摘要：随着web技术的不断发展，Web应用逐渐深入人们的生活，Web应用安全方面的问题日益凸显，用户的信息存在安全方面的威胁。所以，关于Web应用安全的研究是十分必要且有重要意义的。该文将从常见的Web应用攻击和Web应用安全的防护两个方面来阐述关于web应用安全的研究。
关键词：Web应用攻击；Web应用安全防护
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）27-6303-02
Abstract： With the continuous development of web technology， web application gradually into people"s life， the web application security issues become increasingly prominent， the user information in the presence of security threat. Therefore， research on Web application security is very necessary and important. This paper from the two aspects of the common protection of web application attacks and security of web application to study on Web application security.
Key words： Web application attack； Web application security protection
随着近十年来网络的普及以及网络技术的不断发展，一些Web的应用走入人们的生活，称为必不可少的一部分，如电子邮件、人人网、土豆网等等。此外，基于Web应用的服务还在军事、教育、经济等其他领域发挥它的巨大作用。
但是，人们在广泛使用基于Web应用的技术时，却并没有保 障Web程序的安全性，使得Web应用程序存在较大的安全隐患。攻击者发现并利用这些漏洞篡改、破坏用户的重要信息。所以，为了保障Web应用程序的安全性，必须要防患于未然，了解各种Web应用的安全漏洞以及攻击者可能采用的攻击方法，针对这些可能发生的情况，采取有效的应对措施，及时发现及时修复。
本文涉及了Web应用安全的现状以及存在的漏洞和常见的攻击，然后针对不同的攻击给出了相应的解决方案，最后对全文进行了总结。
1 常见的Web应用攻击
从十大Web应用安全来看，不仅有Web应用程序本身的漏洞存在，还有安全管理方面的问题，例如Security Misconfiguration安全配置错误。所以不仅需要重视Web应用程序本身的安全性，还应该将Web应用程序管理规范起来，降低不安全的风险。
下面将从Web安全的源头开始分为服务器端、服务器端到客户端的传输过程中、客户端三个过程中的不同类型的攻击的原理进行深入的探究：
1.1 Web服务器端存在的安全威胁
Web服务器通常存储着大量的用户信息以及各种秘密的文件，攻击者通过发现Web服务器的漏洞攻击服务器可以获得许多它想获得的信息，或者用来存储恶意的攻击代码。Web服务器端可能面临的安全威胁有：
1） 服务器中存储的信息：攻击者通过攻击可以获得用户银行的账户和密码，将用户银行中的钱转移到自己的账户中。此外，还可以获取获取服务器中存储的商业机密文件等等。
2） 存储恶意的攻击代码：攻击者将恶意的攻击代码存入服务器中，也可以实现恶意攻击，例如：网页挂马攻击。
下面对于服务器端典型的攻击的原理进行深入的分析：
1.2 SQL注入攻击
SQL注入，即为用户可以提交一段数据库查询代码，根据程序返回的结果，获得某些他想得知的数据。SQL 注入攻击利用服务器端自身存在的漏洞进行攻击，在发现SQL的注入位置之后，把 SQL命令注入到 Web应用程序中，绕过数据库的身份认证，将程序命令当作用户输入数据提交给程序执行，根据SQL查询的结果获取系统管理员权限，进行恶意攻击。
1.3 传输过程中可能存在的安全威胁
常见的攻击方式包括主动攻击和被动攻击两种：
1） 主动攻击：主动攻击通过伪装、重放、修改报文、拒绝服务、分布式拒绝服务五种方式对数据流进行篡改，以达到攻击的目的。
2） 被动攻击：攻击者通过嗅探、监听、窃听等方式获取正在传输的信息。
1.4 客户端存在的安全威胁
1.4.1 跨脚本攻击（XSS）
跨脚本攻击（Cross Site Scripting）的攻击原理是，为了获取授权用户的Cookie信息，攻击者对网页进行篡改，插入恶意的脚本，使得用户在浏览网页时在不知情的情况下被攻击者所攻击。在服务器端，每一个包含认证 Cookie 的 Web请求都看作来自与之相关用户发出的请求，所以，攻击者可以利用窃取的Cookie冒充授权用户完成当前会话。XSS分为三种类型：
1） 持久型跨脚本攻击，也称存储型，指的是恶意代码存储在与 Web应用程序交互的数据库中，当用户访问该页面时，Web 应用程序从数据库中返回恶意代码给用户。当浏览该页面时，这种攻击自动运行，此种方式也是最直接的危害方式。
2） 非持久型跨脚本攻击，也称反射型，，这种攻击方式是在攻击的过程中反射给用户，它通过给用户发送带有恶意脚本代码参数的统一资源定位符URL ，当 URL 地址被打开时，带有的恶意代码参数被 HTML 解析执行。
3） DOM跨脚本攻击，客户端脚本处理逻辑错误导致的安全问题。
1.4.2 点击劫持
点击劫持是一种恶意的攻击手段，攻击者通常使用一个透明的 Web 元素，将网页上的某部分进行覆盖，但网页看上去是正常的，而当用户在点击该页面时，可能会点击到透明的 Web 元素，从而实现对用户点击操作的劫持，视觉上就是用户的鼠标被控制了。
2 Web应用安全的防护
加强Web应用安全的防护应针对Web应用的安全，应从Web应用开发阶段、Web应用运行阶段、Web应用日常管理三个不同阶段采取不同的安全防护措施：
2.1 Web应用开发编程阶段
代码的安全性直接决定了网站Web 应用的安全性。所以，在Web应用开发编程阶段，开发人员应遵循特定的 Web 编程安全规范，以尽量避免Web应用代码的安全问题。其次，还可以在Web应用中增加安全模块，例如身份验证、检查访问者的访问权限，使得Web应用具有基本的安全防护机制。
2.2 web应用运行阶段
Web应用运行阶段更是安全防护中的重点。首先，在Web应用服务器端增加安全防护措施，例如Apache的Mod_Security是一个具有入侵检测、防御引擎功能的开源Web应用安全程序，它以Apache web服务器的模块方式运行， 增强Web应用程序的安全性， 防止Web应用程序受到已知或未知的攻击。
其次，可以定期维护Web应用程序的代码，检查服务器是否存在安全问题，有漏洞及时修复，打补丁，防患于未然。
2.3 日常Web应用管理
开发人员更多关注技术上的防护，往往容易忽略Web应用管理安全上的漏洞带来的威胁。可以从以下几方面加强对Web应用安全的管理：
1） 完善规章制度，加强安全防护：建立和完善Web应用程序开发规范、服务器安全管理，规范网站的管理制度，保障Web应用程序安全稳定运行。
2） 加强安全教育，引入安全意识：对Web服务器的运营维护管理分工明确，并定期开展安全培训。
3） 定期对 Web 应用服务器测评。
3 总结
随着web技术的不断发展和进步，Web 应用渗入到每个人的日常生活。从e-mail，购物，网络虚拟银行到社交网络，Web 应用扮演Web Service中十分重要角色。与此同时，Web 相关应用的复杂度急剧增加，但各种类型的安全漏洞也不断涌现。
另一方面，Web 服务所相关的关键数据和程序吸引了越来越多的被经济利益驱动的攻击者，并针对web应用的安全漏洞发起更强烈的攻击。
当前 Web应用处在一个高速发展的时代，同时也是web应用安全威胁与日俱增的时代。深入了解潜在的安全威胁的机理，对开发有效的新型防御检测技术有很重要的作用与意义。
参考文献：
[1] 肖遥，网站入侵与脚本攻防修炼[M].北京：电子工业出版社，2008：9-10，26-28.
[2] 杨林，杨鹏，李长齐.Web 应用漏洞分析及防御解决方案研究[J].信息安全与通信保密，2011（02）：58-60.
[3] 黄耀锋，吴迪.Web应用的安全现状及防护[J].科技资讯，2011，35（16）：16.