|
ИСТИНА |
Войти в систему Регистрация |
ИПМех РАН |
||
Обнаружение серверных точек взаимодействия в веб-приложениях на основе анализа клиентского JavaScript-кодастатья
Статья опубликована в журнале из списка RSCI Web of Science
Статья опубликована в журнале из перечня ВАКСтатья опубликована в журнале из списка Web of Science и/или Scopus
Дата последнего поиска статьи во внешних источниках: 27 октября 2021 г.
- Авторы: Сигалов Д.А., Хашаев А.А., Гамаюнов Д.Ю.
- Журнал: Прикладная дискретная математика
- Номер: 53
- Год издания: 2021
- Издательство: Изд-во ТГУ
- Местоположение издательства: Томск
- Первая страница: 32
- Последняя страница: 55
- DOI: 10.17223/20710410/53/3
- Аннотация: В работе рассматривается задача обнаружения серверных точек взаимодействия в динамических веб-приложениях в контексте анализа защищенности веб-приложений в модели «черного ящика». Предложен метод повышения полноты обнаружения серверных интерфейсов на основе статического анализа клиентского кода JavaScript для поиска в нем функций, которые порождают HTTP-запросы к серверной стороне приложения, и определения возможных значений параметров найденных функций. В контексте решаемой задачи статический анализ позволяет обнаруживать такие функции в том числе в недостижимом или мертвом JavaScript-коде, что в ряде случаев позволяет обнаружить серверные интерфейсы, скрытые для динамического анализа. Проведено экспериментальное исследование полноты выявления серверных точек взаимодействия предложенным алгоритмом на синтетическом веб-приложении, уязвимом к SQL-инъекции, и сравнение с популярными сканерами защищенности веб-приложений. Показано, что использование статического анализа клиентского JavaScript-кода в дополнение к традиционному динамическому краулингу приложений может значительно повысить полноту выявления серверных точек взаимодействия в веб-приложениях.
- Добавил в систему: Гамаюнов Денис Юрьевич