基于動態(tài)分析的XSS漏洞檢測方法研究.pdf

1、隨著Web技術(shù)的不斷發(fā)展，Web應(yīng)用程序以豐富的功能和強大的交互性等優(yōu)點越來越受人們的青睞，隨之而來針對它的攻擊數(shù)量也日益劇增。其中，XSS攻擊是Web應(yīng)用程序中數(shù)量最多的攻擊手段之一。攻擊者通過向Web應(yīng)用程序的輸入點注入惡意腳本代碼來欺騙用戶瀏覽器執(zhí)行，從而達到竊取用戶私密信息的目的。如何高效地檢測Web應(yīng)用程序中存在的XSS漏洞，成為了當(dāng)前安全漏洞檢測的研究熱點。
　　現(xiàn)有的XSS漏洞檢測方法主要有靜態(tài)檢測、動態(tài)檢測，以及靜

2、動態(tài)結(jié)合檢測這三種，但它們都不夠完善，存在著需要程序源碼、漏報率高、誤報率高以及檢測效率低等缺點。因此，提出了一種新的基于動態(tài)分析的漏洞檢測方法，該方法主要分為三個模塊：攻擊向量庫、合法向量測試、攻擊向量測試。攻擊向量庫用來存儲攻擊向量，為攻擊向量檢測提供測試數(shù)據(jù)；合法向量測試是為了確定Web應(yīng)用程序中可能存在XSS漏洞的輸入矢量和相應(yīng)的輸出矢量；攻擊向量測試是用攻擊向量發(fā)送攻擊請求，進行XSS漏洞測試。具體來說，利用基于規(guī)則排序的攻擊