SAP NetWeaver缺陷检测技术研究

2016-09-21娄亚南王轶骏薛质

信息安全与通信保密 2016年7期

关键词：用户检测服务

娄亚南，王轶骏，薛质

(上海交通大学电子信息与电气工程学院，上海200240)

SAP NetWeaver缺陷检测技术研究

娄亚南，王轶骏，薛质

(上海交通大学电子信息与电气工程学院，上海200240)

NetWeaver是SAP(System Applications and Products)系统最重要的技术应用平台。虽然其安全策略已较为充实，但仍存在配置不当、认证缺乏、信息泄漏等缺陷，攻击者可利用并实现用户提权、远程命令执行、窃取敏感数据等攻击目的。在了解SAP架构及通信机制前提下，分析阐述了NetWeaver关键组件存在的缺陷及检测手段。利用缺陷检测技术对这些组件进行检测，集成整合并实现自动化检测平台，呈现出更直观全面的SAP系统安全性评估结果。

SAP系统;NetWeaver平台;SOAP协议;RFC协议;缺陷检测

0 引言

SAP是世界上最大的企业管理和协同化电子商务解决方案供应商，它提供整套的企业级应用软件，覆盖各行业的业务需求。SAP NetWeaver是SAP最重要的技术应用平台，它为SAP及其合作伙伴的应用软件提供运行环境。SAP的应用软件具有规模大、复杂性强的特点，这对NetWeaver的安全性提出了更高的要求。虽然NetWeaver本身的安全策略已经较为充实，但研究表明[1]，攻击者还是能够利用其配置不当、认证缺乏、信息泄漏等缺陷对NetWeaver服务器进行攻击。

本文在介绍SAP架构和通信机制基础之上，重点分析了NetWeaver关键组件存在的缺陷，阐述了可能泄漏的敏感信息，研究了攻击者利用这些缺陷所能实现的用户提权、远程命令执行、窃取敏感数据等攻击手段。最后，设计并实现了集成化的SAP NetWeaver缺陷检测平台。