XML注入攻击检测与服务安全机制研究

VIP免费

3.0 陈辉 2024-11-19 10 4 748.83KB 54 页 15积分

侵权投诉

摘要

随着 Web 服务技术与应用的发展，Web 服务的安全问题日益突出。为了保护

Web 服务的安全，IBM、微软和 Verisign 公司发布了 WS-Security 规范，实现对 SOAP

消息的完整性、机密性保护以及身份验证。但是，Web 服务仍存在许多 SOAP 消

息层级上的攻击。攻击者利用 Web 服务支持 XML/SOAP 的特点，将攻击信息伪装

成合法的 SOAP 请求消息，发送给 Web 服务。Web 服务接收到 SOAP 请求消息后，

如果在解析的过程中占用服务器大量的资源，就造成 DoS 攻击；如果 Web 服务解

析出错误的结果，致使数据泄露或窃取权限，就造成 XML 注入攻击。

本文研究了两种经典的 XML 注入攻击，即更改结构的 XML 注入攻击和参数

错误的 XML 注入攻击。为了有效预防 XML 注入攻击，在.net 平台和 Axis2 平台

下进行场景模拟实验，并截取在实验中传递的 SOAP 请求消息。通过分析截获的

SOAP 消息，总结出两种 XML 注入攻击的特点。根据更改结构的 XML 注入攻击

的特点，提出一种基于 SOAP 消息验证树的检测方法，并在.net 平台上进行实验，

证明检测方案的有效性。根据参数错误的 XML 注入攻击的特点提出一种检测攻击

的方法，即检测 SOAP 消息中一个节点下是否出现同名节点。在.net 平台和 Axis2

平台下实验证明检测方法的有效性。

关键词：Web 服务 SOAP 消息 XML 注入攻击 SOAP 消息验证树

ABSTRACT

With the development of web services technology and application，the security of

web services is becoming a crucial factor for web services based applications. To

protect the security of web services, IBM, Microsoft and Verisign published

WS-Security specification. WS-Security specification focuses on the aspects of integrity

and confidentiality of SOAP message, user authentication and authorization. There are

still many SOAP attacks of the Web service which are not dealt with. When attackers

send the modified message to the web services, and web services receive and parse the

message, some XML DoS may exist. In the parsing process, if a wrong result is parsed

from the modified message and is not identified by the security platform, the XML

Injection attack turns up.

In this article, two kinds of XML injection are discussed. One is structure

modification of SOAP message and the other is wrong parameter injection. To prevent

the XML injection, the attacking scenarios of XML injection are analyzed. The feature

of the two kind of XML injection is analyzed. To detect the XML injection of message

structure modification, an attacking checking approach is set up based on SOAP

message validation tree which is derived from WSDL file. To detect the XML injection

of injection wrong parameters, we built up an inspection method according to the

number of nodes with same tag name under same parent node in SOAP message. The

XML injection checking approach is implemented on .net WSE3.0 and Axis2 , the

experiments show that it can detect the XML injection attack successfully.

Key Word: Web Services, SOAP Message, XML Injection Attack,

SOAP Validation Tree

中文摘要

ABSTRACT

第一章绪论.....................................................................................................................1

§1.1 课题的来源及意义............................................................................................1

§1.2 国内外研究现状...............................................................................................2

§1.3 论文主要工作...................................................................................................4

§1.4 论文结构安排...................................................................................................5

第二章 Web 服务及规范 ................................................................................................ 6

§2.1 Web 服务简介 ................................................................................................... 6

§2.1.1 Web 服务的概念和特征 ......................................................................... 6

§2.1.2 Web 服务模式 ......................................................................................... 7

§2.2 Web 服务规范 ................................................................................................... 9

§2.2.1 XML .......................................................................................................10

§2.2.2 WSDL .................................................................................................... 11

§2.2.3 SOAP 规范 ............................................................................................ 12

§2.3 Web 服务安全模型 ......................................................................................... 13

§2.3.1 .net 平台 Web 服务安全 ....................................................................... 13

§2.3.2 Axis2 平台 Web 服务安全 .................................................................... 15

第三章更改结构的 XML 注入攻击............................................................................17

§3.1 更改 XML 结构的攻击场景..........................................................................17

§3.2 更改 XML 结构的攻击模拟实验..................................................................18

§3.2.1 net 平台下场景模拟实验......................................................................18

§3.2.2 Axis2 平台下场景模拟实验 ................................................................. 19

§3.3 更改 XML 结构的攻击检测方案..................................................................21

§3.3.1 建立 SOAP 消息验证树 ...................................................................... 22

§3.3.2 XML 注入攻击检测算法......................................................................26

§3.4 更改 XML 结构的攻击检测实验..................................................................26

§3.5 更改 XML 结构的攻击检测实验结果及分析..............................................32

第四章参数错误的 XML 注入攻击............................................................................33

§4.1 参数错误的攻击场景.....................................................................................33

§4.2 参数错误的攻击模拟实验.............................................................................34

§4.2.1 .net 平台下模拟实验.............................................................................34

§4.2.2 Axis2 平台下模拟实验 ......................................................................... 36

§4.3 参数错误的攻击检测方案.............................................................................37

§4.4 参数错误的攻击检测实验.............................................................................40

§4.4.1 .net 平台下的攻击检测实验.................................................................40

§4.4.2 Axis2 平台下的攻击检测实验 ............................................................. 41

§4.5 参数错误的攻击检测实验结果及分析.........................................................45

第五章总结与展望.......................................................................................................46

§ 5.1 总结................................................................................................................46

§ 5.2 展望................................................................................................................47

参考文献.........................................................................................................................48

在读期间公开发表的论文和承担科研项目及取得成果.............................................51

致谢.................................................................................................................................52

第一章绪论

§1.1 课题的来源及意义

Web 服务为企业级应用提供了一个灵活的、松散耦合的分布式解决方案，解决

了现代企业 IT 系统开发和应用中遇到的复杂、异构等难题。Web 服务越来越受到

人们的重视，在许多政府、银行、跨国公司的软件系统中，都可以看到 Web 服务

的身影。正是因为 Web 服务简单易用、独立于平台、支持 XML/SOAP、功能丰富

及具有良好的操作性等优点，许多软件厂商把 Web 服务用来构建和集成软件系统，

推动了 Web 服务技术的不断进步。

随着 Web 服务的应用越来越广泛，Web 服务在软件系统中担任了重要的角色，

其中往往包含了企业关键业务，如果 Web 服务的安全出现漏洞，通常会造成严重

的后果。因此，Web 服务的安全问题成为制约 Web 服务应用与发展的重要问题，

Web 服务的安全成为大家关注的焦点。

现有的安全技术如 SSL（安全套接字）、VPN（虚拟专用网）、防火墙技术和

S-HTTP（安全文本传输协议）等可以在网络传输层上保护 Web 信息的安全。为了

在应用层上保护 Web 服务，IBM 、微软和 Verisign 公司于 2002 年4月发布了

WS-Security 规范。WS-Security 通过消息完整性、消息机密性和单独消息认证，

对SOAP 消息的传递提供质量保障，在 SOAP 消息级别上保护 Web 服务安全[1]。

WS-Security 规范实际上是对 SOAP 协议的扩展，它提供了一个框架，用户可自由

地将 Web 服务协议、应用层协议与各种加密技术、安全模型结合起来，以实现

Web 服务的消息完整性、保密性和消息的认证。

虽然 WS-Security 规范保证了消息的完整性、保密性和对消息的认证，但是

Web 服务的可用性并没有受到保护。攻击者利用 Web 服务支持 XML/SOAP 的特点，

将攻击信息伪装成合法的 SOAP 请求消息，SOAP 消息可以通过消息的完整性、保

密性及对消息的认证，但是 Web 服务端对接收到 SOAP 请求消息进行解析时，会

占用系统大量的处理器和内存资源，Web 服务不能为合法的授权用户提供服务，

这就造成了 DoS 攻击（Denial of Service，拒绝服务攻击）。常见的针对 Web 服务

的DoS 攻击手法有过载攻击和强制解析攻击两种，其攻击是通过向 Web 服务器发

送超大的 SOAP 消息或者深层嵌套的 SOAP 消息来实现的。除了以耗尽系统资源

为目的的 DoS 攻击之外，还存在 XML 注入攻击。XML 注入攻击是指攻击者通过

更改 SOAP 消息的结构或者注入错误的参数来实施的攻击。在 XML 注入攻击中，

XML 注入攻击检测与服务安全机制研究

发送的 SOAP 请求消息是符合 XML 语法要求的，且遵循 WS-Security 规范，可以

轻松的穿过防火墙。当 Web 服务接收到这样的请求消息后，会解析出错误的数据，

这些数据极有可能会访问到不被授权的敏感信息，威胁到数据信息的安全。

§1.2 国内外研究现状

Web 服务技术发展迅速，其应用也越来越广泛，Web 服务的安全问题越来越受

到大家的关注。IBM、Microsoft、Verisign 和W3C 等业界的知名公司和国际组织

一直致力于制定 Web 服务安全的相关规范，自 Web 服务问世以来，针对其安全性

的协议规范也陆续发布。IBM 和Microsoft 公司于是 2002 年4月发布了 Security in

a Web Services World: A Proposed Architecture and Roadmap[2]的发展规划，描述了

Web 服务安全发展策略，其中包括 WS-Security、WS-Policy、WS-Trust、WS-Privacy、

WS-Federation、WS-Secure Conversation 和WS-Authorization 等规范[3-6]，如图 1-1

所示。

图1-1 WS-Security 框架图

WS-Security 标准的目的是确保 Web 服务应用软件处理数据的完整性及保密

性，规定了 Web 服务协议 SOAP 的扩展及消息头（Message Header）[3]。

WS-Policy 规范简要地描述了各种策略处理模型，规范为服务请求者和服务提

供者定义了语法和语义来描述它们的需求、首选项和性能。WS-Policy 规范为以策

略的形式表述每个领域的需求提供了一种灵活简洁的方法[4]。WS-Policy 是对

WSDL 的一种补充，用于发布 Web 服务的组织为其 Web 服务指定安全需要。

WS-Trust 是对 WS-Security 规范的一个扩展，用于建立直接和代理信任关系(包

括第三方和中介体)的模型，处理有关安全令牌 tokens 的发布、更新、验证等，描

述了使 Web 服务能够安全进行互操作的信任模型的框架[5]。

WS-Privacy 定义 Web 服务的隐私权策略；WS-Secure Conversation 介绍如何管

理和验证双方的消息交换，包括安全上下文交换以及建立和派生会话密钥；

文档加载中……请稍候！
如果长时间未打开，您也可以点击刷新试试。

下载文档到电脑，查找使用更方便

15 积分 4人已下载

立即下载 VIP免费下载

摘要：

摘要随着Web服务技术与应用的发展，Web服务的安全问题日益突出。为了保护Web服务的安全，IBM、微软和Verisign公司发布了WS-Security规范，实现对SOAP消息的完整性、机密性保护以及身份验证。但是，Web服务仍存在许多SOAP消息层级上的攻击。攻击者利用Web服务支持XML/SOAP的特点，将攻击信息伪装成合法的SOAP请求消息，发送给Web服务。Web服务接收到SOAP请求消息后，如果在解析的过程中占用服务器大量的资源，就造成DoS攻击；如果Web服务解析出错误的结果，致使数据泄露或窃取权限，就造成XML注入攻击。本文研究了两种经典的XML注入攻击，即更改结构的XML注入...

展开>> 收起<<

XML注入攻击检测与服务安全机制研究.pdf

共54页,预览6页

还剩页未读，继续阅读

XML注入攻击检测与服务安全机制研究

相关推荐

开通VIP享超值会员特权

作者详情

相关内容

推荐作者

热门标签

举报选择: