基于攻击向量自动生成的XSS漏洞检测系统的研究与设计

发布时间：2020-07-03 23:20

【摘要】：随着Web技术的不断发展,Web应用已经成为人们日常生活中不可缺少的工具,基于它人们可以完成聊天、购物、转账等活动。然而Web安全问题也随之日益突出,其中跨站脚本(Cross-site scripting,XSS)漏洞是Web应用程序中最常见和最严重的安全问题之一。XSS漏洞广泛存在于各类Web应用程序中,攻击者利用XSS漏洞可以进行信息窃取、会话劫持等攻击,因此如何自动检测Web应用程序中的XSS漏洞对保护用户隐私数据,保障Web安全具有重要意义。本文选择模糊测试方法进行漏洞检测。相比白盒测试,模糊测试不需要获得应用程序的实现代码,通过生成攻击向量并观察返回的响应结果来分析是否存在漏洞。为解决现有攻击向量库规模大、针对性不强的问题,本文提出了一种攻击向量自动生成的优化方案。首先,提出了使用模块化的方式构造基本攻击向量,使用巴科斯范式定义基本攻击向量的语法,并根据语法生成基本攻击向量库。随后,从基本攻击向量的选取和变异攻击向量的生成两个方面优化了攻击向量的生成方法:1.提出了从两个方面优化基本攻击向量的选取。一方面,对基本攻击向量按照敏感字符和敏感字符串数量升序排列,以生成最有可能快速绕过服务端过滤器的基本攻击向量选取顺序。另一方面,约定了输出上下文与基本攻击向量类型的映射关系,以针对不同输出上下文注入对应类型的基本攻击向量。2.提出了从两个方面优化变异攻击向量的生成。一方面,总结了现有的变异规则,并将变异规则与基本攻击向量的组成模块进行对应,以针对特定模块使用对应的变异规则。另一方面,基于网站过滤机制提出了一种优化变异攻击向量生成的方法。该方法通过分析响应内容中被过滤的向量模块,构造接下来使用的变异攻击向量。本文设计并实现了 XSS漏洞检测系统,使用了基于无头浏览器的网络爬虫,并且通过尝试页面触发获得隐藏DOM节点。系统分为四个模块:页面爬取及解析模块、输出上下文确定模块、攻击向量构造模块和攻击结果检测模块。实验结果表明,XSS漏洞检测系统能够有效的检测出Web应用中的XSS漏洞。通过寻找隐藏节点有效提高了注入点数量,并且在其中发现了漏洞。本文提出的攻击向量生成方法能够生成数量少、精准度高的攻击向量。
【学位授予单位】：北京邮电大学
【学位级别】：硕士
【学位授予年份】：2019
【分类号】：TP393.08
【图文】：

逡逑向输入框输入“ｔｅｓｔ”后结果如图２－２所不。逡逑提交查询逡逑输入为逡逑ｔｅｓｔ逡逑图２－２输入“ｔｅｓｔ”后的页面展示逡逑如图２－３所示，查看源代码可以看到输入的“ｔｅｓｔ”字符串在ｂｏｄｙ标签中。逡逑＜ｈｔｍｌ＞邋ｅｖｅｎｔ逡逑？邋＜ｈｅａｄ＞；＊＊－邋＜／ｈｅａｃｉ＞逡逑＜ｂｏｄｙ＞逡逑＜ｆｏｒｍ邋ａｃｔｉｏｎ＝，ｔｎ邋ｍｅｔｈｏｄ＾＾ｇｅｔ１＾逡逑＜ｉｎｐｙｔ邋ｔｙｐｅ＝＂ｔｅｘｔ＂邋ｎａｍｅ＝Ｈｘｉｎｐｕｔｎ＞逡逑＜ｉｎｐｕｔ邋ｔｙｐｅ＝，，ｓｕｂｍｉｔＨ＞逡逑＜／ｆｏｒｍ＞逡逑输入为逡逑＜ｂｒ＞逦逦逡逑＜／ｂｏｄｙ＞逡逑图２－３输入“ｔｅｓｔ”后的页面源代码逡逑如果向输入框输入一段弹框脚本々（＾咖NB化打＾＾＾＾＾＾＾是否也会被插入逡逑到ｂｏｄｙ标签内，并执行呢？结果如图２－４所示。逡逑．．．——：逦—．逡逑输入为逦＇逦咖逦－逡逑确定｜逡逑逦邋—逦—…逡逑图邋２－４邋提交邋“〈ｓｃｒｉｐＰａｌｅｒｔＣｘｓｓ’ｈ／ｓｃｒｉｐＰ”邋后的页面展示逡逑可以看到这段脚本被成功的执行了，说明该输入框存在ＸＳＳ漏洞。逡逑从以上例子可以得出，ＸＳＳ漏洞的产生源于网站未对用户的输入数据进行正逡逑确验证，以及包含恶意代码的响应数据在反射回浏览器前没有被正确编码或转义，逡逑而被攻击者所利用。很多Ｗｅｂ应用程序在开发时未重视对用户输入内容的处理

逡逑向输入框输入“ｔｅｓｔ”后结果如图２－２所不。逡逑提交查询逡逑输入为逡逑ｔｅｓｔ逡逑图２－２输入“ｔｅｓｔ”后的页面展示逡逑如图２－３所示，查看源代码可以看到输入的“ｔｅｓｔ”字符串在ｂｏｄｙ标签中。逡逑＜ｈｔｍｌ＞邋ｅｖｅｎｔ逡逑？邋＜ｈｅａｄ＞；＊＊－邋＜／ｈｅａｃｉ＞逡逑＜ｂｏｄｙ＞逡逑＜ｆｏｒｍ邋ａｃｔｉｏｎ＝，ｔｎ邋ｍｅｔｈｏｄ＾＾ｇｅｔ１＾逡逑＜ｉｎｐｙｔ邋ｔｙｐｅ＝＂ｔｅｘｔ＂邋ｎａｍｅ＝Ｈｘｉｎｐｕｔｎ＞逡逑＜ｉｎｐｕｔ邋ｔｙｐｅ＝，，ｓｕｂｍｉｔＨ＞逡逑＜／ｆｏｒｍ＞逡逑输入为逡逑＜ｂｒ＞逦逦逡逑＜／ｂｏｄｙ＞逡逑图２－３输入“ｔｅｓｔ”后的页面源代码逡逑如果向输入框输入一段弹框脚本々（＾咖NB化打＾＾＾＾＾＾＾是否也会被插入逡逑到ｂｏｄｙ标签内，并执行呢？结果如图２－４所示。逡逑．．．——：逦—．逡逑输入为逦＇逦咖逦－逡逑确定｜逡逑逦邋—逦—…逡逑图邋２－４邋提交邋“〈ｓｃｒｉｐＰａｌｅｒｔＣｘｓｓ’ｈ／ｓｃｒｉｐＰ”邋后的页面展示逡逑可以看到这段脚本被成功的执行了，说明该输入框存在ＸＳＳ漏洞。逡逑从以上例子可以得出，ＸＳＳ漏洞的产生源于网站未对用户的输入数据进行正逡逑确验证，以及包含恶意代码的响应数据在反射回浏览器前没有被正确编码或转义，逡逑而被攻击者所利用。很多Ｗｅｂ应用程序在开发时未重视对用户输入内容的处理

【相似文献】

相关期刊论文 前10条

1 傅君明;;高中数学中向量问题的分类解析[J];高中数学教与学;2016年22期

2 金鹏;;在探究中加深理解 在领悟中提升素养——以“向量的概念及表示”的教学为例[J];中学数学月刊;2017年05期

3 周志云;;平面向量备考策略[J];高中数理化;2017年05期

4 杨天育;杨龙婷;;向量在高考数学解题中的应用[J];数学大世界(下旬);2017年06期

5 宋禹;姚诚智;;基于向量方法提出关于空间图形稳定性的设想[J];中学生数理化(学习研究);2017年08期

6 周科;;对考查向量的试题背景分析与教学备考建议[J];数学大世界(上旬);2017年08期

7 崔华梅;戴宏照;;构造圆解决向量问题[J];中学生数学;2017年15期

8 彭雪纯;;基于平面几何性质的向量问题思考[J];数码世界;2017年09期

9 杨春梅;;题有多变 贵在寻根——例谈向量中的三角形中线性质[J];高中数理化;2017年17期

10 冯寅;;架起内心和向量之间的桥梁[J];数理化解题研究;2017年22期

相关会议论文 前7条

1 张晓艳;王挺;陈火旺;;基于多向量和实体模糊匹配的话题关联识别[A];第三届全国信息检索与内容安全学术会议论文集[C];2007年

2 白维娟;;基于APOS理论的向量概念分析[A];教师教育论坛(第一辑）[C];2019年

3 王丹丹;;向量血流图评价房颤患者左心室内流场变化情况[A];中国超声医学工程学会第十四届全国超声心动图学术会议论文汇编[C];2018年

4 王丹丹;;向量血流图评价房颤患者左心室内流场变化情况[A];中国超声医学工程学会第十三届全国超声心动图学术会议论文汇编[C];2016年

5 缪浩然;黎塔;梁宏;;改进的词向量特征和CNN在语句分类中的应用[A];第十四届全国人机语音通讯学术会议（NCMMSC’2017）论文集[C];2017年

6 李锋刚;张亚南;汪兵;;基于词向量和AP聚类的短文本主题演化分析[A];第十三届（2018）中国管理学年会论文集[C];2018年

7 陈进于;钱若军;;流固耦合问题的数值分析[A];庆祝刘锡良教授八十华诞暨第八届全国现代结构工程学术研讨会论文集[C];2008年

相关博士学位论文 前4条

1 曾绍华;支持向量回归机算法理论研究与应用[D];重庆大学;2006年

2 曾志强;支持向量分类机的训练与简化算法研究[D];浙江大学;2007年

3 王鑫;基于表示学习的情感分析关键技术研究[D];哈尔滨工业大学;2017年

4 步红刚;基于混合特征向量和单分类检测器的织物瑕疵自动检测研究[D];东华大学;2010年

相关硕士学位论文 前10条

1 冯亦彤;基于攻击向量自动生成的XSS漏洞检测系统的研究与设计[D];北京邮电大学;2019年

2 徐贝贝;基于词向量的流感病毒宿主预测和病毒序列鉴定[D];湖南大学;2018年

3 潘常玮;迁移学习中预训练中文词向量优化方法研究[D];北京交通大学;2018年

4 陈华杰;基于注意力词向量的情感分类方法研究[D];哈尔滨工业大学;2017年

5 王贺;词向量的改进及其在作品风格识别中的应用[D];大连理工大学;2018年

6 陈成;基于向量—子空间夹角判据分析食品药品中的添加剂[D];广西科技大学;2014年

7 曹雅茹;基于词向量与词性的情感分析算法研究[D];天津大学;2018年

8 白洋;基于NLP词向量技术的大规模专利信息检索系统[D];天津大学;2018年

9 汪静;基于词向量的中文短文本分类问题研究[D];中南民族大学;2018年

10 殷青;XSS检测中攻击向量的研究[D];东南大学;2018年

本文编号：2740311