基于PHP的在线跨站脚本检测工具.pdf

2015年 l0月 15日 现代电子技术 0ct．2015 第38卷第2O期 ModernElectronicsTechnique V01．38No．20 基于PHP的在线跨站脚本检测工具 王 佩 ，牛 晨，丁立彤 (西安邮电大学 ，陕西 西安 710121) 摘 要 ：跨站脚本是一类基于网站应用程序的安全漏洞攻击 ，将研究和解决快速化的 自动化检测 。为 了有效地防止跨 站脚本被滥用，决定创建一种基于web的跨站脚本检测方式，以发现Web站点中潜在的跨站风险。完成主要的6大模块有： 登陆模块、检测模块、扫描模块、输 出模块、报表模块、日志模块。核心代码模块是检测和扫描部分，他们相互配合构造跨站 参数并抓取反馈信息，其他模块配合核心代码起到辅助作用。选择PHP进行构造是一大亮点，PHP是一种Web程序语言，能 够快速地解析前端DOM内容，在脚本语言中速度仅次于Python。用Web方式构造和检测本就属于Web攻击的跨站脚本 ，将 更加快捷 、高效 。 关键词 ：跨站脚本 ；Web；PHP；安全检测 ；扫描 中图分类号：TP911-34 文献标识码 ：A 文章编号：1004—373X(2015)20—0041—03 OnlineXSStestingtoolbasedonPHP WANG Pet，NIU Chen，DING Litong (Xi’anUniversityofPosts＆Telecommunicati0ns，Xi’an710121，China) Abstract：TheXSS (crosssitescripting)isakindofattackagainstthesecurityholebasedonnetworkapplicationpro— gram．Itsfastauto—testisstudied inthispaper．In ordertopreventtheabuseofXSS effectively，a W eb—based XSS testing methodisdesignedtodetectthepotentialcross—siterisksinWebsites．Sixmainmodules(1oginmodule，detectionmodule， scanningmodule，outputmodule，reportmoduleandlogmodule)werefulfilled，inwhichthekernelcodemodulesaredetection andscanningones，whichcooperateeachothertoconstructcross-siteparametersandgrabthefeedbackdata．PHP isaW ebpro— gram language，which canresolvethefront—end DOM contentsquickly，anditsrateissecondonlytoPython inscriptinglan— guage．TouseW ebmethodtostructureanddetectXSSbelongingtotheW ebattack ismoreconvenientandefficient． Keywords：crosssitescripting；W eb；PHP；securitydetection；scan 在跨站脚本越来越隐蔽的今天 ，应对该漏洞威胁就 1 跨站脚本攻击及防范方法 成了一项艰巨的任务 。。在早期对跨站脚本的研究只 停留在简单的暴力式攻击 ，而对绕过等新兴的攻击 1．