基于模糊测试的反射型跨站脚本漏洞检测

• 作者: 倪萍 陈伟
• 来源期刊: 计算机应用
• 关键词: 跨站脚本漏洞检测 爬虫 模糊测试 探子向量 攻击载荷 权重调整
• 年，卷（期）: 2021,（9）
• 所属期刊栏目: 网络空间安全|Cyber security
• 页码范围: 2594-2601
• 页数: 8页
• 分类号: TP393
• 语种: 中文
• DOI: 10.11772/j.issn.1001-9081.2020111770

摘要

针对目前现代万维网(WWW)应用程序中跨站脚本(XSS)漏洞检测技术存在的效率低,以及漏报率、误报率高等问题,提出了一个基于模糊测试的反射型XSS漏洞检测系统.首先,通过网络爬虫技术爬取整站指定深度的网页链接并对其进行分析,从而提取出潜在的用户注入点;其次,根据攻击载荷的语法形式构造模糊测试用例,并为每个元素设置初始权重,依据注入探子向量来获取输出点类型,从而选择对应的攻击语法模式来构造较有潜力的攻击载荷,并对其进行变异操作以形成变异攻击载荷来作为请求参数;然后,对网站响应进行分析,并调整元素的权重,以便生成更加高效的攻击载荷;最后,将该系统与ZAP、Wapiti系统做横向对比.实验结果表明,所提系统能够发现的潜在用户注入点数提升了12.5％,漏洞误报率下降至0.37％,漏报率低于2.23％;同时减少了请求次数,节约了检测时间.