JSP跨站脚本漏洞静态检测技术的研究与实现

论文摘要

JSP作为一种基于Java Servlet的Web开发技术,在动态网页开发方面正在得到越来越广泛的应用,只存在于动态网页的跨站脚本攻击(XSS)漏洞,一样存在于JSP应用程序中。如果对其不加以防范的话,XSS漏洞很可能被一些恶意攻击者利用,给JSP应用程序带来威胁。比如,攻击者可以利用XSS漏洞来盗取客户端cookie值或者其他可以用于标识用户身份的敏感信息,从而利用合法用户身份做一些恶意攻击。本文首先介绍了跨站脚本漏洞的形成原理,分类,以及防范措施等一些基本情况,同时回顾了目前针对XSS漏洞的主要检测方法,并分析其各自的优缺点。接着介绍了几种主要的静态代码分析技术以及它们在安全漏洞检测方面的应用。在此基础上,对XSS漏洞形成过程进行了分析,设计了一组XSS漏洞存在的判断条件。然后提出一个基于控制流分析和数据流分析的静态检测方法,对JSP源代码进行静态分析,得到相关语句之间的控制流信息和数据流信息,在使用这些信息来得到漏洞存在判断条件的状态组合,从而得出检测结果。针对单个JSP页面做检测的同时也考虑那些在页面间传递的数据,从页面级别漏洞中筛选出程序级别漏洞。然后在静态检测方法的基础上设计和实现了一个针对JSP跨站脚本漏洞的静态检测系统,并对系统进行了测试。最后总结了检测方法存在的不足,并对后继工作进行了展望。

论文目录

• 摘要
• ABSTRACT
• 第1章 绪论
• 1.1 研究背景和意义
• 1.2 论文的主要工作
• 1.3 论文的组织结构
• 第2章 XSS 漏洞和漏洞静态检测技术
• 2.1 跨站脚本
• 2.2 漏洞检测技术
• 2.3 静态分析技术
• 2.4 抽象语法树
• 2.5 控制流图
• 2.6 小结
• 第3章 JSP 跨站脚本漏洞静态检测方法
• 3.1 方法适用范围
• 3.2 跨站脚本漏洞分析
• 3.3 检测方法设计
• 3.4 检测结果分析
• 第4章 检测系统的设计与实现
• 4.1 系统总体设计
• 4.2 抽象语法树模块的设计与实现
• 4.3 控制流图模块的设计与实现
• 4.4 参数设置模块的设计与实现
• 4.5 检测模块的设计与实现
• 4.6 结果处理的设计与实现
• 4.7 系统测试和分析
• 第5章 总结与展望
• 参考文献