Web Security Investigation through Penetration Tests: A Case study of an Educational Institution Portal
Web安全已经成为一个重要的主题;许多公司和组织在构建Web应用程序以提供在线服务和增加Web存在时，变得越来越有安全意识。不幸的是，这些Web应用程序中的许多仍然容易受到威胁，因为它们对恶意攻击缺乏强大的免疫力。这会对网站的使用者构成潜在危险，亦可能影响有关机构或公司的运作。教育机构也没有被排除在外，它们的门户网站和网站拥有至关重要的信息，这些信息的完整性至关重要。以卡内基梅隆大学非洲实习门户为例，我们进行了渗透测试，以调查Web漏洞，并提出了可能的补救措施，发现的漏洞。我们的研究结果将告知教育机构更好的网站安全实践，特别是在非洲域。
2018-11-08 cs.CR
HTTPI Based Web Service Security over SOAP
现在，一个新的web应用程序开放应用程序家族正在出现（例如，社交网络，新闻和博客）。一般来说，这些公开的申请是非保密的。这些应用程序的安全需求仅是客户端/服务器身份验证和数据完整性。为了有效地保护这些开放应用的安全，提出了一种新的传输协议HTTPI，它可以保证开放应用的全部安全需求。使用HTTPI的好处是它使用经济，非常适合缓存代理，就像HTTP一样，并且像HTTPS一样提供针对许多Internet攻击（服务器模拟和消息修改）的安全性。在性能方面，HTTPI非常接近HTTP，但比HTTPS好得多。Web服务是一种通过Internet在两端之间进行通信的方法。这些Web服务是通过XML和HTTP开发的。如今，大多数开放式应用程序的大部分操作都使用Web服务。为了保证这些Web服务的安全，提出了基于HTTPI的安全设计方案。我们的工作涉及基于HTTPI通过SOAP保护Web服务。这种安全的Web服务可能适用于需要身份验证和完整性但不需要机密性的开放应用程序。在本文中，我们介绍了一个基于HTTP协议SOAP的Web服务安全模型，并开发了该模型的初步实现。我们还分析了我们的方法的性能，通过实验表明，我们提出的方法提供了更高的吞吐量，更低的平均响应时间和更低的响应大小比基于HTTPS的Web服务安全方法。
2013-06-07 cs.CR cs.NI cs.PF
Proceedings of the Ninth Workshop on Web 2.0 Security and Privacy (W2SP) 2015
这是2015年5月21日在美国加利福尼亚州圣何塞举行的第九届Web 2.0安全和隐私研讨会（W2SP）的会议记录。该研讨会是IEEE计算机协会安全和隐私研讨会的一部分，与IEEE安全和隐私研讨会一起举行。
2015-06-22 cs.CR
Web 2.0 Technologies and Social Networking Security Fears in Enterprises
Web 2.0系统已经引起了企业的注意，许多企业现在都在寻求采用Web 2.0技术，并将其好处转移到他们的组织中。然而，随着不同社交网络平台的出现，隐私和安全必须不断地从不同的角度考虑和看待。本文介绍了主要Web 2.0应用程序面临的最常见的安全风险。此外，它还介绍了最相关的路径和最佳实践，以避免企业环境中的这些已识别的安全风险。
2012-04-09 cs.CR
A Visual Model for Web Applications Security Monitoring
提出了一种新的Web应用安全监控可视化模型。虽然自动化入侵检测系统可以保护Web应用免受常见攻击，但它通常无法检测到更复杂的入侵。因此，人工辅助监控系统是遵循“纵深防御”策略的不可或缺的补充。为了支持人类操作员更有效和高效地工作，信息可视化技术在这个模型中使用。该模型的原型实现创建，并用于测试对一个流行的开源Web应用程序。测试结果证明了该模型的实用性，至少在理解Web应用程序的安全结构。
2019-04-05 cs.CR
Towards automated web application logic reconstruction for application level security
像Web应用程序防火墙（WAF）这样的现代覆盖安全机制无法识别自定义高级应用程序逻辑和数据对象，这导致低准确性、高误报率以及用于微调的过度手动工作。在本文中，我们提出了一种基于安全目的的Web应用程序建模方法，可以帮助下一代WAF适应特定的Web应用程序，并尽可能自动地进行建模。我们的目标是创建多层模型，充分模拟Web应用程序功能的各个方面，这是入侵检测和预防，包括请求解析和路由，动作和数据对象的重建，以及动作的相互依赖性。
2015-11-09 cs.CR
WebSpec: Towards Machine-Checked Analysis of Browser Security Mechanisms
浏览器的复杂性多年来一直在稳步增长，这是由于Web平台组件的不断引入和更新，例如新的Web API和安全机制。他们的规格由专家手动审查，以确定潜在的安全问题。然而，由于现代浏览器规范的广泛性以及新的和现有的Web平台组件之间的相互作用，这个过程被证明是容易出错的。为了解决这个问题，我们开发了WebSpec，这是第一个用于分析浏览器安全机制的正式安全框架，它可以自动发现逻辑缺陷并开发机器检查的安全证明。WebSpec特别包括Coq证明助手中的浏览器的综合语义模型，该模型中的10个Web安全不变量的形式化，以及将Coq模型和Web不变量转换为SMT-lib公式的工具链，以启用Z3定理证明器的模型检验。如果发现违规行为，工具链会自动生成与发现的攻击跟踪相对应的可执行测试，并在主要浏览器中进行验证。我们展示了WebSpec的有效性，发现两个新的逻辑缺陷所造成的不同的浏览器机制的相互作用，并确定三个以前发现的逻辑缺陷，在当前的Web平台，以及五个旧版本。最后，我们展示了WebSpec如何帮助验证我们提出的更改，以修改影响当前Web平台的报告不一致。
2022-09-01 cs.CR
An Analysis of Modern Web Security Vulnerabilities Inside WebAssembly Applications
University of Cagliari（卡利亚里大学）；National Interuniversity Consortium for Informatics（意大利国家跨大学信息技术联合会）
本文分析了WebAssembly应用中的现代网络安全漏洞，揭示了二进制漏洞可能带来的安全风险，并提出了最佳实践和防御策略以缓解相关威胁。
2026-03-10 cs.CR
A Study of Password Security Factors among Bangladeshi Government Websites
孟加拉国政府正在积极改变其公共服务格局，通过一些网站将公共服务转变为在线服务。其动机是，这将成为公民生活各个方面变革的催化剂。一些Web服务必须受到保护，以防止任何未经授权的使用，密码仍然是用于此目的的最广泛使用的凭据机制。然而，如果密码没有被正确地采用，它们可能是安全漏洞的原因。这就是为什么在不同的网站上研究密码安全的不同方面是很重要的。在本文中，我们提出了一个36个不同的孟加拉国政府网站对六个精心挑选的密码安全策略的密码安全性的研究。这项研究是这一领域的第一项研究，提供了有趣的见解。例如，许多网站在安全方面没有采取适当的安全措施。许多网站没有采用密码构造指南，从而为用户选择强密码造成障碍。他们中的一些人允许所谓的弱密码，并且仍然没有利用安全的HTTPS通道在互联网上传输信息。
2020-12-03 cs.CR
Herding Vulnerable Cats: A Statistical Approach to Disentangle Joint Responsibility for Web Security in Shared Hosting
主机提供商在打击网络攻击方面发挥着关键作用，但他们防止滥用的能力受到其客户安全实践的限制。{ \em Shared}托管提供了一个独特的视角，因为客户在受限的权限下操作，而提供商对配置保留更多的控制权。我们提出了第一个实证分析的网络安全功能和软件补丁的做法，在共享主机提供商的分布，提供商对这些安全措施的影响，以及它们对网络的危害率的影响。我们通过收集来自442，684个域的指标，在全球共享主机市场上构建提供商级别的功能-包含1，259个提供商。15个指标的探索性因素分析确定了四个主要的潜在因素，捕捉安全工作：内容安全，网站管理员安全，网络基础设施安全和网络应用程序安全。我们确认，通过固定效应回归模型，供应商施加显着影响后两个因素，这两个都与他们的托管环境中的软件栈。最后，通过对网络钓鱼和恶意软件滥用这些因素的GLM回归分析，我们发现，在控制规模后，四个安全和软件补丁因素解释了提供商滥用的10%至19%的差异。例如，对于Web应用程序安全性，我们发现，当提供商从最低的10%移动到性能最好的10%时，它将经历4倍的网络钓鱼事件。我们表明，供应商对补丁级别有影响力-甚至在堆栈中更高，CMS可以作为客户端软件运行-这种影响力与滥用水平的大幅降低有关。
2017-08-22 cs.CR
Evaluation of Static Analysis on Web Applications
Web服务正在成为业务关键组件，通常部署有可能被恶意利用的关键软件错误。Web漏洞扫描器允许通过从攻击者的角度强调服务来检测Web服务中的安全漏洞。然而，研究和实践表明，不同的扫描程序在漏洞检测方面的表现是不同的。本文提出了一个定性的评估Web应用程序中发现的安全漏洞。一些著名的漏洞扫描器已被用于识别Web服务实现中的安全漏洞。已经观察到许多漏洞，这证实了许多服务是在没有进行适当的安全测试的情况下部署的。此外，在回顾和考虑了几篇文章后，检测到的漏洞的差异和观察到的大量误报突出了Web漏洞扫描器在检测Web服务中的安全漏洞方面的局限性。此外，这项工作将讨论的静态分析方法，发现安全漏洞的Web应用程序，并补充它与成熟的研究成果或解决方案。这些漏洞包括破坏的访问控制、跨站点脚本、SQL注入、缓冲区溢出、不受限制的文件上传、破坏的身份验证等。Web应用程序正在成为企业的关键任务组件，可能存在黑客可以恶意利用的多个软件漏洞。少数漏洞扫描器已被用于检测Web服务应用程序中的安全漏洞，并发现了许多漏洞，从而证实了许多在线应用程序在没有进行充分安全测试的情况下启动。
2022-12-13 cs.CR
SOK: On the Analysis of Web Browser Security
Web浏览器是每个人日常生活中不可或缺的一部分。它们通常用于安全关键和隐私敏感的任务，如银行交易和检查医疗记录。不幸的是，现代web浏览器太复杂而不能是无错误的（例如，Chrome中有2500万行代码），它们作为网络空间接口的角色使它们成为有吸引力的攻击目标。因此，Web浏览器自然成为展示攻击者的高级利用技术和浏览器供应商的最先进防御的舞台。可以说，Web浏览器是学习最新安全问题和技术的最令人兴奋的地方，但对于大多数安全研究人员来说，由于其快速变化的特性和复杂的代码库，它仍然是一种黑色艺术。为了弥合这一差距，本文试图通过研究流行的安全漏洞，他们的开发技术，并部署防御系统的现代Web浏览器的安全景观。更具体地说，我们首先介绍了一个统一的架构，忠实地代表了四个主要的Web浏览器的安全设计。其次，我们分享了一项关于浏览器bug的10年纵向研究的见解。第三，我们提出了一个时间轴和缓解方案及其有效性的背景。第四，我们分享了我们在2020年Pwn2Own比赛中使用的全链利用的经验教训。以及漏洞赏金计划对网络浏览器安全性的影响。我们相信，这种系统化的关键要点可以揭示如何推进现代Web浏览器的现状，更重要的是，如何在未来创建安全而复杂的软件。
2021-12-31 cs.CR
HTTPA: HTTPS Attestable Protocol
安全超文本传输协议（HTTPS）协议已经成为现代互联网技术的一个组成部分。目前，它是商业化Web应用程序的主要协议。它可以提供一个快速、安全的连接，并具有一定的隐私和完整性，它已经成为互联网上大多数Web服务的基本假设。然而，HTTPS本身无法为计算中的请求数据提供安全保证，因此计算环境仍然存在风险和漏洞。基于硬件的可信执行环境（TEE），如英特尔软件防护扩展（英特尔SGX）或英特尔信任域扩展（英特尔TDX），提供内存加密，以帮助保护运行时计算，从而降低非法泄露或修改私有信息的风险。(Note我们在以下文本中使用SGX作为示例进行说明。SGX的核心概念使计算能够在安全区内进行，这是一种受保护的环境，可以加密与安全敏感计算有关的代码和数据。此外，SGX通过远程认证向Web客户端提供安全保证，以进行验证，包括TCB身份，供应商身份和验证身份。在这里，我们提出了一个HTTP协议扩展，称为HTTPS可证明（HTTPA），通过在HTTPS协议上包括一个远程证明过程，以解决Web上的隐私和安全问题以及通过Internet访问信任。使用HTTPA，我们可以为验证提供安全保证，以建立Web服务的可信度，并确保Web用户请求处理的完整性。我们期望远程证明将成为一个新的趋势，以减少Web服务的安全风险。我们提出的HTTPA协议，统一的Web认证和访问互联网服务的标准和有效的方式。
2022-09-26 cs.CR cs.NI
The Web SSO Standard OpenID Connect: In-Depth Formal Security Analysis and Security Guidelines
基于Web的单点登录（SSO）服务，如Google Sign-In和Log In with Paypal，都是基于OpenID Connect协议的。该协议使所谓的依赖方能够将用户认证委托给所谓的身份提供者。OpenID Connect是Web上最新和部署最广泛的单点登录协议之一。尽管它很重要，但到目前为止，它还没有受到安全研究人员的重视，特别是没有进行任何严格的安全分析。本文首先对OpenID Connect进行了深入的安全分析。为此，我们使用一个全面的通用模型的网络开发一个详细的正式模型的OpenID连接。基于这个模型，我们精确地形式化和证明了OpenID Connect的中心安全属性，包括身份验证，授权和会话完整性属性。在我们对OpenID Connect的建模中，我们采用了安全措施，以避免以前发现的对OpenID Connect的攻击，以及我们在本文中首次记录的新攻击变体。基于这些安全措施，我们提出了OpenID连接的实施者的安全准则。我们的正式分析表明，这些准则实际上是有效和充分的。
2017-04-27 cs.CR
Security Analysis of Web Applications Based on Gruyere
Hainan University（海南大学）
本文梳理OWASP Top 10常见Web漏洞，以Gruyere平台为实验对象复现漏洞、提出修复策略并对比现代真实案例，证明其漏洞原理仍具参考价值，为Web安全防御提供实践支撑。
2026-02-02 cs.CR
Guardians of the Web: The Evolution and Future of Website Information Security
School of Computer Science, Zhongyuan University of Technology（中原工学院计算机科学学院）；Henan Key Laboratory on Public Opinion Intelligent Analysis（河南省舆情智能分析重点实验室）
本文回顾了网站信息安全从ARPANET、SSL到多层防护的历史演进，并指出其未来将受人工智能、区块链、量子计算及国际合作驱动，强调持续研究创新对保护敏感信息和维护数字信任的关键作用。
2025-05-07 cs.AI cs.CR
An Empirical Assessment of Security and Privacy Risks of Web based-Chatbots
基于Web的聊天机器人为网站所有者提供了增加销售额、立即响应客户以及洞察客户行为的好处。虽然基于Web的聊天机器人越来越受欢迎，但它们并没有受到安全研究人员的严格审查。所有者的利益是以用户的隐私和安全为代价的。漏洞，如跟踪cookie和第三方域，可以隐藏在聊天机器人的iFrame脚本中。本文对Alexa排名前100万的网站中的五个基于Web的聊天机器人进行了大规模分析。通过我们的爬虫工具，我们可以识别这100万个网站中存在的聊天机器人。我们发现，前100万个Alexa网站中有13，515个（1.59%）使用五个分析的聊天机器人之一。我们的分析显示，Alexa排名前30万的网站由嵌入最少数量的第三方域名的内部通信聊天机器人主导。LiveChat聊天机器人在其余网站中占据主导地位，并嵌入了第三方域名的最高样本。我们还发现，850个（6.29%）聊天机器人使用不安全的协议以纯文本传输用户的聊天。此外，一些聊天机器人严重依赖cookie进行跟踪和广告。在聊天机器人iFrames中，超过三分之二（68.92%）的已识别cookie用于广告和跟踪用户。我们的研究结果表明，尽管大多数网站都承诺隐私，安全和匿名，但数百万用户可能会在不知不觉中受到聊天机器人服务提供商的不良安全保证
2022-05-17 cs.CR
Bulwark: Holistic and Verified Security Monitoring of Web Protocols
现代Web应用程序通常依赖于第三方服务来向用户提供其功能。这些服务的安全集成是一项重要的任务，正如针对单点登录和收银员即服务协议的大量攻击所示。在本文中，我们提出了壁垒，一个新的自动工具，生成正式验证的安全监视器应用π演算规范的Web协议。Bulwark生成的安全监控器提供全面保护，因为它们可以随时部署在客户端和服务器端，从而确保针对Web协议的攻击面的完全可见性。我们通过测试一组使用OAuth 2.0协议或集成PayPal支付系统的易受攻击的Web应用程序来评估Bulwark的有效性。
2021-01-15 cs.CR
The Security Risk of Lacking Compiler Protection in WebAssembly
WebAssembly越来越多地被用作跨平台应用程序的编译目标。在本文中，我们调查是否可以依靠现有的C编译器执行的安全措施时，编译C程序WebAssembly。我们将4，469个具有已知缓冲区溢出漏洞的C程序编译为x86代码和WebAssembly，并观察到1，088个程序的生成代码的执行结果不同。通过手动检查，我们发现这些问题的根本原因是生成的WebAssembly中缺乏安全措施，例如堆栈金丝雀：虽然x86代码在基于堆栈的缓冲区溢出时崩溃，但相应的WebAssembly仍在继续执行。我们的结论是，编译一个现有的C程序到WebAssembly没有额外的预防措施可能会妨碍其安全性，我们鼓励更多的研究在这个方向。
2021-11-02 cs.CR cs.PL
Hiding in text/plain sight: Security defences of Tor Onion Services
本文分析 Tor 洋葱服务的安全防御状况，发现其安全策略优于明网站点，但在 HTTPS 部署上仍显不足。
2023-12-01 cs.CR cs.NI
WPSE: Fortifying Web Protocols via Browser-Side Security Monitoring
我们提出了WPSE，浏览器端的Web协议的安全监视器，旨在确保符合预期的协议流，以及消息的机密性和完整性。我们正式证明，WPSE是足够的表达，以保护Web应用程序从广泛的协议实现错误和Web攻击。我们讨论了具体的攻击，可以防止WPSE OAuth 2.0和SAML 2.0，包括一个新的攻击谷歌实现的SAML 2.0，我们发现通过形式化的协议规范WPSE。此外，我们使用WPSE在野外对OAuth 2.0进行了广泛的实验评估。在90个测试网站中，我们发现了55个网站（61.1%）的安全漏洞，包括Facebook Pixel等跟踪库引入的新的关键漏洞，所有这些漏洞都可以通过WPSE修复。最后，我们发现WPSE在83个网站（92.2%）上可以正常工作，其中7个兼容性问题是由偏离OAuth 2.0规范的自定义实现引起的，其中一个引入了严重漏洞。
2018-06-24 cs.CR
Language-Based Web Session Integrity
会话管理是Web应用程序的基本组件：尽管表面上很简单，但正确实现Web会话是非常棘手的，正如大量现有攻击所证明的那样。这促使形式化方法的设计，严格的原因Web会话的安全性，但是，目前不支持合适的自动验证技术。在本文中，我们将介绍第一个安全类型系统，它在Web应用程序的核心模型上强制执行会话安全性，特别关注服务器端代码。我们通过分析HotCRP、Moodle和phpMyAdmin的会话管理逻辑来展示我们的类型系统的表现力，揭示了软件开发人员已经承认的新的安全缺陷。
2020-06-02 cs.CR
Evaluating the Security of a DNS Query Obfuscation Scheme for Private Web Surfing
域名系统（DNS）不提供查询隐私。查询混淆方案已被提出来克服这一限制，但到目前为止，他们还没有在现实的环境中进行评估。在本文中，我们评估的安全性随机设置范围查询方案在现实世界中的网络冲浪的情况下。我们证明，该计划没有充分混淆的特征查询模式，它可以被对手用来确定访问过的网站。我们还说明了如何挫败攻击，并讨论实际的挑战。我们的研究结果表明，以前公布的范围查询的评估可能会给一个错误的感觉，可达到的安全性，因为他们不考虑查询之间的任何相互依赖性。
2016-03-21 cs.CR
Understanding and Mitigating the Security Risks of Content Inclusion in Web Browsers
由于Web浏览器提供了广泛的功能，现代网站包括各种类型的内容，如JavaScript和CSS，以创建交互式用户界面。浏览器供应商还提供了扩展，以增强Web浏览器的附加有用功能，这些功能不一定在默认情况下得到维护或支持。然而，包含的内容可能会给这些网站的用户带来安全风险，而网站运营商和用户都不知道。此外，浏览器对资源URL的解释可能与Web服务器解析URL以确定哪个资源应该返回给浏览器的方式非常不同。URL可能根本不对应于实际的服务器端文件系统结构，或者web服务器可能在内部重写URL的部分。Web浏览器和Web服务器在解释相对路径时的这种语义脱节（路径混淆）可能会被相对路径覆盖（RPO）利用。另一方面，即使是强大的扩展也为Web浏览器提供了有用的附加功能，它们也是越来越受欢迎的攻击载体。由于扩展可以保持高度的特权，扩展已被滥用以将广告注入到网页中，从而从内容发布者转移收入并可能使用户暴露于恶意软件。在这篇论文中，我提出了新的研究来理解和减轻内容包含在Web浏览器中的安全风险，以保护网站发布者以及他们的用户。
2020-01-10 cs.CR
An Exploration Into Web Session Security- A Systematic Literature Review
本文系统综述了Web会话攻击及现有防御方案，通过四种评估方法判断方案可行性，并提炼出指导方针以促进Web安全的结构化发展。
2023-10-14 cs.CR cs.SE
Security Testing Framework for Web Applications: Benchmarking ZAP V2.12.0 and V2.13.0 by OWASP as an example
National Tsing Hua University（国立清华大学）；Industrial Technology Research Institute（工业技术研究院）
本研究以OWASP Benchmark v1.2为基准，对比OWASP ZAP V2.12.0与V2.13.0的漏洞检测性能，为Web应用安全测试工具的选择及研究发展提供参考。
2026-09-02 cs.CR
Security, Privacy, and Decentralization in Web3
最近对去中心化金融（DeFi）的兴奋主要来自于对DeFi的希望，即DeFi可以成为传统金融系统的一种安全、私有、不那么集中的替代方案。然而，人们转移到DeFi网站，希望提高他们的安全性和隐私性，最终可能会减少两者，因为最近的攻击已经证明。在这项工作中，我们通过对流行的DeFi前端的安全性，隐私性和分散性进行首次Web测量来提高对DeFi的理解。我们发现，DeFi应用程序（或dapps）也面临着与网络其他部分相同的安全和隐私风险，但考虑到DeFi所涉及的资金，这些风险大大加剧。我们的研究结果表明，一个常见的跟踪器可以观察到我们分析的超过56%的网站上的用户行为，DeFi网站上的许多跟踪器可以将用户的以太坊地址与PII（例如，用户名或人口统计信息），或通过发起虚假以太坊交易来欺骗用户。最后，我们确定，尽管有相反的说法，但由于亚马逊和Cloudflare等公司运营着重要的Web基础设施，DeFi作为一个整体比以前认为的要分散得多。
2023-02-06 cs.CR
On the Feasibility of Fine-Grained TLS Security Configurations in Web Browsers Based on the Requested Domain Name
如今，大多数现代Web浏览器都牺牲了最佳的TLS安全性来实现向后兼容性。它们应用粗粒度的TLS配置，支持（默认情况下）具有已知设计弱点的协议的遗留版本，以及提供较少安全保证的弱密码套件（例如，非前向密码），并且如果服务器选择，则会默默地回退到它们。这引入了各种风险，包括降级攻击，例如POODLE攻击[15]，它利用浏览器的静默回退机制来降级协议版本，以利用遗留版本缺陷。为了在安全性和向后兼容性之间实现更好的平衡，我们提出了一种基于HTTPS请求中域名敏感性的细粒度TLS配置机制。也就是说，浏览器会为连接到敏感域的连接强制执行最佳TLS配置，同时为其余连接强制执行默认配置。我们证明了我们的建议的可行性，通过实现一个概念验证的Firefox浏览器扩展。我们将此机制设想为Web浏览器中的内置安全功能，例如，类似于Firefox浏览器中的\quotes{Bookmark}按钮的按钮，以及标准化的HTTP头，以增强浏览器的安全性。
2018-09-15 cs.CR
SoK: Evaluating Privacy and Security Concerns of Using Web Services for the Disabled Population
残疾人社区的在线隐私和安全是一个复杂的领域，对每个浏览Web服务的用户都有影响。虽然许多学科分别研究了残疾人及其在线隐私和安全问题，但两者之间的重叠非常高，但研究不足。此外，一个复杂的关系之间存在的残疾人和网络服务的互动取决于几个网络服务的发展因素，包括可用性和可访问性。为此，我们通过对63篇文章进行详细的系统性文献回顾和分析，探讨了残疾人社区通过以前的研究所感知的Web服务的隐私和安全性的交叉点。我们的研究结果涵盖了几个主题，包括残疾人如何在身份验证界面周围导航，在线隐私问题，通用设计实践，以及如何改进CAPTCHA等安全方法，使其更容易为所有需求和能力的人所访问和使用。我们进一步讨论了目前研究中的差距，包括解决方案，如普遍实施包容性的隐私和安全工具和协议。
2023-02-26 cs.CR cs.HC
Security of Alerting Authorities in the WWW: Measuring Namespaces, DNSSEC, and Web PKI
在灾难、危机和紧急情况下，公众依靠官方提供的在线服务来接收及时的警报、可靠的信息和获得救援计划。因此，当局在使用其在线服务时降低风险至关重要。这包括满足服务的安全标识、网络服务名称的安全解析以及内容安全和隐私作为可信通信的最低基础。在本文中，我们首先看一下美国的警报机构（AA），并调查与可信和安全通信相关的安全措施。我们研究域名空间结构，DNSSEC渗透和Web证书。我们引入了一个综合的威胁模型，以更好地了解是否以及如何AAs的在线存在和服务受到损害。作为一个说明性的例子，我们调查了1,388个警报机构。我们观察到，相对于全球互联网趋势，安全性有所提高，但仍有78%的服务提供商未能部署值得信赖的服务提供措施。我们的分析显示了两个主要缺点。首先，如何利用DNS生态系统：大约50%的组织没有自己的专用域名，并依赖于其他组织，55%的组织选择不受限制使用的命名空间，这简化了网络钓鱼，只有不到4%的唯一AA域名由DNSSEC保护，这可能导致DNS中毒，并可能导致证书错误。其次，Web PKI证书的使用方式：15%的主机没有提供证书或提供无效证书，因此无法满足机密性和数据完整性，64%的主机提供缺乏任何身份信息的域验证证书，共享证书越来越受欢迎，这导致命运共享，可能是不稳定的原因。
2021-04-13 cs.CR cs.NI
Automatic Web Security Unit Testing: XSS Vulnerability Detection
将安全测试集成到软件开发人员的工作流程中，不仅可以节省单独安全测试的资源，还可以通过在开发周期的早期检测来降低修复安全漏洞的成本。我们提出了一种自动测试方法来检测一种常见的跨站点脚本（XSS）漏洞所造成的不受信任的数据的不正确编码。我们自动提取在Web应用程序中使用的编码函数来清理不可信的输入，然后通过自动生成XSS攻击字符串来评估其有效性。我们的评估表明，这种技术可以检测到0天的XSS漏洞，不能发现的静态分析工具。我们还将证明我们的方法可以有效地覆盖常见类型的XSS漏洞。这种方法可以推广到针对其他类型注入（如命令行注入）的输入验证测试。
2018-04-02 cs.CR
Most Websites Don't Need to Vibrate: A Cost-Benefit Approach to Improving Browser Security
自1990年为超媒体传播而发明以来，现代Web浏览器已经积累了令人难以置信的广泛功能。这些功能中的许多功能通过启用新类型的Web应用程序而使用户受益。然而，有些功能也会给用户的隐私和安全带来风险，无论是通过实现错误、意外组合还是意外使用。目前还没有衡量这些成本和效益的通用方法。将访问限制为仅对在给定网站上提供所需功能所必需的功能，将允许用户在使用现代Web浏览器中存在的无数API时执行租赁特权原则。但是，通过增加限制获得的安全利益必须与破坏现有网站的风险相平衡。这项工作解决了这个问题的方法来权衡成本和效益，让网站默认访问每个浏览器功能。我们将收益建模为需要该功能以获得某些用户可见收益的网站数量，并将成本建模为与功能相关的CVE，代码行和学术攻击的数量。然后，我们将这种方法应用于现代浏览器中实现的74个Web API标准。我们发现，允许网站默认访问Web API的大部分内容会带来重大的安全和隐私风险，但几乎没有相应的好处。我们还引入了一个可配置的浏览器扩展，允许用户选择性地限制对每个站点的低收益，高风险功能的访问。我们使用两个强化的浏览器配置评估了我们的扩展，发现阻止74个标准中的15个标准避免了与以前的CVE相关的52.0%的代码路径，以及我们的度量确定的50.0%的实现代码，而不影响94.7%的测量网站的功能。
2017-09-05 cs.CR
Information Security Management of Web Portals Based on Joomla CMS
信息是所有组织的关键资产，可以以多种形式存在。它可以打印或写在纸上，以电子方式存储，通过邮件或电子方式传输，在电影中显示，或在对话中说出。在当今竞争激烈的商业环境中，这些信息不断受到来自许多来源的威胁，这些来源可以是内部的、外部的、意外的或恶意的。Joomla是一个非常流行的内容管理系统（CMS），用于网页维护。这个高度通用的软件已经在大型企业门户网站和简单的网页（如博客）中找到了自己。这种流行增加了其对潜在攻击的脆弱性，因此需要适当的安全管理。ISO（国际标准化组织）和IEC（国际电工委员会）创建了一系列标准，旨在为建立、实施、运行、监控、审查、维护和改进信息安全管理体系（ISMS）提供一个模型。本文展示了如何在ISO/IEC 27000系列标准中设置的原则可以用来提高基于Joomla的门户网站的安全性。
2014-04-14 cs.CR
GuardianPWA: Enhancing Security Throughout the Progressive Web App Installation Lifecycle
Texas A&M University（德克萨斯农工大学）
本文提出GUARDIANPWA框架，基于CIA原则分析PWA安装机制，发现203处安全违规，揭示浏览器厂商在PWA安装生命周期中的隐私风险，并帮助开发者提升安全性。
2026-06-26 cs.CR
A Study on Web Application Vulnerabilities to find an optimal Security Architecture
本文针对Web应用安全漏洞这一企业界重大挑战，分析了现实世界中面临的主要安全问题，并提出有效解决方案以寻找最优的安全架构。
2022-04-14 cs.CR
TulaFale: A Security Tool for Web Services
Web服务安全规范通常表示为XML模式、示例消息和叙述性解释的混合体。我们提出了一种新的规约语言，用于编写基于SOAP的安全协议及其属性的补充机器可检查的描述。我们的TulaFale语言基于pi演算（用于编写并行运行的SOAP处理器的集合），加上XML语法（用于表达SOAP消息传递），逻辑谓词（用于构造和过滤SOAP消息）和通信断言（用于指定协议的身份验证目标）。我们的实现编译TulaFale到应用π演算，然后运行Blanchet的基于分辨率的协议验证器。因此，我们可以自动验证SOAP协议的身份验证属性。
2004-12-10 cs.CR
Securing the Web: Analysis of HTTP Security Headers in Popular Global Websites
本文分析了 3,195 个全球流行网站的 HTTP 安全头实施情况，发现超半数网站安全等级为“F”，医疗保健网站得分最低，并建议开发者优先改进安全重定向与实施便利性。
2024-10-19 cs.CR cs.CY
A Survey of Web Application Security Tutorials
McGill University（麦吉尔大学）
本文调研132个免费安全教程，发现大多数教程来自供应商，侧重高层解释而非具体实现指导，缺乏可运行代码示例和权威资源链接。
2026-03-23 cs.CR cs.SE
A Multi-Factor Security Protocol for Wireless Payment - Secure Web Authentication using Mobile Devices
以前的Web访问认证系统通常单独使用Web或移动信道来确认远程用户的声明身份。本文提出了一种新的协议，使用多因素认证系统，是安全的和高度可用的。它采用了一种基于交易识别码和SMS的新方法，与传统的登录/密码系统相比，增强了额外的安全级别。该系统提供了一个高度安全的环境，易于使用和部署，不需要对无线网络的基础设施或协议进行任何更改。该无线支付协议被扩展以提供双向认证。
2011-11-13 cs.CR
Proactive Web Server Protocol for Complaint Assessment
漏洞发现与攻击注入对于服务器软件的安全威胁越来越大，在软件开发时，对软件进行功能测试。由于未意识到软件漏洞，因此在预发布之前，应对软件进行全面测试，不仅测试功能可靠性，还应测试安全流（或）漏洞。模糊器、故障注入、漏洞扫描器、静态漏洞分析器、运行时间预防机制和软件恢复等方法正在识别未打补丁的软件，这些软件可能面临安全威胁，从而解决“安全测试”问题。这些技术对于生成攻击是有用的，但不能扩展到新的攻击领域。该系统称为主动漏洞攻击注入工具，适用于添加新的攻击注入向量，使用工具的接口定义新的协议状态（或）规范的方法包括使用GUI的网络服务器协议规范，攻击生成器，攻击注入器，受害者注入器监视模块，受害者机器监视模块和攻击注入报告生成。该工具可以解决大多数漏洞（或）安全流。
2014-02-09 cs.CR cs.NI
CorbFuzz: Checking Browser Security Policies with Fuzzing
浏览器使用安全策略来阻止恶意行为。跨源读取阻止（CORB）是一种浏览器安全策略，用于防止侧信道攻击，如Spectre。我们提出了一个Web浏览器安全策略模糊称为CorbFuzz检查CORB和类似的政策。在实现安全策略时，浏览器只能访问HTTP请求和响应，并仅基于这些交互采取策略操作。在检查浏览器安全策略时，CorbFuzz使用一个策略oracle来跟踪Web应用程序的行为，并根据Web应用程序的状态推断出所需的策略操作。通过比较策略oracle与浏览器行为，CorbFuzz可以检测浏览器安全策略中的漏洞。CorbFuzz通过模糊一组Web应用程序来检查Web浏览器策略，其中状态相关查询被象征性地评估以增加覆盖率和自动化。CorbFuzz从数据库查询和分支条件中收集类型信息，以防止在模糊化过程中生成不一致的数据值。我们使用从GitHub收集的Web应用程序，在Chromium和Webkit的CORB实现上评估了CorbFuzz，以及Firefox的不透明响应阻止（ORB）策略实现。我们在Chromium的CORB实现中发现了三类弱点。
2021-09-01 cs.CR cs.SE
Validating a Web Service Security Abstraction by Typing
XML Web服务大致上是一种RPC服务，其中请求和响应以XML编码为SOAP信封，并通过HTTP传输。我们考虑在SOAP级别对请求和响应进行身份验证的问题，而不是依赖于传输级别的安全性。我们提出了一个安全的抽象，灵感来自早期的工作安全RPC，其中的Web服务导出的方法注释与三个安全级别之一：无，认证，或认证和加密。我们的抽象模型作为一个对象演算与原语定义和调用Web服务。我们描述我们的对象演算的语义，通过翻译到一个较低层次的语言与原语的消息传递和密码学。为了验证我们的语义，我们嵌入了指定请求和响应的正确身份验证的对应断言。借助Gordon和Jeffrey的Cryptyc密码协议的类型论，我们简单地通过类型化来验证对应断言。最后，我们描述了我们的语义通过自定义SOAP头的实现。
2004-12-10 cs.CR
Security-aware selection of Web Services for Reliable Composition
可信性是一个可信的计算机系统应该具备的重要特性。它是可用性、可靠性、可维护性、安全性和安全性的衡量标准。我们研究的重点是Web服务的安全性。Web服务使独立的服务与互补功能的组合能够产生增值服务，这允许组织仅实施其核心业务，并通过互联网外包其他服务组件，无论是预先选择的还是动态的。选定的第三方Web服务可能存在安全漏洞。易受攻击的Web服务实际用途有限。我们建议使用一个入侵容忍的复合Web服务的每个功能，应该由第三方Web服务完成。在此方法中使用的第三方服务应根据其安全漏洞以及其性能进行选择。使用渗透测试工具评估第三方服务的安全漏洞。在本文中，我们提出了我们的初步研究工作。
2015-10-07 cs.CR cs.DC cs.IT
A Cryptographic Mutual Authentication Scheme for Web Applications
当前大多数Web身份验证都是基于用户名/密码的。不幸的是，密码替换提供了更多的安全性，但它很难使用，部署成本也很高。在本文中，我们提出了一个新的相互认证方案称为StrongAuth，保留了大多数密码认证的优点，同时提高了安全性，使用密码原语。我们的方案不仅为网站管理员提供了一个清晰的框架来建立安全的用户认证，但它也提供了几乎相同的传统用户体验。安全性分析表明，该方案满足用户认证的安全性要求，能够抵抗各种可能的攻击。
2014-12-09 cs.CR
Extending Firewall Session Table to Accelerate NAT, QoS Classification and Routing
安全和QoS是网络系统要达到的两个最重要的目标。然而，它们是相互冲突的，QoS试图最大限度地减少处理延迟，而强安全保护则需要更多的处理时间并导致分组延迟。本文通过扩展防火墙会话表来加速NAT、QoS分类和路由处理时间，同时提供相同级别的安全保护，从而朝着解决这一冲突迈出了一步。索引术语？状态包过滤;防火墙;会话/状态表; QoS; NAT;路由。
2009-11-20 cs.CR cs.NI cs.PF
WebSP-Eval: Evaluating Web Agents on Website Security and Privacy Tasks
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
提出WebSP-Eval框架，通过200个任务实例和自动化评估器，测试多模态大模型在网站安全与隐私任务上的表现，发现状态UI元素（如开关）导致超过45%的任务失败。
2026-06-18 cs.AI cs.CR cs.LG
Web3.0 Security: Privacy Enhancing and Anonym Auditing in Blockchain-based Structures
针对区块链驱动的Web 3.0数据安全与隐私问题，本文提出融合隐私增强技术和Tor匿名审计的运行时安全协议与框架，并通过与现有方法评估比较验证其价值。
2023-07-24 cs.CR cs.DC
An Innovative Security Strategy using Reactive Web Application Honeypot
如今，Web应用程序已成为行业中最流行的应用程序，大多数组织的关键数据都是使用Web应用程序存储的。因此，Web应用程序成为各种网络攻击的更大目标，这些攻击包括数据库注入-SQL注入，PHP对象注入，模板注入，XML外部实体注入，未经消毒的输入攻击-跨站点脚本（XSS）等等。在众多的解决方案中，Web应用程序蜜罐是一种复杂而强大的保护机制。在本文中，我们提出了一个低交互，自适应，动态的Web应用程序蜜罐，通过HTTP事件模仿漏洞。蜜罐是用SNARE和TANNER构建的; SNARE创建攻击面并将请求发送给TANNER，TANNER评估它们并决定SNARE应该如何响应请求。TANNER是一个分析和分类工具，它分析和评估由SNARE提供的HTTP请求，并组成响应，它由模拟器提供支持，模拟器是用于模拟漏洞的引擎。
2021-05-11 cs.CR
Penetration Testing of 5G Core Network Web Technologies
针对5G核心网网络技术缺乏安全评估的问题，本文利用STRIDE威胁建模与安全测试工具，对Open5GS、Free5Gc和OpenAirInterface进行渗透测试，发现三者均存在至少两类攻击向量漏洞。
2024-03-04 cs.CR
SpiderSapien: Client-Centric Web Crawler and Security Scanner
Chalmers University of Technology（查尔姆斯理工大学）；University of Gothenburg（哥德堡大学）；Arizona State University（亚利桑那州立大学）
SpiderSapien是一款以客户端为中心的网络爬虫与安全扫描器，通过结合可交互元素检测、UI交互排序及LLM表单解决等技术，大幅提升了网络应用的代码覆盖率与XSS漏洞检测能力。
2026-09-03 cs.CR
Owning Your Home Network: Router Security Revisited
在本文中，我们调查了几个DSL家庭路由器，可用于通过Web浏览器管理其设置的Web接口。我们的目标是通过使用主要的XSS和UI修复攻击来更改这些设置。这项研究评估了来自10个不同制造商的路由器（TP-Link，Netgear，Huawei，D-Link，Linksys，Logilink，Belkin，Buffalo，Fritz！Box和Asus）。我们可以绕过所有的安全系统。为了演示所有设备如何能够被攻击，我们展示了如何进行快速指纹攻击。此外，我们还提供了对策，使管理界面，因此路由器的使用更加安全。
2015-06-12 cs.CR cs.NI
RiPKI: The Tragic Story of RPKI Deployment in the Web Ecosystem
Web内容交付是Internet上最重要的服务之一。对网站的访问通常通过TLS进行保护。然而，这种安全模型没有考虑网络层上的前缀劫持，这可能导致流量黑洞或透明拦截。因此，为了实现全面的安全性和服务可用性，需要额外的保护机制，例如RPKI，这是最近部署的资源公钥基础设施，用于防止网络劫持业务。本文提出了两个立场。首先，现代网络托管实践使路由保护具有挑战性，因为服务器倾向于分布在许多不同的网络中，通常具有不可预测的客户端重定向策略，其次，我们需要更好地理解为什么没有部署保护机制。为了启动这一点，我们经验性地探索网络托管基础设施和RPKI部署之间的关系。然而，我们发现，不太受欢迎的网站比知名网站更有可能受到保护。令人担忧的是，我们发现许多大型CDN不支持RPKI，从而使其客户容易受到攻击。这导致我们探索运营商犹豫部署RPKI的商业原因，这可能有助于指导未来提高互联网安全性的研究。
2015-11-02 cs.CR cs.NI
Exploring the Attack Surface of WebSocket
多年来，随着技术的进步，Web技术有了很多改进。在早期，网络是单向的交流，只有客户能够看到网站的内容，不能输入信息。然而，一天又一天，网络取得了重大进展，HTTP，APDL，WebSocket等技术引入了使页面动态化的技术。简而言之，它是一种新型的通信协议，比以前的通信协议更快，更有效。自从WebSocket问世以来，和其他技术一样，它的安全性也一直是人们讨论的话题，技术的安全性一直是人们面临的一个挑战。因此，在本文中，我们将研究Web套接字中可能出现的结构和安全问题，以选择HTTP的优秀替代方案并使用它。
2021-04-12 cs.CR
WAFBOOSTER: Automatic Boosting of WAF Security Against Mutated Malicious Payloads
WAFBOOSTER是一个基于学习的框架，通过影子模型和载荷生成技术识别WAF绕过漏洞并生成签名，将变异恶意载荷的拒绝率从21%提升至96%，且无误拒绝。
2025-01-23 cs.CR
