[论文解读] Protection of Web Applications from Cross-Site Scripting Attacks in Browser Side

K. Selvamani, A. Duraisamy+1 more|arXiv (Cornell University)|Apr 11, 2010

Web Application Security Vulnerabilities参考文献 9被引用 11

一句话总结

本文提出一种基于浏览器的客户端解决方案，通过逐步过滤机制分析并阻止恶意脚本，从而减轻跨站脚本（XSS）攻击，且对网页浏览性能影响极小。该方法采用客户端启发式规则检测，防止信息泄露，为现有代理式解决方案提供了一种轻量级替代方案，后者常导致用户体验下降。

ABSTRACT

Cross Site Scripting (XSS) Flaws are currently the most popular security problems in modern web applications. These Flaws make use of vulnerabilities in the code of web-applications, resulting in serious consequences, such as theft of cookies, passwords and other personal credentials. Cross-Site scripting Flaws occur when accessing information in intermediate trusted sites. Client side solution acts as a web proxy to mitigate Cross Site Scripting Flaws which manually generated rules to mitigate Cross Site Scripting attempts. Client side solution effectively protects against information leakage from the user's environment. Cross Site Scripting Flaws are easy to execute, but difficult to detect and prevent. This paper provides client-side solution to mitigate cross-site scripting Flaws. The existing client-side solutions degrade the performance of client's system resulting in a poor web surfing experience. In this project provides a client side solution that uses a step by step approach to protect cross site scripting, without degrading much the user's web browsing experience.

研究动机与目标

• 解决现代Web应用程序中日益增长的跨站脚本（XSS）漏洞威胁。
• 降低现有客户端XSS缓解技术相关的性能开销。
• 开发一种轻量级、与浏览器集成的解决方案，保护用户数据且不降低网页浏览体验。
• 提供一种有效、自动化的客户端检测与阻止恶意脚本的方法。
• 提升对由XSS缺陷导致的凭据窃取和数据泄露的防护能力。

提出的方法

• 所提出的解决方案在浏览器环境中直接集成客户端过滤引擎。
• 采用基于规则的检测机制，分析传入脚本并检测潜在的XSS有效载荷。
• 系统在执行前通过逐步分析过程评估脚本的行为和结构。
• 利用客户端启发式方法识别XSS攻击中常见的可疑模式。
• 避免依赖服务器端控制或外部代理，降低延迟和性能下降。
• 作为用户与网页内容之间的透明层运行，实时检查脚本。

实验结果

研究问题

• RQ1 如何在不降低网页性能的前提下，有效在客户端缓解XSS攻击？
• RQ2 哪些客户端技术能够以高准确率和低开销检测并阻止恶意脚本？
• RQ3 浏览器中的基于规则的过滤系统能否防止表单输入中脚本注入等常见XSS向量？
• RQ4 所提出的客户端解决方案与现有代理式或服务器端缓解技术相比有何差异？
• RQ5 浏览器集成的过滤机制在多大程度上可降低由XSS导致的凭据窃取风险？

主要发现

• 所提出的客户端解决方案能有效阻止已知的XSS攻击模式，且对浏览性能影响极小。
• 逐步过滤方法相比简单启发式方法可减少误报，并提高检测准确率。
• 由于延迟和资源消耗更低，该系统相比代理式客户端解决方案提供了更优的用户体验。
• 通过在执行前检测并中和恶意脚本，该系统可防止Cookie和密码等信息泄露。
• 该方法在无需修改Web应用程序代码的情况下，可在真实浏览场景中实现可行性。
• 该方法与现有Web标准兼容，可无需服务器端修改即可部署。