Exploiting ML algorithms for Efficient Detection and Prevention of JavaScript-XSS Attacks in Android Based Hybrid Applications
多年来，移动应用程序的安全性开发和分析已成为一个活跃的研究领域，因为许多应用程序容易受到不同的攻击。特别是在过去三年中出现了混合应用程序的概念，其中应用程序以本地语言和Web语言开发，因为Web语言的使用在混合移动应用程序中增加了某些安全风险，因为它创建了可能的渠道，恶意代码可以被注入应用程序中。WebView是混合移动应用程序中的重要组件，用于实现沙箱机制，以保护智能手机设备的本地资源免受未经授权的JavaScript访问。然而，WebView应用程序编程接口（API）也存在安全问题。例如，攻击者可以通过访问应用程序的公共方法绕过沙箱安全性来经由JavaScript代码攻击混合应用程序。跨站脚本（XSS）是一种最流行的恶意代码注入技术，用于通过JavaScript访问应用程序的公共方法。这项研究提出了一个框架，在混合应用程序中使用最先进的机器学习（ML）算法检测和预防XSS攻击。攻击的检测已经通过利用注册的Java对象功能来执行。数据集和示例混合应用程序是使用android studio开发的。然后使用了目前广泛使用的工具RapidMiner进行实证分析。实验结果表明，基于集成的随机森林算法的性能优于其他算法，准确率和F-测度均高达99%。
2020-07-30 cs.CR cs.SE
Data-Driven Vulnerability Detection and Repair in Java Code
Java平台提供了各种API来促进安全编码。然而，对于缺乏网络安全培训的开发人员来说，正确使用安全API通常具有挑战性。先前的工作表明，许多开发人员滥用安全API;这种滥用可能会将漏洞引入软件，使安全保护无效，并向黑客提供安全漏洞。为了消除这种API相关的漏洞，本文提出了SEADER -我们的新方法，检测和修复安全API滥用。给定一个示例性的不安全代码片段及其安全对应代码片段，SEADER会比较这些代码片段并进行数据依赖性分析，以推断安全API滥用模板和相应的修复操作。根据推断的信息，给定一个程序，SEADER执行过程间静态分析，以搜索任何安全API滥用，并针对这些漏洞提出定制的修复建议。为了评估SEADER，我们将其应用于25个<不安全，安全>代码对，SEADER成功地推断出18个独特的API误用模板和相关修复。通过这些漏洞修复模式，我们进一步将SEADER应用于10个开源项目，这些项目总共包含32个已知漏洞。我们的实验表明，SEADER检测漏洞的准确率为100%，召回率为84%，准确率为91%。此外，我们将SEADER应用于100个Apache开源项目，并检测到988个漏洞; SEADER始终正确地定制修复建议。根据SEADER的输出，我们提交了60个pull requests。截至目前，已有18个项目的开发商对SEADER的建议给予了积极的反馈。我们的研究结果表明，SEADE…
2021-02-13 cs.CR cs.SE
Performance Evaluation of Java File Security System (JFSS)
安全性是现代文件和存储系统的关键问题，保护存储的数据不受未经授权的访问势在必行。我们开发了一个名为Java文件安全系统（JFSS）的文件安全系统[1]，它可以根据所有用户的需求保证文件的安全性。它是在Java平台上开发的。Java已被用作程序设计语言，以提供可移植性，但它强制执行一些性能限制。它是在FUSE（用户空间中的文件系统）中开发的[3]。多年来，为了在用户空间（FUSE）中开发文件系统，已经做了许多努力。各有优缺点。在本文中，我们已经评估了Java文件安全系统（JFSS）的性能。一次又一次，安全性的提高是以牺牲用户的便利性、性能或与其他系统的兼容性为代价的。JFSS系统的性能评估表明，加密开销是适度的相比，安全性。
2013-11-13 cs.CR cs.OS cs.PF
Symmaries: Automatic Inference of Formal Security Summaries for Java Programs
Newcastle University（纽卡斯尔大学）；OcamlPro；University of Liverpool（利物浦大学）
Symmaries通过自动化生成Java程序的安全摘要，提升静态分析工具的精度和可扩展性。
2025-12-23 cs.CR cs.FL cs.PL
Jif: Language-based Information-flow Security in Java
在这份报告中，我们研究了Jif，一个Java扩展，它增强了语言与安全相关的功能。Jif为Java的类型系统增加了对安全标签的支持，这样开发人员就可以为程序中使用的各种变量指定机密性和完整性策略。我们列出了Jif的主要特点，并讨论了Jif有助于解决的信息流问题。我们通过两个例子来了解信息流问题是如何在现实世界的系统中发生的：Civitas，一个投票/投票系统，选民不一定信任投票代理，以及SIF，一个使用Jif实现的Web应用程序容器。最后，我们实现了一个小程序，模拟信息流的预订系统中包含敏感数据，并讨论了Jif的有用性基于这个程序。
2014-12-30 cs.CR cs.PL
Comparing Effectiveness and Efficiency of Interactive Application Security Testing (IAST) and Runtime Application Self-Protection (RASP) Tools in a Large Java-based System
本研究在大型Java系统OpenMRS上比较IAST与RASP等安全工具，发现IAST在效率和有效性上均居第二，能检测八个OWASP Top-10风险，是黑盒测试的有力补充工具。
2023-12-29 cs.CR cs.SE
Example-Based Vulnerability Detection and Repair in Java Code
Java库JCA和JSSE提供了加密API以促进安全编码。当开发人员滥用某些API时，他们的代码容易受到网络攻击。为了消除这些漏洞，人们构建了通过模式匹配检测安全API滥用的工具。然而，大多数工具不（1）修复误用或（2）允许用户扩展工具的模式集。为了克服这两个限制，我们创建了Seader--一种基于示例的方法来检测和修复安全API滥用。给定一个示例<insecure，secure>代码对，Seader比较代码片段以推断任何API滥用模板和相应的修复编辑。根据推断出的信息，给定一个程序，Seader执行过程间静态分析来搜索安全API误用并提出定制的修复方案。为了进行评估，我们将Seader应用于28个<不安全，安全>代码对; Seader成功地推断出21个独特的API误用模板和相关修复。通过这些<vulnerability，fix>模式，我们将SEADER应用于一个有86个已知漏洞的程序基准测试。Seader以95%的准确率、72%的召回率和82%的F分数检测到漏洞。我们还将Seader应用于100个开源项目，并手动检查了77个建议的修复;其中76个修复是正确的。Seader可以帮助开发人员正确使用安全API。
2022-04-28 cs.CR cs.SE
Secure Coding Practices in Java: Challenges and Vulnerabilities
Java平台和第三方库提供了各种安全功能，以促进安全编码。然而，滥用这些功能可能会花费开发人员的大量时间和精力，或者导致软件中的安全漏洞。之前的研究主要集中在密码学和SSL API的滥用上，但没有探索关键的基础研究问题：安全编码实践中最大的挑战和漏洞是什么？在本文中，我们对StackOverflow帖子进行了全面的实证研究，以了解开发人员对Java安全编码的关注，他们的编程障碍以及代码中的潜在漏洞。我们观察到开发人员已经将他们的工作转移到使用Spring安全性提供的身份验证和授权功能上-Spring安全性是一个旨在保护企业应用程序的第三方框架。多种编程挑战与API或库有关，包括加密API的复杂跨语言数据处理，以及配置Spring安全性的复杂的基于Java或基于XML的方法。更有趣的是，我们在建议的接受答案代码中发现了安全漏洞。这些漏洞包括使用不安全的散列函数（如MD5），通过绕过证书验证破坏SSL/TLS安全性，以及不安全地禁用针对跨站点请求伪造（CSRF）攻击的默认保护。我们的研究结果揭示了安全编码援助和教育的不足，以及安全理论和编码实践之间的差距。
2017-09-28 cs.CR
Gelato: Feedback-driven and Guided Security Analysis of Client-side Web Applications
尽管在过去的十年中，在分析客户端Web应用程序方面投入了大量的精力，但现有的工具往往无法处理现代JavaScript应用程序的复杂性。然而，从攻击者的角度来看，这种Web应用程序的客户端可能会泄露有关服务器端的宝贵信息。在本文中，我们首先研究了现有的工具，并列举了安全意识的客户端分析应该支持的最重要的功能。接下来，我们提出GELATO来检测现代客户端JavaScript应用程序中的漏洞，这些应用程序构建在复杂的库和框架上。特别是，我们采取的第一步，在关闭状态感知爬行和客户端安全分析之间的差距，提出了一个反馈驱动的安全意识引导爬虫，能够自动分析复杂的框架，并有效地增加程序的安全敏感部分的覆盖范围。此外，我们提出了一个新的轻量级客户端污点分析，优于最先进的工具，不需要修改浏览器，并报告现代JavaScript应用程序上的非平凡的污点流。
2020-04-14 cs.CR cs.SE
Java File Security System (JFSS)
如今，存储系统越来越容易受到攻击。因此，安全系统正迅速成为数据存储系统的重要特征。出于安全目的，我们总是依赖于密码技术。这些技术需要整个系统的性能成本。因此，我们提出了Java文件安全系统（JFSS）。它基于按需计算系统的概念，因为性能问题。这是对系统性能的一个很好的反馈。使用这个概念是因为，我们并不总是需要安全的文件，但只需要选定的文件。本文设计了一个基于Windows XP的文件安全系统。当我们使用操作系统时，我们必须保护一些重要数据。数据总是存储在文件中，所以我们很好地保护了重要文件。为了检验所提出的功能，我们在Windows操作系统上对上述系统进行了实验。通过这些实验，我们已经发现，所提出的系统工作正常，根据用户的需求。
2013-11-13 cs.CR
Java Card Virtual Machine Memory Organization: a Design Proposal
Java Card Virtual Machine（JCVM）平台广泛部署在面向安全的组件上。JCVM实现主要在安全方案下进行评估。然而，现有的实现是封闭源代码的，没有详细说明。我们相信研究如何设计JCVM将改善它们，它可以被社区重用，以提高Java Card的安全性。在2018年，Bouffard等人[6]介绍了一种旨在运行JCVM兼容实现的操作系统（OS）。此操作系统与几个商用现成（COTS）组件兼容。这是设计安全JCVM平台的第一步。然而，设计一个面向安全的Java Card平台缺少一些重要的细节。在本文中，我们将重点介绍JCVM内存。该内存包含运行JCVM和小程序所需的所有内容。目前，JCVM内存不在Java Card规范中，每个JCVM开发人员都使用自己的方法。基于现有的工具和文档，我们解释了如何从Java Card工具链中提取小程序和JCVM所需的每一个数据。当确定要存储在内存中的数据时，本文介绍如何将所需数据组织到JCVM内存中。
2021-10-19 cs.CR
A "Final" Security Bug
本文讨论了Google Tink的Ed25519 Java实现中修复的关键安全错误。该漏洞允许远程攻击者提取只有两个Ed 25519签名的私钥。该漏洞源于对Java程序设计语言中“final”含义的误解。该漏洞是在Google Tink正式发布之前的安全审查中发现的。它强化了编写安全加密代码的挑战，以及安全审查过程的重要性，即使是对于专业密码学家编写的代码。
2020-04-03 cs.CR
Java Card for PayTv Application
灵巧卡与收费电视接收器一起广泛使用，以存储秘密用户密钥并执行安全功能，以防止任何未经授权的收费电视频道观看。Java Card技术使用Java程序设计语言编写的程序能够在灵巧卡上运行。灵巧卡是当今使用的最小的计算平台之一。智能卡的存储器配置为4K RAM、72K EEPROM和24K ROM的数量级。与普通灵巧卡相比，使用Java卡在易于编码、更快的上市时间和更快的升级方面为行业提供了优势。此外，不同的应用程序，如付费电视，电子商务，健康卡可以很容易地在一个单一的java卡中实现，因为对应于每个应用程序的多个小程序可以共存于一个单一的java卡。但是java卡存在安全问题和性能问题。在本文中，我们分析了使用Java卡付费电视应用程序的一部分，条件接收系统的普通灵巧卡的地方的适用性。
2013-06-24 cs.CR
Bytecode-centric Detection of Known-to-be-vulnerable Dependencies in Java Projects
针对Java生态中依赖修改导致现有扫描器漏检的问题，提出字节码中心的依赖扫描器Jaralyzer，直接分析字节码，在56个流行组件的评估中表现优于现有工具，尤其适配各类修改后的依赖检测。
2025-10-22 cs.CR cs.SE
Source Code Analysis to Remove Security Vulnerabilities in Java Socket Programs: A Case Study
本文通过对一个用Java开发的文件阅读器服务器套接字程序（面向连接的套接字）的源代码分析，阐述了5个重要的软件安全漏洞的识别、影响分析和消除方案，这些漏洞如果不被关注，可能会严重影响运行软件的服务器以及托管服务器的网络。本文研究的五个漏洞是：（1）资源注入，（2）路径操纵，（3）系统信息泄漏，（4）拒绝服务和（5）未释放资源漏洞。我们分析了这些漏洞出现在文件读取器服务器套接字程序中的原因，讨论了在程序中不加注意的影响，并提出了从程序中删除这些漏洞的解决方案。我们还分析了任何潜在的性能权衡（如代码大小的增加和功能的损失），可能会出现，同时将建议的解决方案上的服务器程序。所提出的解决方案本质上是非常通用的，并且可以被适当地修改以纠正以任何其他程序设计语言开发的软件中的任何这样的漏洞。我们使用Fortify源代码分析器对文件阅读器服务器程序进行源代码分析，该程序在Windows XP虚拟机上使用标准J2SE v.7开发工具包实现。
2013-02-06 cs.CR
Do I really need all this work to find vulnerabilities? An empirical case study comparing vulnerability detection techniques on a Java application
应用漏洞检测技术是使用软件项目有限资源的许多任务之一。目的：本研究的目标是通过实证研究的效率和有效性的四种技术对基于Java的Web应用程序的使用软件漏洞检测技术，以帮助管理人员和其他决策者作出明智的选择。实验方法：我们将四种不同类别的漏洞检测技术\textendash-系统性手动渗透测试（SMPT）、探索性手动渗透测试（EMPT）、动态应用程序安全测试（DAST）和静态应用程序安全测试（SAST）\textendash应用于开源病历系统。结果：我们使用SAST发现了最多的漏洞。然而，EMPT发现了更严重的漏洞。对于每种技术，我们都发现了使用其他技术没有发现的独特漏洞。手动技术（EMPT、SMPT）的效率在每小时漏洞（VpH）方面与自动技术（DAST、SAST）的效率相当或更好。结论：从业者应该选择的漏洞检测技术可能会因项目的目标和可用资源而异。如果组织的目标是找到项目中的“所有”漏洞，那么他们需要在资源允许的范围内使用尽可能多的技术。
2022-08-02 cs.CR cs.SE
Lost in Migration: Exposing Android Framework Vulnerabilities in Parallel Java-Kotlin Implementations
Singapore Management University（新加坡国立大学）；Shandong University（山东大学）
本文首次系统研究Android框架中Java-Kotlin并行实现的语义差异，设计ParaDroid分析框架识别并比较并行方法，发现37个可利用漏洞，其中3个已确认并分配CVE。
2026-06-05 cs.CR
To what extent can we analyze Kotlin programs using existing Java taint analysis tools? (Extended Version)
作为Java的替代品，Kotlin自推出以来迅速流行，并已成为开发Android应用程序的默认选择。然而，由于其与Java的互操作性，Kotlin程序可能包含与Java程序几乎相同的安全漏洞。因此，我们质疑：在多大程度上可以对Kotlin代码使用现有的Java静态污点分析？在本文中，我们研究了与Java相比，在Kotlin中实现污点分析的挑战。为了回答这个问题，我们进行了一项探索性研究，对每个Kotlin结构进行了检查，并与其Java等效结构进行了比较。我们确定了18个工程挑战，由于Kotlin的独特结构或Kotlin和Java编译器之间生成的字节码的差异，静态分析作者需要以不同的方式处理这些挑战。对于其中的八个，我们提供了一个概念性的解决方案，而其中的六个是我们作为SecuCheck-Kotlin的一部分实现的，这是对现有Java污点分析SecuCheck的扩展。
2022-07-29 cs.CR cs.PL cs.SE
Maven-Lockfile: High Integrity Rebuild of Past Java Releases
KTH Royal Institute of Technology（皇家理工学院）；Université de Montréal（蒙特利尔大学）
针对Java生态核心包管理器Maven无原生lockfile支持的问题，提出Maven-Lockfile工具，可生成含全依赖校验和的锁文件，支持历史版本高完整性复现构建与篡改检测，助力Java软件供应链安全研究。
2025-10-06 cs.CR cs.SE
An Investigation into Misuse of Java Security APIs by Large Language Models
University of Adelaide（阿德莱德大学）；CREST（CREST机构）；Cybersecurity CRC（网络安全合作研究中心）；CSIRO’s Data61（澳大利亚联邦科学与工业研究组织数据61部门）；Queensland University of Technology（昆士兰科技大学）
本文通过 5 个安全 API、48 个任务及每任务 30 次尝试，评估 ChatGPT 生成 Java 安全 API 代码的可信度，发现约 70% 实例存在误用。
2024-04-04 cs.CL cs.CR cs.CY
A Study of Vulnerability Repair in JavaScript Programs with Large Language Models
Simon Fraser University（西蒙菲莎大学）
本研究探讨了ChatGPT和Bard等大型语言模型在修复JavaScript程序安全漏洞中的准确性，并发现提示中适当的上下文对生成正确补丁至关重要。
2024-03-19 cs.AI cs.CR
Cross-ecosystem categorization: A manual-curation protocol for the categorization of Java Maven libraries along Python PyPI Topics
本研究针对不同软件生态系统类别名称不统一、难以跨生态比较库数据集的问题，设计了一套人工引导的通用分类协议，参照PyPI主题对256个有严重漏洞的Java/Maven库分类，验证了可行性，为跨生态实证研究的机器学习提供基准真值。
2024-03-10 cs.CR cs.SE
Cyber Security in Containerization Platforms: A Comparative Study of Security Challenges, Measures and Best Practices
本文比较研究了容器化平台的安全挑战、措施与最佳实践，通过分析安全漏洞、探索容器隔离策略及评估加密技术，为组织加强网络安全防御提供实用指导。
2024-04-28 cs.CR
Mayall: A Framework for Desktop JavaScript Auditing and Post-Exploitation Analysis
用JavaScript编写桌面应用程序为开发人员提供了编写具有最先进功能的跨平台应用程序的机会。然而，在这样做的过程中，他们可能会将代码提交给恶意行为者的一些未经批准的修改。Electron就是这样一个JavaScript应用程序框架，它促进了这种多平台的开箱即用范式，并基于Node.js JavaScript运行时--一种越来越流行的服务器端技术。在将这项技术引入客户端环境的过程中，由于Node.js提供了强大的系统编程接口，以前未意识到的风险暴露给了用户。为了突出这些快速扩展的框架中以前未暴露的风险，本文提出了Mayall框架，这是一个可扩展的工具包，旨在进行JavaScript安全审计和开发后分析。该论文还公开了15个非常受欢迎的Electron应用程序，并表明三分之二的应用程序被发现使用了CVSS得分较高的已知易受攻击的元素。此外，本文还披露了Electron Framework中一个影响广泛且被忽视的漏洞，该漏洞是每个应用程序未更改的运行时的直接副产品，允许恶意行为者修改源代码并在经过验证和签名的应用程序中无限制地注入隐蔽的恶意软件。最后，一些注入矢量进行了探讨，并提出了适当的补救措施。
2018-11-15 cs.CR cs.SE
Evaluation of Static Vulnerability Detection Tools with Java Cryptographic API Benchmarks
几项研究表明，加密API的误用在现实世界的代码中很常见（例如，Apache项目和Android应用程序）。有几个开源和商业安全工具可以自动筛选Java程序以检测滥用。为了比较它们的准确性和安全性保证，我们开发了两个综合基准，名为CryptoAPI-Bench和ApacheCryptoAPI-Bench。CryptoAPI-Bench由181个单元测试用例组成，涵盖基本用例，以及复杂用例，包括过程间、字段敏感、多类测试用例，以及误用用例的路径敏感数据流。该基准还包括测试假阳性率的正确案例。ApacheCryptoAPI-Bench由来自10个Apache项目的121个加密案例组成。我们使用这两个基准测试评估了四个工具，即SpotBugs，CryptoGuard，CrySL和Coverity。我们介绍了它们的性能和比较分析。ApacheCryptoAPI-Bench还检查了工具的可扩展性。我们的基准对于在误用检测领域推进最先进的解决方案非常有用。
2021-12-07 cs.CR
Obfuscating Code Vulnerabilities against Static Analysis in JavaScript Code
University of Verona（维罗纳大学）；University of Cagliari（卡利亚里大学）；School of Advanced Defense Studies (CASD)（高级防务研究学院（CASD））；National Interuniversity Consortium for Informatics（国家大学间信息学联盟）
本文研究了JavaScript代码混淆对静态应用安全测试工具的影响，通过实证分析发现常见混淆技术可显著降低漏洞检测率，揭示当前SAST工具在面对混淆代码时的不足。
2026-04-01 cs.CR
A Large Scale Analysis of Android-Web Hybridization
许多Android应用程序通过WebView组件嵌入网页，并在Android中执行JavaScript代码。混合应用程序利用专用API加载资源并在WebView中呈现。此外，Android对象可以与JavaScript世界共享。然而，桥接Android和JavaScript世界的接口也可能招致严重的安全威胁：潜在不受信任的网页及其JavaScript可能会干扰Android环境及其对本地功能的访问。目前还没有一般性的分析来评估这种连接两个世界的混合应用程序的影响。为了理解混合应用程序的语义和效果，我们对混合API的使用进行了大规模的研究。我们分析并分类了7,500个随机选择的混合API的参数和196个来自Google Play商店的最流行的应用程序以及1000个恶意软件样本。我们的研究结果促进了对混合应用程序的普遍理解，以及对潜在程序分析和当前安全状况的影响：我们发现了数千个从Android到JavaScript的敏感数据流，其中绝大多数可能流向潜在的不可信代码。我们的分析确定了许多网页嵌入漏洞，我们示范性地利用了这些漏洞。此外，我们发现了大量的应用程序，其中潜在的不受信任的JavaScript代码可能会干扰（受信任的）Android对象，无论是在良性还是恶性应用程序中。
2020-08-05 cs.CR cs.PL cs.SE
Weaver: Fuzzing JavaScript Engines at the JavaScript-WebAssembly Boundary
Zhejiang University（浙江大学）；Ant Group（蚂蚁集团）；Georgia Institute of Technology（佐治亚理工学院）
本文提出Weaver框架，通过类型感知生成策略和UCB-1算法，有效发现JavaScript与WebAssembly交互边界的新漏洞，展示了其在代码覆盖率和漏洞发现上的优势。
2026-03-19 cs.CR
PPT4J: Patch Presence Test for Java Binaries
本文提出针对 Java 字节码的补丁存在性测试框架 PPT4J，通过从补丁中提取语义信息并利用基于特征的技术识别补丁行，在包含 110 个漏洞的数据集上取得 98.5% 的 F1 分数，并在 IntelliJ IDEA 中发现了未修补的第三方库漏洞。
2024-01-15 cs.CR cs.SE
Enhancing CryptoGuards Deployability for Continuous Software Security Scanning
通过敏捷提高开发速度可能会在过程中引入被忽视的安全步骤，例如爱荷华州会议应用程序。要保护社会安全号码等机密信息，需要在所有级别上提供安全性，通过任何连接的应用程序提供保护。CryptoGuard是一个Java静态代码分析器。该程序验证开发人员不会在其应用程序中留下漏洞。该程序通过识别加密滥用（如硬编码密钥、弱程序哈希和使用不安全协议）来帮助开发人员。在我的硕士论文工作中，我为提高CryptoGuard的可部署性、可访问性和可用性做出了几项重要贡献。我扩展了CryptoGuard来扫描源代码和编译代码，创建实时文档，并支持双重云和本地工具套件。我还为CryptoGuard创建了构建工具插件和程序辅助。此外，我还分析了几个与Java相关的调查，其中包括超过50，000名开发人员，并报告了真实世界软件开发人员的有趣的当前实践。
2021-12-13 cs.CR
Classification of Various Security Techniques in Databases and their Comparative Analysis
数据安全是数字世界中最重要和最主要的挑战之一。在互联网上进行的每一项操作都要求数据的安全性、隐私性和完整性。每当讨论数据的安全性时，它主要是在不可靠的通信网络上安全传输数据的背景下。但是数据库中数据的安全性也同样重要。在本文中，我们将介绍一些常见的数据安全技术，这些技术可以在加固和加强数据库中实现。
2012-06-19 cs.CR
A Discussion and Comparative Study on Security and Privacy of Smart Meter Data
云计算伴随着隐私和安全问题带来了很多高级功能。智能电表数据利用智能电网中的云计算。通过分析家用电器产生的智能电表数据，用户的隐私可能会受到损害。当数据转移到云端时，用户失去了对数据的控制。本文介绍了云环境下智能电表数据的隐私和安全问题。我们还比较了现有的方法来保护智能电表数据的隐私和安全性。
2021-11-17 cs.CR
KotlinDetector: Towards Understanding the Implications of Using Kotlin in Android Applications
Java程序设计语言长期以来一直用于开发原生Android移动应用程序。在过去的几年里，许多公司和自由职业者已经部分或全部改用Kotlin。因此，许多项目都是以二进制文件的形式发布的，并混合使用Java和Kotlin语言结构。然而，这种转变的真正安全和隐私影响尚未得到彻底研究。在这项工作中，开发了一个最先进的工具KotlinDetector，通过执行启发式模式扫描和调用跟踪，直接从Android应用程序包（APK）中提取任何Kotlin的存在，百分比和许多语言功能。我们的评估研究表明，该工具是相当有效和准确的。我们还提供了一个用例，其中KotlinDetector的输出与现有漏洞扫描工具AndroBugs的输出相结合，以推断任何安全和/或隐私影响。
2021-05-20 cs.CR cs.SE
A Comparative Analysis of Vulnerability Management Tools: Evaluating Nessus, Acunetix, and Nikto for Risk Based Security Solutions
针对网络安全威胁态势演变下组织选择漏洞管理工具的挑战，本文全面比较分析Nessus、Acunetix和Nikto的检测准确率、CVSS风险评分等多维度指标，为基于风险的安全解决方案提供工具选择参考。
2024-11-28 cs.CR
An Empirical Analysis of CodeQL False Positives and Query Refinements for Java Vulnerabilities
College of Computing & Informatics Drexel University（德雷塞尔大学计算与信息学院）；Department of Computer Science Cornell University（康奈尔大学计算机科学系）
该研究分析Java漏洞的CodeQL误报模式，实现查询优化可减少大量误报，还验证了智能编码工具能将优化模式适配新项目，支持以优化为导向的SAST工作流以降低排查工作量。
2026-09-16 cs.CR cs.PL cs.SE
Usability and Security Effects of Code Examples on Crypto APIs - CryptoExamples: A platform for free, minimal, complete and secure crypto examples
上下文：据说加密API不可用，研究人员建议在文档中添加示例代码。目的：我们希望为加密代码示例创建一个免费平台，以提高非安全专家创建的应用程序的可用性和安全性。方法：我们创建了开源网络平台CryptoExamples，并进行了一项受控实验，其中58名学生将对称加密添加到Java程序中。然后我们测量了可用性和安全性。结果如下：使用该平台的参与者不仅效率显著提高（+73%），而且他们的代码包含的安全漏洞也显著减少（-66%）。结论：通过CryptoExamples，可以弥合难以更改的API文档与完整安全的代码示例之间的差距。不过，该平台还需要更多的代码示例。
2018-07-03 cs.CR cs.SE
Symmetric Algorithm Survey: A Comparative Analysis
随着互联网商业和通信技术的普及和渗透，信息安全已成为当今世界的一个重要问题，成为应对安全威胁的潜在媒介。为了克服这些安全威胁，现代数据通信使用密码学，通过实现安全参数计数保密性、认证、责任和准确性，密码学是安全传输信息的有效、高效和必要的组成部分。为了实现数据安全性，使用不同的加密算法（对称和非对称），将数据混合成潦草的格式，只能由需要密钥的用户进行逆转。本文提出了一个全面的比较分析不同现有的密码算法（对称）的基础上，他们的架构，可扩展性，灵活性，可靠性，安全性和限制是必不可少的安全通信（有线或无线）。
2014-05-02 cs.CR
Security Vulnerability Patterns in AI-Generated Code: A Cross-Model Comparative Study
The Beacom College of Computer & Cyber Sciences Dakota State University（达科他州立大学比科姆计算机与网络科学学院）
研究基于大语言模型的编码工具生成的自动化脚本安全风险，通过跨模型收集代码并审查漏洞，发现风险与任务类别有关，各模型漏洞情况相似，组织应思考是否不经审查就部署此类自动化代码。
2026-07-24 cs.CR cs.SE
Java Components Vulnerabilities - An Experimental Classification Targeted at the OSGi Platform
OSGi平台在两个不同的应用领域发现了越来越多的兴趣：嵌入式系统和应用服务器。然而，该平台的安全属性几乎没有研究，这可能会阻碍其在生产系统中的使用。基于OSGi的应用程序的动态方面（可以在运行时扩展）使它们容易受到恶意代码注入的攻击，这一点尤为重要。因此，我们对OSGi平台进行了系统的审计，以便构建一个漏洞目录，该目录旨在引用源于核心规范的OSGi漏洞，以及与Java语言使用相关的行为。不考虑标准服务。为了支持这种审计，定义了一个半正式的漏洞模式，它可以唯一地描述每个漏洞的基本属性，在模式中包含详细描述，引用已知的安全保护，并跟踪利用漏洞的概念验证OSGi捆绑包的实现状态。在分析目录的基础上，建立了一个健壮的OSGi平台，并提出了改进OSGi规范的建议。
2007-07-27 cs.CR cs.OS
IRIS: LLM-Assisted Static Analysis for Detecting Security Vulnerabilities
提出IRIS神经符号方法，结合LLMs与静态分析进行全仓库推理以检测安全漏洞，在CWE-Bench-Java数据集上检测出55个漏洞并发现4个未知漏洞。
2025-04-06 cs.CR cs.PL cs.SE
Comparative Analysis of AI-Driven Security Approaches in DevSecOps: Challenges, Solutions, and Future Directions
本研究通过系统文献综述比较了DevSecOps中AI驱动的安全解决方案，评估其技术能力、实施挑战与运营影响，揭示了实证验证等方面的研究空白，并提出了优化AI安全框架的最佳实践与未来方向。
2025-04-27 cs.CR
How Effective Are Neural Networks for Fixing Security Vulnerabilities
Purdue University（普渡大学）；University of Waterloo（滑铁卢大学）；York University（约克大学）；University of Alberta（阿尔伯塔大学）；J.P. Morgan AI Research（摩根大通AI研究院）
本文首次系统比较了LLMs与基于深度学习的APR模型在Java漏洞修复上的能力，提出新基准VJBench及变换版本，并发现现有方法修复率低、Codex表现相对最好，呼吁通过更大训练数据、微调和代码简化变换来提升自动修复效果。
2024-04-02 cs.AI cs.CR cs.SE
A Comparative Qualitative and Quantitative Analysis of the Performance of Security Options for Message Protocols: Fog Computing Scenario
我们分析了在物联网和雾计算中使用订阅-订阅协议，以及围绕安全配置、性能和定性特征的挑战。安全配置的这种问题导致严重的中断和高运营成本。然而，这些问题可以通过为每种配置选择适当的传输技术来防止，同时考虑尺寸、安装、传感器配置文件、分布、安全性、网络和位置的变化。这项工作的目的是围绕不同的配置提出一个比较定性和定量分析，重点是智能农业的场景，特别是养鱼的情况。因此，我们应用数据生成工作台来创建相关研究数据的数据集，并在性能、资源利用率、安全性和弹性方面对结果进行比较。此外，我们提供了一个定性分析的用例场景产生的定量数据。作为一项贡献，这种强大的分析为雾计算工程师分析适用于各种配置的最佳协议提供了决策支持蓝图。
2022-10-26 cs.CR
Security of LLM-generated Code: A Comparative Analysis
Carleton University（卡尔顿大学）
本研究通过模拟开发者使用LLM生成代码的行为，评估了七种流行LLM生成代码的安全性，发现所有模型均生成包含漏洞的代码，且多数为严重或高危漏洞。
2026-05-21 cs.AI cs.CR cs.SE
ZTD$_{JAVA}$: Mitigating Software Supply Chain Vulnerabilities via Zero-Trust Dependencies
本文提出零信任依赖方法，将NIST ZTA应用于软件应用，设计了系统ZTD$_{SYS}$与Java原型ZTD$_{JAVA}$，以低成本有效防御软件供应链漏洞。
2024-12-20 cs.CR cs.SE
Fakeium: A Dynamic Execution Environment for JavaScript Program Analysis
针对静态分析难处理混淆代码、动态分析成本高的问题，本文提出基于 V8 的开源轻量环境 Fakeium，以低开销支持大规模 JavaScript 动态分析并发现隐藏 API 调用。
2024-10-28 cs.CR cs.SE
Understanding the Quality of Container Security Vulnerability Detection Tools
虚拟化使信息和通信技术行业能够更好地管理计算资源。在这方面，虚拟化方法的改进以及对一致的运行时环境、更低的开销和更小的包大小的需求导致了容器的日益普及。这是一种技术，它将应用程序、其依赖项和操作系统（OS）打包为一个独立的单元运行。然而，使用容器的紧迫问题是它对安全攻击的敏感性。因此，许多集装箱扫描工具可用于检测集装箱安全漏洞。因此，在这项研究中，我们通过提出两个反映覆盖率和准确性的指标来调查现有集装箱扫描工具的质量。我们使用不同的容器扫描工具（如Clair，Closore和Microscanner）分析了DockerHub上托管的Java应用程序的59个流行的公共容器映像。我们的研究结果表明，现有的容器扫描方法不能检测应用程序包漏洞。此外，现有的工具不具有高准确性，因为34%的漏洞被性能最好的工具遗漏。最后，我们还通过评估完整的漏洞环境来展示托管在DockerHub上的Java应用程序的Docker映像的质量，即，在图像中检测到的漏洞数量。
2021-01-11 cs.CR
CryptoGuard: High Precision Detection of Cryptographic Vulnerabilities in Massive-sized Java Projects
密码API的滥用，如暴露的秘密，可预测的随机数，脆弱的证书验证，严重威胁软件安全。自动筛选加密API调用的愿景是在1000个大小的（例如，Java程序并不新鲜。然而，由于在不影响分析质量的情况下减少假阳性的实际困难，这一目标尚未实现。最先进的加密API筛选解决方案不是为大规模操作而设计的。我们的技术创新是一套快速、高精度的切片算法。我们的算法通过识别语言特定的不相关元素来细化程序切片。在我们的实验中，这些改进将错误警报减少了76%到80%。在46个高影响力的大型Apache项目和6，181个Android应用程序上运行我们的工具CrytoGuard，产生了许多安全见解。我们的发现帮助多个流行的Apache项目强化了他们的代码，包括Spark、Ranger和Ofbiz。我们在这一领域的分析科学方面也取得了实质性进展，包括：i）手动分析了1，295个Apache警报，并确认了1，277个真阳性（98.61%的准确率），ii）创建了一个包含38个单元基本案例和74个单元高级案例的基准，iii）与包括CrySL，SpotBugs和Coverity在内的领先解决方案进行了深入比较。我们正在将CryptoGuard与软件保障市场（SWAMP）集成。
2019-03-27 cs.CR
Security and Privacy in Virtual and Robotic Assistive Systems: A Comparative Framework
School of Information Technology, University of Cincinnati（辛辛那提大学信息技术学院）
本文比较分析了虚拟和机器人辅助系统在安全与隐私方面的挑战，提出统一的威胁建模框架，并提供设计建议以开发安全、隐私保护和可信的辅助技术。
2026-04-09 cs.CR
A Comparative Analysis of the Cyber Security Strategy of Bangladesh
技术是现代社会一种无休止的进化表达，它增加了人们对安全的担忧，推动我们创造网络环境。一个国家的国家网络安全战略（NCSS）反映了该国的网络实力，代表了一个国家网络安全的目标和愿景。以前，研究人员通过比较不同国家之间的NCSS进行国际合作和协调，一些研究人员为各自政府制定政策框架。然而，通过对不同国家的国家社会保障系统进行交叉比较，对孟加拉国国家社会保障系统的战略实力进行评估的尝试非常微不足道。因此，本研究的目的是评估孟加拉国现有网络安全战略的稳健性，与亚洲大陆一些技术最先进的国家以及美国，日本，新加坡，马来西亚和印度等国家进行比较，以保持孟加拉国的NCSS最新。
2019-05-01 cs.CR
Evolutionary Large Language Models for Hardware Security: A Comparative Survey
本文综述了在设计阶段利用大型语言模型自动检测与缓解硬件安全漏洞的方法，比较了现有模型的可扩展性与可解释性，并提出了开发专用架构与融合领域知识等未来研究方向。
2024-04-25 cs.CR
Rowhammer.js: A Remote Software-Induced Fault Attack in JavaScript
软件安全中的一个基本假设是，内存位置只能由可能写入该内存位置的进程修改。然而，最近的研究表明，DRAM中的寄生效应可以改变存储单元的内容，而不访问它，而是通过以高频率访问其他存储单元。这种所谓的Rowhammer错误发生在今天的大多数内存模块中，并对所有受影响系统的安全性产生致命后果，例如，特权升级攻击。到目前为止，所有与Rowhammer相关的研究和攻击都依赖于缓存刷新指令的可用性，以便以足够高的频率访问DRAM模块。我们克服了这个限制，击败复杂的缓存替换策略。我们表明，高速缓存可以被迫进入快速缓存驱逐触发Rowhammer错误，只有定期的内存访问。这允许在高度受限甚至脚本环境中触发Rowhammer错误。我们演示了一个完全自动化的攻击，只需要一个网站与JavaScript触发远程硬件故障。因此，我们可以不受限制地访问网站访问者的系统。我们表明，攻击的现成的系统。现有的对策无法防止这种新的Rowhammer攻击。
2016-04-05 cs.CR
IFC Inside: Retrofitting Languages with Dynamic Information Flow Control (Extended Version)
JavaScript中的许多重要安全问题，例如浏览器扩展安全性、不可信的JavaScript库和相互不信任的网站的安全集成（mash-up），可以使用信息流控制（IFC）的有效实现来有效地解决。不幸的是，现有的JavaScript IFC的细粒度方法需要修改语言语义及其引擎，而这不是浏览器应用程序的目标。在这项工作中，我们采取粗粒度的动态IFC的想法，并提供了一个基于语言的方法，可以应用于任何程序设计语言的外部效果可以控制的理论基础。然后，我们将这种形式主义应用到服务器端和客户端JavaScript，展示它如何推广到C程序设计语言，并将其连接到Haskell LIO系统。我们的方法提供的信息流控制系统的建设时，隔离可以很容易地实现，以及组合证明这些系统的优化具体实施，通过将它们与他们的隔离的变种的设计原则。
2015-01-16 cs.CR cs.PL
Uncovering Hidden Inclusions of Vulnerable Dependencies in Real-World Java Projects
Paderborn University（帕德博恩大学）；SAP Labs（SAP实验室）；SAP SE（SAP公司）；Fraunhofer IEM（弗劳恩霍夫IEM研究所）
Unshade通过结合元数据扫描的效率和基于代码的扫描能力，揭示现实世界Java项目中隐藏的易受攻击依赖项，发现大量未被传统方法检测到的漏洞。
2026-01-30 cs.CR cs.SE
