web的入侵防御系統的設計與實現—計算機畢業設計-資料下載頁

　　

【正文】 率方面低于C++實現的策略，我們可以根據服務器的配置及需求在C++實現的策略高效和腳本的方便靈活上找到一個平衡點。在考察了各種腳本引擎的特點后，我們為本系統采用Lua語言作為它的策略腳本語言。 對策略的封裝要讓Lua作為策略的腳本語言首先得完成對策略的封裝。在前面的設計部分已經介紹了策略實現中需要提供的幾個接口。由于Lua的特性，可以在C++ 中很方便的調用Lua編寫的函數，所以可以在Lua策略腳本中，通過Lua函數的方式提供策略引擎所需要的OnRecv和OnSend接口。當策略引擎調用Lua策略時，會向Lua腳本中的OnRecv和OnSend函數傳遞client對象這個參數。我們需要將此對象封裝成Lua腳本能識別的形式。在《Programming in Lua》[7]和《我的編程感悟》[8]中都介紹了如何將C++的類封裝成Lua的Table的實例，這里就不在介紹了 。 Lua策略腳本示例使用Lua語言編寫策略腳本非常簡單，下面是一段用來過濾SQL注入關鍵字的Lua策略腳本示例：warning_msg = [[ html head meta equiv=ContentLanguage content=zh meta equiv=ContentType content=text/html。 charset=gb2312 title請你自重/title /head body bgcolor=D6D3CE pbfont size=2 你的攻擊行為已經被記錄/font/b/phrpbfont size=2span lang=enusBY 林海峰 /span版權所有/font/b/p /body/html]]function OnRecv(request) url = request:GetServerVariable(QUERY_STRING) (AntiSQLInject, url) if CheckSqlKey(url) then return (request, 200 OK, warning_msg)。 endendfunction CheckSqlKey(str) local test_key = {and, or} str = (str) for i,v in ipairs(test_key) do if (str, v) then return true end end return falseend 基于xml的策略管理在這套系統中，我們通過xml配置文件來管理策略的信息。我們使用tinyxml庫完成xml文件的解析與生成。例如。?xml version= encoding=UTF8 standalone=yes ? PolicyList Policy Name=AntiSQLInject Description=Anti SQL Inject Loader=lua Path=Policy\ Type=USER Priority=1 Enable=true / /PolicyListIIS加載我們的ISAPI Filter 的DLL成功后，并通過xml中的policy列表加載策略。按照上面的xml文件信息所示。5 系統運行過程及測試配置Windows 2003服務器的IIS，使其正常加載我們編寫好的DLL，并加載我們編寫好的防止緩沖區溢出，防止SQL注入，防盜鏈等策略文件。使用的測試的用例如下：(1) 緩沖區溢出防御的檢測：發送的HTTP協議中包含超長的字段。如果服務器返回警告信息，則測試通過。(2) SQL注入防御：在發送的url字段中包含SQL注入的關鍵字。如果服務器返回警告信息，則測試通過。(3) 多線程控制：在策略中設置限制同一個IP的訪問線程為3。使用迅雷或者其他多線程下載工具，開3個以上的線程下載服務器上的文件。如果迅雷能以3個線程下載服務器文件則測試通過。以下是運行防止SQL注入的截圖：圖4 沒有加載Web IPS時SQL注入攻擊效果圖5 加載Web IPS時SQL注入攻擊效果圖4和圖5分別為系統加載前和加載后的SQL注入攻擊效果。經過測試，系統能有效地攔截前面所介紹的對Web服務器的安全威脅。結 論本文分析了當前流行的針對Web服務器的安全威脅，設計并實現了一套保護Web服務器安全的輕量級的入侵防御系統。提供方便的編寫策略腳本的機制，方便Web服務器管理員配置安全的Web服務器環境。同時應該注意到這套系統僅僅是針對Web服務器安全的，一套整體的安全網絡環境是需要靠網絡中每一個獨立單元都具有較好的安全配置才能實現的。這套入侵防御系統也存在一些需要完善的地方，比如目前直接使用編輯配置文件和策略腳本的方式來更新配置，如果能使用UI管理策略和系統，能使這套系統的使用更加方便。在本系統的策略中，由于對客戶端的識別的粒度是基于IP的，這樣會導致一些策略對使用NAT的用戶造成影響。由于采用靈活的策略插入機制，所以可以通過策略增加系統的功能。參考文獻[1] Michael Howard, David [M].機械工業出版社, 2002[2] coolswallow. SQL盲注攻擊技術綜述[Z].[3] Marcus [M].機械工業出版社,2002[4] 田東風, 秦江. ISAPI與網絡服務器安全研究[J]. 微計算機信息,2004,(8):107108[5] 朱玉山， 開發指南[M].北京：清華大學出版社，1998 [6] [J].程序員, 2006,(6):6668.[7] Programming in Lua [M]., 2003 [8] [M].電子工業出版社,2005致 謝本文是在索望老師的熱情關心和指導下完成的，他淵博的知識和嚴謹的治學作風使我受益匪淺，對順利完成本課題起到了極大的作用。在此向他表示我最衷心的感謝！在論文完成過程中，本人還得到了其他老師和許多同學的熱心幫助，本人向他們表示深深的謝意！最后向在百忙之中評審本文的各位專家老師表示衷心的感謝！作者簡介姓 名：林海峰 性別： 男出生年月： 民族：漢Email：@聲 明本論文的工作是 2007年2月至2007年6月在成都信息工程學院網絡工程系完成的。文中除了特別加以標注地方外，不包含他人已經發表或撰寫過的研究成果，也不包含為獲得成都信息工程學院或其他教學機構的學位或證書而使用過的材料。除非另有說明，本文的工作是原始性工作。關于學位論文使用權和研究成果知識產權的說明：本人完全了解成都信息工程學院有關保管使用學位論文的規定，其中包括：（1）學校有權保管并向有關部門遞交學位論文的原件與復印件。（2）學校可以采用影印、縮印或其他復制方式保存學位論文。（3）學校可以學術交流為目的復制、贈送和交換學位論文。（4）學校可允許學位論文被查閱或借閱。（5）學校可以公布學位論文的全部或部分內容（保密學位論文在解密后遵守此規定）。除非另有科研合同和其他法律文書的制約，本論文的科研成果屬于成都信息工程學院。特此聲明！ 作者簽名： 2007年06月 日