web的入侵防御系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)—計(jì)算機(jī)畢業(yè)設(shè)計(jì)-資料下載頁
2025-08-06 06:20本頁面
【正文】 率方面低于C++實(shí)現(xiàn)的策略，我們可以根據(jù)服務(wù)器的配置及需求在C++實(shí)現(xiàn)的策略高效和腳本的方便靈活上找到一個平衡點(diǎn)。在考察了各種腳本引擎的特點(diǎn)后，我們?yōu)楸鞠到y(tǒng)采用Lua語言作為它的策略腳本語言。 對策略的封裝要讓Lua作為策略的腳本語言首先得完成對策略的封裝。在前面的設(shè)計(jì)部分已經(jīng)介紹了策略實(shí)現(xiàn)中需要提供的幾個接口。由于Lua的特性，可以在C++ 中很方便的調(diào)用Lua編寫的函數(shù)，所以可以在Lua策略腳本中，通過Lua函數(shù)的方式提供策略引擎所需要的OnRecv和OnSend接口。當(dāng)策略引擎調(diào)用Lua策略時(shí)，會向Lua腳本中的OnRecv和OnSend函數(shù)傳遞client對象這個參數(shù)。我們需要將此對象封裝成Lua腳本能識別的形式。在《Programming in Lua》[7]和《我的編程感悟》[8]中都介紹了如何將C++的類封裝成Lua的Table的實(shí)例，這里就不在介紹了 。 Lua策略腳本示例使用Lua語言編寫策略腳本非常簡單，下面是一段用來過濾SQL注入關(guān)鍵字的Lua策略腳本示例：warning_msg = [[ html head meta equiv=ContentLanguage content=zh meta equiv=ContentType content=text/html。 charset=gb2312 title請你自重/title /head body bgcolor=D6D3CE pbfont size=2 你的攻擊行為已經(jīng)被記錄/font/b/phrpbfont size=2span lang=enusBY 林海峰 /span版權(quán)所有/font/b/p /body/html]]function OnRecv(request) url = request:GetServerVariable(QUERY_STRING) (AntiSQLInject, url) if CheckSqlKey(url) then return (request, 200 OK, warning_msg)。 endendfunction CheckSqlKey(str) local test_key = {and, or} str = (str) for i,v in ipairs(test_key) do if (str, v) then return true end end return falseend 基于xml的策略管理在這套系統(tǒng)中，我們通過xml配置文件來管理策略的信息。我們使用tinyxml庫完成xml文件的解析與生成。例如。?xml version= encoding=UTF8 standalone=yes ? PolicyList Policy Name=AntiSQLInject Description=Anti SQL Inject Loader=lua Path=Policy\ Type=USER Priority=1 Enable=true / /PolicyListIIS加載我們的ISAPI Filter 的DLL成功后，并通過xml中的policy列表加載策略。按照上面的xml文件信息所示。5 系統(tǒng)運(yùn)行過程及測試配置Windows 2003服務(wù)器的IIS，使其正常加載我們編寫好的DLL，并加載我們編寫好的防止緩沖區(qū)溢出，防止SQL注入，防盜鏈等策略文件。使用的測試的用例如下：(1) 緩沖區(qū)溢出防御的檢測：發(fā)送的HTTP協(xié)議中包含超長的字段。如果服務(wù)器返回警告信息，則測試通過。(2) SQL注入防御：在發(fā)送的url字段中包含SQL注入的關(guān)鍵字。如果服務(wù)器返回警告信息，則測試通過。(3) 多線程控制：在策略中設(shè)置限制同一個IP的訪問線程為3。使用迅雷或者其他多線程下載工具，開3個以上的線程下載服務(wù)器上的文件。如果迅雷能以3個線程下載服務(wù)器文件則測試通過。以下是運(yùn)行防止SQL注入的截圖：圖4 沒有加載Web IPS時(shí)SQL注入攻擊效果圖5 加載Web IPS時(shí)SQL注入攻擊效果圖4和圖5分別為系統(tǒng)加載前和加載后的SQL注入攻擊效果。經(jīng)過測試，系統(tǒng)能有效地?cái)r截前面所介紹的對Web服務(wù)器的安全威脅。結(jié) 論本文分析了當(dāng)前流行的針對Web服務(wù)器的安全威脅，設(shè)計(jì)并實(shí)現(xiàn)了一套保護(hù)Web服務(wù)器安全的輕量級的入侵防御系統(tǒng)。提供方便的編寫策略腳本的機(jī)制，方便Web服務(wù)器管理員配置安全的Web服務(wù)器環(huán)境。同時(shí)應(yīng)該注意到這套系統(tǒng)僅僅是針對Web服務(wù)器安全的，一套整體的安全網(wǎng)絡(luò)環(huán)境是需要靠網(wǎng)絡(luò)中每一個獨(dú)立單元都具有較好的安全配置才能實(shí)現(xiàn)的。這套入侵防御系統(tǒng)也存在一些需要完善的地方，比如目前直接使用編輯配置文件和策略腳本的方式來更新配置，如果能使用UI管理策略和系統(tǒng)，能使這套系統(tǒng)的使用更加方便。在本系統(tǒng)的策略中，由于對客戶端的識別的粒度是基于IP的，這樣會導(dǎo)致一些策略對使用NAT的用戶造成影響。由于采用靈活的策略插入機(jī)制，所以可以通過策略增加系統(tǒng)的功能。參考文獻(xiàn)[1] Michael Howard, David [M].機(jī)械工業(yè)出版社, 2002[2] coolswallow. SQL盲注攻擊技術(shù)綜述[Z].[3] Marcus [M].機(jī)械工業(yè)出版社,2002[4] 田東風(fēng), 秦江. ISAPI與網(wǎng)絡(luò)服務(wù)器安全研究[J]. 微計(jì)算機(jī)信息,2004,(8):107108[5] 朱玉山， 開發(fā)指南[M].北京：清華大學(xué)出版社，1998 [6] [J].程序員, 2006,(6):6668.[7] Programming in Lua [M]., 2003 [8] [M].電子工業(yè)出版社,2005 致 謝本文是在索望老師的熱情關(guān)心和指導(dǎo)下完成的，他淵博的知識和嚴(yán)謹(jǐn)?shù)闹螌W(xué)作風(fēng)使我受益匪淺，對順利完成本課題起到了極大的作用。在此向他表示我最衷心的感謝！在論文完成過程中，本人還得到了其他老師和許多同學(xué)的熱心幫助，本人向他們表示深深的謝意！最后向在百忙之中評審本文的各位專家老師表示衷心的感謝！作者簡介姓 名：林海峰 性別： 男出生年月： 民族：漢Email：@ 聲 明本論文的工作是 2007年2月至2007年6月在成都信息工程學(xué)院網(wǎng)絡(luò)工程系完成的。文中除了特別加以標(biāo)注地方外，不包含他人已經(jīng)發(fā)表或撰寫過的研究成果，也不包含為獲得成都信息工程學(xué)院或其他教學(xué)機(jī)構(gòu)的學(xué)位或證書而使用過的材料。除非另有說明，本文的工作是原始性工作。關(guān)于學(xué)位論文使用權(quán)和研究成果知識產(chǎn)權(quán)的說明：本人完全了解成都信息工程學(xué)院有關(guān)保管使用學(xué)位論文的規(guī)定，其中包括：（1）學(xué)校有權(quán)保管并向有關(guān)部門遞交學(xué)位論文的原件與復(fù)印件。（2）學(xué)校可以采用影印、縮印或其他復(fù)制方式保存學(xué)位論文。（3）學(xué)?？梢詫W(xué)術(shù)交流為目的復(fù)制、贈送和交換學(xué)位論文。（4）學(xué)校可允許學(xué)位論文被查閱或借閱。（5）學(xué)?？梢怨紝W(xué)位論文的全部或部分內(nèi)容（保密學(xué)位論文在解密后遵守此規(guī)定）。除非另有科研合同和其他法律文書的制約，本論文的科研成果屬于成都信息工程學(xué)院。特此聲明！ 作者簽名： 2007年06月 日
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1