String Constraint Solving によるDOM-based XSS検出に向けて

• Item type: Symposium(1)
• 公開日: 2023-10-23
• タイトル: String Constraint Solving によるDOM-based XSS検出に向けて
• タイトル / 言語: en
• タイトル: Toward DOM-based XSS Detection via String Constraint Solving
• 言語: jpn
• キーワード / 主題Scheme: Other
• キーワード / 主題: DOM-based XSS, String Constraint Solving, TAJS, JavaScript
• 資源タイプ / 資源タイプ識別子: http://purl.org/coar/resource_type/c_5794
• 資源タイプ: conference paper
• 著者所属: NTTソフトウェアイノベーションセンタ
• 著者所属: NTT社会情報研究所
• 著者所属(英): en
• 著者所属(英): NTT Software Innovation Center
• 著者所属(英): en
• 著者所属(英): NTT Social Informatics Laboratories
• 著者名: 山口, 大輔; 千田, 忠賢
• 著者名(英): Daisuke, Yamaguchi; Nariyoshi, Chida
• 論文抄録 / 内容記述タイプ: Other
• 論文抄録 / 内容記述: String constraint solving (SCS)は文字列を処理するプログラムやサニタイザの自動検証ができることから，クロスサイトスクリプティング(XSS)やSQLインジェクションなどのインジェクション脆弱性検出への応用が研究されている．しかし，それらの研究はサーバ側で実行されるプログラムの脆弱性を検出対象としており，DOM-based XSSのようなクライアント側で実行されるJavaScriptプログラムの脆弱性検出への応用は十分に研究されていない．本研究では，SCSによるDOM-based XSSの脆弱性検出を試みる．我々はJavaScriptプログラムに対してSCSを行う手法を提案し，JavaScriptの静的解析フレームワークの一つであるTAJS上に実装した．DOM-based XSSの脆弱性を含む実世界のプログラムを対象とした実験評価を行いその結果を報告する．
• 論文抄録(英) / 内容記述タイプ: Other
• 論文抄録(英) / 内容記述: String constraint solving (SCS) has been studied for its application in detecting injection vulnerabilities such as Cross-Site Scripting (XSS) and SQL injection due to its ability to automatically verify sanitizers and programs that process strings. These studies however have focused on detecting vulnerabilities in server-side programs, and there has not been sufficient research on applying it to detect vulnerabilities in JavaScript programs that run on the client side, such as DOM-based XSS. In this paper, we attempt to detect DOM-based XSS vulnerabilities using SCS. We propose a methodology to perform SCS on JavaScript programs and implement it on TAJS, one of the static analysis frameworks for JavaScript. We conduct experimental evaluations on real-world programs containing DOM-based XSS vulnerabilities and report findings.
• 書誌情報: コンピュータセキュリティシンポジウム2023論文集; p. 575-582, 発行日 2023-10-23
• 出版者 / 言語: ja
• 出版者: 情報処理学会