跨站腳本漏洞檢測與防御技術(shù)研究.pdf

1、隨著Web2.0概念的提出與推廣，Web應用程序的實用性和友好性的特點使得Web應用受到越來越多開發(fā)人員和用戶的肯定，腳本技術(shù)（如JavaScript、VBScript等）在Web應用中的廣泛應用在帶給用戶便捷的同時，也給網(wǎng)絡帶來了新的安全威脅。在網(wǎng)絡安全領(lǐng)域中，跨站腳本攻擊(Cross Site Scripting)已經(jīng)是其中最嚴重的安全問題之一，它主要利用Web應用中的對外部數(shù)據(jù)的過濾缺陷，將惡意腳本成功注入到網(wǎng)頁中。
　　論

2、文在參考大量國內(nèi)外相關(guān)資料的基礎(chǔ)上，對跨站腳本漏洞的檢測和防御做了深入研究。
　　為了提高檢測Web應用源碼中跨站腳本漏洞的效率，論文提出了一種基于靜態(tài)分析的逆向代碼審計算法，用于檢測和提取源代碼中的跨站腳本漏洞。算法將輸出節(jié)點定義為潛在危險節(jié)點，并對其進行逆向掃描，然后確定輸出節(jié)點是否引用了污點數(shù)據(jù)。通過算法生成的數(shù)據(jù)鏈還可以發(fā)現(xiàn)漏洞的位置及生成漏洞的數(shù)據(jù)來源，方便測試人員和開發(fā)團隊及時修復Web應用中的漏洞。實驗驗證表明該檢測

3、算法在有效檢測源碼中的XSS跨站腳本漏洞，同時，大大提高了XSS漏洞的檢測效率。
　　另外，論文在深入研究跨站腳本攻擊方式的基礎(chǔ)上，提出了一種基于代理的跨站腳本防御框架。該框架部署在客戶端與服務器端之間，攔截客戶端與服務器端間的通信數(shù)據(jù)，對數(shù)據(jù)進行深度分析和過濾。不僅能對跨站腳本攻擊進行有效的防御，而且可以對合法標簽進行放行，為客戶端用戶提供良好的訪問體驗。該防御框架由分析引擎和處理引擎構(gòu)成，其中分析引擎分為重編碼、去除干擾字符和

4、整理標簽子模塊，處理引擎分為處理非法標簽、處理非法事件和處理非法引用子模塊。該防御框架通過對數(shù)據(jù)的深入拆分解析，準確識別出標簽是否合法、數(shù)據(jù)中是否存在腳本以及數(shù)據(jù)是否安全。實驗表明該框架對于當前流行的跨站腳本攻擊（包括反射型跨站腳本、存儲型跨站腳本和DOM型跨站腳本）都有良好的防御效果，但是會存在延遲客戶端與服務器端響應時間的問題。
　　此外，針對論文提出的跨站腳本防御框架會造成客戶端與服務器端間響應時間增加的問題，我們嘗試對該防

5、御框架進行了改進，提出了基于“任務自動處理機”的框架模型。該框架主要包括數(shù)據(jù)掃描和數(shù)據(jù)處理兩個部分。所有存儲到數(shù)據(jù)庫的外部數(shù)據(jù)將被打上“未處理”標記，此時的數(shù)據(jù)沒有被服務器使用的權(quán)限。任務自動處理機中的數(shù)據(jù)掃描任務將所有標有“未處理”標記的數(shù)據(jù)掃描存儲，重新將數(shù)據(jù)標記為“處理中”，等待數(shù)據(jù)處理任務的處理。數(shù)據(jù)處理任務使用文中提出的防御算法對掃描到的數(shù)據(jù)按優(yōu)先級進行處理，處理成功將更新原有數(shù)據(jù)的值和狀態(tài)，將數(shù)據(jù)標記為“處理成功”，帶有“處