PHP Web应用程序开发中漏洞消减技术研究

摘要

当前网络空间博弈日益复杂和严峻，安全漏洞的消减成为国家层面信息对抗的需求。Web设计和开发中存在的安全漏洞是黑客的主要目标，漏洞被利用所造成的损失日益严重。PHP是一种非常流行的Web开发语言，应用PHP语言开发的Web应用中往往存在着惊人的漏洞，因此，消减PHP Web应用开发中的安全漏洞成为一项极其重要的工作。 本文介绍了Web应用与PHP安全漏洞的相关概念，总结了目前Web应用中的十大安全威胁，并应用Web安全漏洞测试分析工具DVWA在代码层分析了跨站脚本、SQL注入、文件包含及命令执行等四种主要PHP漏洞的成因以及利用漏洞进行攻击的方法。 本文在分析已有软件安全开发模型的基础上，以漏洞的生命周期为主线，以漏洞消减为目的，从开发者和管理者两个角度，提出了Web应用开发漏洞消减模型，介绍了漏洞消减过程中不同方面的策略和方法。接下来重点对模型中的安全需求建模和安全编码技术进行了研究。 我们将工程化的威胁分析方法和形式化的UMLSec建模方法相结合，提出了基于UMLSec的PHP Web安全需求建模框架，并以用户登录模块安全需求建模为例，从口令生成、口令输入、口令传输、口令存储、口令找回、口令修改及口令状态等多方面进行威胁分析，建立安全需求模型，对模型的一致性进行验证。这种在设计阶段对Web应用安全漏洞进行消减的方法，既能准确、详尽地描述PHP Web应用软件的安全需求，又便于开发者理解和掌握，以提高安全需求分析的效率和质量，从而在设计阶段就对Web应用安全漏洞进行有效消减。 我们还将代码检测的一部分工作引入编码阶段，设计并实现了基于Eclipse的PHP Web漏洞消减插件工具PVDetector(PHP Vulnerability Detector)。介绍了漏洞消减插件的结构及模块功能，分析了安全检测模块中污点检测过程，并给出了插件的具体实现方法，最后对插件的功能进行了测试。实验结果表面，本文给出的这种漏洞消减插件工具在编码过程中就进行代码检测，能够帮助开发人员在编码阶段及早发现漏洞，了解漏洞，从而有效地消减大部分漏洞。

目录

声明

摘要

第1章 绪论

1．1 选题的背景及意义

1．2 研究现状

1．2．1 国内外Web安全漏洞挖掘研究现状

1．2．2 现有研究的不足

1．3 主要工作和论文结构

1．3．1 论文工作

1．3．2 论文结构

第2章 基于PHP的WEB应用安全漏洞分析

2．1 PHP Web应用安全漏洞相关概念

2．2 PHP常见安全漏洞分析

2．2．1 跨站脚本漏洞

2．2．2 SQL注入漏洞

2．2．3 文件包含漏洞

2．3．4 命令执行漏洞

2．3 本章小结

第3章 Web应用开发漏洞消减模型

3．1 已有软件安全开发生命周期模型分析

3．2 Web应用开发漏洞消减模型

3．2．1 开发者角度

3．2．2 管理者角度

3．3 本章小结

第4章 基于UMLSec的PHP Web安全需求建模

4．1 软件安全需求建模与UMLSec

4．2 基于UMLSec的Web应用安全需求建模

4．2．1 建模过程框架

4．2．2 安全威胁分析

4．2．3 安全需求描述

4．2．4 UMLSec安全建模

4．2．5 安全需求模型验证

4．3 安全需求建模实例

4．4 本章小结

第5章 PHP Web应用开发漏洞检测插件设计

5．1 插件结构和各模块功能

5．2 漏洞检测原理

5．2．1 词法分析

5．2．2 污点分析

5．3 检测插件的实现

5．3．1 Eclipse插件平台

5．3．2 安全编码模块实现

5．3．3 安全检测模块实现

5．4 检测插件的有效性分析

5．5 本章小结

第6章 结论与展望

参考文献

在读期间发表的学术论文及研究成果

致谢