[論文レビュー] Consideration Points Detecting Cross-Site Scripting

Suman Saha|ArXiv.org|Aug 28, 2009

Web Application Security Vulnerabilities参考文献 13被引用数 18

ひとこと要約

この論文は、Webアプリケーションにおけるクロスサイトスクリプティング（XSS）脆弱性を検出するための既存技術を調査し、その有効性を分析し、検出における主要な課題を特定している。本稿は新しい検出手法を提案するのではなく、検出手法の包括的評価を提供し、主な困難を強調するとともに、XSS緩和に関する今後の研究を導く知見を提示している。

ABSTRACT

Web application (WA) expands its usages to provide more and more services and it has become one of the most essential communication channels between service providers and the users. To augment the users experience many web applications are using client side scripting languages such as JavaScript but this growing of JavaScript is increasing serious security vulnerabilities in web application too, such as cross site scripting (XSS). In this paper, I survey all the techniques those have been used to detect XSS and arrange a number of analyses to evaluate performances of those methodologies. This paper points major difficulties to detect XSS. I do not implement any solution of this vulnerability problem because my focus is for reviewing this issue. But, I believe that this assessment will be cooperative for further research on this concern as this treatise figure out everything on this transcendent security problem.

研究の動機と目的

• Webアプリケーションにおけるクロスサイトスクリプティング（XSS）脆弱性を検出するための既存の手法を分析・評価すること。
• 現在のXSS検出技術における主な課題と制限を特定すること。
• 新しいソリューションを実装せずに検出アプローチを批判的に評価することにより、研究の指針を提供すること。
• XSS検出の複雑さと未解決の問題を概説することで、今後の研究の基盤を提供すること。
• 現代のWebアプリケーションにおけるクライアントサイドスクリプティングリスクとその検出に関する理解を深めること。

提案手法

• WebアプリケーションにおけるXSS脆弱性を検出するための発表済み技術に関する体系的レビュー。
• 静的、動的、ハイブリッドなXSS検出手法の分類と比較分析。
• 正確性、偽陽性/偽陰性率、スケーラビリティに基づく検出性能の評価。
• 効果的なXSS検出を妨げるアーキテクチャ的、文法的、意味的課題の同定。
• 分析の主なデータソースとして学術論文および既存のツールを使用。
• XSSの主な攻撃表面としてクライアントサイドスクリプティング（例：JavaScript）に焦点を当てる。

実験結果

リサーチクエスチョン

• RQ1 Webアプリケーションにおけるクロスサイトスクリプティング脆弱性を検出するために使用される主な技術は何ですか？
• RQ2 静的、動的、ハイブリッド分析手法は、XSSの欠陥を同定する上でどの程度有効ですか？
• RQ3 XSS検出の正確性と信頼性を制限する主な技術的・実務的課題は何ですか？
• RQ4 なぜ既存の検出手法は多様なWebアプリケーション環境において一貫した結果を達成できないのですか？
• RQ5 現在のアプローチから、自動XSS検出における今後の研究を支援する知見をどのように得られるでしょうか？

主な発見

• 多くの既存のXSS検出技術は、偽陽性および偽陰性率が高く、実用的有用性が低下している。
• 静的解析手法は、複数のスクリプト間での実行時動作やデータフローを十分に考慮できないことが多い。
• 動的解析はより正確であるが、スケーラビリティの制限と完全なテストカバレッジの必要性によって制限を受ける。
• ハイブリッドアプローチは有望であるが、静的および動的解析を効果的に統合する課題に直面している。
• 特にフレームワークやサードパーティーライブラリを伴うクライアントサイドスクリプティングの複雑化が、検出を著しく複雑化している。
• 研究間で標準化された評価基準が不足しているため、検出手法の性能を客観的に比較することが難しい。