[论文解读] Consideration Points Detecting Cross-Site Scripting

Suman Saha|ArXiv.org|Aug 28, 2009

Web Application Security Vulnerabilities参考文献 13被引用 18

一句话总结

本文综述了现有用于检测Web应用程序中跨站脚本（XSS）漏洞的技术，分析了其有效性，并识别了检测中的关键挑战。本文未提出新的检测方法，而是对检测方法进行了全面评估，突出显示了主要困难，并为未来XSS缓解研究提供了指导性见解。

ABSTRACT

Web application (WA) expands its usages to provide more and more services and it has become one of the most essential communication channels between service providers and the users. To augment the users experience many web applications are using client side scripting languages such as JavaScript but this growing of JavaScript is increasing serious security vulnerabilities in web application too, such as cross site scripting (XSS). In this paper, I survey all the techniques those have been used to detect XSS and arrange a number of analyses to evaluate performances of those methodologies. This paper points major difficulties to detect XSS. I do not implement any solution of this vulnerability problem because my focus is for reviewing this issue. But, I believe that this assessment will be cooperative for further research on this concern as this treatise figure out everything on this transcendent security problem.

研究动机与目标

• 分析和评估现有用于检测Web应用程序中跨站脚本（XSS）漏洞的方法论。
• 识别当前XSS检测技术中的主要挑战和局限性。
• 在不实现新解决方案的前提下，对检测方法进行批判性评估，重点在于研究指导。
• 通过概述XSS检测中的复杂性和开放问题，为未来研究奠定基础。
• 促进对现代Web应用程序中客户端脚本风险及其检测的理解。

提出的方法

• 对现有文献中用于检测Web应用程序XSS漏洞的技术进行系统性综述。
• 对静态、动态和混合XSS检测方法进行分类与对比分析。
• 基于准确性、误报/漏报率以及可扩展性评估检测性能。
• 识别阻碍有效XSS检测的架构、语法和语义挑战。
• 使用学术文献和现有工具作为分析的主要数据源。
• 重点关注客户端脚本（例如JavaScript）作为XSS的主要攻击面。

实验结果

研究问题

• RQ1 用于检测Web应用程序中跨站脚本漏洞的主要技术有哪些？
• RQ2 静态、动态和混合分析方法在识别XSS缺陷方面的有效性如何？
• RQ3 哪些主要的技术和实际挑战限制了XSS检测的准确性和可靠性？
• RQ4 为何现有检测方法在不同Web应用程序环境中无法保持一致的结果？
• RQ5 从现有方法中可以得出哪些见解，以指导未来自动化XSS检测的研究？

主要发现

• 许多现有的XSS检测技术存在较高的误报率和漏报率，降低了其实际可用性。
• 静态分析方法往往无法充分考虑运行时行为以及跨多个脚本的数据流。
• 动态分析更为准确，但受限于可扩展性以及对完整测试覆盖的需求。
• 混合方法虽具前景，但在有效整合静态与动态分析方面仍面临挑战。
• 客户端脚本复杂性的增加，尤其是使用框架和第三方库时，显著增加了检测难度。
• 各研究之间缺乏标准化的评估标准，使得客观比较检测方法性能变得困难。