Detecção automática de ataques de Cross-Site Scripting em páginas Web

• Autor(a) principal: Rocha, Thiago de Souza
• Data de Publicação: 2013
• Tipo de documento: Dissertação
• Idioma: por
• Título da fonte: Biblioteca Digital de Teses e Dissertações da UFAM
• Texto Completo: http://tede.ufam.edu.br/handle/tede/2904
• topic: Aplicações web; Cross-site scripting; Testes de vulnerabilidades; Web applications; Cross-site scripting; Vulnerability tests; CIÊNCIAS EXATAS E DA TERRA: CIÊNCIA DA COMPUTAÇÃO

A evolução no desenvolvimento para aplicações web favoreceu o surgimento de páginas dinâmicas. Tal evolução foi possível através da criação de novas tecnologias como funções de script e recursos avançados em navegadores web que proporcionaram a inserção de novas funcionalidades e criação de serviços interativos, tais como Internet banking, redes sociais, e-commerce, blogs e fóruns. A utilização desses recursos e funcionalidades tem melhorado gradativamente a interatividade e usabilidade das aplicações web. Por outro lado, o uso inadequado dessas funcionalidades acarretou no surgimento de diversos ataques, entre eles, o Cross-Site Scripting (XSS). Este ataque tem recebido muito destaque nos últimos anos, por estar no topo de listas e relatórios das maiores ameaças para aplicações web nos últimos anos. Este trabalho demonstra a viabilidade de uso de uma metodologia capaz de detectar ataques XSS em aplicações web através da análise de informações contidas nas aplicações. Um protótipo da metodologia, denominado de ETSSDetector, foi desenvolvido e comparado com outras ferramentas similares. Os resultados obtidos mostram que, através da análise dos campos de entrada, é possível a geração de testes mais efetivos, diminuindo a quantidade de requisições realizadas na aplicação. Além disso, a habilidade de preenchimento dos campos da aplicação apenas com informações válidas garante a submissão dos formulários das páginas, aumentando a taxa de detecção de ataques XSS.