史立敏 王晓茜 张宏斌 刘心宇 汪旭童

1(中国科学院信息工程研究所 北京 100093) 2(中国科学院大学网络空间安全学院 北京 100093) 3(中国电子信息产业集团有限公司第六研究所 北京 100083)

当前Web安全形势不容乐观，Web服务站点的安全问题愈发突出，其中分布式拒绝服务攻击(distributed denial of service, DDoS)是攻击者常用的一种攻击手段.攻击者为了躲避检测，并让DDoS 攻击具有更大的破坏力，逐渐将攻击转移到应用层.因此，Web应用层的DDoS攻击已经成为Web服务平台重要安全威胁.应用层DDoS攻击很难像传统DDoS可以用硬件防火墙来过滤攻击，其利用正常的HTTP请求来耗尽Web服务资源来达到攻击目的，这些服务请求无须利用网络协议漏洞，更难以被检测到[1]，一般对Web应用层的DDoS都会针对Web服务器资源消耗的脆弱性发起，而不是盲目地发起请求攻击，因此，针对Web服务器资源消耗脆弱性的研究很有必要.

根据腾讯安全的2020年DDoS威胁报告[2]显示：应用层的攻击呈现出大幅度上升趋势，HTTPS的CC攻击最大流量达到260万QPS，HTTP的CC攻击最大流量甚至达到了370万QPS.为减少Web服务资源消耗脆弱性给Web服务站点带来的损失，对于Web应用层的安全研究有了更大的需求.针对上述问题，本文提出了对Web服务资源消耗脆弱性检测技术，旨在Web服务受到攻击前预先分析和了解Web服务的资源消耗脆弱性安全问题，为网站安全性能优化和需要采取的防御手段提供理论和数据支撑.主要的研究工作和贡献如下：

1) 对Web服务资源消耗脆弱性进行了检测分析.基于获……