戴成瑞，陈 伟

(南京邮电大学 计算机学院，南京 210023)

0 引言

浏览器缓存可以节约网络资源加速浏览，浏览器在用户磁盘上对最近请求过的资源进行缓存，当访问者再次请求这个页面时，浏览器就可以从本地磁盘调用该缓存资源，这样就可以加速页面的阅览。

浏览器缓存[1]主要包括Web缓存和HTML5应用程序缓存[2]。一般网络上的资源都是默认利用Web缓存方式进行缓存，随着网络生活的高速发展，人们在使用浏览器上网时会浏览各种各样的资源文件，而这些资源文件又分为静态资源文件和动态资源文件：静态资源文件是指图片、CSS文件等，这些文件在较长的时间内都不会发生变化；而动态资源文件通常是指经常变化的JS文件，当然有些JS文件属于变化较少的，通常这类文件容易遭受缓存污染攻击[3]。

攻击者可以通过中间人攻击、被动抓包等方式污染用户缓存，而传统的缓存污染防御方案仅仅是针对某一具体的攻击行为，本文希望设计一种可以不用关心攻击者采用何种缓存污染攻击方式的防御策略，对将要直接从缓存读取的资源通过特征分析、用户行为分析等多个步骤来判断该资源是否具有被污染的可能性，最终保证用户请求资源的安全性和体验性。

本文首先分析并研究了目前常用的缓存污染攻击方式，然后对传统的缓存污染防御方案进行分析，在指出传统防御方案存在不足的基础上，提出一种无需关心攻击者污染方式的防御方案，能够自适应防御浏览器缓存污染，最后分析了本文所提出的防御方案的局限性，对今后的工作进行展望。……