ПОСТРОЕНИЕ СИСТЕМЫ ПОИСКА УЯЗВИМЫХ К МЕЖСАЙТОВОМУ СКРИПТИНГУ СУЩНОСТЕЙ ВЕБ-ПРИЛОЖЕНИЙ

Шипулин Георгий Фаризович, Шабалин Александр Денисович, Спевакова Светлана Викторовна

Статья посвящена рассмотрению вопросов, связанных с поиском сущностей веб-приложения, уязвимых к межсайтовому скриптингу. В работе были рассмотрены понятие межсайтового скриптинга (XSS-уязвимости), его основные виды (Reflected XSS, Stored XSS и DOM-based XSS), описан общий подход поиска данного вида уязвимостей в веб-приложениях. Кроме того, на основе анализа существующих автоматизированных средств поиска уязвимых к межсайтовому скриптингу сущностей веб-приложений (сканеров XSS-уязвимостей), выявлены их основные ограничения (недостаточная точность определения уязвимых сущностей и отсутствие поддержки обработки всех типов сущностей), описана архитектура разработанной системы поиска уязвимых к межсайтовому скриптингу сущностей веб-приложений и взаимосвязь ее модулей. Разработанная система охватывает анализ сущностей веб-приложений разного типа, включая элементы пользовательского ввода, параметры URL-адреса, заголовки HTTP-протокола и динамические элементы DOM-дерева.

Ключевые слова:межсайтовый скриптинг, веб-приложение, поиск уязвимостей, анализ защищенности, сканеры уязвимостей