李 钊 张先荣 郭 帆

(1安徽医科大学图书馆信息技术部 安徽合肥 340100；2广州大学网络空间先进技术研究院 广东广州 510000；3江西师范大学计算机信息工程学院 江西南昌 330022)

随着数字经济和互联网技术的高速发展，Web服务呈现爆发式的增长，这也导致了Web网站的漏洞越来越多[1]。据Gartern的统计，在绝大多数的网络攻击中，发生在Web层面的攻击高达75%左右[2]，因此面向Web程序的入侵检测就显得极为重要了。

根据OWASP Top10的Web程序的漏洞风险评估结果，从OWASP Top 2007[3]、OWASP Top 2010[4]、OWASP Top 2013[5]、OWASP Top 2017[6]来看XSS攻击和SQL注入几乎一直占据着Web漏洞攻击的重要排名位置，其攻击排名如表1所示。

表1 SQL注入和XSS攻击OWASP Top10 2007-2017排名

从表1可以观察到XSS攻击除了在OWASP Top 10 2017外 ，其他OWASP Top10时间段内几乎都是排在前三名内。SQL注入几乎一直占据着第一排名，这意味着注入攻击和XSS攻击在危害Web应用程序系统一直占据着重要的位置，因此对于SQL注入和XSS攻击的入侵检测就显得十分必要了。

1 Web入侵检测系统的设计与实现

1.1 Web入侵检测系统的总体结构设计

入侵检测系统采用模块化设计，设计方法如图1所示，主要包括以下3个模块。

(1)Web日志采集模块：这个模块的功能是将Web日志采集到数据库中，并对日志的数据进行预处理和清洗。

(2)数据管理模块：数据管理模块主要分为两部分，第一部分功能主要是将采集至数据库的Web日志进行查询、优化和管理，另一部分主要负责SQL注入和XSS攻击向量知识库的构建、修改和完善。

(3)入侵检测模块：Web入侵检测系统的核心模块，负责将采集的Web日志数据与攻击向量知识库模式匹配。……