基于 ASP點NET 的 Web 安全性評估、設計與實現(xiàn)-舜答辯PPT資料

1、 1基于 ASP.NET 的 Web 安全性評估(pn )、設計與實現(xiàn) 指導教師姓名： 學 科 專 業(yè) 名 稱：軟件工程(run jin n chn)學 生 所 屬 學 院：軟件學院論 文 答 辯 日 期：2014年6月共二十一頁華南理工大學本科(bnk)學位論文2華南理工大學本科(bnk)學位論文論文背景 2014年4月，名為“心臟出血”的重大安全漏洞被曝光。2013年8月，國內(nèi)大批快捷酒店訂房記錄被泄漏。 2012年9月，鐵道部訂票網(wǎng)站被傳出存在大量高危險的漏洞。2011年12月，CSDN的安全系統(tǒng)遭受黑客攻擊，600萬的用戶信息被泄漏。. 如何正確的評估上線網(wǎng)站的安全性，設計針對網(wǎng)站合理

2、的安全策略戰(zhàn)術的重要性實在不言而喻。共二十一頁華南理工大學本科學位(xuwi)論文3華南理工大學本科(bnk)學位論文論文框架 緒論 OWASP top 10漏洞檢測 OWASP風險評估 ATAM權衡分析 安全戰(zhàn)術設計 戰(zhàn)術模擬檢測共二十一頁華南理工大學本科學位(xuwi)論文4華南理工大學本科(bnk)學位論文發(fā)現(xiàn)漏洞1）網(wǎng)站簡介 數(shù)字創(chuàng)新加油站是一個集信息發(fā)布和項目管理于一體的網(wǎng)站共二十一頁華南理工大學本科學位(xuwi)論文5華南理工大學本科學位(xuwi)論文發(fā)現(xiàn)漏洞2） 工具說明 HP WebInspect是一款易用、精確的Web應用安全評估軟件。 NetSparker一款綜合型的時

3、刻更新web應用安全漏洞掃描工具。3） OWASP （Open Web Application Security Project）是一個提供有關計算機和互聯(lián)網(wǎng)應用程序的公正的信息組織，該組織提供的OWASP top10 （Web應用十大風險）是基于OWASP所調(diào)查的上百個公司數(shù)千個應用中發(fā)現(xiàn)的超過約50萬個漏洞總結得出的。共二十一頁華南理工大學本科(bnk)學位論文6華南理工大學本科(bnk)學位論文分析漏洞A1 注入 Injection 該網(wǎng)站存在的注入問題主要為SQL注入。 程序把用戶輸入的一部分字符串直接用在了sql語句的拼接上，導致了用戶可以控制sql語句，比如加入非法行為（delet

4、e等）、繞過用戶或密碼驗證等） 例如 String query = SELECT * FROM Details WHERE Did= + request.getParameter(id) +; 如果攻擊者在瀏覽器上修改id參數(shù)，url?id= or 1=1 ，那么查詢的意義就會被改變，將返回數(shù)據(jù)庫所有Details數(shù)據(jù)，而不僅僅是指定id的數(shù)據(jù)。共二十一頁華南理工大學本科(bnk)學位論文7華南理工大學本科學位(xuwi)論文分析漏洞 在登錄界面，輸入從未使用的登錄名Smith，輸入密碼ORns=ns共二十一頁華南理工大學本科學位(xuwi)論文8華南理工大學本科(bnk)學位論文分析漏洞 該

5、用戶已被鎖定，即從未注冊和使用的賬戶在參數(shù)設定后成為了擁有賬戶的狀態(tài)，SQL注入問題存在共二十一頁華南理工大學本科(bnk)學位論文9華南理工大學本科(bnk)學位論文風險評估 SQL注入問題1 攻擊者因素 漏洞因素技能要求成功攻擊后帶來的收益所需權限，機會或成本所需角色攻擊者發(fā)現(xiàn)該漏洞的難度利用該漏洞的難度該漏洞流行程度攻擊者入侵被察覺的可能性初級技術能力可能有回報無需成本和權限 匿名互聯(lián)網(wǎng)用戶 容易 可利用自動化測試工具眾所周知沒有日志記錄 3 4 9 9 7 9 9 9 （3+4+9+9+7+9+9+9）/8 =7.375（高） 漏洞被利用的可能性分析共二十一頁華南理工大學本科(bnk)

6、學位論文10華南理工大學本科(bnk)學位論文風險評估 SQL注入問題1 漏洞影響后果分析 技術影響 業(yè)務影響損失其保密性損失其完整性損失其可用性損失其問責性財產(chǎn)方面損失名譽損失帶來影響的不合規(guī)操作程度隱私侵犯少量非敏感信息泄露 少量數(shù)據(jù)遭破壞 少量非重要服務遭中斷 完全匿名 小于修復漏洞成本 很小的損失 明顯的違反 非常少人信息泄漏 2 1 1 9 1 1 5 1 （2+1+1+9+1+1+5+1）/8=2.625（低） 風險嚴重程度 漏洞影響 中等 漏洞被利用可能性風險嚴重程度共二十一頁華南理工大學本科學位(xuwi)論文11華南理工大學本科學位(xuwi)論文 在對自動工具不方便檢測的部

7、分進行手動功能性檢測之后，對所有漏洞進行風險評估，分析評估結果，發(fā)現(xiàn)網(wǎng)站漏洞基本屬于常見而又危險的，逐一修復會非常麻煩，且可能引發(fā)深層原因，于是深度分析，猜想：網(wǎng)站的軟件結構無法滿足網(wǎng)站安全性需求，所以進行ATAM權衡分析驗證猜想。ATAM Architecture Tradeoff Analysis Method(構架權衡分析方法），這是評價應用的軟件架構的一種綜合性方法分為四個階段和9個步驟。 階段 活動 參與人員 時間 0 關系和準備項目決策人，評估小組負責人 2 1 部分評估評估小組，項目決策人 1 2 全體評估涉眾和評估小組 2 3 后續(xù)評估小組和客戶 1共二十一頁華南理工大學本科學

8、位(xuwi)論文12華南理工大學本科(bnk)學位論文第1階段 第5步 屬性效用樹 質(zhì)量屬性 屬性求精 場景 易用性 頁面導航網(wǎng)站游客可以很快的發(fā)現(xiàn)需要了解信息的界面跳轉(zhuǎn)（M,L）A1 操作易用網(wǎng)站用戶可以迅速找到文檔管理界面對項目進行管理（H,L）A2網(wǎng)站管理員可以便捷的進行網(wǎng)站管理方面的工作（H,L）A3 安全性 身份認證對進行登錄的用戶進行賬號和密碼驗證（H,M）A4 授權對獲得權限的用戶允許相應的操作（管理員權限或者項目經(jīng)理權限）（H，M）A5 機密性客戶的資料和網(wǎng)站數(shù)據(jù)不可被非法請求訪問到（H，H）A6完整性當數(shù)據(jù)被訪問的時候，必須保證數(shù)據(jù)庫內(nèi)的數(shù)據(jù)及顯示的內(nèi)容是完整的（H，H）A

9、7 不可否認性用戶對項目管理的操作（甚至管理員的操作）會留有記錄（H，M）A8 高效性 等待時間用戶在項目管理操作的時候，刪除下載類操作必須立即響應（1s內(nèi)），上傳操作的時候則需時刻反應上傳進度，管理員網(wǎng)站管理時提交的操作也必須立即響應（M，M）A9 可維護性（可修改性） 網(wǎng)站管理為了方便信息發(fā)布，系統(tǒng)必須為管理員提供后臺管理界面可對網(wǎng)站發(fā)布的信息進行修改（M，H）A10共二十一頁華南理工大學本科(bnk)學位論文13華南理工大學本科學位(xuwi)論文場景號：A6場景：客戶的資料和網(wǎng)站數(shù)據(jù)不可被非法請求訪問到屬性安全性環(huán)境運行時的機密性刺激非法請求提交訪問網(wǎng)站數(shù)據(jù)庫數(shù)據(jù)響應非法請求被禁止架構

10、決策敏感點 權衡點 有風險決策無風險決策身份認證S1 N1ASP.NETS2T1R1 推理 認證機制不失為一種保護機密性的有效措施，但是網(wǎng)站存在的缺少功能層面的訪問控制會使網(wǎng)站機密性存在風險架構圖共二十一頁華南理工大學本科學位(xuwi)論文14華南理工大學本科學位(xuwi)論文戰(zhàn)術設計確認第三章的猜想，從而設計完善的安全戰(zhàn)術，首先網(wǎng)站存在的安全問題如下。sql注入問題管理員界面管理網(wǎng)站或者用戶管理文檔的時候存在不安全的對象直接引用需要解決參數(shù)編碼解碼問題功能級別訪問控制缺失 用戶登錄傳輸問題https防范XSS攻擊可對客戶輸入的數(shù)據(jù)類型和長度進行嚴格驗證一些不符合安全需求的控件或方法關閉C

11、SRF漏洞 修復上傳重復問題攻擊或非法操作中修復的安全戰(zhàn)術：監(jiān)控用戶（和管理員）操作，增加日志審計模塊。另外建立項目文檔管理機制。身份多重邏輯修復，還有高峰訪問處理共二十一頁華南理工大學本科學位(xuwi)論文15華南理工大學本科學位(xuwi)論文安全架構設計與實現(xiàn)使用ASP.Net MVC+Spring.Net 進行網(wǎng)站重構共二十一頁華南理工大學本科學位(xuwi)論文16華南理工大學本科學位(xuwi)論文利用AOP思想 添加系統(tǒng)日志模塊。加入通知器和攔截類。修復其他漏洞，包括關閉不安全的控件和http方法，使用https傳輸和數(shù)據(jù)庫連接池，加入XSS過濾方法，SQL參數(shù)化等等共二十一頁

12、華南理工大學本科學位(xuwi)論文17華南理工大學本科學位(xuwi)論文戰(zhàn)術檢測1）MVC檢測 對簡單的MVC網(wǎng)站進行檢測，驗證其可以解決功能性訪問控制缺失問題共二十一頁華南理工大學本科(bnk)學位論文18華南理工大學本科(bnk)學位論文2） 在原網(wǎng)站代碼上安照安全戰(zhàn)術進行非重構部分的修改，檢測結果 原有的一些漏洞（如安全配置錯誤autocomplete控件等）被修復了，在新檢測的結果中，可能存在的參數(shù)緩沖區(qū)問題可以設置過濾器來解決，其他的漏洞，則根據(jù)需要再討論決定是否修復和使用何種方案修復。共二十一頁華南理工大學本科(bnk)學位論文19華南理工大學本科(bnk)學位論文3） Tow

13、er檢測 與同類經(jīng)典網(wǎng)站進行檢測對比（首先，確認該行為合法性），Tower.im是彩程設計下的平臺，彩成設計委托了烏云平臺進行公開安全檢測。對比證實，雖然檢測結果依然可以看到漏洞，但是有些漏洞問題根據(jù)其具體特性但實際上是可以忽視的。安全戰(zhàn)術可以解決原有危險漏洞，實際上是可靠的。 共二十一頁華南理工大學本科學位(xuwi)論文20華南理工大學本科學位(xuwi)論文感謝各位評委！感謝各位老師、同學！感謝指導老師對我的指導和幫助！共二十一頁內(nèi)容摘要1。A1 注入 Injection。該網(wǎng)站存在的注入問題主要為SQL注入。在登錄界面，輸入從未使用的登錄名Smith，輸入密碼ORns=ns。該用戶已被鎖定，即從未注冊和使用的賬戶在參數(shù)設定后成為了擁有賬戶的狀態(tài)(zhu