计算机应用研究

作者：黄文锋,李晓伟,霍占强,

单位：1.河南省科学技术信息研究院,郑州450003；2.河南理工大学计算机科学与技术学院,河南焦作454000；

关键词：跨站脚本,扩展的巴科斯范式,攻击向量,渗透测试,

基金：国家自然科学基金资助项目(61472342,61572379)；河南省高等学校重点科研计划项目(17A520007)；；

跨站脚本（XSS）攻击是目前互联网安全的最大威胁之一。针对传统基于渗透测试技术的漏洞检测方法中攻击向量复杂度低易被过滤、整体检测流程繁琐等问题，提出了一种基于扩展的巴科斯范式（EBNF）的攻击向量自动生成方法和XSS漏洞二次爬取策略。通过定义EBNF规则生成规则解析树，按层次遍历获得高复杂度攻击向量。在首次爬取页面时，将输入点信息嵌入到攻击向量后请求注入，之后进行二次爬取，请求合法参数获得返回页面。最后设计实现了原型系统，并使用两个平台进行漏洞检测。通过对比实验证明，该系统检测流程简单，在一定程度上提高了漏洞检测数，降低了漏洞误报率。

来源：2019年第8期

《计算机应用研究》期刊编辑部

查看计算机应用研究杂志2019年第8期