针对cookie欺骗的session渗透入侵分析及其安全模型分析研究.pdf

浙江太学硕士研究生毕业论乏《基于Cookie欺骗的Session渗透八侵分析及其安全模型研究》摘要 Cookie的引入弥补了HTTP协议的无状态性的缺陷。Web应用的服务端和某一客户端可以通过一个相对惟一的Cookie值来维系一个Session,从而达到状态U{别的目的。本论文指出了这种基于Cookie的Session管理机制的一种典型缺陷,阐述了目I{{『常见的Web环境下基于Cookie欺骗的Session渗透入侵的实现原理和预防检测手段,提出并且实现了一个局域网下利用网络监听来实现 Session渗透攻防和入侵检测的比较完整的系统。/Session渗透入侵主要表现在伪造Cookie中的Session ID从而冒充合法客户端和服务器端进行数据交换,造成这个漏洞的原因是几乎所有的Web脚本解释引擎都未对不同的IP所发送的Cookie进行充分的检查,如果非法用户截获了发送给其他客户端的Cookie,便可能通过发送此Cookie来进行Session渗透入侵。另外,Web脚本解释引擎通过自己的一套算法来给每个独立客户端生成随机的Cookie值,如果这个随机生成过程能够被外界模拟猜测,那么也就相当于其他客户端可以随时伪造Cookie来进行Session渗透,而无需预先进行网络监听。对Session渗透入侵的预防主要在于改良Web脚本解释引擎,加入IP验证部分,减轻丌发人员手工编程验证的负担。而对于其检测则需要在1DS的结构原理方面进行一些实质性的探索。本文即深入探讨了一个基于网络监听的 Session渗透入侵检测系统的设计与实现原理,这部分也是包括原理分析、入侵预防和检测在内的Session塞全模型研究的主要内容。)尹7—一一关键词:Cookie;Session;圈而F■可口;国网络安全;仄硬≥ 2 冲国务凑泻}羽蹶、? 丝兰奎兰丝圭竺奎兰兰当丝叁!垒兰竺!竖:鳖些璧!!塑!塑垒垒垒堡坌堑垒茎塞全!些竺叁! ABSTRACT Cookie remedies the flawofHTTP clientand server can keep sessionsthrough some unique cookie strings todistinguish statesfrom each paper pointed out a typical limitation ofthiscookie—based session management mechanism,described the principium of session ration vulnerability based on cookie snooping mon Web some preventing anddetecting alsodesigned andimplemented aLAN ration&IDS spoofing. Session ration invasion,as sending snooped cookies toexchange data with servers without witllthe reason thatalloftheWeb script engines would notcheck thecookies from differentclients、vithdifferent 1P user spoofed acookie ofsession send it toW曲 server toinject intothesession which thecookie web scriptengine generates session—idcookies through some independent secret this process can beguessed orsimulated,itmeans otherclienthostscan alsogenerate thesame cookies exactly tolaunch session ration invasions witll work spoofing inadvance. Precaution to session ration invasionchiefly dependents on reforming web scriptengine,i