基于WAF入侵检测和变异WebShell检测算法的Web安全研究-软件工程专业论文.docxVIP

独创性声明 本人声明所呈交的学位论文是本人在导师指导下进行的研究工作和取 得的研究成果，除了文中特别加以标注和致谢之处外，论文中不包含其他 人已经发表或撰写过的研究成果，也不包含为获得 天津理工大学 或 其他教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研 究所做的任何贡献均已在论文中作了明确的说明并表示了谢意。 学位论文作者签名： 签字日期： 年 月 日 学位论文版权使用授权书 本学位论文作者完全了解 天津理工大学 有关保留、使用学位论文 的规定。特授权 天津理工大学 可以将学位论文的全部或部分内容编入 有关数据库进行检索，并采用影印、缩印或扫描等复制手段保存、汇编， 以供查阅和借阅。同意学校向国家有关部门或机构送交论文的复本和电子 文件。 （必威体育官网网址的学位论文在解密后适用本授权说明） 学位论文作者签名： 导师签名： 签字日期： 年 月 日 签字日期： 年 月 日 摘要 随着互联网 Web2.0 的蓬勃发展，Web 不仅提供丰富、动态的交互式应用，而且已 经成为公司和国家的门户和入口，也正是因为如此，这些 Web 应用成为了黑客攻击者 的主要目标，黑客通过各种安全漏洞登录 Web 应用系统，上传 WebShell，获取服务器 权限，窃取用户信息，所以 Web 应用系统迫切需要一个检测能力强、反应速度快、易 于维护的防火墙。 Web 应用防火墙主要是通过与黑名单规则库完成特征匹配来起到安全防护的作用， 但是目前的防火墙所采用的黑名单规则库是基于已知攻击方式的特征建立的，这种方式 不仅对新的安全漏洞不具备预防和检测能力，并且随着时间的累积，黑名单规则库会越 来越庞大，随之所带来的管理也越来越复杂。此外，变异 WebShell 经常采用特殊的变 型方式与业务相结合，检测难度系数较高，一般的 WebShell 检测方法已不能满足当前 的网络安全需求。 本文针对以上问题，从基于 ModSecurity 防火墙的消极安全模型和变异 WebShell 检测两个方面进行了深入的探究。 首先，通过研究 ModSecurity 的工作机制，分析 SecRule 的规则，调研当前 Web 应 用防火墙的检测策略，本文提出了与自学习 TL 模型相结合的一种新的 入侵检测算法， 采用先收集、整理和归纳网页参数特征进行自学习，生成标准正则表达式， 再与用户提 交数据进行规则匹配并给出权值判断的方法。模拟实验结果证明，改进后的入侵检测算 法具备了更好的安全机制并提高了对规则库的管理效率，具有一定的实用价值。 其次，通过对 PHP 变异 WebShell 的代码以及 PHP 语言的灵活性进行分析，针对函 数名在程序的执行环境中动态生成和运行所导致的某些字符串函数动态生成特殊的执 行函数的问题，本文提出了两种针对 PHP 变异 WebShell 的检测方法，基于 PHP 特殊字 符信息熵和基于引号信息熵的算法，并以正常的项目文件和收集的 WebShell 作为样本 进行实验，结果表明了上述两种算法能够检测出绝大多数的变异 WebShell，增强了 WebDir 检测系统的检测能力，具有一定的实用和研究价值。 最后，通过研究 WebShell 检测系统，提出基于 C/S 架构的 WebDir 监控系统，首先， 在客户端进行初步检测，进而在 WebDir 服务端完成检测算法的检测，最后进行权值判 断，通过三个步骤得出相应的判断结果，若结果达到阀值将发邮件给安全运维人员，以 达到及时有效的进行监控的目的。经过实验证明，WebDir 监控系统可以更为方便和有 效地进行客户端文件检测。 关键词：Web 攻击 ModSecurity 入侵检测 WebShell 检测 信息熵 Abstract With the flourish of the Internet Web 2.0, Web not only provides the rich and dynamic interactive applications, but also has become the portal and entry of various organizations and countries, and thats why these Web applications become the hacker’s primary target, the hacker logs in the Web application system through a variety of security vulnerabilities, uploads WebShell, gets the server permissions and steals the user information, so th