【正文】 itor繪制的界面）Control 用戶控件css css文件File 配置文件image/images 圖片文件Js javascript文件Master 母版News 新聞界面oilStation 首頁相關(guān)界面Scripts javascript文件Styles css文件User 用戶界面及其他一些界面，配置文件和位圖。 圖34文件組織Account 用于存放用戶賬號相關(guān)界面如注冊，登陸，退出，密碼修改，驗證碼等。 圖32 會員登陸 管理員則可以對加油站的動態(tài)和成員進行管理包括油站的新聞，計劃等等還有公共資源，用戶角色管理。 而會員可以通過登錄后，了解自己的項目，發(fā)布或下載公共資源，修改密碼等。 圖31 數(shù)字創(chuàng)新加油站網(wǎng)站 該站的用戶可分為三類，游客，會員和管理員。 第三章 OWASP評估 數(shù)字創(chuàng)新加油站是一個集信息發(fā)布和項目管理于一體的網(wǎng)站，由林連南博士創(chuàng)辦于2011年7月，旨在幫助那些熱愛數(shù)字創(chuàng)新設(shè)計領(lǐng)域的大學生完成學業(yè)，參與喜歡的實踐項目，甚至實現(xiàn)自己數(shù)字創(chuàng)新領(lǐng)域的夢想 。該軟件的2010版本于2010年4月上市，增加了C，多顯示器支持，IDE增強，.NET Framework 4，新增的平臺語言F等特性，進一步增加了開發(fā)人員的工作效率，降低實際開發(fā)難度。 Microsoft Visual Studio 2010 Visual Studio 是微軟公司推出的開發(fā)環(huán)境，支持Windows平臺下各種應(yīng)用的開發(fā)。 因此HP WebInspect 非常適用于Web服務(wù)和應(yīng)用安全的評估技術(shù)如OWASP TOP 10風險評估，并具有強大的自動化測試與檢測機制，可以使應(yīng)用程序的安全測試融入整個軟件生命周期，對于安全檢測工作而言，該工具借用惠普公司先進的安全測試工具包可以很便捷地進行滲透測試，通過交互式掃描簡單地檢測一個復(fù)雜的用戶界面。3) Adotemplate：易于操作數(shù)據(jù)庫 HP WebInspect HP WebInspect是一款易用、精確的Web應(yīng)用安全評估軟件。：1) 依賴注入（也稱作為控制反轉(zhuǎn)Ioc）：使系統(tǒng)松散耦合，提高系統(tǒng)的可修改性和可維護性。4) 方便測試5) 特別適用于需要高度控制用戶行為的Web開發(fā)人員或團隊，比如開放式項目管理網(wǎng)站等。 程序開發(fā)過程中，為了解決這種問題，—— MVC，如圖21所示 圖21 MVC 框架處理業(yè)務(wù)過程 MVC的優(yōu)點1) 通過把項目分層（即模型，視圖和控制器），達到松散耦合的效果，這樣降低了醒目管理和維護難度。MVC模式的目的在于實現(xiàn)網(wǎng)絡(luò)系統(tǒng)的分工，模型層用于處理系統(tǒng)中的數(shù)據(jù)邏輯，視圖層用于系統(tǒng)與用戶的交互，例如數(shù)據(jù)顯示，即指界面。 ，因為C是它的獨立語言，所以本系統(tǒng)使用C做為開發(fā)語言。 框架的一部分，擁有早期綁定、實時編譯等特性，使開發(fā)人員在編寫代碼之前就可以保證網(wǎng)頁的性能得到提高。 ATAM方法簡介 Architecture Tradeoff Analysis Method(構(gòu)架權(quán)衡分析方法），這是評價應(yīng)用的軟件架構(gòu)的一種綜合性方法，這種方法不僅僅解釋出架構(gòu)滿足特定質(zhì)量目標的情況，而且ATAM架構(gòu)評估方法共有四大部分，9個步驟和角色劃分，可以使我們更好的權(quán)衡應(yīng)用所期望滿足的多種質(zhì)量目標而不只是需求文檔。所以從從OWASP TOP 10開始審查代碼，發(fā)現(xiàn)漏洞，可以切實提高開發(fā)人員的整體安全意識。 而OWASP TOP 10 是由OWASP根據(jù)當前互聯(lián)網(wǎng)環(huán)境各行各業(yè)，個人及組織的WEB應(yīng)用的進行長期調(diào)研所總結(jié)發(fā)布的WEB應(yīng)用脆弱性中最關(guān)鍵最常見也是風險最大的十個，即指“The TOP 10 most critical web application security risks” （Web 應(yīng)用的十大關(guān)鍵風險）包括注入，跨站腳本，錯誤認證會話管理等。 第二章 相關(guān)技術(shù)知識簡介 OWASP TOP 10 評估方法簡介 開放式網(wǎng)絡(luò)應(yīng)用程序安全項目（ Open Web Application Security Project）即OWASP，這是一個提供有關(guān)計算機和互聯(lián)網(wǎng)應(yīng)用程序的公正的信息組織，其目的是幫助個人或組織來發(fā)現(xiàn)和使用可以信賴的安全服務(wù)和軟件，這是一個非盈利性的組織，不屬于任何企業(yè)和財團，因此，有OWASP提供及開發(fā)的文件與資源不像其他帶依附財團性質(zhì)組織那樣受商業(yè)因素影響。 本文第六章，戰(zhàn)術(shù)模擬測試。 本文第五章，安全戰(zhàn)術(shù)設(shè)計。簡單介紹網(wǎng)站業(yè)務(wù)并利用檢測工具找出網(wǎng)站漏洞，使用OWASP風險評估方法對漏洞進行評估分析 本文第四章，ATAM評估。介紹了本課題相關(guān)的技術(shù)基礎(chǔ)和工具的介紹。簡單介紹了本課題的研究背景和意義還有國內(nèi)外現(xiàn)狀，并闡述了研究方法。 （ASP：Active Server Pages ）.NET FrameWork的一部分，是一項微軟公司的技術(shù)，是一種使嵌入網(wǎng)頁中的腳本可由因特網(wǎng)服務(wù)器執(zhí)行的服務(wù)器端腳本技術(shù)，它可以在通過HTTP請求文檔時再在Web服務(wù)器上動態(tài)創(chuàng)建它們。 表11 術(shù)語表 中文 英文 定義 MVC框架MVC（Model View Controller） 一種把軟件系統(tǒng)分為模型、視圖和控制器三個基本部分的軟件架構(gòu)模式 為中間層提供聲明式事務(wù)管理， 面向切面編程Aspect Oriented Programming（AOP）面向行為編程，對業(yè)務(wù)邏輯的各個部分進行隔離，從而使得業(yè)務(wù)邏輯各部分之間的耦合度降低，提高程序的可重用性，同時提高了開發(fā)的效率 開放式Web應(yīng)用程序安全項目 OWASP(Open Web Application Security Project)提供有關(guān)計算機和互聯(lián)網(wǎng)應(yīng)用程序的公正、實際、有成本效益的信息的組織 構(gòu)架權(quán)衡分析方法 ATAM（Architecture Tradeoff Analysis Method）一種評價軟件構(gòu)架的綜合全面的方法 依賴注入（控制反轉(zhuǎn)）IoC（Inversion of Control）是一個重要的面向?qū)ο缶幊痰姆▌t來削減計算機程序的耦合問題，也是輕量級的Spring框架的核心 SQL注入 SQL（Structured Query Language）Injection通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字符串，最終達到欺騙服務(wù)器執(zhí)行惡意的SQL命令 跨站請求偽造 CSRF（Crosssite request forgery）CSRF是一種依賴web瀏覽器的、被混淆過的代理人攻擊（deputy attack）。 （數(shù)字創(chuàng)新加油站）進行規(guī)范化的安全評估，利用一些知名的工具（HPWebInspect,Netspaker）找出網(wǎng)站存在的主要漏洞，并使用OWASP量化評估方法和ATAM權(quán)衡分析法針對風險和架構(gòu)進行客觀的評估，然后根據(jù)網(wǎng)站存在的漏洞提出合理的方便的安全解決方案和策略戰(zhàn)術(shù)的實現(xiàn)。所以WEB安全的重要性和檢測工具的普及還需要我們進一步努力。 雖然烏云平臺有大量專業(yè)的安全研究人員，但是平臺才發(fā)展不到五年，對于國內(nèi)WEB安全問題和機制的重要性沒有得到大部分人正確認識的現(xiàn)狀，很多優(yōu)秀的安全檢測工具僅僅只被少部分專業(yè)安全人士熟悉，這些安全工具在國內(nèi)少有人研究，甚至連使用方法都很難在互聯(lián)網(wǎng)上找到。 而國內(nèi)，烏云漏洞平臺是一個2010年建立的位于廠商和安全研究組之間的安全問題反饋平臺，在對安全問題進行研究與處理的同時也給廣大的安全愛好者提供了學習與交流的環(huán)境，吸引了眾多安全團隊在該平臺發(fā)布信息及交流。在整個互聯(lián)網(wǎng)世界，WEB安全的研究憑借以往的研究成果和設(shè)計的工具發(fā)展越來越便捷，而WEB安全研究的發(fā)展更帶動了安全工具和戰(zhàn)術(shù)的優(yōu)化和普及（）。 對于國外而言，目前互聯(lián)網(wǎng)上有大量的好用的安全檢測工具，不僅僅是開源的如Nikto，Watabo和OWASP組織提供的系列工具，還有大型的商業(yè)性工具如HPInspect，Netsparker等。 ... ... 每年，隨著互聯(lián)網(wǎng)的發(fā)展與進步，新的漏洞出現(xiàn)，以前被忽視的安全隱患也登上了舞臺，這些漏洞對于互聯(lián)網(wǎng)，對于越來越離不開互聯(lián)網(wǎng)生活的我們影響也越來越大，甚至一些一直被信賴為不可能被攻陷的權(quán)威網(wǎng)站也發(fā)生了這種情況。 2012年9月，包括SQL注入，XSS，絕對路徑泄漏等。DuckDuckGo等，甚至導致CRA（加拿大稅務(wù)局）被迫關(guān)閉電子服務(wù)網(wǎng)站。 而本課題我們研究如何使用規(guī)范化的方法正確評估網(wǎng)站安全性， （數(shù)字創(chuàng)新加油站）提出安全策略戰(zhàn)術(shù)，希望可以以此為基礎(chǔ)?；?ASP點NET 的 Web 安全性評估設(shè)計與實現(xiàn)畢業(yè)論文目 錄摘要 IIAbstract III目 錄 IV第一章 緒論 1 引言 1 研究背景和現(xiàn)狀分析 1 研究內(nèi)容和意義 2 2 4第二章 相關(guān)技術(shù)知識簡介 5 5 OWASP TOP 10 評估方法簡介 5 ATAM方法簡介 5 5 MVC基本概念 6 MVC的優(yōu)點 6 7 7 HP WebInspect 7 NetSparker Professional Edition 7 Microsoft Visual Studio 2010 8 8第三章 OWASP評估 9 9 OWASP 風險評估 11 11 A1 注入 Injection 19 A2 失效的身份認證和會話管理 Broken Authentication and Session Management 22 A3 跨站式腳本 CrossSite Scripting （css） 22 A4 不安全的對象直接引用 Insecure Direct Object References 24 A5 安全配置錯誤 Security Misconfiguration 24 A6 敏感數(shù)據(jù)暴露 Sensitive Data Exposure 25 A7 功能級別訪問控制缺失 Missing Function Level Access Control 26 A8 跨站請求偽造 CrossSite Request Forgery（CSRF） 27 A9 使用已知易受攻擊組件 Using Known Vulnerable Components 27 A10 未驗證的重定向和轉(zhuǎn)發(fā) Unvalidated Redirects and Forwards 27 HP報告的建議 27 評估風險 28 A1：SQL注入 28 A3 跨站式腳本 30 A5 安全配置錯誤 32 A6 敏感數(shù)據(jù)暴露 33 A7 功能級別訪問控制缺失 34 手動功能檢測問題 36 本章小結(jié) 40第四章 ATAM架構(gòu)評估報告 42 42 第0階段：合作關(guān)系和準備 42 42 過程記錄 42 評估小組角色分配 43 聲明 43 第1階段 部分評估 43 ATAM方法表述 43 商業(yè)動機表述 43 44 對體系架構(gòu)方法分類 50 生成質(zhì)量屬性效應(yīng)樹 50 51 第2階段 評估 56 第7步 集體討論確定場景的優(yōu)先級 56 分析架構(gòu)方法 57 結(jié)果的表述 57 第3階段 后續(xù) 58 本章小節(jié) 58第五章 安全戰(zhàn)術(shù)設(shè)計 59 問題總結(jié) 59 戰(zhàn)術(shù)設(shè)計 59 安全架構(gòu)設(shè)計 59 安全架構(gòu)實現(xiàn) 63 修復(fù)其他漏洞 72 本章小結(jié) 74第六章 戰(zhàn)術(shù)模擬測試 75 MVC測試 75 戰(zhàn)術(shù)模擬檢測 77 TOWER檢測 79 檢測結(jié)論 82 本章小結(jié) 82結(jié)論 83論文總結(jié) 83下一步展望 83參考文獻 84致謝 86III第一章 緒論 引言 而對于信息化時代的今天，網(wǎng)站的安全問題愈發(fā)重要，一些漏洞不僅僅會給網(wǎng)站帶來直接的經(jīng)濟損失，之后所引出來的其他問題比如客戶信息泄漏等將對網(wǎng)站用戶造成更大的損失與傷害，并引發(fā)網(wǎng)站用戶及社會對網(wǎng)站的信任危機，甚至成為網(wǎng)站的致命傷。所以對于網(wǎng)站開發(fā)人員，如何使網(wǎng)站在安全性方面得到客戶的信賴十分關(guān)鍵。 研究背景和現(xiàn)狀分析 2014年4月，名為“心臟出血”的重大安全漏洞被曝光，這個漏洞導致大量用戶信息泄漏和損失，在當前訪問量最大的1000個網(wǎng)站中，受影響的網(wǎng)站和服務(wù)器包括雅虎，Imgur。 2013年8月，國內(nèi)大批快捷酒店訂房記錄被泄漏，包括客戶名，開房日期，身份證號，房間號等隱私信息，甚至隨之而來利用該漏洞用于查詢住客信息的網(wǎng)站也出現(xiàn)，并迅速在網(wǎng)上流傳。 2011年12月，受程序員青睞的CSDN的安全系統(tǒng)遭受黑客攻擊，600萬的用戶信息被泄漏，而與此同時，被指出泄漏問題的還有天涯，多玩，世紀佳緣等大規(guī)模網(wǎng)站。如何正確的評估上線網(wǎng)站的安全性，設(shè)計針對網(wǎng)站合理的安全策略戰(zhàn)術(shù)的重要性實在不言而喻。這類工具在不斷地被研究和進步成為網(wǎng)站開發(fā)人員評估網(wǎng)站安全設(shè)計網(wǎng)站安全戰(zhàn)術(shù)的重要組成。 工具的發(fā)展只是窺探本體發(fā)展的一小部分“視圖”，的不僅僅是工具，對于安全漏洞的本質(zhì)研究，針對不斷涌現(xiàn)的新的安全問題，國內(nèi)外的學者和組織不斷地鉆研與交流學習（如互聯(lián)網(wǎng)安全大會，OW