一种自动化的跨站脚本漏洞发现模型

来源：计算机工程杂志2018年第8期北京时间：

作者：马富天,钱雪忠,宋威

单位：江南大学 物联网工程学院 物联网技术应用教育部工程研究中心,江苏 无锡 214122

摘要：跨站脚本攻击给Web应用带来严重的威胁,在应用发布之前,对其进行检测能够有效地降低漏洞风险。针对现有跨站脚本在动态检测中存在漏报误报的问题,提出一种动态检测方法。基于攻击向量基本侯选元素库和初始攻击向量种子库,在检测过程中自动生成符合输出点类型 的有效攻击向量,根据当前时刻的检测结果,自适应调整攻击向量优先级,待所有注入点攻击完毕,重新二次遍历整个站点检验待发现的漏洞。实验结果表明,与APPScan、WVS相比,该方法能发现更多漏洞。

关键词：跨站脚本,动态检测,静态分析,攻击向量,合法向量

基金资助：国家自然科学基金(61673193);中央高校基本科研业务费专项资金(JUSRP51510,JUSRP51635B)。