20189215 2018-2019-2 《密码与安全新技术专题》第1周做业

时间 2019-11-29

标签密码与安全新技术专题 1周栏目系统安全繁體版

原文原文链接

课程：《密码与安全新技术专题》
班级： 1892班
姓名：李炀
学号：20189215
上课教师：谢四江
上课日期：2019年2月26日
必修/选修：选修javascript

1.本次讲座的学习总结

讲座主题：web安全和内容安全

web安全在狭义上能够叫作应用安全，指一个具体的网络应用的安全。
震网病毒说明了物理隔离不是100%有效的。
大数据时代，出现了GPT上帝模式攻击，这种攻击基于全球全网大数据能力。
攻击方式的改变：可探测 → 可访问 → 可掌控。
常见的web漏洞
①SQL注入
SQL注入的本质是因为对输入检查不充分，致使SQL语句将用户提交的非法数据看成语句的一部分来执行。
按提交字符类型可分为：数字型、字符型、搜索型。
按注入方式可分为：盲注、union注入、报错注入。
按HTTP提交方式可分为：GET、POST、Cookie。
javascript:alert(document.cookie="id="+escape("x"))
document.cookie:表示当前浏览器中的cookie变量
alert（）:表示弹出一个对话框，在该对话框中单击“肯定”按钮确认信息。
escape():该函数用于对字符串进行编码。

②XSS跨站脚本攻击
恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。
分为反射型XSS(非持久型 XSS)和存储型XSS(持久型 XSS 漏洞)。
③CSRF跨站请求伪造
跨站请求伪造(Cross-site request forgery)是一种挟制用户在当前已登陆的Web应用程序上执行非本意的操做的攻击方法。跟跨网站脚本（XSS）相比，XSS利用的是用户对指定网站的信任，CSRF 利用的是网站对用户网页浏览器的信任。攻击的实施过程是攻击者经过一些技术手段欺骗用户的浏览器去访问一个本身曾经认证过的网站并运行一些操做（如发邮件，发消息，甚至财产操做如转帐和购买商品）。因为浏览器曾经认证过，因此被访问的网站会认为是真正的用户操做而去运行。这利用了web中用户身份验证的一个漏洞：简单的身份验证只能保证请求发自某个用户的浏览器，却不能保证请求自己是用户自愿发出的。
④验证不充分之上传漏洞
对文件名、后缀名、文件的路径没有检测，致使能够执行恶意代码。
⑤弱口令
⑥社会工程学
隐私安全之位置轨迹信息
户外运动健身追踪应用Strava、百度“黄金眼”项目等能够从用户的移动上网设备收集到用户的轨迹信息，前者可能泄露出一些敏感部位的位置与信息；后者经过莆田系医院的免费WiFi收集患者的mac地址与手机号，甚至患者的图像、性别、职业等信息，用于最大限度收取费用。

2.学习中遇到的问题及解决

问题1：SQL注入过程
问题1解决方案：搜索引擎搜索，找到相关教程，javascript:alert(document.cookie="id="+escape("x"))是用来初步判断是否能够进行SQL注入的，而后测试网站在使用request对象获取数据时是不是直接使用request("xx")的方式，以后再测试是否能够提交特殊字符进行注入。
问题2：震网病毒入侵方式
问题2解决方案：搜索引擎搜索，找到震网病毒突破物理隔离的手段是潜伏在移动存储介质(U盘)中，在链接到目标机器时进行复制注入，侵入目标计算机从而发起攻击。

3.本次讲座的学习感悟、思考等

本次的讲座向咱们介绍了web安全中一些须要关注和防范的漏洞问题，web安全不光包括网络中系统的安全，也包括应用安全。攻防双方的不对等问题很突出，攻击成本低廉，防护成本却很高，所以要尽量地对系统中的漏洞进行打补丁，也要设置一套备份机制，在遭受攻击以后能够不影响正常的运做，并及时解决问题。html

4.XSS跨站脚本攻击最新研究现状

论文1：A Google Chromium Browser Extension for Detecting XSS Attack in HTML5 Based Websitesjava

会议名称：2018年IEEE电子/信息技术国际会议（EIT）
做者信息：
Arun Prasath Sivanesan
Department of Electrical Engineering and Computer Science, University of Toledo, Toledo, OH, USA
Akshay Mathur
Department of Electrical Engineering and Computer Science, University of Toledo, Toledo, OH, USA
Ahmad Y Javaid
Department of Electrical Engineering and Computer Science, University of Toledo, Toledo, OH, USAweb

研究进展：
HTML5的出现使得网络中跨站点脚本攻击(XSS)获得了扩大发展。跨文档消息传递、本地存储、属性滥用、输入验证、内联多媒体和SVG均可能成为严重威胁的可能目标。XSS攻击在2017年OWASP的TOP10中排名第七。XSS在受害者的浏览器中执行脚本，能够劫持用户会话，破坏网站或将用户重定向到恶意网站。该论文为经常使用的Google Chromium浏览器开发了能够跟踪各类攻击媒介的浏览器扩展插件，这些媒介主要包括可能被恶意使用的HTML 5的标签和属性，只要在用户访问特定网站时发现XSS攻击的可能性，插件就会向用户发出警报。浏览器

论文2：Advanced Approach on XSSDS Technique安全

会议名称：2018年第21届沙特计算机学会全国计算机大会（NCC）
做者信息：
Sara Tuza
Department of Information Security, Naif Arab University for Security Science, Riyadh, Saudi Arabia
Shatha Alarabi
Department of Information Security, Naif Arab University for Security Science, Riyadh, Saudi Arabia
Sara Alamri
Department of Information Security, Naif Arab University for Security Science, Riyadh, Saudi Arabia
Dr. Nisreen Innab
Department of Information Security, Naif Arab University for Security Science, Riyadh, Saudi Arabia服务器

研究进展：
为了开发Web应用程序，开发人员须要使用不一样的技术，最多见的是HTML，XHTML和JavaScript。这些技术中的漏洞会使Web应用程序遭受许多安全攻击。最重要和最多见的是跨站点脚本（XSS）攻击，能够定义为代码注入攻击，这种攻击容许攻击者在另外一个用户的浏览器中执行恶意脚本。一旦攻击者得到控制权，他就能够经过在网页中嵌入脚原本执行诸如会话劫持，恶意软件传播，cookie窃取和恶意重定向等操做。论文探讨了不一样类型的XSS攻击及其对服务器端和客户端的影响。以后，选择三种服务器端检测技术，解决每种技术的工做原理以及每种技术的主要缺点，而后对其中名为XSSDS的技术提供一种能够弥补其缺点，加强安全性的高级方法。cookie

论文3：Reducing attack surface corresponding to Type 1 cross-site scripting attacks using secure development life cycle practices网络

会议名称： 2018年第四届电气，电子，信息，通讯和生物信息学进展国际会议（AEEICB）
做者信息：
Syed Nisar Bukhari
NIELIT Srinagar, J&K, India
Muneer Ahmad Dar
NIELIT Srinagar, J&K, India
Ummer Iqbal
NIELIT Srinagar, J&K, Indiaxss

研究进展：
本论文重点讨论XSS攻击的第一种类型，“非持久性跨站点脚本”。对于非持久性跨站点脚本，恶意代码或脚本嵌入到Web请求中，而后由Web服务器部分或所有回显，而不在Web响应中进行编码或验证。而后，恶意代码或脚本在客户端的Web浏览器中执行，这可能会致使会话数据被盗，以及cookie中的敏感数据被获取。为了使此类跨站点脚本成功，恶意用户必须强制用户单击触发非持久跨站点脚本攻击的连接。本论文讨论和阐述了如何使用安全开发生命周期实践和技术减小与非持久性跨站点脚本XSS攻击相关的攻击面。

论文4：Defense Against HTML5 XSS Attack Vectors: A Nested Context-Aware Sanitization Technique

会议名称：2018年第8届云计算，数据科学与工程国际会议（Confluence）
做者信息：
Gurpreet Kaur
Birla Institute of Technology and Science, Department of Computer Science and Information Systems, Pilani, Rajasthan, India
Bhavika Pande
Birla Institute of Technology and Science, Department of Computer Science and Information Systems, Pilani, Rajasthan, India
Ayushi Bhardwaj
Birla Institute of Technology and Science, Department of Computer Science and Information Systems, Pilani, Rajasthan, India
Gargi Bhagat
Birla Institute of Technology and Science, Department of Computer Science and Information Systems, Pilani, Rajasthan, India
Shashank Gupta
Birla Institute of Technology and Science, Department of Computer Science and Information Systems, Pilani, Rajasthan, India

研究进展：
做者提出了一种基于嵌套上下文感知的清理方法的离线和在线模型，用于检测和减轻OSN的恶意XSS攻击向量，以离线模式从网页中提取JS，计算特征并将其存储在存储库中，以备进一步使用。在线方法实现了对URI链路的提取和特征估计，并与离线模式特征库进行了比较，实现了异常检测。做者在Javascript中开发了功能，并将其基础设施设置做为浏览器基础设施设置的扩展实现。论文提出的设计是在五个易受XSS攻击的OSN平台上实现和测试的，与最新技术相比，估计的结果具备识别XSS蠕虫的能力，而且误报率较低，是可接受的。

论文5：Research and Implementation of Cross-site Scripting Defense Method Based on Moving Target Defense Technology

会议名称：2018年第五届系统与信息学国际会议（ICSAI）
做者信息：
陈平
解放军陆军工程大学网络空间安所有，南京210007
韩雨
解放军陆军工程大学网络空间安所有，南京210007
赵敏
解放军陆军工程大学网络空间安所有，南京210007
王金双
解放军陆军工程大学网络空间安所有，南京210007