开题报告-Web服务安全性测试研究

1、南京邮电大学通达学院毕业设计(论文)开题报告题目 Web服务安全性测试研究学生姓名班级学号专业计算机科学与技术一、 对课题任务的学习与理解1. 课题产生背景 Web服务以XML、WSDL、SOAP和UDDI为核心，采用SOA体系架构，引入了一种新的Web应用的开发、部署和集成的模式。Web服务的应用越来越广泛，Web服务中的安全缺陷与漏洞也在不断增多，Web服务安全性问题日益突出。Web服务安全性测试是保证Web服务软件安全性、降低安全风险的重要手段。当前，很少有软件应用系统能够离开Web模式，并且也成为了今后软件最主要的发展方向。虽然对于软件测试还仅仅处于一个起步阶段，但是越来越多的软件公司

2、开始重视它的存在。而一个系统质量的好坏，测试也是一项关键性因素。Web应用会面临诸多风险，对于其风险的分类以及安全漏洞也有很多种，所谓Web应用系统的安全性测试主要指的是保证其中存储数据的机密性以及确保被授权的用户在其授权范围内进行活动的一个过程。比如确保Web应用系统中存储的信息不会被非授权用户读写或下载，被授权使用的用户只能在其特定的范围内活动，无法阅读超出这个范围之外的信息。对Web应用系统进行安全性测试主要是为了寻找系统中存在的各种安全漏洞，而并不能完全验证该Web服务系统是绝对安全的。2. 课题实现目标 本课题要求理解Web服务和安全性测试相关知识，设计一种针对Web服务相关安全性能

3、的测试方法，并给出相关原型系统及其实验分析等。 （1）一种针对Web服务相关安全性能的测试方法； （2）提交毕业设计报告及其相关电子文档。二、 文献调研综述1. Web服务概述 Web服务是建立于即可扩展标记语言（XML）和HTPS的服务平台，用以建立互操作的分布式应用程序，其通信协议的XML标准基于以下三个协议：即简单对象访问协议（SOAP）、统一描述，发现和集成协议（UDDL）以及Web服务描述语言（WSDL），来发现和获得服务的元代码，具有跨Internet、语言独立、平台无关、协议独立、伸缩性好的优点，Web服务已经被大量分布式应用采用为技术基础，以实现其程序功能。 概括来说，Web服

4、务主要包含以下三个方面协议的内容 （1）SOAP：一个基于XML的可扩展消息信封格式，需同时绑定一个传输用协议。这个协议通常是HTTP或HTTPS，但也可能是SMTP或XMPP。 （2）UDDI：一个用来发布和搜索Web服务的协议，应用程序可借由此协议在设计或运行时找到目标Web服务 （3）WSDL：一个XML格式文档，用以描述服务端口访问方式和使用协议的细节。通常用来辅助生成服务器和客户端代码及配置信息。2. Web服务接口探查WSDL（Web Services Description Language）是Web服务描述的标准语言，它是一种规范，定义了如何用XML语法来描述Web服务。WSD

5、L从功能和语法层面对Web服务的以下4种关键的数据进行描述： （1）所有公共函数的接口信息； （2）所有消息请求和消息响应的数据类型信息；（3）所使用的传输协议的绑定信息；（4）用来定位指定服务的地址信息。3. Web服务安全漏洞测试 （1）XML消息可以进行递归实体扩展，恶意构造包含大量递归嵌套元素的消息，以消耗服务器资源或使解析器崩溃，造成拒绝服务攻击。例如，可以构造递归嵌套100000层的XML元素。递归负载还可以通过恶意DTD文档来定义。例如： ! DOCTYPF foobar . &100;应用实体X100将产生2100个hello字符串。基于DOM实现的解析器易受到递归负载攻击。执

6、行漏洞测试可以人工或利用工具产生递归XML消息，攻击Web服务。（2） 基于内容攻击 恶意SOAP附件在Web服务造成的恶意代码嵌入附件中传播，可以构造恶意消息发送到Web服务。而注入式攻击者可能绕过数据库认证而执行未授权的查询或者恶意篡改数据库、执行系统命令等，常用手段包括结构化查询语言(SQL)注入、XML注入、命令注入等。跨站脚本在Web应用中最常出现的漏洞，在Web服务中同样流行，一般由恶意脚本注入Web站点所致。（3） 引用外部攻击XML消息可以引用恶意外部实体嵌人数据或系统命令，攻击Web服务：通过对模式文件的操纵，改变消息的格式和语义，使Web服务接收到错误数据类型等：在SOAP

7、头部修改或添加恶意目标，进行路由劫持，合法接收者无法察觉消息被篡改，造成敏感信息泄露。 （4）不当错误处理Web服务返回的错误消息往往过于详细，有利于攻击者发现程序结构漏洞，执行这类测试的目的是 强制Web服务返回错误消息，审查内容是否存在不当的错误处理。4. Web服务安全漏洞测试 （1）登录验证 登录验证测试用来验证系统是否可以识别非法的用户名和密码登录，密码大小写敏感性，验证次数限制，是否有IP限制登录，哪些内容登陆后才能有效访问等。 （2）超时限制验证应用系统的时间限制，当用户长时间不作任何操作的时候，系统默认自动退出，需要重新登录才能继续使用。 （3）日志文件验证日志是否能够记录所有

8、Web运行的相关信息以及是否可以追踪，是否记录系统运行错误，有无特殊进程占用情况，是否记录用户详细信息。这些例外情况都需要被保留到日志，以供技术人员分析漏洞来源。 （4）目录在每个目录访问时可设有index.html或main.html页面，来防止显示该目录下的所有信息，或者严格设定Web服务器的目录访问权限，禁止非法用户看到目录显示内容，将数据暴露的隐患降低到最少程度。 （5）数据加密Web服务中的信息传输，有时需要进行数据加密，如用户登录信息或私密的账户信息，可以通过解密过滤，如发送到用户邮箱、存储到数据库等方式。主要参考文献：1 Canfora G, Di Penta M. Servic

9、e-Oriented Architectures Testing: A Survey. A. De Lucia and F. Ferrucci (Eds.): ISSSE 20062008, LNCS 5413, 2009: 78105.2 施寅生，王峰，齐璇. 一种新颖的Web服务安全性测试方法. 计算机工程与科学. 2010(09)3 白晓颖，赵冲冲，戴桂兰. Web服务测试研究. 计算机科学，2006， 33(2):252-256.4 杨利利，李必信. Web服务测试问题综述. 计算机科学，2008，135(19):258-265.5 Bai X, Wang D, Tsai W, and Chen Y N. WSDL-Based Automatic Test Case Generation for Web Services Testing. In Proceedings of the IEEE international Workshop(SOSE), 2005:215-220.6 姜瑛，辛国茂，单锦辉等. 一种Web服务的测试数据自动生成方法. 计算机学报，2005， 28(4):568-577.7 袁雪莉，丁晓明，彭中莲. 基于扩展WSDL的测试用例自动生成. 西南师范大学学报(自然科学版)， 2009，34(2): 140-145