基于瀏覽器嵌入規(guī)劃的非安全JavaScript檢測(cè)與分析.pdf

1、作為一個(gè)客戶端的應(yīng)用程序，瀏覽器是用戶和因特網(wǎng)之間進(jìn)行交互的一個(gè)重要平臺(tái)?，F(xiàn)在存在許多與瀏覽器密切相關(guān)的惡意攻擊，對(duì)用戶瀏覽器安全造成了嚴(yán)重的威脅。此外Web2.0因功能豐富、響應(yīng)快速以及交互性強(qiáng)而倍受開發(fā)人員與用戶的青睞，Web2.0應(yīng)用程序的特點(diǎn)是允許接受不受信任的來源并將大量計(jì)算工作放置客戶端執(zhí)行。隨著這個(gè)趨勢(shì)，攻擊者也漸漸地將攻擊目標(biāo)從服務(wù)器端轉(zhuǎn)向了客戶端，而目前的Web安全技術(shù)發(fā)展遠(yuǎn)遠(yuǎn)落后于應(yīng)用技術(shù)的發(fā)展，使得Web應(yīng)用程序頻

2、繁遭到攻擊，而JavaScript語言也同時(shí)被許多惡意團(tuán)體用來開發(fā)基于瀏覽器的攻擊。
　　 本文提出了一種根據(jù)安全檢測(cè)規(guī)則控制JavaScript執(zhí)行行為來確保瀏覽器安全的方法。目的是為了阻止或者修改因惡意腳本注入而導(dǎo)致的非合法行為，利用GreaseMonkey，保護(hù)機(jī)制(安全檢測(cè)規(guī)則)將自動(dòng)化的插入到代碼中，在事件執(zhí)行前攔截所有與安全相關(guān)的事件的執(zhí)行。我們不需要對(duì)JavaScript代碼進(jìn)行靜態(tài)分析，僅僅需要將JavaScri

3、pt代碼的執(zhí)行情況與高層定義的安全檢測(cè)規(guī)則進(jìn)行比較就可以檢測(cè)出代碼的惡意行為。當(dāng)用戶訪問Web站點(diǎn)時(shí)，該系統(tǒng)將安全檢測(cè)規(guī)則自動(dòng)化地插入到該Web站點(diǎn)中，分析網(wǎng)站潛在的安全威脅，并同時(shí)將審計(jì)的日志信息保存在客戶端的本地文件中。
　　 安全檢測(cè)規(guī)則的實(shí)現(xiàn)采用了面向方面編程技術(shù)原理。而創(chuàng)建安全檢測(cè)規(guī)則的挑戰(zhàn)主要來自于JavaScript語言本身的特性：在程序范圍內(nèi)任何變量都可以重新定義，并且可以動(dòng)態(tài)創(chuàng)建和運(yùn)行代碼。這就帶來了潛在的問題