基于动态污点分析的DOM XSS漏洞检测算法

• 作者: 俞研 吴家顺 李洁
• 来源期刊: 计算机应用
• 学科: 工学
• 关键词: 动态污点分析 注入点 输出点 执行路径
• 年，卷（期）: 2016,（5）
• 所属期刊栏目: 网络空间安全
• 页码范围: 1246-1249,1278
• 页数: 5页
• 分类号: TP393.08
• 字数: 5458字
• 语种: 中文
• DOI: 10.11772/j.issn.1001-9081.2016.05.1246

摘要

针对Web客户端中基于文档对象模型的跨站脚本攻击(DOM XSS)漏洞检测问题,提出一种基于动态污点分析的DOM XSS漏洞检测算法.通过构造DOM模型和修改Firefox SpiderMonkey脚本引擎,利用动态的、基于bytecode的污点分析方法实现了DOM XSS漏洞的检测.对DOM对象类属性的扩展和SpiderMonkey字符串编码格式的修改可以完成污点数据标记;遍历JavaScript指令代码bytecode的执行路径,获得污点传播路径,实现污点数据集的生成;监控所有可能会触发DOM XSS攻击的输出点,实现DOM XSS漏洞的判定.在此基础上,利用爬虫程序设计并实现了一个互联网DOM XSS漏洞检测系统.实验结果表明,所提算法能有效检测网页存在的DOM XSS漏洞,其检测率可达92％.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	李洁	南京理工大学计算机科学与工程学院	11	32	2.0	5.0
2	俞研	南京理工大学计算机科学与工程学院	13	64	4.0	7.0
3	吴家顺	南京理工大学计算机科学与工程学院	9	38	3.0	6.0