Abstrato

DEFENDENDO CONTRA AS VULNERABILIDADES DA WEB E DO CROSS-SITE SCRIPTING

T.Venkat Narayana Rao, V. Tejaswini, K..Preethi

Os investigadores desenvolveram diversas soluções para scripts entre sites, mas as vulnerabilidades persistem em muitas aplicações Web devido à falta de experiência dos programadores na identificação de problemas e à sua falta de familiaridade com os mecanismos atuais. Como proclamado pelos especialistas, o cross-site scripting está entre as ameaças graves e generalizadas nas aplicações Web atualmente, mais do que os buffer overflows. Um estudo recente mostra que o XSS ficou em primeiro lugar na lista dos 25 erros de software mais perigosos do MITRE Common Weakness Enumeration (CWE)/SANS Institute e em segundo lugar no Open Web Application Security Project (OWASP). No entanto, continuam a existir vulnerabilidades em muitas aplicações Web devido à falta de compreensão dos programadores sobre o problema e à sua falta de familiaridade com os atuais pontos fortes e limitações da proteção. As técnicas existentes para a defesa contra explorações XSS sofrem de vários pontos fracos: limitações inerentes, implementações incompletas, estruturas complexas, sobrecarga de tempo de execução e requisitos intensivos de trabalho manual. Os investigadores de segurança podem abordar estas fraquezas a partir de duas perspetivas diferentes. Precisam de olhar para além das técnicas atuais, incorporando recursos mais eficazes de validação de entrada e higienização. Com o tempo, as ferramentas de desenvolvimento incorporarão estruturas de segurança como o ESAPI, que implementam tecnologia de ponta. Este artigo centra-se na perspetiva da verificação de programas, como os investigadores devem integrar a análise de programas, o reconhecimento de padrões, os testes concólicos, a mineração de dados e os algoritmos de IA para resolver diferentes problemas de engenharia de software e aumentar a eficácia da deteção de vulnerabilidades. O foco nestas questões melhoraria a precisão dos métodos atuais, adquirindo padrões de código de ataque de especialistas externos assim que estiverem disponíveis.