闫飞

摘要：目前，B/S架构与Web2.0时代实现了快速发展，因为缺乏对不可信用户数据的校验机制，导致跨站脚本漏洞屡见不鲜，活跃在各种网站，对用户安全造成了直接性威胁。这主要是由于服务端代码和客户端脚本之间出现融合，导致既有技术难以精确有效地生成攻击向量，以进行跨站脚本漏洞的探索工作。据此，本文主要對跨站脚本漏洞的白盒测试框架设计与实现进行了深入探究。

关键词：跨站脚本漏洞；白盒测试框架；设计；实现

中图分类号：TP3 文献标识码：A 文章编号：1009-3044（2018）22-0242-02

1 跨站脚本漏洞机理

跨站脚本属于一种应用层次的攻击，一旦Web应用程序难以验证用户输入，就会直接导致其被解析成为HTML代码，并通过网页显示具体内容，以此引进漏洞。在用户无意间对恶意HTML代码页面进行访问的时候，攻击代码就会启动，进而直接对用户安全造成威胁，主要表现为cookie病毒、屏蔽和伪造页面信息、辅助攻击等。

2 跨站脚本漏洞的白盒测试框架设计

通过利用静态化技术，详细分析服务端数据信息，以便于进一步检测并发现XSS漏洞与SQL注入漏洞。对不可信的数据源进行标识，并跟踪数据流，对所对应的攻击陷入点进行识别，即Web应用程序中和漏洞密切相关的代码，最典型的就是echo，其中其函数就是输出服务端数据到页面上，在变量程序执行时，一旦受到污染，此语句就会被识别成攻击陷入点。动态页面的文档属于一种内部包含服务端代码的混合标签结构，文档……