[发明专利]一种基于遗传算法的存储型XSS漏洞检测系统

说明书

本发明涉及一种存储型XSS漏洞检测系统，该系统包括网络爬虫与注入点分析、攻击向量生成、漏洞检测三个模块。通过对网站爬取链接，解析并分析每一个网页，查找网页中的form表单。同时，对表单提交正常的探子，用于确定注入点的输出页面与位置。然后利用遗传算法生成适合本网站的攻击向量。最后在漏洞检测模块，根据前两个模块记录的注入点信息与攻击向量，实现模拟攻击，然后在其展示页面判断是否含有该攻击向量，并判断该攻击向量是否执行成功。若攻击向量执行成功，则表示存在漏洞。该发明针对存储型XSS漏洞进行了深入研究，并实现了检测系统，对XSS漏洞的检测具有很好的实用意义。

技术领域

本发明涉及一种基于遗传算法的存储型XSS漏洞检测系统，属于计算机软件领域。

背景技术

随着互联网技术高速发展，各种Web应用层出不穷，同时由于开发人员技术参差不齐，越来越多的Web安全问题也陆续出现。据国家信息安全漏洞库统计，跨站脚本漏洞(Cross Site Script Execution,XSS)位居第三，占20％，详情如图1所示。根据非盈利组织OWASP(the Open Web Application Security Project)公布的十大应用安全风险中，XSS漏洞也一直名列其中，这些都表明XSS漏洞已经成为目前各类Web应用需要面对的常见漏洞之一。

XSS漏洞产生的本质原因是各类Web应用对用户输入的数据没有能够进行有效过滤，造成攻击者提交的恶意代码可以在Web应用中恶意执行，给用户造成一系列的危害，例如盗取用户Cookies、网络钓鱼、劫持会话等。而XSS漏洞传统分为反射型、存储型以及基于DOM型三种类型。在这三类XSS漏洞中，存储型XSS漏洞危害相对于其他两类较为严重，影响时间长，故在本发明中，只针对存储型XSS漏洞检测进行研究。

目前针对存储型XSS漏洞检测的常用方法有白盒测试和黑盒测试两种。白盒测试对应用源码的依赖性很强，需要测试人员对源码全部了解，完成对代码的审计工作，检测方法的实现一般依赖于编程语言，可移植性差。对于黑盒测试来说，测试人员不需要了解应用源码，只需要站在用户的角度进行测试，一般依赖于爬虫算法获取网页信息，在众多的网页中查找可能的漏洞注入点。然而，在使用爬虫算法的时候，有些算法只关注提高爬虫的速度而忽略了某些网站的反爬虫规则产生的影响，从而造成爬虫的失败。同时，攻击向量设计的完备性与有效性也与漏洞检测的效率有关，常用的方法是模糊测试技术和设计变形规则。模糊测试技术通过向目标网站发送大量随机生成的无意义的数据，然后根据响应结果来判断是否存在漏洞。这些随机生成的数据由于缺少明确的意义和指向性，存在较大的盲目性。有些方法是通过一些编码、大小写混编、插入字符等方式对已有的攻击向量进行处理以保证最终注入的脚本能够得到有效执行。这种方法针对不同的被测网站的过滤机制的不同，检测结果的好坏也大不相同。

综上所述，本发明从黑盒测试的角度对存储型XSS漏洞检测进行了研究。提出了一种基于遗传算法的攻击向量生成方法，通过对已有的攻击向量变形，生成适应被测网站的攻击向量，具有较好的全局最优解求解能力。首先，扫描目标网站所有网页尽可能获取注入点，然后针对目标网站生成适合的攻击向量，最后对注入点进行模拟攻击，判断漏洞是否存在。

发明内容

本发明的内容为：

①提出了一种基于遗传算法的攻击向量生成与优化方法，该方法可以动态地生成适应待测网站的攻击向量。

②提出了一种基于广度优先搜索算法的爬虫框架，该框架可以通过解析页面来获取网页中向数据库中存储数据的交互点，扩大了存储型XSS漏洞注入点检测的覆盖率。

③提出了一种高效判定存储型XSS漏洞是否存在的方法。

④对相关方法以及框架进行实现并测试，验证了其实用性及有效性。

本发明从黑盒测试的角度出发，利用爬虫技术以及遗传算法对Web应用进行漏洞检测，以达到提高注入点覆盖率和存储型XSS漏洞的发现率。