计算机应用研究

作者：王铃铜,王慧玲,徐苗,綦小龙,

单位：伊犁师范大学a.网络安全与信息技术学院;b.伊犁河谷智能计算研究与应用重点实验室,新疆伊宁835000；

关键词：XSS攻击,机器学习,非对抗攻击检测,对抗攻击检测,非对抗攻击防御,

基金：国家自然科学基金地区科学基金项目(6236070453)；新疆维吾尔自治区自然科学基金资助项目(2022D01C337,2021D01C467)；计算机软件新技术国家重点实验室(南京大学)资助项目(KFKT2022B30)；学实高层次人才岗位项目(YSXSQN22007)；伊犁师范大学提升学科综合实力专项自科重点项目(22XKZZ19)；；

跨站脚本（cross site scripting，XSS）攻击是Web安全中最严重的风险之一。随着Web服务、API等Web技术的广泛使用，以及AJAX、CSS和HTML5等新编程风格的出现，XSS攻击的威胁变得更加严重，因此如何处理XSS攻击安全风险已成为Web安全研究的重要关注点。通过对近年来XSS攻击检测和防御技术的调研，根据XSS攻击是否具有隐蔽性，首次从非对抗和对抗两个角度综述了XSS攻击检测和防御的最新技术。首先，从非对抗攻击检测和对抗攻击检测两个方面探讨分析了基于机器学习从数据中学习攻击特征、预测攻击的方法，以及基于强化学习识别或生成对抗样本策略来优化检测模型的方法；其次，阐述了非对抗攻击防御基于规则过滤XSS攻击、基于移动目标防御（MTD）随机性降低攻击成功率和基于隔离沙箱防止XSS攻击传播的方法；最后，分别从样本特征、模型特点和CSP的局限性、上传功能的广泛性等方面提出了XSS攻击检测和防御未来需要考虑的问题并作出展望。

来源：2024年第3期

《计算机应用研究》期刊编辑部

查看计算机应用研究杂志2024年第3期