2.1 WEB应用安全概述
WEB应用系统直接面向Internet，以WEB应用系统为跳板入侵服务器甚至控制整个内网系统的攻击行为已成为最普遍的攻击手段。据某搜索网站统计，目前70%以上的攻击行为都基于WEB应用系统。WEB应用系统安全关系到整个网络站点甚至内部敏感信息安全。
目前，大多数WEB站点与学校内部数据管理应用结合在一起，特别是大部分学校对外服务网站都与其内网系统相关联，通过入侵WEB应用系统，以应用服务器为跳板实现对银行内部系统进一步入侵，由此引发的信息泄露，信息篡改及重要数据破坏等恶意攻击行为极大着威胁着学校及学生信息安全。筑建网络信息安全的第一道防线，基于WEB应用系统的防护方法研究迫在眉睫。
2.2 WEB应用威胁
2.1.1 WEB应用威胁简介
2008年，国际信息安全权威组织OWASP提出，目前最具危害性，利用率最高的十大安全漏洞如下：
序号
| 漏洞名称 | 相关说明 |
1 | 跨站脚本漏洞 | 目标网站对用户提交的变量代码未进行有效的过滤或转换，允许攻击者插入恶意WEB代码，劫持用户会话、篡改网页信息甚至引入蠕虫病毒等 |
2 | 注入漏洞 | 注入漏洞，特别是SQL注入漏洞，主要是利用目标网站程序未对用户输入的字符进行特殊字符过滤或合法性校验，可直接执行数据库语句，导致网站存在安全风险 |
3 | 恶意文件执行 | 目标网站代码存在远程文件包含漏洞，允许攻击者直接上传恶意代码，控制目标网站；受影响的应用包括PHP以及XML |
4 | 直接对象引用隐患 | 直接对象引用是指开发商将内部执行对象，如文件、目录、数据库记录或关键字以URL链接地址或参数形式暴露给用户，导致敏感信息泄露 |
5 | 跨站点请求伪造漏洞 | 跨站点请求伪造攻击通过强制已登录受害者的浏览器向目标网站发送预认证请求，然后强制受害者浏览器执行有利于攻击者的行为，跨站点请求伪造攻击是一种强大的Web应用攻击方法 |
6 | 信息泄漏和不适当的错误处理 | 通过各种错误的应用操作，应用程序可能由于其不适当的错误处理在无意中泄露其配置信息、内部运作信息以及侵犯隐私的敏感信息。攻击者利用该漏洞可能盗取敏感的数据，甚至发动更为危险的攻击行为 |
7 | 认证和会话管理隐患 | 帐户凭据和会话令牌往往没有得到适当的保护。攻击者通过该隐患获取用户的密码，密钥，认证令牌或假冒合法使用者的身份 |
8 | 加密存储隐患 | Web应用程序很少正确使用加密功能来保护重要数据和证书。攻击者利用该隐患可能进行身份盗窃和其他犯罪，如信用卡欺诈 |
9 | 通信隐患 | 当有必要为保护某些敏感通信而进行数据传送加密时，由于Web 应用本身功能的限制，导致Web应用数据传送频繁失败 |
10 | 无限制URL访问隐患 | WEB应用敏感信息保护模块通过隐藏敏感信息的URL链接来防止未经授权的用户访问Web敏感信息。攻击者利用该隐患可利用社会工程学猜解敏感信息所在路径，直接访问敏感信息URL，获取WEB敏感信息 |
安恒根据长期针对网上银行业务系统的安全评估结果，就SQL注入漏洞、XSS跨站漏洞以及敏感信息泄露三种网上银行应用系统主要存在问题进行详细介绍。
2.1.2 SQL注入攻击
SQL注入漏洞的产生原因是网站程序在编写时，没有对用户输入数据的合法性进行判断，导致应用程序存在安全隐患。SQL注入漏洞攻击就是是利用现有应用程序没有对用户输入数据的合法性进行判断，将恶意的SQL命令注入到后台数据库引擎执行的黑客攻击手段。
SQL注入攻击技术就本质而言，它利用的工具是SQL的语法，针对的是应用程序开发者编程中的漏洞，当攻击者能操作数据，向应用程序中插入一些SQL语句时，SQL Injection攻击就发生了。
实际上，SQL注入攻击是存在于常见的多连接的应用程序中的一种漏洞，攻击者通过在应用程序预先定义好的查询语句结尾加上额外的SQL语句元素，欺骗数据库服务器执行非授权的任意查询。
图一 SQL攻击实例
2.1.3 XSS跨站攻击
跨站脚本攻击简称为XSS又叫CSS (Cross Site Script Execution)，是指服务器端的CGI程序没有对用户提交的变量中的HTML代码进行有效的过滤或转换，允许攻击者往WEB页面里插入对终端用户造成影响或损失的HTML代码。
跨站脚本漏洞攻击不是对服务器的实际攻击，而是利用服务器把访问该站点的用户作为攻击目标。当用户浏览该页之时，嵌入其中WEB里面的HTML代码会被执行，从而达到恶意用户的特殊目的，如获取其他用户Cookie中的敏感数据、屏蔽页面特定信息、伪造页面信息、拒绝服务攻击、突破外网内网不同安全设置、与其它漏洞结合，修改系统设置，查看系统文件，执行系统命令等。
XSS漏洞很容易在学校WEB应用系统中发现。XSS漏洞攻击是最为常见的基于WEB应用系统漏洞，面向客户端的攻击手段。
某著名大学XSS跨站演示
2.1.4 表单绕过攻击
WEB网站采用表单来收集访问者的用户名和密码以确认其是否具有足够权限访问某些保密信息，然后该表单被发送到 Web 服务器进行处理。接下来，服务器端ASP脚本根据表单提供的信息生成SQL指令语句提交到SQL服务器，并通过分析SQL服务器的返回结果来判断该用户名/密码组合是否有效。表单绕过攻击就是指利用表单存在的安全漏洞，通过构造一些畸形的特殊提交语句，绕过表单安全认证的一种攻击手段。
例1：某大学分析测试中心后台管理系统存在表单绕过漏洞，可直接获取后台管理权限。
例2：某大学教务处后台管理系统存在表单绕过漏洞，可直接获取后台管理权限。
