基于遗传算法和Fuzzing技术的Web应用漏洞挖掘研究-计算机科学与技术专业论文.docx

贵州师范大学 贵州师范大学 万方数据 万方数据 摘要 随着互联网的发展，基于 B/S 架构的 Web 应用系统逐渐取代了传统的基于 C/S 架构的应用系统，网络用户的很多个人隐私信息都通过 Web 应用进行传输 和处理，这使得 Web 应用成为网络攻击的重灾区。因而，建立一套高效、准确 的 Web 应用漏洞挖掘机制，及时发现目标系统中的安全问题，从而减少目标系 统被恶意攻击的可能，就具有十分重要的理论意义和实用价值。 首先，本文在比较了传统的白盒、黑盒和灰盒测试技术的基础上，分析研 究了 Fuzzing 技术的基本原理、基本测试流程及其涉及的核心技术。同时，针 对 Web 应用漏洞挖掘的特点，分析并介绍了常见的 Web 应用安全漏洞的基本 原理。 其次，针对 Fuzzing 技术存在的较大盲目性，通过引入遗传算法来优化 We b 应用漏洞挖掘的测试数据，提高测试数据的质量，降低其随机性，以此提高 漏洞挖掘的效率。主要的研究内容包括：设计了基于漏洞特征集的适应度函 数，针对 Web 漏洞挖掘测试用例的特殊性优化了传统的两点交叉算法和基本位 变异算法。 最后，设计了基于遗传算法的 Web 应用模糊测试器(Web Fuzzer Based on G enetic Algorithm, WFBGA)，该模糊测试器主要包括：输入向量构造模块、模糊 测试数据生成模块、遗传优化模块、测试数据执行模块和异常检测模块，并基 于开源 Web 模糊测试器 WebFuzz 实现了 WFBGA 的主程序，基于 Python 语言 实现了 WFBGA 的遗传优化模块。其中，输入向量构造模块用于产生模糊测试 的输入变量集合；在测试数据生成模块中，则设计了探索式和启发式两种测试 数据生成方式；遗传优化模块则主要完成对初始测试数据的优化；测试数据执 行模块主要完成了测试数据的封装与发送；异常检测模块则主要完成的是对服 务器返回结果的分析与记录。 实验结果表明 WFBGA 在注入型漏洞、XSS 和 CSRF 上的挖掘性能要较优 于 WebFuzz 和 SPIKE 等开源模糊测试器。但 WFBGA 在安全配置错误和未加密 传输等漏洞类型上的挖掘性能还有待改善。 关键词：Web 应用；漏洞挖掘；Fuzzing 技术；遗传算法；模块 II III Abstract With the development of Internet,Web application system based on B/S architect ure is gradually replacing traditional application system based on C/S architecture.A l ot of privacy information of Internet uses transfers and gets processed on Web applic ation.All of these make Web application become the hardest hit area of cyber attacks. Building a high effective and high accurate mechanism of Web application vulnerabili ties mining to find out security problems in target systems and reduce the possibility o f target systems being attacked maliciously has important theoretical significance and practical value. Firstly this paper analyzes and studies the basic principle,the basic testing proced ure and core technology of Fuzzing technology on the basis of comparing traditional white box,black box and grey box testing technology.Meanwhile,analyzing and introd ucing the basic principle of common Web application security vulnerabilities Accordi ng to the characteristics of Web application vulnerabilities mining