导读:本文包含了会话劫持论文开题报告文献综述及选题提纲参考文献，主要关键词:HTTPS劫持,dSploit,脚本注入,信息安全
会话劫持论文文献综述
阳风帆,刘嘉勇,汤殿华[1]（2015）在《基于脚本注入的HTTPS会话劫持研究》一文中研究指出文章研究了目前主流的针对HTTPS会话劫持的手段,详细分析了基于伪造证书与HTTP跳转HTTPS漏洞而进行的劫持方法与流程,同时也给出了这些方法存在的优劣。目前广泛使用的方法是基于HTTP与HTTPS间的跳转漏洞,代理服务器利用中间人攻击与客户端建立HTTP连接,与服务器建立HTTPS连接,从而对整个数据流进行中转,获取用户通信数据。该种方法在PC端能够奏效,但移植到移动终端后却效果不佳,主要是由于该种方法需要中间代理服务器对整个数据流进行监控,及时替换掉服务器响应中的HTTPS跳转,这就需要快速的匹配与转发。但是移动终端处理能力有限,很难达到这样的目的。目前,移动终端发展迅速,用户使用量逐渐增大,越来越的人注意到移动端的渗透测试。为了更好的在移动终端实现HTTPS的会话劫持,解决中间节点处理瓶颈问题。文章在d Sploit的实现原理基础上,结合移动终端特定环境,提出了一种基于脚本注入的HTTPS会话劫持方法,有效的将中间人所需的替换工作转移到用户端进行,有效提高了中间端的处理性能。文章详细阐述了其实现原理与流程,更进一步分析出了HTTPS通信中可能存在的安全隐患,并对此提供了可行的防范措施。(本文来源于《信息网络安全》期刊2015年03期）
徐博文,刘春晖,曹维华,陆小铭[2]（2014）在《Web实时会话劫持攻击与防范研究》一文中研究指出Web2.0的发展不断引发脚本安全问题,由跨站漏洞导致的Web实时会话劫持是跨站脚本攻击的一种技术应用。分析了基于跨站漏洞的Web实时会话劫持的技术原理,依据其技术特点和技术应用环境,提出了狭义攻击生命期和广义攻击生命期的概念,从HTML语言特性、网页结构特性和Web服务业务设计的角度分析了攻击生命期的时间线模型、页面结构模型和业务逻辑模型,指出了Web实时会话劫持攻击在社会工程学应用和漏洞点挖掘方面独具的特征,最后有针对性地提出了建立账户信息安全分级机制和客户端异常行为监测机制两项综合防范措施。(本文来源于《网络安全技术与应用》期刊2014年02期）
徐博文,曹维华,刘春晖,朱华虹[3]（2013）在《基于Javascript蠕虫的实时会话劫持攻击技术研究》一文中研究指出Web2.0的发展不断引发脚本安全问题,严格的客户端代码过滤技术并不能完全杜绝跨站脚本攻击问题,由跨站漏洞导致的实时会话劫持攻击弱化了客户端脚本限制安全机制并导致严重的用户数据泄露问题。分析了基于Javascript蠕虫的实时会话劫持攻击技术原理,根据其关键技术点有针对性地提出了综合防范机制。(本文来源于《计算机安全》期刊2013年09期）
张全明,张新有[4]（2013）在《基于会话劫持的HTTP资源缓存系统设计》一文中研究指出针对目前网络应用需求增长,网络带宽压力增大的问题,利用HTTP会话劫持技术,引导内网用户与缓存系统建立连接来获取所需资源,从而减少出口流量,缓解带宽压力。设计实现了基于HTTP会话劫持的资源缓存系统,能够监听内网用户通信,协议分析过滤,结合SQL数据库进行参数记录和流量统计,与客户端重定向劫持的功能。最后对缓存系统进行了功能和性能测试,结果表明系统是正确和有效的。(本文来源于《成都信息工程学院学报》期刊2013年04期）
陈龙,刘慧[5]（2012）在《从会话劫持软件Hunt看TCP/IP协议的脆弱点》一文中研究指出随着Internet网络的发展,IPv4协议的缺陷不断地暴露出来,特别是该协议在对数据包的加密和验证方面,这就导致在黑客攻击中可以向一个TCP连接中插入恶意的代码,并且这种攻击极其隐蔽,可以在通信双方都毫不知情的情况下进行,从而造成重大的安全事故。本文将从一个会话劫持软件Hunt来分析这种攻击的原理、实施过程和预防对策,希望能够给广大从事网络安全工作的人们一点帮助。(本文来源于《计算机光盘软件与应用》期刊2012年18期）
Christian,Kanamugire（卡那姆）[6]（2012）在《防止跨站脚本攻击会话劫持的客户端解决方案研究》一文中研究指出web应用在当今已成为在线服务的最主要提供方式。同时,它存在的漏洞也正逐渐被人们所发现,并且以惊人的速度显露出来。web应用一般存在利用JavaScript脚本代码来实现的部分,这些脚本代码嵌入在web页面中来支持客户端的动态行为。为了防止用户环境遭受恶意JavaScript脚本代码的破坏,研究人员开始利用一种输入净化机制,这种机制限制程序只能访问与它的原站点相关的资源。然而,不幸地是,当用户被诱使从中间人或可信站点下载恶意JavaScript脚本代码时,这些安全机制将无法发挥作用。在这种情况下,恶意脚本对属于可信站点的所有资源(如认证口令和具有会话进程标识的cookies)且有完全的访问权限。这种攻击被称为跨站点脚本攻击。万维网的驮马协议,HTTP协议和HTTPS协议有意地被设计成无状态的。这就意味着web应用无法在多个请求中追踪到用户,除非它在HTTP或HTTPS协议的顶端添加追踪机制。会话标识就是最被普遍使用的追踪机制。会话标识是随机数据的唯一字符串,一般来说由数字和字符组成,这个字符串由web应用生成并通过cookie的方式发送给用户。在会话标识被发送之后,每个用户发出的请求都在其它请求中包含了该应用发送给他的会话标识。通过使用会话标识,web应用能够识别不同的用户,区分并发的请求和及时追踪用户。会话标识是首要的攻击目标,因为成功的捕获并重演会话标识可以为攻击者提供易受攻击web应用的当即认证。根据窃取到的ID所属用户的访问权限,攻击者可以像普通用户,甚至是特权用户一样登录网站,并访问各种隐私数据,如email,密码,家庭住址,甚至是信用卡号码等。这就能使跨站点脚本攻击成为窃取会话标识的最普遍的方式。跨站点脚本攻击是一种使用范围非常广的攻击方式,整体来说也可以看作是代码注入攻击。在代码注入攻击中,攻击者输入一些数据,这些数据将被认为是代码并被正在运行的应用所执行。在跨站点脚本攻击中,攻击者欺骗用户浏览器以他的名义来执行Java脚本代码,并因此获得访问存储在浏览器中的敏感信息的权限。运行在用户浏览器中的恶意JavaScript脚本能够访问运行域中cookie的内容。而会话标识一般通过cookies来传播,所以被插入的JavaScript脚本能够读取这些会话标识并将其转移到受攻击者控制的服务器上。然后攻击者将用户的会话反馈给易受攻击的网站,这些网站以为他是正常用户并有效地进行授权。会话劫持是现今被广泛使用的跨站点脚本攻击类型之一,因为采用会话标识的web应用中每个关键任务都易受到这种方式的攻击。为了让脚本不被识别为恶意脚本,攻击者会用不同的编码方法对其进行编码,比如使用HEX。通过这种方法,Web站点就会像显示站点中的有效内容一样在页面显示恶意内容。如果Web应用程序没有验证输入,攻击者只需诱导用户选择恶意链接,然后Web应用程序就会从用户那里收集机密信息,这就让攻击者能够获取用户会话信息并窃取用户凭证,重定向到另一个Web站点上的网页,然后插入恶意代码来破坏cookie,公开SSL连接,访问受限或私人站点,甚至触发一系列这样的攻击。目前有一种机制能够从某种程度上在跨站点脚本漏洞中用来保护用户免受会话劫持——HTTP-Only。HTTP-Only是微软公司引进的一种网页浏览器特性,它可以为IE6及后续版本中的cookies提供防护措施。HTTP-Only是一种标记,它与包含敏感信息的cookie,如会话标识,一起由web应用发送给用户。它指示用户浏览器将cookie的值与任何运行在浏览器中的脚本语言隔离开来。因此,如果cookie被表示为HTTP-Only, Java脚本想要访问它时,只能得到一个空的字符串。因此,使用HTTP-Only cookie有助于阻止攻击者使用XSS漏洞实施会话攻击。但是这依然不是一种万能的解决办法,跨站点追踪(XST)是一种攻击技巧,有时候可以利用它来避开HTTP-Only cookie提供的保护,允许客户端代码访问标记为HTTP-Only cookie的值。这种技巧使用许多Web服务器默认激活的HTTP TRACE方法,它主要用于诊断目的。当服务器收到一个使用TRACE方法的请求时,它通过一条消息做出响应,消息主体包含服务器收到的TRACE请求的的原始文本,TRACE方法之所以可用于诊断目的,其原因在于,服务器收到的请求可能不同于客户发送出的请求,因为请求会被拦截代理服务器等修改。这个方法可用于确定请求在客户与服务器之间传送时发生了哪些变化。浏览器在HTTP请求中提交所有cookie,包括使用TRACE方法的请求以及标记为HTTP-Only的cookie。这样,请求和响应中都包含标记为HTTP-Only的cookie,这种行为为XST攻击提供了机会。如果可以使用客户端脚本提出一个TRACE请求,并读取这个请求的响应,那么这段脚本就能够访问到标记为HTTP-Only的cookie,即使通过document.cookie无法访问的到。当然,攻击还依赖于应用程序中存在的XSS漏洞,以注入恶意的脚本。在本文的研究中,我们设计了一种称为SessionImmunizer的系统。它是处于浏览器和服务器之间的一种代理,可以审查所有发出的请求和进来的应答。通过使用各种方法,它探测进来的HTTP头文件中的会话标识,将它们剥离出来并将它们的值存储在自己的数据库中。在每个发出的请求中,SessionImmunizer都会检查请求的域,并将之前剥离出来的值添加回去。当受到会话劫持攻击时,浏览器仍然会执行会话劫持代码,但是由于浏览器从未收到过会话信息,因此该信息不会被攻击者获取。本文提出的系统不会影响web用户和web服务器的任何功能应用,它单独运行在客户端,并且不依赖于web服务器和可信的第叁方(本文来源于《中南大学》期刊2012-03-01）
张恒伽,施勇,薛质[7]（2009）在《基于SSLStrip的HTTPS会话劫持》一文中研究指出文中在研究了目前广泛应用的HTTPS协议的基础上,分析了HTTPS会话劫持的手段和方法,并重点分析和揭示了一种基于中间人攻击(MITM)的HTTPS会话劫持方法—SSLStrip。进而提出了关于HTTPS协议本身以及所有通过HTTPS进行涉密交互的客户端的安全性问题,并提供了针对SSLStrip可行的防范措施。(本文来源于《信息安全与通信保密》期刊2009年10期）
庞胜,陈常嘉[8]（2009）在《不可靠路由会话劫持攻击分析与检测》一文中研究指出为了检测会话劫持,通过分析在路由节点上进行会话劫持的网络数据的RTT特征,用NS(network simu-lation)仿真了会话劫持过程,最后提出CRD(compare RTT detecting)方法,能够有效地检测到会话劫持攻击。(本文来源于《计算机应用研究》期刊2009年09期）
佘华君,姜开达,黄保青[9]（2007）在《基于TCP会话劫持的校园网安全告警系统》一文中研究指出本系统通过端口镜像对校园网边界出口处的网络流量中TCP叁次握手状态信息进行监测,并根据自定义的匹配过滤策略来精心构造会话劫持报文,以旁路方式发回给校园网内主机,来达到干预有问题的用户到外网的TCP会话的目的.干预的结果可以是立即中断TCP连接,也可以是将用户的所有HTTP访问请求重定向到指定的安全告警页面.本研究为在校园网内构建一种有效的安全告警系统提供了方向,同时也在过滤不良网站,用户身份认证等方面有着广泛应用.(本文来源于《厦门大学学报(自然科学版)》期刊2007年S2期）
黄小明[10]（2007）在《交换网络中基于TCP协议的会话劫持技术及防范措施》一文中研究指出本文主要讨论了借助ARP欺骗,实现的基于TCP协议的会话劫持技术的全过程及其防范措施.(本文来源于《邵阳学院学报(自然科学版)》期刊2007年01期）
会话劫持论文开题报告
（1）论文研究背景及目的
此处内容要求：
首先简单简介论文所研究问题的基本概念和背景，再而简单明了地指出论文所要研究解决的具体问题，并提出你的论文准备的观点或解决方法。
写法范例：
Web2.0的发展不断引发脚本安全问题,由跨站漏洞导致的Web实时会话劫持是跨站脚本攻击的一种技术应用。分析了基于跨站漏洞的Web实时会话劫持的技术原理,依据其技术特点和技术应用环境,提出了狭义攻击生命期和广义攻击生命期的概念,从HTML语言特性、网页结构特性和Web服务业务设计的角度分析了攻击生命期的时间线模型、页面结构模型和业务逻辑模型,指出了Web实时会话劫持攻击在社会工程学应用和漏洞点挖掘方面独具的特征,最后有针对性地提出了建立账户信息安全分级机制和客户端异常行为监测机制两项综合防范措施。
（2）本文研究方法
调查法：该方法是有目的、有系统的搜集有关研究对象的具体信息。
观察法：用自己的感官和辅助工具直接观察研究对象从而得到有关信息。
实验法：通过主支变革、控制研究对象来发现与确认事物间的因果关系。
文献研究法：通过调查文献来获得资料，从而全面的、正确的了解掌握研究方法。
实证研究法：依据现有的科学理论和实践的需要提出设计。
定性分析法：对研究对象进行“质”的方面的研究，这个方法需要计算的数据较少。
定量分析法：通过具体的数字，使人们对研究对象的认识进一步精确化。
跨学科研究法：运用多学科的理论、方法和成果从整体上对某一课题进行研究。
功能分析法：这是社会科学用来分析社会现象的一种方法，从某一功能出发研究多个方面的影响。
模拟法：通过创设一个与原型相似的模型来间接研究原型某种特性的一种形容方法。
会话劫持论文参考文献
[1].阳风帆,刘嘉勇,汤殿华.基于脚本注入的HTTPS会话劫持研究[J].信息网络安全.2015
[2].徐博文,刘春晖,曹维华,陆小铭.Web实时会话劫持攻击与防范研究[J].网络安全技术与应用.2014
[3].徐博文,曹维华,刘春晖,朱华虹.基于Javascript蠕虫的实时会话劫持攻击技术研究[J].计算机安全.2013
[4].张全明,张新有.基于会话劫持的HTTP资源缓存系统设计[J].成都信息工程学院学报.2013
[5].陈龙,刘慧.从会话劫持软件Hunt看TCP/IP协议的脆弱点[J].计算机光盘软件与应用.2012
[6].Christian,Kanamugire（卡那姆）.防止跨站脚本攻击会话劫持的客户端解决方案研究[D].中南大学.2012
[7].张恒伽,施勇,薛质.基于SSLStrip的HTTPS会话劫持[J].信息安全与通信保密.2009
[8].庞胜,陈常嘉.不可靠路由会话劫持攻击分析与检测[J].计算机应用研究.2009
[9].佘华君,姜开达,黄保青.基于TCP会话劫持的校园网安全告警系统[J].厦门大学学报(自然科学版).2007
[10].黄小明.交换网络中基于TCP协议的会话劫持技术及防范措施[J].邵阳学院学报(自然科学版).2007