基于HTTP代理的模糊测试技术研究

doi:10.11959/j.issn.2096-109x.2016.00022

网络与信息安全学报 ›› 2016, Vol. 2 ›› Issue (2): 75-86.doi: 10.11959/j.issn.2096-109x.2016.00022

• 学术论文 • 上一篇

基于HTTP代理的模糊测试技术研究

孙歆¹,姚一杨²,卢新岱¹,刘雪娇³,吴永涵³

¹ 国网浙江省电力公司电力科学研究院，浙江杭州310014
² 国网浙江省电力公司信息通信分公司，浙江杭州 310014
³ 杭州师范大学信息科学与工程学院，浙江杭州311121

修回日期:2016-01-25 出版日期:2016-02-15 发布日期:2020-03-26
作者简介:孙歆（1981-），男，浙江杭州人，国网浙江省电力公司高级工程师，主要研究方向为Web安全。|姚一杨（1984-），男，浙江杭州人，国网浙江省电力公司工程师，主要研究方向为网络安全。|卢新岱（1988-），男，浙江奉化人，国网浙江省电力公司工程师，主要研究方向为信息安全。|刘雪娇（1984-），女，河南安阳人，杭州师范大学讲师，主要研究方向为网络安全评估、应用安全。|吴永涵（1996-），男，浙江温州人，杭州师范大学本科生，主要研究方向为信息安全。
基金资助:
国网浙江省电力公司科技基金资助项目(5211XT14009G);国家自然科学基金资助项目(61502134);浙江省重点科技创新团队基金资助项目(2013TD03)

Research and implementation of fuzzing testing based on HTTP proxy

Xin SUN¹,Yi-yang YAO²,Xin-dai LU¹,Xue-jiao LIU³,Yong-han WU³

¹ Electric Power Research Institute of State Grid,Zhejiang Electric Power Company,Hangzhou 310014,China
² Information and Communication Branch,Zhejiang Electric Power Company,Hangzhou 310014,China
³ School of Information Science and Engineering,Hangzhou Normal University,Hangzhou 311121,China

Revised:2016-01-25 Online:2016-02-15 Published:2020-03-26
Supported by:
Science and Technology Program of State Grid Zhejiang Electric Power Company(5211XT14009G);The National Natural Science Foundation of China(61502134);Zhejiang Provincial Science and Technology Innovation Program(2013TD03)

摘要/Abstract

摘要：

常用的Web应用测试工具普遍存在着测试功能欠优化、可配置程度较低、测试结果不够智能等问题，无法较好地辅助测试。进行了基于HTTP代理的模糊测试技术研究，设计了相应的测试工具。该工具应用模糊测试理论，异步监听实现了HTTP代理与服务器、浏览器间的高性能通信；采用基于伪码的可配置测试用例生成策略，灵活进行自动化测试；通过解析网络数据分组，为用户提供全面的测试分析结果。实验结果表明，该工具支持主流 Web 应用漏洞检测、测试策略配置，可检测出目录遍历、SQL 注入、跨站脚本等漏洞。

关键词: 模糊测试, HTTP, 代理, Web应用, 安全漏洞, 策略

Abstract:

Most of the security testing tools lack of optimization of testing,configured strategy and intelligent analysis of testing results.These problems lead to the status that these tools can’t be used in Web application testing well.A fuzzing testing method towards Web application security based on HTTP proxy was proposed.The high-performance communication between HTTP proxy server and browser through the mechanism of asynchronous monitoring was realized.Configured strategy of testing cases based on pseudo code could help to do flexible and automatic tests.By using multi-dimensional ways to parse the packet,intelligent analysis of testing results was achieved.Experiments show that the tool supports mainstream Web application vulnerabilities detection and configured strategy of testing.It can detect the vulnerabilities such as directory traversal,SQL injection,cross-site scripting.

Key words: fuzzing, HTTP, proxy, Web application, security vulnerability, strategy

中图分类号:

TP391

孙歆,姚一杨,卢新岱,刘雪娇,吴永涵. 基于HTTP代理的模糊测试技术研究[J]. 网络与信息安全学报, 2016, 2(2): 75-86.

Xin SUN,Yi-yang YAO,Xin-dai LU,Xue-jiao LIU,Yong-han WU. Research and implementation of fuzzing testing based on HTTP proxy[J]. Chinese Journal of Network and Information Security, 2016, 2(2): 75-86.

图/表 18

图1

图2

图3

图4

表1

表2

图5

图6

图7

图8

图9

图10

图11

图12

图13

图14

图15

表3

参考文献 19

[1]	崔光耀 . 启明星辰IPS突破Web防御僵局[J]. 信息安全与通信保密 2008(6):33.
	CUI G Y . Venus IPS breakthrough Web defense deadlock[J]. In-formation Security and Communications Privacy, 2008(6):33.
[2]	HUANG Y W , HUANG S K , LIN T P , et al. Web application security assessment by fault injection and behavior monitor-ing[C]//The 12th International World Wide Web Conference. New York, c2003:148-159.
[3]	MILLER B . Project:operating system utility program reliabil-ity-the fuzz generator[EB/OL]. .
[4]	OEHLERT P . Violating assumptions with fuzzing[J]. IEEE Security and Privacy, 2005,3(2):58-62.
[5]	SUTTON M , GREENE A , AMINI P . Fuzzing:brute force vulner-ability discovery[M]. 2007.
[6]	吴志勇, 王红川, 孙乐昌 , 等. Fuzzing技术综述[J]. 计算机应用研究, 2007,27(3):829-832.
	WU Z Y , WANG H C , SUN L C , et al. Survey on fuzzing[J]. Ap-plication Research of Computers, 2007,27(3):829-832.
[7]	MILLER B P , FREDRIKSEN L , SO B . An empirical study of the reliability of UNIX utilities[J]. Communications of the ACM, 1990,33(12):32-44.
[8]	LIN J C , CHEN J M . An automated mechanism for secure input handing[J]. Journal of Computers, 2009,4(9):837-844.
[9]	ERIKSSON B I , DAHL O E , BüLLER R , et al. A new oral direct thrombin inhibitor,dabigatran etexilate,compared with enoxaparin for prevention of thromboembolic events following total hip or knee replacement:the BISTROⅡ randomized trial[J]. Journal of Thrombosis and Haemostasis, 2005,3(1): 103-111.
[10]	SPI Dynamics. Web application security assessment[R]. 2003.
[11]	于莉莉, 杜蒙杉, 张平 , 等. Web 安全性测试技术综述[J]. 计算机应用研究 2012,29(29):4000-4002.
	YU L L , DU M S , ZHANG P , et al. Survey on Web security testing technologies[J]. Application Research of Computers, 2012,29(29):4000-4002.
[9]	HAMMERSLAND R , SNEKKENES E . Fuzz testing of Web ap-plications[EB/OL]. Journal of Computer and System Sciences, .
[14]	GRAAF M D . Intelligent fuzzing of Web applications[D]. Amster-dam:University of Amsterdam, 2009.
	STOECKEL D M , STELZER E A , DICK L K . Evaluation of two spike-and-recovery controls for assessment of extraction efficiency in microbial source tracking studies[J]. Water Research, 2009,43(19):4820-4827.
[15]	都娟 . 基于模糊测试方法的 Web 应用安全性测试技术的研究及其工具实现[D]. 上海:华东师范大学, 2011.
	DU J . Web application security testing technique based on fuzzing and implementation of the tool[D]. Shanghai:East China Normal University, 2011.
[16]	刘为 . 基于模糊测试的XSS漏洞检测系统研究与实现[D]. 长沙:湖南大学, 2010.
	LIU W . Research on and implementation of XSS vulnerability mining based on fuzzing technology[D]. Changsha:Hunan Univer-sity, 2010.
[17]	Damn vulnerable Web application[EB/OL]. .
[18]	Fuzzing:brute force vulnerability discovery[EB/OL]. .
[19]	Web security[EB/OL]. .

变量	含义	变量	含义
request.host	请求主机	attack.request.host	攻击请求主机
request.url	请求地址	attack.request.url	攻击请求地址
request.method	请求方式	attack.request.method	攻击请求方式
request.length	请求数据长度	attack.request.length	攻击请求数据长度
request.headers	请求头	attack.request.headers	攻击请求头
request.post	请求数据	attack.request.post	攻击请求数据
request.body	请求体	attack.request.body	攻击请求体
response.post	响应数据	attack.response.post	攻击响应数据
response.length	响应数据长度	attack.response.length	攻击响应数据长度
response.headers	响应头	attack.response.headers	攻击响应头
response.body	响应体	attack.response.body	攻击响应体

运算符	释义	操作符	释义	关键字	释义
=	赋值	==	等于	show()	弹窗
+=	先加再赋值	!=	不等于	.contains()	包含
		＆＆	和	HIT	命中，表示找到漏洞
		\|\|	或	UNHIT	未命中，表示未找到漏洞
		＞	大于
		＜	小于
		＞=	大于等于
		＜=	小于等于

工具名	策略配置	测试对象	分组重发	智能结果分析
本文测试工具	基于伪码的可配置的测试策略	能根据需求拦截列表中的若干请求	工具自动可对有疑问的数据分组进行重发	工具维护一个过滤列表，显示筛选后的数据分组
WebFuzz^[18]	只能对特定参数进行设置	拦截单一网页请求	无	显示所有HTTP反馈信息
BurpSuite^[19]	采用 Intruder 选择特定参数进行策略配置	拦截若干请求	手动重新发送单个HTTP请求	显示所有HTTP反馈信息

[1]	肖天, 江智昊, 唐鹏, 黄征, 郭捷, 邱卫东. 基于深度强化学习的高性能导向性模糊测试方案[J]. 网络与信息安全学报, 2023, 9(2): 132-142.
[2]	张明英, 华冰, 张宇光, 李海东, 郑墨泓. 基于鸽群的鲁棒强化学习算法[J]. 网络与信息安全学报, 2022, 8(5): 66-74.
[3]	易杰, 曹腾飞, 郜帅, 黄建强. 车联网中基于攻防博弈的蜜罐防御及传输策略[J]. 网络与信息安全学报, 2022, 8(4): 157-167.
[4]	刘尚, 郭银章. 云计算多授权中心CP-ABE代理重加密方案[J]. 网络与信息安全学报, 2022, 8(3): 176-188.
[5]	马海龙, 王亮, 胡涛, 江逸茗, 曲彦泽. 网络空间拟态防御发展综述：从拟态概念到“拟态+”生态[J]. 网络与信息安全学报, 2022, 8(2): 15-38.
[6]	周艺华, 扈新宇, 李美奇, 杨宇光. 云环境下基于属性策略隐藏的可搜索加密方案[J]. 网络与信息安全学报, 2022, 8(2): 112-121.
[7]	陈佩, 李凤华, 李子孚, 郭云川, 成林. 基于规则关联的安全数据采集策略生成[J]. 网络与信息安全学报, 2021, 7(5): 132-148.
[8]	陈浩宇, 邹德清, 金海. 面向SDN/NFV环境的网络功能策略验证[J]. 网络与信息安全学报, 2021, 7(3): 59-71.
[9]	诸天逸, 李凤华, 成林, 郭云川. 跨域访问控制技术研究[J]. 网络与信息安全学报, 2021, 7(1): 20-27.
[10]	尚菁菁,朱宇佳,刘庆云. 电子邮件安全扩展协议应用分析[J]. 网络与信息安全学报, 2020, 6(6): 69-79.
[11]	海梅生,伊鹏,江逸茗,谢记超. 网络功能虚拟化环境中大规模资源状态监测策略[J]. 网络与信息安全学报, 2019, 5(6): 42-49.
[12]	宋宇波, 戚姗姗, 胡爱群. 权限可控传递的物联网共享设备委托授权访问机制[J]. 网络与信息安全学报, 2019, 5(2): 40-49.
[13]	张兴兰,崔遥. 基于群签名的属性加密方案[J]. 网络与信息安全学报, 2019, 5(1): 15-21.
[14]	胡浩, 刘玉岭, 张玉臣, 张红旗. 基于攻击图的网络安全度量研究综述[J]. 网络与信息安全学报, 2018, 4(9): 1-16.
[15]	张斌,刘自豪,董书琴,李立勋. 基于偏二叉树SVM多分类算法的应用层DDoS检测方法[J]. 网络与信息安全学报, 2018, 4(3): 24-34.

基于HTTP代理的模糊测试技术研究

Research and implementation of fuzzing testing based on HTTP proxy

在线阅读

pdf下载

可视化

摘要/Abstract

引用本文

使用本文

图/表 18

参考文献 19

相关文章 15

Metrics

推荐阅读 0