huán)境等基本情況加以說(shuō)明，對(duì)靶機(jī)的Web服務(wù)部署情況和漏洞檢測(cè)工具的使用情況以及其在現(xiàn)實(shí)中的應(yīng)用廣度都會(huì)加以說(shuō)明，以求實(shí)驗(yàn)達(dá)到映射實(shí)際的標(biāo)準(zhǔn)。
第四章，根據(jù)第二章制定的滲透測(cè)試流程從信息搜集階段對(duì)目標(biāo)主機(jī)系統(tǒng)進(jìn)行黑盒測(cè)試，也會(huì)分析實(shí)驗(yàn)與現(xiàn)實(shí)的異同點(diǎn)，力求實(shí)驗(yàn)做得嚴(yán)謹(jǐn)，結(jié)果符合實(shí)際。
第五章，本章會(huì)通過(guò)對(duì)現(xiàn)實(shí)網(wǎng)絡(luò)環(huán)境以及網(wǎng)絡(luò)安全事件的具體內(nèi)容進(jìn)行分析、推理，找出威脅性最高、發(fā)生最頻繁的Web漏洞進(jìn)行研究，并在虛擬靶機(jī)上進(jìn)行滲透測(cè)試，秉承著從無(wú)到有的合理發(fā)展原則，通過(guò)一步一步的推理、測(cè)試，找出漏洞、利用漏洞、研究漏洞最后給出解決這類問(wèn)題的通用化方案。
第六章，經(jīng)過(guò)調(diào)查，在過(guò)去幾年內(nèi)，網(wǎng)絡(luò)詐騙的事件時(shí)常發(fā)生，罪犯?jìng)兡軌驅(qū)κ芎φ叩男畔⒄莆盏募捌湓敿?xì)，其中大部分的數(shù)據(jù)來(lái)源竟然是網(wǎng)絡(luò)攻擊。眾所周知，作為一個(gè)Web應(yīng)用網(wǎng)站，其內(nèi)部的用戶數(shù)據(jù)通常都保存在后臺(tái)的數(shù)據(jù)庫(kù)中。然而，許多公共網(wǎng)站運(yùn)營(yíng)者的不負(fù)責(zé)任，對(duì)于已知的漏洞不及時(shí)修復(fù)，總是想著能用就行，這就導(dǎo)致了犯罪分子利用漏洞盜取公民信息的惡性事件發(fā)生。從而引發(fā)了一系列悲劇的產(chǎn)生。所以，在本課題中設(shè)計(jì)并開(kāi)發(fā)了針對(duì)SQL注入漏洞進(jìn)行檢測(cè)的輕量化掃描工具。能夠讓非專業(yè)的普通人擁有判斷網(wǎng)站是否安全，是否可信的能力。開(kāi)發(fā)SQL漏洞掃描工具的原則為：簡(jiǎn)單易用、掃描精準(zhǔn)、提供安全上網(wǎng)建議。
第七章，本章會(huì)對(duì)整個(gè)課題研究的全過(guò)程進(jìn)行總結(jié)，闡述自己的觀點(diǎn)以及課題的研究成果。針對(duì)課題研究過(guò)程中遇到的問(wèn)題進(jìn)行總結(jié)和分析，為后續(xù)的學(xué)習(xí)計(jì)劃指明方向。?

?

?文章來(lái)源地址http://www.zghlxwxcb.cn/news/detail-487936.html

到了這里，關(guān)于基于web漏洞掃描及分析系統(tǒng)設(shè)計(jì)_kaic的文章就介紹完了。如果您還想了解更多內(nèi)容，請(qǐng)?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！