[发明专利]一种自动生成存储型XSS攻击向量的测试方法

说明书

技术领域

本发明涉及计算机测试技术领域，具体地，涉及一种自动生成存储型XSS攻击向量的测试方法。

背景技术

XSS是Web应用程序中最普遍的一类漏洞。根据不同的形成原因，XSS可以分为三类：反射型、存储型和DOM型，其中存储型XSS危害性最为严重。针对存储型XSS的特点及其触发方式，设计并实现了一款自动化生成存储型XSS攻击向量的工具。使用该工具对国内两个大型视频分享网站的日志发布系统进行测试，发现了6类导致存储型XSS漏洞的攻击向量。

目前，采用的存储型XSS攻击向量的测试方法测试存在步骤繁琐、自动化程度低和有效性差的缺陷。

发明内容

本发明的目的在于，针对上述问题，提出一种自动生成存储型XSS攻击向量的测试方法，以实现步骤简单、自动化程度高和有效性好的优点。

为实现上述目的，本发明采用的技术方案是：一种自动生成存储型XSS攻击向量的测试方法，主要包括：步骤1：将生成的测试用攻击向量，存储在一个.txt文件中，每个攻击向量为一行；步骤2：WebFuzz分行读取.txt文件，并自动发送给Web应用程序；步骤3：Web应用程序相应并返回结果。

进一步地，所述测试用攻击向量的生成方法包括使用<script>、使用事件、使用URL伪协议、使用CSS、使用expression。

进一步地，所述测试用攻击向量的变异方法包括使用大小写、使用嵌套、插入混淆字符、使用HTML编码。

进一步地，所述测试的测试者通过任意增减HTML元素标签和事件来获得自己需要的攻击向量集。

进一步地，所述WebFuzz为一个开源的Web漏洞检测工具，使用C#编写，可以自动连续发送自定义的HTTP请求，将WebFuzz进行改进，修复了WebFuzz在对攻击向量连续进行POST提交时Content-Length字段无法变动的缺陷。

本发明的一种自动生成存储型XSS攻击向量的测试方法，主要包括：步骤1：将生成的测试用攻击向量，存储在一个.txt文件中，每个攻击向量为一行；步骤2：WebFuzz分行读取.txt文件，并自动发送给Web应用程序；步骤3：Web应用程序相应并返回结果，实现步骤简单、自动化程度高和有效性好的优点。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明所述一种自动生成存储型XSS攻击向量的测试方法的测试步骤图。

具体实施方式

以下结合附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。

由图1可知，一种自动生成存储型XSS攻击向量的测试方法，主要包括：步骤1：将生成的测试用攻击向量，存储在一个.txt文件中，每个攻击向量为一行；步骤2：WebFuzz分行读取.txt文件，并自动发送给Web应用程序；步骤3：Web应用程序相应并返回结果。

测试用攻击向量的生成方法包括使用<script>、使用事件、使用URL伪协议、使用CSS、使用expression。测试用攻击向量的变异方法包括使用大小写、使用嵌套、插入混淆字符、使用HTML编码。测试的测试者通过任意增减HTML元素标签和事件来获得自己需要的攻击向量集。WebFuzz为一个开源的Web漏洞检测工具，使用C#编写，可以自动连续发送自定义的HTTP请求，将WebFuzz进行改进，修复了WebFuzz在对攻击向量连续进行POST提交时Content-Length字段无法变动的缺陷。

我们使用上述测试方法生成了364个攻击向量，并利用这些攻击向量分别对这些Web应用程序进行了测试，其中在2个Web应用程序中发现了存储型XSS漏洞，共有12个攻击向量成功注入到了日志页面中。下面列出了一些成功的攻击向量：

<img style="xss:expression(alert('xss'))">

<img src="#" onmousemove="alert('xss')">

<input onerror="alert('xss')" src="#" type="image">