2018-2019-2《密碼與安全新技術專題》第一次做業

20189216 2018-2019-2 《密碼與安全新技術專題》第一次做業

課程：《密碼與安全新技術專題》
班級： 1892
姓名： 鮑政李
學號：20189216
上課教師：謝四江
上課日期：2019年2月26日
必修/選修： 選修

1.本次講座的學習總結

本次講座的主題爲網絡(Web)安全與與內容安全。現在，信息化發展凸顯了信息安全問題。張老師從Web應用安全和隱私安全兩個方面爲咱們帶來了一場精彩的講座。經過此次講座，咱們知道常見的Web漏洞有以下幾個：

經過此次講座咱們知道了什麼是SQL注入漏洞、SQL注入分類以及如何判斷等等。
還學習到什麼是XSS跨站腳本攻擊， XSS漏洞分爲兩類：①反射型XSS ②存儲型XSS，認識到XSS的危害，瞭解持久型跨站腳本攻擊場景等等。
學習什麼是CSRF跨站請求僞造漏洞，跨站請求僞造(CSRF)場景，如何上傳漏洞、解析漏洞，什麼是弱口令等等。
在隱私安所有分介紹了用戶軌跡的危害以及機器學習的啓發。

2.學習中遇到的問題及解決

• 問題1：Apache解析漏洞理解不透徹
• 問題1解決方案：參考學習大佬的博客milantgh
• 問題2：Nginx解析漏洞的學習有困難
• 問題2解決方案：查閱相關資料，學習他人在博客上分享的寶貴的經驗涅槃小鳥

3.本次講座的學習感悟、思考等）

當下，信息化發展凸顯了信息安全問題。咱們必須作到熟悉一些常見的Web漏洞，只有認識到有漏洞的存在，才知道去預防。關於如何去預防，咱們應該作到平時努力學習Web安全方面的專業知識，去圖書館借閱資料，最主要的要學會充分利用網上的資源，去知網、博客等平臺去學習去掌握本身須要掌握的知識點。在平常生活中，須要注重本身的隱私安全，須要學會注意保護本身的隱私信息，不能隨便將本身的私人信息泄露給他人。正如講座中說到的「用蘋果手機的人去莆田系醫院爲何治很差病？」 由於自從蘋果手機升級了iOS8之後，就不再給咱們發送用戶的IMEI碼 了，連cookies都不給看！市面上出現一種「高科技設備」，能夠採集到附近的手機號碼。真正神祕的地方在於其背後的「大數據」支撐，正是這個數據庫裏 存了海量的手機MAC地址<->手機號碼對照關係，才得以在採集到 MAC地址後把手機號給匹配出來。從這個案例能夠看出這是多麼的可怕！因此咱們必須得重視這個問題，注意保護本身的我的信息！

4.SQL注入漏洞最新研究現狀

• 由Haiyan Zhang；Xiao Zhang兩人在CSAE '18 Proceedings of the 2nd International Conference on Computer Science and Application Engineering上發表的PHP站點的SQL注入攻擊原理和預防技術一文中說到SQL注入攻擊已成爲黑客攻擊的主要方法。 SQL注入漏洞嚴重威脅着WEB應用系統的安全性。他們以PHP語言爲例，詳細介紹了SQL注入的緣由，對常見的SQL注入攻擊方法進行了深刻的研究。 在實際滲透測試實踐的基礎上，提出了SQL注入檢測技術，以及在編寫WEB程序代碼時如何避免SQL注入漏洞。 他們爲SQL注入測試提供了詳細的技術支持，爲SQL注入防護中的WEB信息系統提供了強有力的保障。他們闡述並總結了針對SQL注入的PHP站點進程的攻擊原理和攻擊實現SQL注入攻擊原理和預防技術，並經過手動注入演示了SQL注入漏洞利用方法。因爲攻擊原則具備必定的通用性，所以用其餘語言開發的Web應用程序系統也可使用本文中描述的方法進行安全性測試。隨着SQL注入技術的不斷完善，只要Web仍然在程序或源代碼中使用，仍然存在漏洞和隱患。
• 由Kevin Ross; Melody Moh; Teng-sheng Moh三人在ACMSE '18 Proceedings of the ACMSE 2018 Conference 中發表的Multi-Source Data Analysis and Evaluation of Machine Learning Techniques for SQL Injection Detection 一文中說到SQL注入仍然是我的信息暴露和金錢損失方面最具破壞性的安全漏洞之一。注入攻擊是最新的OWASP Top 10報告中的頭號漏洞，而且這些攻擊的數量持續增長。傳統的防護策略一般涉及靜態的，基於簽名的IDS（入侵檢測系統）規則，這些規則最有效地僅針對先前觀察到的攻擊但不是未知的或零日攻擊。目前不少研究都涉及機器學習技術的使用，這些技術可以檢測未知的攻擊，可是根據算法在性能方面可能代價高昂。此外，大多數當前的入侵檢測策略涉及從網絡設備或Web應用程序主機收集進入Web應用程序的流量，而其餘策略則從數據庫服務器日誌中收集數據。他們從兩個點收集流量：Web應用程序主機和位於webapp主機和關聯的MySQL數據庫服務器之間的Datiphy設備節點。在他們對這兩個數據集的分析以及二者之間相關的另外一個數據集中，他們已經可以證實使用基於規則和決策樹等算法的相關數據集得到的精度與具備神經的算法幾乎相同。
• 由Areej Algaith ; Paulo Nunes ; Fonseca Jose ; Ilir Gashi ; Marco Vieira 五人在2018年第14屆歐洲可靠計算會議（EDCC）中發表的使用不一樣的靜態分析工具查找SQL注入和跨站點腳本漏洞一文中研究告終合幾個SAT以最好地知足開發人員需求的問題。他們提供了基於先前發佈的數據集分析各類靜態分析工具的性能的結果，該數據集是因爲使用五種不一樣的SAT來發現兩種類型的漏洞，即SQL注入（SQLi）和跨站點腳本（XSS），在WordPress內容管理系統（CMS）的132個插件中。他們基於二元分類器的既定測量結果，即對可以使用這5個SAT工具構建的全部可能的不一樣組合的靈敏度和特異性來呈現結果。而後，他們提供經驗支持的指導，指出SAT工具的哪些組合爲檢測具備低誤報率的漏洞提供了最大的好處。
• 由Olajide Ojagbule ; Hayden Wimmer ; Rami J. Haddad三人在SoutheastCon 2018中發表的使用SQLMAP進行SQL注入的內容管理系統的漏洞分析一文中提到SQLi是黑客用來利用Web應用程序中的安全漏洞的最經常使用技術之一。 他們使用名爲Nikto的漏洞掃描程序，而後使用SQLMAP進行滲透測試，比較了三種最經常使用的內容管理系統中發現的SQLi漏洞。 這是在安裝在LAMP服務器（Iocalhost）上默認WordPress，Drupal和Joomla網站頁面上進行的。 結果顯示，每一個內容管理系統都不容易受到SQLi攻擊，但會對可能被利用的其餘漏洞發出警告。 此外，還提出了能夠實施以防止SQL注入的實踐。

• 由Qi Li ; Fang Wang ; Junfeng Wang ; Weishi Li四人在IEEE車載技術交易中發表的基於LSTM的智能交通系統SQL注入檢測方法一文中說到隨着智能交通的日益普及，其安全問題也引發了人們的關注。 SQL注入攻擊是智能交通系統中最多見的攻擊之一。他們提出了一種基於LSTM的SQL注入攻擊檢測方法，該方法能夠自動學習數據的有效表示，而且在面對複雜的高維海量數據時具備很強的優點。同時，提出了一種基於通訊攻擊行爲分析的注入樣本生成方法。此方法能夠正式建模SQL注入攻擊並生成有效的正樣本。它能夠有效地解決陽性樣品不足引發的過分擬合問題。結果代表，該方法提升了SQL注入攻擊檢測的準確率，下降了誤報率，優於幾種相關的經典機器學習算法和經常使用的深度學習算法。

  參考資料

• SQL Injection Attack Principles and Preventive Techniques for PHP Site
  
• Multi-source data analysis and evaluation of machine learning techniques for SQL injection detection
• Finding SQL Injection and Cross Site Scripting Vulnerabilities with Diverse Static Analysis Tools
• Vulnerability Analysis of Content Management Systems to SQL Injection Using SQLMAP

• LSTM-based SQL Injection Detection Method for Intelligent Transportation System