基于动态分析的XSS漏洞检测模型
来源：计算机工程杂志2018年第10期北京时间：
作者：谷家腾,辛阳
单位：1.北京邮电大学 网络空间安全学院,北京 100876; 2.贵州大学 贵州省公共大数据重点实验室,贵阳 550025
摘要：针对在XSS漏洞动态检测中降低漏报率时导致检测效率低下的问题,提出一种新的XSS漏洞检测模型。该模型分为载荷单元生成、绕过规则选择、试探载荷测试、载荷单元组合测试、载荷单元单独测试5个部分。根据载荷单元所在位置和功能类型的不同,将攻击载荷切割为不同类别的单元,并制定组合成完整攻击载荷的规则。使用探针载荷判断待检测点是否可能存在漏洞,运用组合测试和单独测试的方式将载荷单元与绕过规则的组合放入检测点测试,根据测试结果生成针对性的完整攻击载荷。实验结果表明,该模型使用较少的测试请求完成对较多攻击载荷的测试,在有效降低漏报率的同时,保持较高的检测效率。
关键词：漏洞检测,XSS攻击,动态分析,黑盒测试,Web安全
基金资助：贵州省科技重大专项(20183001);贵州省公共大数据重点实验室开放课题基金(2017BDKFJJ015)。
