資訊傳播工程學系碩士班碩士學位論文以客服端為主之網頁瀏覽安全系統研究生:葉姵伶指導教授:江清泉博士中華民國九十九年六月i以客服端為主之網頁瀏覽安全系統研究生:葉姵伶指導教授:江清泉摘要摘要摘要摘要隨著近年來網際網路的興起,網頁內容也愈來愈多樣化,卻也產生出各種網頁安全問題,因此網頁安全的防護也漸成為現今重視的議題。然而,一般網安公司或網站管理者,都以網站伺服端的安全分析為主,但是大部份使用者所瀏覽的網站都沒有完善的網站安全防護機制,導致許多安全問題幾乎都在客服端(client-side)發生。因此,本論文的目標是以客服端瀏覽網頁的安全服務為主,建構一個使用者瀏覽網頁的安全機制及系統,藉以降低瀏覽未知網頁的風險。本系統主要是由網頁代理伺服系統(HTTPProxy)、ICAP伺服系統、瀏覽器附加工具與Feedback機制所構成,並針對瀏覽網站的風險提出方法與防護機制,以提供使用者一個安全的網頁瀏覽環境,提升使用者上網瀏覽網站之安全。關鍵詞:客服端系統、網頁安全、網頁代理伺服系統、ICAP伺服系統。iiASystemofWebBrowsingSecurityforClient-sideUsersStudent:Pei-LingYehAdvisor:Ching-ChuanChiangAbstractSecurityproblemswithWebApplicationsareincreasingwiththegrowthofInternetapplications.Mostofwebsecuritysystemsfocusonwebserversandapplicationsbyprotectingtheintrusionformattackersoranalyzingthesourcecodesofapplications.However,mostofwebsitesarenotsecureandtherearelotsofmalicioussitescreatedbyhackers.Webbrowsingontheclient-siteisnotsafe.Inthispaper,wefocusonthesecurityofwebbrowsingforclient-sideusersbyexaminingthecontentofHTTPpackets.Proxy/ICAPserversandthetoolbarofthebrowserareusedastheanalysisengine.Aninteractiveinterfaceisdesignedtocollectuserfeedbacktoprovideinformationforanalysis.Oursolutionisabletoprovideasafewebbrowsingenvironmentforpeople,andthusimprovethenetworksecurity.Keywords:Client-sidesystem、websecurity、HTTPProxy、ICAPsystemiii誌誌誌誌謝謝謝謝讀研究所的這兩年,首先要感謝我的指導教授江清泉教授,感謝老師的包容與耐心指導,並也教導做人處事上應有的態度,讓我學習到很多,真得是很感謝老師。再來要感謝口委老師們,何應魁博士與王金印博士,感謝老師們所給予的寶貴意見,讓論文變的更加完美。不知不覺就要畢業了,這兩年讓我學習到很多,也讓我領悟很多。在此,感謝研究所所有我認識的人,不管是資工或是資傳的研一、研二或是學長們,很慶幸彼此間可以和樂得像是沒有年級差別,彼此間相互幫忙,儘管很常鬥嘴,但是生活中歡樂卻不間斷,也讓我體會到甚麼叫做義氣!!(haha~)這兩年來,很多的回憶湧了上來,我永遠不會忘記這段期間的點點滴滴。最後,我真的很感謝我的家人,沒有甚麼東西是可以擁有一輩子,但是家人卻是老天爺給我的一輩子最好的禮物,讓我體會到有家人的支持與鼓勵真好。你們總是會聽我生活上的酸甜苦辣,也總是包容不完美的我。真的,家裡是最好的避風港!我想人生總是要碰到許多事情,才會懂得自己所要的是甚麼。很多時候無法選擇會遇見甚麼樣的人,也無法預期會不會認識到與自己很合的人,不管是好是壞,都是一種經驗。人生中總會有起伏,總是會有挫折或是遇到難關的時候,請相信自己,做自己就好。iv目錄目錄目錄目錄摘要.....................................................................................................iAbstract...............................................................................................ii誌謝..................................................................................................iii目錄...................................................................................................iv圖目錄..............................................................................................vii表目錄...............................................................................................ix第一章緒論.................................................................................-1-第一節研究背景與動機.....................................................-1-第二節研究目的.................................................................-2-第三節論文架構.................................................................-5-第二章相關技術與研究.............................................................-6-第一節相關防護機制.........................................................-6-一、網頁伺服系統的安全防護.................................-6-二、網路連線的安全.................................................-7-三、網頁瀏覽安全.....................................................-8-第二節C-ICAP介紹............................................................-9-一、ICAP傳輸內容..................................................-10-二、ICAP架構..........................................................-10-第三節FirefoxExtension..................................................-11-第四節相關Web安全漏洞................................................-12-一、CrossSiteScripting...........................................-12-二、Phishing.............................................................-14-第五節工具欄...................................................................-15-v一、SpoofGuard........................................................-15-二、NetcraftToolbar.................................................-16-三、EarthlinkToolbar...............................................-16-四、BayesianAnti-PhishingToolbar........................-17-第六節ProxyServer..........................................................-18-第三章系統架構與研究方法...................................................-19-第一節系統架構...............................................................-19-一、瀏覽器附加工具...............................................-20-二、Feedback機制....................................................-20-三、網頁代理伺服系統...........................................-21-四、ICAP伺服系統..................................................-23-第二節資料庫系統...........................................................-25-第三節研究方法...............................................................-29-一、OWASPTOP10Risks分析...............................-29-二、URL分析...........................................................-31-三、Drive-bydownloads的分析..............................-31-四、Phishing分析.....................................................-33-第四章研究結果與分析討論...................................................-36-第一節系統首頁功能.......................................................-37-一、首頁當天即時流量圖.......................................-38-二、當天ProxyIP使用率/連結黑名單URL排行榜-38-第二節系統功能...................