，信息安全攻击有７５％都是发生在Ｗｅｂ应用层而非网络层面上。

    同时，数据也显示，２／３的Ｗｅｂ站点都相当脆弱，易受攻击。

    可以说，绝大多数企业将大量的投资花费在网络和服务器的安全上，没有从真正意义上保证Ｗｅｂ业务本身的安全，从而给了黑客以可乘之机。

     从以往发生的安全事件来看，Ｗｅｂ攻击可导致的后果极为严重，通过各种技术手段将一个合法网站攻陷，利用获取到的相应权限在网页中嵌入恶意代码，将恶意程序下载到客户端存在漏洞的主机上，从而达到攻击目的。

     随着漏洞挖掘技术及漏洞提交机制的完善，将会有更多的安全漏洞公布于众。

    但同时也应该注意到，随着网络攻击技术门槛的不断降低，这种针对特殊漏洞的攻击行为几乎每时每刻都会发生，从网络可以容易地找到对某漏洞的攻击程序，再加上经济利益的驱使，所以针对漏洞的攻击往往防不胜防。

     由于网络应用软件暴露在安全形势日益严峻的互联网环境中，先于攻击者发现安全漏洞，并及时修补软件开发的安全缺陷，对保障Ｗｅｂ系统的安全性具有重要意义。

     下面对Ｗｅｂ安全的国内外研究现状进行分析：＞国际方面 根据世界知名的Ｗｅｂ安全与数据库安全研究组织ＯＷＡＳＰ提供的报告【２】，目前对Ｗｅｂ业务系统，威胁最严重的两种攻击方式是ＳＱＬ注入攻击（ＳＱＬＩｎｊｅｃｔｉｏｎ）和跨站脚本攻击（ＸＳＳ）。

    攻击者在ＳＱＬ注入成功后，可能会拥有整个系统的最高权限，可以修改页面、数据，在网页中添加恶意代码，还可以通过查看数据库获得所有关键数据信息，危害极大。

    跨站脚本攻击是向Ｗｅｂ系统提交恶意脚本，当访问者浏览受到攻击的网页时，会导致恶意脚本被执行，从而泄露用户的密码等敏感信息。

    如果访问者是管理员，则Ｗｅｂ系统的管理员权限将有可能泄露，使得攻击者可以提升权限、甚至控制整个网站，其威胁程度更大、威胁波及面更广，同时攻击过程也更加复杂多变。

     目前国际上的一些安全组织，例如ＯＷＡＳＰ、ＷＡＳＣ等不仅发布了一些安全研究文档，而且也提供实际的安全项目，例如，开源安全组织ＯＷＡＳＰ精心设计并不断更新的安全项目ＷｅｂＧｏａｔ〔３１。

    ＷｅｂＧｏａｔ本身是一系列教程，其中设计了大量的Ｗｅｂ缺陷，一步一步地指导用户如何去利用这些漏洞进行攻击，同时也指出了如何在程序设计和编码时避免这些漏洞。

    Ｗｅｂ应用程序的设计者和测试者都可以在ＷｅｂＧｏａｔ中找到自己感兴趣的部分。

    国际上的许多安全公司也开发了一些Ｗｅｂ安全综合检测工具，例如：ＡｃｕｎｅｔｉｘＷｅｂＶｕｌｎｅｒａｂｉｌｉｔｙＳｃａｎｎｅｒ、ＨＰＷｅｂｌｎｓｐｅｃｔ、 第一章绪论３ＡｐｐＳｃａｎ等安全检测工具。

     另外，每年在世界的某些城市，会召开黑帽（ＢｌａｃｋＨａｔ）大会，ＤＥＦＣＯＮ大会等安全会议，这些大会是黑客交流的平台，会议上一般会有黑客技术的展示。

    ＞国内方面 许多安全厂商也会开发自己的Ｗｅｂ安全评估产品，例如，启明星辰、绿盟科技等。

    越来越多的安全检测产品开始招聘黑客工具的作者。

    国内每年定期会有一些安全会议，例如，腾讯安全会议、中国软件安全峰会等。

     总体说来，目前研究中存在的不足主要在于：对Ｗｅｂ漏洞的分析，缺乏对ＳＱＬ注入漏洞和ＸＳＳ漏洞的深入分析，缺乏对不同类型漏洞和检测方法的分析。

     所以本文主要通过本地实验，分析漏洞产生的原因并分析了渗透测试方法。

    由于ＳＱＬ注入漏洞和ＸＳＳ漏洞是两种对Ｗｅｂ系统危害极大的漏洞，所以本文主要对这两种漏洞的形成原因和检测方法进行分析研究。

     １．２课题背景 基于Ｗｅｂ安全发展现状的分析，中国科学院研究生院国家计算机网络入侵防范中心承担了国家自然科学基金“网络应用软件安全漏洞挖掘技术研究”（项目编号：９０７１８００７）和中国科学院研究生院“十一五”教育信息化项目的信息安全体系支撑保障任务。

    主要对中科院教育资源规划平台系统（ＴＩ心）项目的Ｗｅｂ安全进行渗透测试，形成了“ＴＲＰ项目安全渗透测试”的研究课题。

    该项目旨在全面、系统地研究ＴＲＰ项目相关网站的安全性，提供信息安全保障技术支持。

     根据ＴＲＰ项目相关网站的安全