基于分隔符的跨站脚本攻击防御方法

• 作者: 丁羽 张慧琳 李冠成 段镭 肖建国 韩心慧
• 来源期刊: 北京大学学报（自然科学版）
• 学科: 工学
• 关键词: 跨站脚本攻击 分隔符 动态污点分析 积极污点标记 影子字节 页面上下文
• 年，卷（期）: 2018,（2）
• 页码范围: 320-330
• 页数: 11页
• 分类号: TP393
• 字数: 9035字
• 语种: 中文
• DOI: 10.13209/j.0479-8023.2017.172

摘要

通过分析跨站脚本攻击的特性, 提出一种基于分隔符的跨站脚本攻击防御方法, 该方法适用于 UTF-8编码的 Web 应用程序.首先, 仅对可信数据中的分隔符进行积极污点标记; 然后, 利用字符 UTF-8 编码值的转换轻量级完成污点标记, 该污点信息可随着字符串操作直接传播到结果页面; 最后, 根据结果页面中分隔符的污点信息及页面上下文分析, 检查脚本执行节点的合法性和脚本内容的可靠性, 精确地检测并防御跨站脚本攻击.针对 PHP 平台实现了原型系统 XSSCleaner.实验证明, XSSCleaner 可轻量级地完成污点分析,并且能够对跨站脚本攻击进行精确防御, 页面生成的时间开销平均为 12.9%.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	肖建国	北京大学计算机科学技术研究所	30	478	12.0	21.0
2	张慧琳	北京大学计算机科学技术研究所	27	109	7.0	9.0
4	韩心慧	北京大学计算机科学技术研究所	23	994	10.0	23.0
5	段镭	北京大学计算机科学技术研究所	2	17	1.0	2.0
8	李冠成	北京大学计算机科学技术研究所	1	1	1.0	1.0
9	丁羽	北京大学计算机科学技术研究所	1	1	1.0	1.0