基于动态污点分析的DOM XSS漏洞检测算法

摘要：

针对Web客户端中基于文档对象模型的跨站脚本攻击(DOM XSS)漏洞检测问题,提出一种基于动态污点分析的DOM XSS漏洞检测算法.通过构造DOM模型和修改Firefox SpiderMonkey脚本引擎,利用动态的、基于bytecode的污点分析方法实现了DOM XSS漏洞的检测.对DOM对象类属性的扩展和SpiderMonkey字符串编码格式的修改可以完成污点数据标记;遍历JavaScript指令代码bytecode的执行路径,获得污点传播路径,实现污点数据集的生成;监控所有可能会触发DOM XSS攻击的输出点,实现DOM XSS漏洞的判定.在此基础上,利用爬虫程序设计并实现了一个互联网DOM XSS漏洞检测系统.实验结果表明,所提算法能有效检测网页存在的DOM XSS漏洞,其检测率可达92％.

关键词：动态污点分析、注入点、输出点、执行路径

所属期刊栏目：36

分类号：TP393.08(计算技术、计算机技术)

资助基金：国家自然科学基金资助项目61202352;江苏省自然科学基金资助项目BK20140797;the National Natural Science Foundation of China61202352;the Natural Science Foundation of Jiangsu ProvinceBK20140797

在线出版日期：2016-07-07（万方平台首次上网日期，不代表论文的发表时间）

页数：共5页

页码：1246-1249,1278