【IT168 专稿】
    每一种新的Web技术都不可避免的遭遇安全问题，Ajax也不例外。Ajax即时数据反馈的特点实现了良好的用户交互，使得IT建筑师们通过基于Web的应用程序来改变用户访问和交互公共数据的方式。

    但是Ajax技术同时也对IT企业带来了新的安全威胁，Ajax技术就如同对企业数据建立了一个直接通道。这使得开发者在不经意间会暴露比以前更多的数据和服务器逻辑。

    Ajax的逻辑可以对客户端的安全扫描技术隐藏起来，允许黑客从远端服务器上建立新的攻击。还有Ajax也难以避免一些已知的安全弱点，诸如跨站点脚步攻击、SQL注入攻击和基于credentials的安全漏洞等。

     为了发现Ajax应用所带来的安全威胁，并给出解决办法，我们可以分析Web应用程序开发生命周期的不同阶段和不同方面，进而选择特定的安全工具来帮助我们提高基于Ajax的应用的安全性。通过使用这些产品，开发者可以显著的减少Ajax安全缺陷，并使得任何安全漏洞尽在我们掌握之中。

来自CENZIC的HAILSTORM

     发现Ajax安全缺陷的一个方法是借助于安全测试应用软件。这一方面，Cenzic的Hailstorm可以针对基于Ajax的Web应用程序进行精确动作分析。Hailstorm可以自动模拟某些最复杂的基于流的攻击，让开发者看到真实世界的黑客是如何攻入他们的Web应用程序并窃取安全数据的。

     Hailstorm使开发者可以实时检查所有安全缺陷，以了解某些注入攻击代码如何被执行以及被攻击的目标Web应用如何响应。Hailstorm还从不同的技术角度来提供建议来修正代码。不过由于Web应用技术如此不同，Hailstorm只是给出了通用的修补建议，而不提供具体的修正代码。

    根据Cenzic，当Ajax应用程序发出服务器请求时出现的两个主要安全弱点是：输入确认（诸如SQL和脚本注入）和授权。对开发者的关键挑战是要防止来自注入攻击的反馈信息。

    例如，当发出HTTP请求后，提交的参数被连接符号&分开，这使得黑客可以根据参数来查看服务器的响应。黑客可以创建定制的HTTP头，通过插入调用函数，服务器端就会运行恶意脚本。通过Hailstorm，开发者能够识别存在于HTTP头内的注入代码的安全缺陷。

     Hailstorm还可以检查任何基于提交数据的注入攻击。对于有安全弱点的HTTP头，Hailstorm可以产生跨站点脚步攻击和SQL注入攻击来测试服务器请求和脚本执行。Hailstorm可以在HTTP头中插入空函数来看页面结构是否能被恶意函数改变。为了得到XML节点的信息和被调用的函数，黑客们通常喜欢使用空函数来接收来自服务器的信息。