کشف آسیب پذیری XSS در برنامه های تحت وب با استفاده از آتاماتا

با رشد شبکه های کامپیوتری مساله امنیت اهمیت بیشتری پیدا کرده است. مهاجمین با سوءاستفاده از آسیب پذیری های امنیتی موجود در برنامه های کاربردی، امنیت سیستم ها را نقض می کنند. حجم وسیعی از آسیب پذیری های نرم افزار بر اثر عدم اعتبارسنجی صحیح رفتار کاربر و تزریق داده های آلوده به ورودی های برنامه ایجاد می گردد. در این مقاله یک روش ترکیبی تحلیل ایستا و پویا به نام SDAWA برای تشخیص حملات XSS که جزو مهمترین حملات از نوع عدم اعتبار سنجی ورودی ها است، ارائه شده است. در روش پیشنهادی فاز ایستا هسته اصلی تشخیص آسیب پذیری ها است. در این فاز نقاط مشکوک به آسیب پذیری تعیین می شودو برای این کار از عبارات منظم یا آتاماتا جهت افزایش دقت در کشف آسیب پذیری ها استفاده می شود. سپس از فاز پویا جهت بررسی نقاط مشکوک به آسیب پذیری های کشف شده در فاز ایستا استفاده می گردد. جهت تشخیص آسیب پذیری XSS داده های علامتدار به نقاط کشف شده در فاز ایستا، که مشکوک به آسیب پذیری هستند تزریق می شود. نتایج عملی این مقاله بر روی برنامه های نمونه، نشان می دهد که دقت کشف آسیب پذیری XSS نسبت به کارهای قبلی افزایش یافته و نرخ تشخیص های نادرست کاهش یافته است.