维普资讯 http://www.cqvip.com ＭｉｃｒｏｃｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓ Ｖｏ１．２４，Ｎｏ．５，２００８ 文章编号：１００７ ７５７Ｘ（２００８）５ ００５６～０３ 一技术交流 微型电脑应用 ２００８年第２４卷第５期 种基于Ｗｅｂ漏洞威胁模型的网站安全分析技术 张亮朱磊明王康 摘要：网站日益受到黑客的青昧，针对Ｗｅｂ应用程序的攻击事例屡见不鲜。如何全面、准确地分析网站面临的最大 威胁成为专业信息安全公司和网站管理员的不可回避的难题。本论文借鉴攻击图的基本思想设计了漏洞威胁测试模型 （Ｖ兀１Ｍ），并以ＳＱＬ注入漏洞为例对其进行建模，并利用两种算法分别计算了网站的最大威胁值及最优测试序列。 关键词：渗透测试攻击图ＳＱＬ注入贪婪算法动态规划 中图法分类号：ＴＰ３０９．２ 文献标识码：Ａ 利用ＳＱＬ注入攻击技术入侵服务器、利用跨站脚本漏洞威胁 引言 网络的普及标志着信息时代的来临，形形色色的网站使 “足不出户，办天下事”成为可能。便利的网络服务唾手可 得，在吸引众多Ｉｎｔｅｒｎｅｔ用户同时也招来了不坏好意的目 光。越来越多的网络黑客将网站视为免费的蛋糕，刚站安全 受到严重威胁。 渗透测试（Ｐｅｎｅｔｒａｔｉｏｎ Ｔｅｓｔ）的主要目的是对网站进 行安全评估，它可以使用专用漏洞扫描工具对网站的安全状 态进行检查，也可以雇用具有丰富网络攻击经验的专业技术 客户端、利用服务器提供的其他辅助服务进行入侵等。进行 渗透测试时要涵盖这些纷繁复杂的环节，因此需要对各类型 的Ｗｅｂ漏洞进行建模，发现网站存在的最大威胁。 攻击图（Ａｔｔａｃｋ Ｇｒａｐｈ）作为表现攻击条件、过程和结 果的模型在渗透测试中具有不可替代的作用。为了降低工具 和技术人员对渗透测试的影响，本论文将根据攻击图的基本 思想设计漏洞威胁测试模型（Ｖｕｌｎｅｒａｂｉ１ｉｔｙ Ｔｈｒｅａｔｓ Ｔｅｓｔｉｎｇ Ｍｏｄｅｌ，ＶＴＴＭ），并通过求解模型全面、准确地发现 网站的最大威胁。 人员扮演“黑客”的角色，从内网、外网以及不同网段对网 站进行模拟攻击，以便能够模拟企业内部的违规操作和对企 业内部状态一无所知的外部攻击。然而，这种安全测试方式 ２ ＶＴＴＭ的设计与建立 攻击图以有向图为表现形式，顶点代表网站的安全状 态，有向边代表状态的转换，包含了各种转换条件。本论文 的效果过分依赖于工具和技术人员的能力，并且通常以离散 状态分布在企业各处对网站进行渗透，不能充分模拟黑客攻 击的流程，而一个漏洞可能要具有一定前提条件才可能被发 将根据攻击图的基本思想对 站的Ｗｅｂ漏洞测试过程建立 ＶＴＴＭ模型，模型将使用加权有向图来表示。 ＶＴＴＭ模型有五个基本要素：网站安伞状态集合ｓ、初时 现，因此这种“各自为政”的状态容易片面地估计漏洞威胁， 从而隐藏了漏洞的存在。 常见的Ｗｅｂ漏洞存在于用户认证、用户授权、用户输入 验证、Ｗｅｂ程序管理和客户端访问等环节上，具体形式有使 状态集合ｓ。、目标状态集合ｓ 、安全状态转换集合 和价 值代价比集合 ，详细描述见表１ 用Ｃｏｏｋｉｅｓ、会话ＩＤ欺骗或密码破解绕过用户验证或提权、 表１ ＶＴＴＭ模型要素 簪尊芳 篓磐嚣黪 掰毒 髻｜善 ； 螂一 掣 “尊薯 糍≯ｉｉ誊 。 菪 奢蔓 ｊ 一 。孝 ０｜ 蔓 Ｓ Ｓｏ ｓ是在测试过程中不断改变的网站安全状态，在模型中处于项点位置。 ＳＯ∈Ｓｏｃ ｓ，是有向图中入度为０的顶点。 Ｓ ｓ ∈ｓｔ ５，是有向图中出度为０的终点，以双圆圈表示。 中状态 表示从安全状态Ｓ 向Ｓ 的转换过程，在有向图终处于边的位置，用序偶＜ｓ ，Ｓ ＞表示。其中ｆ≠Ｊ。如果转换后的状态 Ｓ ５ｔ，表示漏洞测试过程达到预期目标，结束状态转换过程。 权值集合， 表示从安全状态Ｓ。向Ｓ 的转换权值，用二元组（ｃ Ｖ．．）表示。 作者简介：张亮，解放军电子工程学院，硕士研究生，安徽省合肥市２３００３７ 朱磊明，解放军电子工程学院，硕士研究生导师，教授，安徽省合肥市王康，解放军电子工程学院，硕士研究生，安徽省合肥市２３００３７ ２３００３７ ・５６・ 维普资讯 http://www.cqvip.com ＭｉｃｒｏｃｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓ Ｖｏ１．２４，Ｎｏ．５，２００８ 技术交流 微型电脑应用 ２００８年第２４卷第５期 表２状态节点元素 由此，ＶＴＴＭ模型可以用五元组（ｓ。，ｓ，ｓ ， ｆｆ，Ｏ）来 表示，其基本思想是使用大量的测试用例对每一个安全状态 状 牧戳 灏涧 概雏 进行检测，满足转换条件后进行状态迁移，如果最后能够达 到目标状态，则表示网站存在从Ｓ。到Ｓ 对应的漏洞。 Ｓ中的每一个状态包含以下元素： ●用户权限：当前用户等级标识，通常采用枚举型进行表 示，包括ｇｕｅｓｔ（ａｎｏｎｙｍｏｕｓ）、ＩＵＳＲ ＸＸＸＸ（互联网访问用 户）、ｎｏｒｍａｌ（ｐｕｂｌｉＣ）、ａｄｍｉｎｉｓｔｒａｔｏｒ等等。 鑫 ！【 Ｒ ｉＵＳＲ ｌ｝ｊｆ，Ｉ＾Ｉ心 涮 束嶷权 州蚺 绕过认涎执得Ｈ站甜地ｌ¨』、攫杖 ｊｒ Ｉ ＵＳＲ、ｄｂ‘ ｗ・］ 一 １ ，ｄｂ ｃＪ 能抓勺：再木ｔ ｆ ｉ，锚披术 嘲川瞰，’嚣组件¨训坤４－水，５ 利川嘟小木 ｝ 作Ｔ ： 水ｔ５ 扶 承缝“ ｌ…户权 链拔注入 ｉＩ４｜ ● 目标：指定需要进行测试的目标，可以是单个和多个服 务器。状态转换不涉及到目标迁移时可以省略此元素。 ●漏洞：通过状态转换后得到的可利用漏洞。 ●能力：当前状态下能够对网站产生的危害或能够进行的 攻击行为，比如会话欺骗、窃听密码、植入木马和ＳＯＬ注入 等。 表示将测试用例作用于Ｓ－后网站安全状态转换到 Ｓ。，这个转换过程用序偶＜Ｓ ，Ｓｉ）表示，其中Ｓ．表示测试 条件，ｓ。表示测试结果。测试用例应该具有原子性，即在测 试环节中最小的测试单元，以单一的手段获得单一的效果。 Ｃｕ１ ｅｎｔ Ｕ ＩＵＩＲ Ｐｌ１１，１ ｉ ｊＵＳＲ ＷｅｂＡｄｍ１ ｒ１ 髓摧征 酗州 Ｍ数脚 ｛１躺雕符 咀管』 强 栅件求 幸苦－ Ｉ协 ．Ｊ．《 帑 ｝ ＷｅｂＡｄｍ】ｎ ★． ｝ 他脚４、水 ５ 抉 弧ｂ ｊ 模型错误！未找到引用源。建立以后对状态转换图进行 遍历以获得从初始状态到目标状态的所有测试路径。通常， 对图的遍历有深度优先遍历和宽度优先遍历。在ＶＴＴＭ模型中 使用深度优先遍历，遍历过程中获得的从Ｓ。Ｎｓ 的路径就是 状态线性序列。然后根据需要确定最优序列。按照最优序列 在ＶＴＴＭ模型中 表现为有向边，可以对每条边赋予权值， 这里，权值使用二元组（Ｃ，Ｖ）表示，其中Ｃ表示执行测试 用例的代价，是执行周期、被ＩＤＳ或ＩＩＳ记录的可能性和占 用系统资源等因素的综合值；Ｖ表示执行测试用例的价值。 以上两个元素都根据测试者自身需要和经验进行设置。以 进行漏洞发掘将取得最大效益。最优的标准由测试者的需求 决定，比如不考虑代价，只考虑价值，则最优函数为：ｍａｘ∑ ； 如果不考虑价值只考虑代价，最优函数为：ｍｉｎ＇ｒｃ ：如果两 者兼顾，可以引入价值代价比 ，则最优函数为：ｍａｘＹ￣ｐ （此情况下Ｃ ＞０）。可以将模型中各个状态的转换条件视为 约束条件，主要体现在测试条件Ｓ－的内部元素“漏洞”和“能 力”上。 ＳＯＬ注入漏洞为例，其局部状态转换图。如图ｌ所示。 建立Ｗｅｂ漏洞的ＶＴＴＭ模型时，需要考虑所有类型的漏 洞威胁，分别确定初始状态和和目标状态，创建各自的子状 态转换图，然后合并成全局状态转换图。为减少计算最优测 图１局部状态转换图示例 试序列的复杂度，必须对全局状态转换图进行优化，优化遵 循以下原则： 漏洞测试的过程可以看成是基于测试条件的状态转换 过程ＴＰ（本文称之为测试路径），用线性状态序列表示： ＴＰ＝｛ＳｏＳｌ…Ｓ｜．一Ｓｌ｝ＳｘＥ Ｓ（），Ｓ ∈Ｓ，Ｓｔ∈ＳＩ’０ ｉ Ｉ ＳＩ｝ 在ＶＴＴＭ中达到日标状态的关键因素是合理、充分地设 ● 合并状态节点时，节点的各个元素必须一致，否则不 能合并。 ● 存在条件依存关系的状态节点，即能够用序偶表示＜Ｓ。． ｓｌ＞的两个节点Ｓ．，Ｓ 不能合并。 计测试用例，并能涵盖网站程序的各个功能模块。 下面以ＳＱＬ注入漏洞为例，利用ＶＴＴＭ对其进行建模， 目标状态是获得网站的ＷｅｂＳｈｅｌｌ，模型的五个要素如前文 所述，对应的状态转换图如图２所示，其中各个状态的内部 元素描述见表２ ・ 根据网站实际情况检查每个状态的转换条件是否成 立，如果不成立，去掉该转换。 ・ 在不同的子状态转换图之间补充必要的路径，因为测 试过程应该是全面、动态的过程，不会拘泥于其中某个特定 环节，测试人员可能通过Ｗｅｂ程序的其他缺陷来发现产生此 漏洞的条件，使安全状态转换具备前提条件而发生转移。 ● 经过优化的状态转换图若存在环路，则环路中的状态 转换可能具有原子型，需要重新分析添加新的状态节点避免 产生环路。 一般地，建立ＶＴＴＭ模型的步骤为： 图２ ＳＱＬ注入漏洞威胁的状态转换图 ・５７・ 维普资讯 http://www.cqvip.com
ＭｉｃｒｏｃｏｍｐｕｔｅｒＡｐｐＨｃａｆｉｏｎｓＶｏ１．２４，Ｎｏ．５，２００８ 技术交流 微型电脑应用 ２００８年第２４卷第５期 素：最优子结构、重叠子问题。前者表示原问题的最优解包 ３ 量化威胁 建立ＶＴＴＭ模型的目的是为了寻求网站的最大威胁， 因此，建立模型以后需要求解模型，即在约束条件下 求最优函数的解。现以图２所示的ＳＱＬ注入漏洞的ＶＴＴＭ 含了其子问题的最优解：后者要求避免重复求解相同子问 题。 以图２为例，相关参数不变。令ｄ（ｉ，ｊ，ｋ）表示从节点 Ｓ 到节点Ｓ 的路径对应的ｍａｘ∑ ，且该路径经过最大节点 为Ｓ ，由此定义： ｆ ０， ｉ＝Ｊ，ｋ＝０ 为例进行求解，假设该状态转换图已经经过优化，最 优函数为：ｆ…＝ｍａｘＺＰ 对状态转换图中，测试结果 ｄ（ ， ， ）＝｛ 一ｏ。， ＜ ，， Ｊ＞ ｙ……① 为ｓ 的状态转换的权值为０，其他权值如表３所示（以 作者经验设定）。 表３状态转换权值 。Ｉ 】２ 州 ａｌｌａｘ｛ｄ“，Ｊ，ｋ一１），ｄ（ｉ，ｋ，ｋ一１）＋ｄ（ ，Ｊ，ｋ一１））， ｌ， Ｊ＞∈ｙ，ｋ≥０ 求解原问题变为求ｄ（０，ｔ，ｔ），为方便计算，令 ｔ＝｝ｓ ｉ＝ｉ０。易知ｄ（ｉ，Ｊ，Ｊ）＝ｄ（ｉ，Ｊ，ｊ—１），ｄ（ｉ，ｊ，ｉ）＝ ｄ（ｉ，Ｊ，ｉ—１），根据①，有： ｄ（０，ｌ０，ｉ０） ＝ｄ（０，ｉ０，９） （８， ５） ０．６３ 。 （１， ２） ２ ０６ （３， ８） ２．６７ （３， １０） ３．３３ ７８ （４， ４） １ ＝ｍａｘ｛ｄ（０，１０，８），ｄ（０，９，８）＋ｄ（９，１０，８）） 其中ｄ（０，９，８）＋ｄ（９，１０，８）＝６＋０：６， ｄ（０，ｌ０，８） ……０ ＝ｍａｘ｛ｄ（０，１０，７），ｄ（０，８，７）＋ｄ（８，１０，７）） ｄ（８，１０，７）＝－－－ｏｏ ｄ（０——，ｌ０，７） ｃｒ ｜－ （２， ３） １．５ （３， ３） １ （２， ３） １．５ （１， ２） ２ 。 以此类推，得： ｄ（０，１０，７）＝ｄ（０，１０，６）＝ｄ（０，１０，５）＝４．９６，带入０，最后得出： ｄ（０，１０，１０）＝ｍａｘ｛４．９６，６｝＝６，对应最优的测试路径 ＴＰ。。ｔ＝｛ＳｏＳ６Ｓ Ｓ８ ｓ９ｓｔ） 下面介绍使用贪婪算法和动态规划的方法求解模型。 １） 贪婪算法（Ｇｒｅｅｄｙ ａｌｇｏｒｉｓｍ） ４ 结论 将ＶＴＴＭ模型应用于Ｗｅｂ网站漏洞测试过程可以帮助测 试人员高效准确地确定网站的最大威胁及最优的测试步骤， 贪婪算法的基本思想是：采用逐步构造最优解的方法， 在每个阶段都选择一个看上去最优的决策。一旦作出决策就 不可再更改。作出贪婪决策的依据称为贪婪准则。 求解模型最优解的关键是寻找一条从初时状态节点到 目标状态节点的路径，使这条路径上的所有价值代价比Ｐ 成为最优函数的解。根据算法的基本思想，设有集合Ａ，包 含每次根据贪婪准则所选的状态节点：集合Ｂ，包含当前状 减少测试成本。本文根据攻击图的基本思想，以ＳＱＬ注入攻 击为例建立了ＶＴＴＭ模型，并使用贪婪算法和动态规划两种 方法对此模型进行了求解，向读者展示了ＶＴＴＭ模型优点。 但建模的好坏必须依赖于建模人员对网络安全知识的熟悉 态节点与新加入Ａ的节点之间的状态转换。初始情况下 Ａ＝（ｓ。），Ｂ＝ 。假设当前新加入Ａ的状态节点为Ｓ ，且 和经验积累的程度，对使 ［｝ｊ ＶＴＴＭ模型的测试人员提出了更 高的要求。 Ｓ Ｓ ，则向Ａ加入下一个状态节点Ｓ 的贪婪准则为：Ｓ 未在Ａ中出现且使＜ｓ，Ｓｉ＞对应的Ｐ 最大。由此，对于图２ 参考文献： 【１】Ｊｏｅｌ Ｓｃａｍｂｒａｙ，Ｍｉｋｅ Ｓｈｅｍａ ａｎｄ Ｃａｌｅｂ Ｓｉｍａ Ｈａｃｋｉｎｇ Ｅｘｐｏｓｅｄ Ｗｅｂ Ａｐｐｌｉｃａｔｉｏｎｓ［Ｚ］．Ｓｅｃｏｎｄ Ｅ￣ｆｉｏｎ．２００６． 【２】Ｌａｕｒａ Ｐａｉｎｔｏｎ Ｓｗｉｌｅｒ，Ｃｙｎｔｈｉａ Ｐｈｉｌｌｉｐｓ，Ｔｉｍｏｔｈｙ Ｇａｙｌｏｒ．Ａ 所示的状态转换图，其最优测试路径为ＴＰ＝｛ＳｏＳ。Ｓ Ｓ Ｓ ）， ∑Ｐ ＝４．９６。注意，贪婪算法只是一种直觉倾向性的抉择， 不保证 Ｐ ｆ到达最优，比如图２的所示例子中存在更优 的测试路径ＴＰ ＝｛ＳｏＳｅＳ Ｓ ￥９Ｓ ），∑Ｐ ＝６，但通过贪婪算 法获得结果总是非常接近最优值。 ２）动态规划（Ｄｙｎａｍｉｃ ｐｒｏｇｒａｍｍｉｎｇ） 与贪婪算法类似，动态规划也将待求问题分解成若干子 问题，求解子问题后再从这些解中得到原问题的解。不同的 Ｇｒａｐｈ—Ｂａｓｅｄ Ｎｅｔｗｏｒｋ—Ｖｕｌｎｅｒａｂｉｌｉｔｙ Ａｎａｌｙｓｉｓ Ｓｙｓｔｅｍ［Ｍ］． Ｓａｎｄｉａ．Ｎａｔｉｏｎａｌ Ｌａｂｏｒａｔｏｒｉｅｓ １ ９９８． 【３】许治昆，王伟，郭添森，杨冀龙．网络渗透技术［Ｍ］．北 京：电子工业出版社，２００６． 是动态规划的子问题往往不是相互独立的，某个子问题的解 可能会影响到另一子问题的解。动态规划具有两个基本要 （收搞日期：２００８—１—２） 投稿请规范格式，提高录用率 ・５８・