【摘要】：WEB應(yīng)用程序是目前世界上最流行的軟件之一,然而不斷出現(xiàn)的故障和漏洞表明開發(fā)者對這類程序的測試還不夠充分。如果服務(wù)器程序沒有對用戶輸人的合法性進(jìn)行充分的驗證,可能會造成系統(tǒng)功能異常甚至帶來安全隱患,比如XSS漏洞。很多黑盒測試工具會事先收集大量的Payload并通過遍歷全部Payload的方式來檢測XSS漏洞,這種方法的效率并不高,已有的研究工作很少關(guān)注如何用更少的Payload發(fā)現(xiàn)WEB應(yīng)用程序中存在的XSS漏洞。這些故障和漏洞的存在不但影響用戶體驗,也會帶來極大的安全問題,本文針對此類問題,提出合理的測試方法,主要工作如下:(1)使用組合測試的方法生成測試用例測試WEB應(yīng)用程序中與服務(wù)器交互的輸人功能,其中每一個測試用例是由特殊字符組成的字符串。對于引起系統(tǒng)錯誤的測試用例,使用組合測試錯誤定位的方法找到系統(tǒng)錯誤是由哪些字符組合引起的。我們開發(fā)了針對WEB應(yīng)用程序輸入功能的原型工具WEBCT,我們使用WEBCT測試了96個學(xué)校、政府和事業(yè)單位類網(wǎng)站,發(fā)現(xiàn)其中23個網(wǎng)站的輸入功能存在問題,當(dāng)用戶向服務(wù)器提交某些特殊字符組合時,會引起服務(wù)器的錯誤響應(yīng)。我們對存在問題的網(wǎng)站的錯誤定位結(jié)果進(jìn)行分析,發(fā)現(xiàn)56%的服務(wù)器錯誤響應(yīng)是由“%”,“”,“’”,“\”和其他字符的組合引起的。(2)將自適應(yīng)隨機(jī)測試方法應(yīng)用到XSS漏洞檢測上,提出了Payload選擇算法XSSART,該方法基于一個觀察,即有效Payload往往傾向于聚集在一起。因此,當(dāng)有Payload注人失敗時,XSSART會計算該Payload與其他Payload之間的距離,然后選擇最有可能注入成功的Payload作為下一個測試用例來提高XSS漏洞檢測的效率。我們使用3個開源的Web應(yīng)用程序和1個實際的網(wǎng)站應(yīng)用共22個XSS漏洞作為實驗對象來評估XSSART方法,實驗結(jié)果表明,使用XSSART方法發(fā)現(xiàn)目標(biāo)網(wǎng)站中的XSS漏洞平均所需要嘗試的Payload數(shù)量比Fuzzing方法少27.2%。
【圖文】：

第１章緒邋論邐逡逑導(dǎo)航到惡意網(wǎng)站等。下面我們給出一個ＸＳＳ漏洞的例子，圖１．３是某校的選課系逡逑統(tǒng)網(wǎng)站，該網(wǎng)站允許用戶搜索感興趣的老師的課程，然而卻并未對用戶的輸入做逡逑任何驗證和清理，直接將用戶的輸入當(dāng)做頁面代碼的一部分返回前端。因此，當(dāng)逡逑搜索“ａ”＞＜ｓｃｒｉｐｔ＞ａｌｅｒｔ（‘ＸＳＳ漏洞’）＜／ｓｃｒｉｐｔ＞”時，用戶的輸人會被當(dāng)做代碼執(zhí)行，，逡逑在前端彈窗顯示“ＸＳＳ漏洞”�！埃帷保荆迹螅悖颍椋穑簦荆幔欤澹颍簦ㄥ濉兀樱勇┒础迹螅悖颍椋穑簦尽币步凶麇义显撀┒吹模校幔欤铮幔�？。惡意攻擊者會精心制作ｕｒｌ并誘使該網(wǎng)站用戶點擊來利用該逡逑漏洞，可能會竊取用戶敏感信息，或者在用戶不知情的情況下替他選課退課。逡逑

生或ｆｉｓ居一＾}蹦縼呤洌硪斐ｅ義賢跡玻卞澹疲酰椋睿綺饈粵鞒掏煎義希疲酰椋睿緲捎糜詼嘀職踩┒吹募觳�，睙峒傌延漏洞，蜒Ｌ注人漏洞，缓冲辶x锨緋雎┒吹�。与茰O饈苑椒ㄏ啾齲疲酰椋睿緹哂興枷爰虻�，理金t菀�，嘎敯櫫x先菀�，脫]形蟊ǖ撓諾�，当然它也受的z諍脅饈孕閱艿南拗疲嬖詬哺鍬實�，故辶x險隙ㄎ煥訓(xùn)任侍�，同时，和茰O諍脅饈苑椒ㄏ啾齲脅饈雜美煌ㄓ�，测辶x鮮雜美乖熘芷誄さ熱鋇悖保矗�。辶x希玻保匙允視λ婊饈栽磧胗τ緬義纖婊饈裕ǎ遙幔睿洌錚礤澹裕澹螅簦椋睿紓┦且恢旨虻サ墓惴河τ玫娜砑饈苑椒�，可用于辶x峽煽啃云攔潰媯矗矗�。葰g�，随机拆}災(zāi)皇譴又付ǖ氖淙脛興婊≡癲饈雜美�，会产辶x仙罅咳哂嗟牟饈雜美腋哺鍬實停保饋＃茫瑁幔畹熱耍保矗叮憊鄄斕揭恍┎饈苑椒ǖ男藻義夏芩婀收鮮淙肽Ｊ劍ㄒ步兇鞴收夏Ｊ劍┑牟煌浠�。他脡Λ故障模式分为三职櫫x喜煌睦嘈停旱隳Ｊ劍蹌Ｊ膠涂檳Ｊ�。颓v詼淙肷媳硎菊廡┑湫偷墓叔義險夏Ｊ�。其�

本文編號：2611154