23、实时Web应用漏洞检测的机器学习实现

实时Web应用漏洞检测的机器学习实现

1. 反射型XSS攻击原理

反射型XSS攻击中，有害脚本经服务器镜像后到达受害者浏览器。除了窃取cookie，还有另一种攻击方式。假设一个不安全网站有登录表单，攻击者可利用JS更改页面发送信息的地址。攻击者修改有害JS代码，将登录页面转向自己的服务器，当用户输入信息提交后，黑客就能获取这些信息。需注意，敏感表单（如搜索表单）不一定与攻击中被转移的表单（如登录表单）相同。

还有一种缓存型XSS攻击，与反射型攻击不同的是，有害代码不会被服务器立即镜像给攻击者，而是存储在易受攻击的应用程序中，后续被其他用户获取。留言板若正则表达式处理不足，就容易受到这种攻击。攻击者可在留言板发布含有害代码的内容，保存后展示给其他用户，造成破坏。目前安全检测主要集中在反射型XSS漏洞检测。

2. 自动漏洞识别系统

自动漏洞识别系统由三个关键部分组成：

2.1 爬行组件

为提高扫描效率，采用调度工作流架构，因远程服务器延迟相对较慢（通常在100 - 10000毫秒之间），会启动多个连续工作线程。在漏洞扫描过程中，通常会根据主机引擎速度、链接频率范围和目标服务器，启动10 - 30个并发线程。扫描模块需设置根URL，以此为起点，扫描器遍历链接树，收集沿途的网站和网页表单。该组件有可调整参数，如最大连接深度、每个域名要扫描的最大网页数量、最大扫描时长以及去除外部链接的功能。其实现的理论参考了当前的程序，如Ken Moody和Marco Palomino的Sharp Spider，以及David Cruwys的Spider。

2.2 攻击组件

扫描步骤完成后，系统