基于代码重写的动态污点分析
信息技术与网络安全 2期
梁 威1，洪 倩2
(1.中原工学院 彼得堡航空学院，河南 郑州450007；2.江西省第五人民医院，江西 南昌330046)
摘要： 当前，Web技术更新速度很快，JavaScript(JS)语言应用日益广泛，但同时也出现了许多安全风险，特别是现在的Web应用程序响应速度要求越来越高，更加剧了Web安全威胁。为此，研究了基于代码重写的动态JavaScript污点分析，借助重写JavaScript在代码运行过程中标记并跟踪敏感数据，检测数据泄漏并及时反馈。与传统动态污点分析方法不同，该方法无需依赖JS引擎，可以应用于各种浏览器，能高效精准地标记、跟踪、检测敏感数据泄露，提高Web安全性。
中圖分類號： TP393
文獻標識碼： A
DOI： 10.19358/j.issn.2096-5133.2022.02.006
引用格式： 梁威，洪倩. 基于代碼重寫的動態(tài)污點分析[J].信息技術與網絡安全，2022，41(2)：33-38.
文獻標識碼： A
DOI： 10.19358/j.issn.2096-5133.2022.02.006
引用格式： 梁威，洪倩. 基于代碼重寫的動態(tài)污點分析[J].信息技術與網絡安全，2022，41(2)：33-38.
Dynamic taint analysis based on code rewriting
Liang Wei1，Hong Qian2
(1.Petersburg Aviation Institute，Zhongyuan University of Technology，Zhengzhou 450007，China； 2.Jiangxi Fifth People′s Hospital，Nanchang 330046，China)
Abstract： At present, the update speed of Web technology is very fast, and JavaScript(JS) language is used more and more widely, at the same time, there are many security risks. In particular, the requirements for the response speed of Web applications are becoming higher and higher, which exacerbates the threat of Web security. Therefore, this paper studies the dynamic JavaScript taint analysis based on code rewriting, marks and tracks sensitive data during code operation with the help of rewriting JavaScript, detects data leakage and gives feedback in time. Different from the traditional dynamic taint analysis method, the proposed method does not need to rely on JS engine, can be applied to various browsers, can efficiently and accurately mark, track and detect sensitive data leakage, and improve Web security.
Key words : code rewriting；JavaScript;dynamic taint；information flow analysis；Web security
0 引言
跨站腳本攻擊是JavaScript漏洞攻擊的常見形式，針對此類攻擊，常規(guī)應對方法是基于用戶輸入端以及服務器輸出端進行檢測防范，即使用白名單檢驗用戶輸入端，在輸出端做信息轉義。這種方法有兩點不足：首先，難以確定應該過濾或轉義哪些內容；其次，難以保證任意用戶輸入端均得到有效處理[1]。動態(tài)污點分析方法無需覆蓋所有路徑，只需要動態(tài)跟蹤當前的JavaScript代碼執(zhí)行路徑。通過動態(tài)污點分析法跟蹤檢測JavaScript代碼執(zhí)行，對于不受信任的數(shù)據做污染傳播，跟蹤JavaScript行為，并根據相關安全定義操作應對異常行為。本次研究提出一種無需依賴JavaScript引擎的動態(tài)污染分析算法，通過重寫JavaScript代碼，實現(xiàn)代碼自跟蹤、自檢測，以便實時跟蹤檢測敏感數(shù)據，有效保障Web安全。
本文詳細內容請下載：http://m.ihrv.cn/resource/share/2000003948
作者信息：
梁 威1，洪 倩2
(1.中原工學院 彼得堡航空學院，河南 鄭州450007；2.江西省第五人民醫(yī)院，江西 南昌330046)
此內容為AET網站原創(chuàng)，未經授權禁止轉載。