网络安全攻防实践 课程11-Web应用的攻击及防御技术（上）.ppt

*2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟1 网络攻防技术与实践课程课程11.Web应用安全攻防技术(上) 诸葛建伟 zhugejw@2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟2内容1.Web应用程序体系结构及其安全威胁2.Web应用安全攻防技术概述3.SQL注入4.XSS跨站脚本攻击5.课外实践作业：SEEDSQL注入攻击 实验｜SEEDXSS攻击实验2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟3Web应用体系结构?传统C/S架构的计算?B/S架构 ?“痩”客户端:Browser(Web客户端) ?“厚”服务器:Web服务器、Web应用程序、数据库… ?通讯机制:HTTP/HTTPS浏览器传输层Web服务器HTTP/HTTPS程序Web应用 程序Web应用 程序MySQL数据库MySQL数据库表示层(HTML)业务逻辑层 Web应用数据层2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟4HTML静态页面和动态页面?HTML(HyperTextMarkupLanguage)历史 ?起源:1980s,TimBerners-Lee,ENQUIRE ?1991:HTML发布，互联网进入WWW时代 ?1995:HTMLv2.0正式称为IETFRFC1866标准?HTML:静态标记语言 ?Tag标签:表格等结构标签,超链接,内嵌链接,图片,… ?交互能力:表单,脚本?支持动态生成页面?动态页面 ?CGI ?脚本语言:ASP,JavaScript,PHP,…?交互能力进一步扩展 ?ActiveX控件、JavaApplet…2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟5Web客户端－浏览器?浏览器产品的商业竞争 ?“第一次浏览器大战”:NetscapeLosestoIE ?“第二次浏览器大战”:IEVS.Firefox,Chrome, Safari,etc ?“第二次浏览器大战”:移动终端浏览器之争，Opera, Safari,…?浏览器技术的发展?????早期：简单的静态HTML页面解析与渲染1995Netscape引入Javascript，客户端脚本语言1996Adobe(Macromedia)引入Flash1999Sun：Servlet，J2ME2005Ajax2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟6技术供应商微软Sun IBMWebsphere BEAWeblogic标准化组织ApachesoftwareFoundation等开源社区组织Web应用服务器软件/技术IIS/ASP/ASP.NET/ISAPI/COM/...J2EE，包括 JavaServlets JavaServerPagesHTTP/HTML/XML/CORBA/…Apache/PHP/CGI/Perl/Python/…Web服务器与动态编程技术?Web服务器软件 ?HTTP守护进程 ?各种Web动态编程语言支持 ?主流：MS＋LAMP2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟7Web应用程序?Web应用程序－WebApplication ?Web服务器端的业务逻辑 ?现代Web应用的核心?Web应用程序的分层模型 ?最普遍应用：3层模型(3-tiers) ?表示层：接受Web客户端输入并显示结果 ?业务逻辑层：完成Web应用业务处理，核心， 实现技术－CGI、ASP、PHP等动态脚本 ?数据层：数据库／本地文件；数据库连接： ODBC／OLEDB／JDBC2011年3月6日 网络攻防技术与实践课程Copyright(c)2008－2009诸葛建伟8传输协议:HTTP/HTTPS?HTTP ?HTTP1.0(IETFRFC1945),