面向SOAP消息的Web服务注入攻击检测方法

的检测方 法 ， 为此 我 们 提 出 了一 种 基 于 行 为 模 式 的 注 人 攻 击 检 测 方 法 ． 该 方 法 在 Ｗｅ ｂ服 务 访 问 日志 行 为 建 模 阶 段 采 用 长 度 不 同 的 特 征 子 串来 表 示 行 为 模 式 ，并 通 过 序 列 模 式 的 支 持 度 来 建 立 正 常 消 息 行 为 模 式 轮 廓 ：针 对 注 入 攻 击 复 杂 多 变 的特 点 ，进 一 步 提 出 基 于 矩 阵 相 似 匹配 结 合 相 似 判 决 阈值 的 注 入 攻 击 检 测 模 型． 实验结果表 明 ， 与多种其 他经典检 测方法相 比， 该检测 方法在检测 率和误 报率等 方面检测效 果好 ， 可 有 效地检测 出注入攻击 ． 关键字 ： 注人攻击 ； Ｓ Ｏ Ａ Ｐ消 息 ； Ｗｅ ｂ服 务 ； 行 为 模 式 中 图分 类 号 ： Ｔ Ｂ ３ ５ 文献标 识码 ： Ａ ｄ ｏ ｉ ： １ ０ ． ３ ９ ６ ９ ／ ｊ ． ｉ ｓ ｓ ｎ ． １ ６ ７ ４ ． ２ ８ ６ ９ ． ２ ０ １ ５ ． ０ ７ ． ０ １ ３
面向 Ｓ Ｏ Ａ Ｐ消息的 Ｗｅ ｂ 服务注人攻击检测方法
吴长勤． 王传安
安 徽 科 技 学 院数 学 与信 息 学 院 ， 安徽 凤 阳 ２ ３ ３ １ ０ ０
摘 要： 面向 Ｓ Ｏ Ａ Ｐ 消 息 的 注 入 攻 击 对 Ｗｅ ｂ服务 的发展前 景 和应用产 生重要 的影 响 ， 而 目前 尚缺 乏 有 效
础的， 由于 Ｓ Ｏ Ａ Ｐ协 议在设 计 时并没 有过 多 的考虑
其 安 全 性 问题 。 从而导致 Ｓ Ｏ Ａ Ｐ 消息 在 传 输 过 程
中极 易受 到诸 如 Ｓ Ｑ Ｌ注入 攻击 和 Ｘ ＭＬ注 入 攻 击
等其 他形式 的命令注 入攻击 ， 因此保 证 Ｓ Ｏ Ａ Ｐ消息
传 输 的 安全 性 是 当前 研 究 的一 个 重 要 问题 ． 文 献［ ３ ］ 描述 了 Ｗｅ ｂ服 务 面 临 的安 全 威 胁 与 状 态 ， 利用 Ｏ ＷＬ — Ｓ与 本 体 建 立 了 服务 安 全 攻 击 本 体 ． Ｎ ｉ ｌ ｓ Ｇ ｒ ｕ ｓ ｃ ｈ ｋ ａ 等人Ｉ ４ 指 出消息 的机 密性 、 完 整性 和 用 户 验 证对 于服 务 平 台安 全 性 的作 用很 小 ， 从 而 提 出采 用 Ｘ ＭＬ Ｓ ｃ ｈ ｅ ｍ ａ 中 的 消 息 对 接 受 到 的 Ｓ Ｏ Ａ Ｐ消息 进行 确认 ， 以此 发 现具 有注 入攻 击 的服
图 １ 注入 攻 击 检 测 模 型
Ｆ ｉ ｇ ． １ Ｔ ｈ ｅ ｄ ｅ ｔ ｅ ｃ ｔ ｉ ｏ ｎ ｍｏ ｄ ｅ ｌ ｏ ｆ ｉ ｎ ｊ ｅ ｃ ｔ ｉ ｏ ｎ ａ ｔ ｔ ａ ｃ ｋ
后 ，采 用 长 度 不 同 的多 种 特 征 子 串来 表 示 正 常 Ｓ Ｏ Ａ Ｐ消 息行 为 ， 并 通过 支持 度来 建立 正 常消 息行
检测 模 型来识 别 当前 Ｓ Ｏ Ａ Ｐ消息 中的异常 行为．
Ｓ Ｏ Ａ Ｐ等 新 技 术 实 现 各 种 服 务 之 间 的 互 操 作 …．
Ｗｅ ｂ服务具有 高度 互操作 、 松散耦 合和可 重用 等特
点， 已成为 网格和云计 算等计 算技术 的重要 实现 方
式之 一．
目前 Ｗｅ ｂ服务 通信 是 以传输 Ｓ Ｏ Ａ Ｐ消 息 为基
（ １ ） 获取 测试 数据 ： 选取 监 测时 间 内 Ｗｅ ｂ访 问
日志作 为测 试数 据 ， 并 进行 预处 理 ． 设 预 处 理 后得 到 的 日志 数 据 字 符 串序 列 为 Ｅ’ ＝｛ ， ，… ，
｝ ， 其 中 为按 时 间顺序 排列 的第 ｉ 个字 符 串． （ ２ ） 按照 行 为建 模 阶段 提 出的方 法 ， 提 取测 试 数 据 Ｅ’ 中 的 Ｋ个行 为 模 式序 列 ， 并 以此 构 建 当前
日志行 为模 式 轮廓 Ｌ’ ＝｛ Ｌ ’ （ １ ） ， Ｌ ’ （ ２ ） ， …， ￡’ （ ｜ ｓ ） ｝ ． （ ３ ） 将 两 阶段 构 建 的行 为 轮 廓 和 ’ 分 别 转
化成 ｋ － ｎ的模 板矩 阵 Ｍ 和检 测矩 阵 Ｑ ． 模板 矩 阵 （ ， …眠 ） ，其 中 表示 序 列 （ ） 转 化 的 由 ｎ个 ０和 １ 组 成 的行 向量 ， 即 ＝
第 ７期
吴长勤 ， 等： 面向 Ｓ Ｏ Ａ Ｐ消息 的 Ｗｅ ｂ服 务 注 人 攻击 检 测 方 法
６ １
为， 通 过 观察 Ｗｅ ｂ访 问 日志 ， 可发 现消 息 中会大 量 重 复 出现一些 字符 串 。 将 这些重 复 出现 的字 符 串称
息 事 件 中的异 常行 为 ． 攻 击 检 测 阶段 的 主要 工作
考虑 到不 同的特 征 子 串表 示 的行 为模 式 意 义 可能 不尽 相 同 ， 其 出现 的频 率也 会 有较 大 的 区别 ，
不 能采 用单一 支持 度 ， 在 文 中设 置 了 ｋ个相应 于不
同特 征子 串的最 小支 持度 ｍ ｉ ｎ ｓ ｕ ｐ （ ｔ １ ） ， ｍｉ ｎ ｓ ｕ ｐ （ ｔ ２ ） ，
收稿 日期 ： ２ ０ １ ５ — ０ ６ — １ ０
１ ． １ 行 为建模
Ｗｅ ｂ访 问详 细 的记 录 了客户 的 Ｓ Ｏ Ａ Ｐ信 息行
基金 项 目 ： 安 徽 科 技 学 院青 年科 研 研 究 项 目（ Ｚ Ｒ Ｃ ２ ０ １ ４ ４ ２ ６ ） ； 安 徽 省 自然 科 学研 究 项 目 （ Ｋ Ｊ ２ ０ １ ３ Ｚ ０ ４ ８ ） 作者 简 介 ： 吴 长勤 （ １ ９ ６ ２ 一 ） ， 男， 安徽肥东人 ， 副教授 ， 研究方 向： 计 算 机 应 用 技 术．
前 缀 分析 法提 取训 练数 据 Ｅ中所有 长 度大 于 １的
（ ａ ， ａ ２ ， …， ） ， 其 物 理 意义 表 示 ： 若 子 串集 中 的
某 个 特 征子 串在 （ ） 中 出现 ， 将 相应 的矩 阵 位 置
重 复 出现 的特 征 子 串 ， 组 成 特征 子 串集 合 ｛ ｔ ， ｔ ， …， ｔ ｝ ， ｊ 表示 第 ｆ 个 特征 子 串 ， 为 长度 ．
Ｉ ｌ ｌ ＝ 、 ／
仅 当 Ａ 和 两矩 阵完全 相似 时 ， Ｉ ＜ Ａ・ Ｂ＞ ｌ ＝ ｌ
（ ２ ）
吲１ ．
若 Ａ、 曰为实数 矩阵 ， 则Ｉ ＜ Ａ・ ＞ Ｉ ≤１ １ ４ １ １ ・ ｌ ｉ ｂｌ ｌ ， 当且
可知． Ａ 和 两 矩 阵 的相 似度 为 ｓ ｉ ｎ （ Ａ． ） ： ｃ ０ ｓ ０ ： Ｉ Ｉ Ｉ ． Ｉ Ｉ Ｉ Ｉ （ ３ ）
执 行过 程称 为 Ｓ Ｏ Ａ Ｐ消息 事件 ， 记为 ｅ ＝ ＜ ｆ ｄ ， ｔ ＞ ， 其 中
ｌ ａ ＝ ＜ ｓ 。 ， ｓ ，… ， ｓ 表 示该 Ｓ Ｏ Ａ Ｐ消 息事 件 中的 ｍ 个 字符 ， ｔ 表 示记 录 Ｓ Ｏ Ａ Ｐ消息事 件 的时 间．
（ ２ ） 借 鉴最 长前 缀提 取 算法 Ｅ ｌ ｏ ］ 思想 ， 采 用 最 长
（ ４ ）计 算 集合 中每 个 特征 子 串在训 练 数 据
序 列 Ｅ中的支持 度 ． 定义 ２ ：一 个 特 征 子 串在 序列 Ｅ 中 的支持 度 等于 该子 串出现 的次 数 除 以所 有特 征 子 串总 计 出 现次数 ， 即： ｓ ｕ ｐ ｐ ｏ ｒ ｔ （ ｔ ） ＝ ｎ ｕ ｍｂ ｅ ｒ （ ｔ ） ／ Ｎ ｕ ｍ ｂ ｅ ｒ （ Ｔ ） ， 其 中Ｎ ｕ ｍ ｂ ｅ ｒ （ ） 为集 合 中所 有 特征 子 串 出现 的 次 数和． （ ５ ） 从 个 特 征 子 串流 中 ， 分别 按 照相 应 的 支 持 度 提取 正常 Ｗｅ ｂ访 问行为 模式 序列 （ ） ．
如 下．
为特 征 子 串 ， 其 特 征相 对 稳 定 ， 可 代表 Ｓ Ｏ Ａ Ｐ消 息 的行 为模 式 ＿ ７ ］ ． 行 为建模 阶段 的 主要工 作 如下．
（ １ ）获取 训 练数 据 ：将 无 注入 攻 击 时产 生 的 Ｗｅ ｂ访 问作 为 训 练 数 据 Ｅ ＝｛ ｅ ， ｅ ： ， …， ｅ ｝ ， 其中ｅ 表 示 按 时 间顺 序排 列 的第 ｉ 个 Ｓ Ｏ Ａ Ｐ消 息 事件 ， ｎ 为Ｓ Ｏ Ａ Ｐ消 息事 件序 列长度 ． 定义 １ ： Ｗｅ ｂ访 问 日志记 录 的一 次会 话或 一 次
引 入 矩 阵 间相 似 度 的概 念 ， 设 ｍ× 凡矩 阵 全 体 为
Ｃ ， 假如 Ａ・ Ｂ∈Ｃ 一． 矩 阵 内积可 定义 为
＜ Ａ・ Ｂ＞ ＝ ｔ ｒ （ Ｂ Ｔ Ａ） （ １ ）
式（ １ ） 中ｔ ｒ （ ． ） 表 示 矩 阵 主 对 角 线 元 素 的和 ， 而 矩 阵 内积 表 示 两 矩 阵 相 对 应 位 置 元 素 的 乘 积 累 加 和． 由矩 阵 内积可 导 出范数
（ ３ ）将 训 练 数据 Ｅ 中的 Ｓ Ｏ ＡＰ消息 事 件序 列
转 换 为按 时 间排 序 的 ｎ个 长度 分别 为 ｆ （ １ ） ，ｆ （ ２ ） ，
…
ｌ （ ｎ ） 的特 征 子 串序列 流 Ｃ ＝ ｛ Ｃ ， ， …， ｝ ， 其 中
…， ｔ ｝ ．
Ｇ 表示 ｅ ｉ Ｓ Ｏ Ａ Ｐ消息 事件 中包 含 的所 有特 征 子 串 ， 记为 Ｃ
第 ３ ７卷 第 ７期 ２ ０ １ ５年
大
学
学
报
Ｖｏ ｌ － ３ ７ Ｎｏ ． ７
Ｊ ． Ｗｕ ｈ ａ ｎ Ｉ ｎ ｓ ｔ ． Ｔ ｅ ｃ ｈ ．
Ｊ ｕ １ ．２ ０ １ ５
文章 编 号 ： １ ６ ７ ４— ２ ８ ６ ９ （ ２ ０ １ ５ ） ０ ７ —０ ０ ６ ０ —０ ５
．
元素置为 ｌ ， 否则置为 ０ ． 如Ｌ （ ） 由集 合 ７ １ 中 的第