[發明專利]基于滲透測試的跨站點腳本漏洞檢測方法

無效

• 申請號: 201210298765.9
• 申請日: 2012-08-22
• 公開（公告）號: CN102819710A
• 公開（公告）日: 2012-12-12
• 發明（設計）人: 蔡皖東;王強;姚燁
• 申請（專利權）人: 西北工業大學
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F11/36
• 代理公司: 西北工業大學專利中心 61204
• 代理人: 王鮮凱

技術領域

本發明涉及一種跨站點腳本漏洞檢測方法，特別是涉及一種基于滲透測試的跨站點腳本漏洞檢測方法。

背景技術

跨站點腳本（Cross-Site?Scripting，XSS）漏洞已成為互聯網上最為嚴重的安全漏洞。根據有關國際信息安全組織統計，在最具威脅的Web應用安全漏洞中，XSS漏洞的排名始終處于前列，如2004年的第四位，2007年的第一位，2010年的第二位，由此可見XSS漏洞的嚴重性。

XSS漏洞是指攻擊者向Web頁面插入惡意HTML代碼，當正常用戶瀏覽該頁時，嵌入在Web頁面里的惡意HTML代碼被執行，從而達到攻擊正常用戶的目的。XSS漏洞產生的原因就是在HTML中被注入了腳本代碼，使其在腳本解析和運行階段向攻擊者提供可被利用的信息，實現對正常用戶的攻擊。當用戶點擊了包含XSS漏洞的惡意鏈接時，服務器會返回包含惡意代碼的頁面，惡意代碼會在客戶端瀏覽器上執行，對用戶進行XSS攻擊。XSS攻擊會導致用戶信息被盜取并對用戶進行會話劫持；更嚴重的危害包括XSS釣魚、XSS蠕蟲、XSS掛馬等。對于XSS漏洞，傳統的防范方法主要是在服務器端對瀏覽器提交的內容進行檢查或者編碼處理，經過處理后，返回到客戶端瀏覽器的攻擊代碼就不能被執行。但是這種方法是粗粒度的，XSS攻擊可以通過一些方法來繞過這些檢查，從而使服務器端的安全檢查失效。

文獻“基于爬蟲的XSS漏洞檢測工具設計與實現.計算機工程，2009,35(21)：151-154.”公開了一種利用爬蟲尋找可疑切入點，并對可疑切入點做檢測的方法。該方法采用遍歷測試語句的方法，對每條注入點需要注入大量的測試語句。由于對注入后返回的頁面信息只分析其是否會觸發XSS漏洞，而沒有進一步對不能觸發XSS漏洞的頁面進行分析，在很多情況下往往只需根據返回頁面重新構造測試語句，使其將HTML語句閉合就可以觸發XSS漏洞，對測試語句的利用率低，進而造成檢測效率較低。

發明內容

為了克服現有的跨站點腳本漏洞檢測方法檢測效率低的不足，本發明提供一種基于滲透測試的跨站點腳本漏洞檢測方法。該方法采用會話保持與重定向跟蹤方法來減少對Web頁面分析不全面的情況，對Web站點的全部頁面進行分析檢測，可以提高自動化檢測能力。依據滲透測試策略，逐步縮小XSS的檢測范圍，可以避免對安全頁面進行深度檢測。在注入測試語句時，根據返回的頁面信息，主動構造出能使HTML語句閉合的測試語句，可以減少與服務器的交互次數，提高大型復雜Web網站XSS漏洞的檢測效率。

本發明解決其技術問題所采用的技術方案是：一種基于滲透測試的跨站點腳本漏洞檢測方法，其特點是包括以下步驟：

(a)根據URL獲取所對應的Web頁面，取得相應頁面的全部URL鏈接；

(b)提取步驟(a)所獲取頁面中的表單信息，所提取的表單信息包括表單的提交方式，表單所要提交的目的URL，表單中input標簽里type值為空值、“text”、“hidden”、“password”、“submit”所對應的name值和value值；

(c)對表單進行滲透測試：

(1)向表單滲透測試語句，分析返回頁面，如果返回頁面中包含所滲透的測試語句，轉向步驟(2)，否則轉向步驟(a)；

(2)在步驟(1)的滲透測試語句中分別加上特殊字符“<”“>”“/”“＇”“＂”，提交后分析返回頁面，如果返回頁面中包含滲透測試語句，記錄特殊字符，轉向步驟(3)，否則轉向步驟(a)；

(3)根據步驟(2)中服務器端沒有過濾的特殊字符選取XSS攻擊字符串，分析返回頁面，如果返回的頁面中包含可執行的XSS腳本，則表明該頁面包含XSS漏洞；記錄結果并轉向步驟(a)；如果返回的頁面不包含可執行的XSS腳本且測試語句沒有將HTML語句閉合，則對原測試語句進行動態修改，構造出能使HTML語句閉合的測試語句后再次執行步驟(3)。

(d)會話保持和重定向跟蹤，在步驟(c)中與服務器端的交互過程使用會話保持和重定向跟蹤。

本發明的有益效果是：由于采用會話保持與重定向跟蹤方法來減少對Web頁面分析不全面的情況，對Web站點的全部頁面進行分析檢測，提高了自動化檢測能力。依據滲透測試策略，逐步縮小XSS的檢測范圍，避免了對安全頁面進行深度檢測。在注入測試語句時，根據返回的頁面信息，主動構造出能使HTML語句閉合的測試語句，減少了與服務器的交互次數，提高了大型復雜Web網站XSS漏洞的檢測效率。

下面結合附圖和實施例對本發明作詳細說明。

附圖說明