Towards automated web application logic reconstruction for application level security
像Web应用程序防火墙（WAF）这样的现代覆盖安全机制无法识别自定义高级应用程序逻辑和数据对象，这导致低准确性、高误报率以及用于微调的过度手动工作。在本文中，我们提出了一种基于安全目的的Web应用程序建模方法，可以帮助下一代WAF适应特定的Web应用程序，并尽可能自动地进行建模。我们的目标是创建多层模型，充分模拟Web应用程序功能的各个方面，这是入侵检测和预防，包括请求解析和路由，动作和数据对象的重建，以及动作的相互依赖性。
2015-11-09 cs.CR
WebSpec: Towards Machine-Checked Analysis of Browser Security Mechanisms
浏览器的复杂性多年来一直在稳步增长，这是由于Web平台组件的不断引入和更新，例如新的Web API和安全机制。他们的规格由专家手动审查，以确定潜在的安全问题。然而，由于现代浏览器规范的广泛性以及新的和现有的Web平台组件之间的相互作用，这个过程被证明是容易出错的。为了解决这个问题，我们开发了WebSpec，这是第一个用于分析浏览器安全机制的正式安全框架，它可以自动发现逻辑缺陷并开发机器检查的安全证明。WebSpec特别包括Coq证明助手中的浏览器的综合语义模型，该模型中的10个Web安全不变量的形式化，以及将Coq模型和Web不变量转换为SMT-lib公式的工具链，以启用Z3定理证明器的模型检验。如果发现违规行为，工具链会自动生成与发现的攻击跟踪相对应的可执行测试，并在主要浏览器中进行验证。我们展示了WebSpec的有效性，发现两个新的逻辑缺陷所造成的不同的浏览器机制的相互作用，并确定三个以前发现的逻辑缺陷，在当前的Web平台，以及五个旧版本。最后，我们展示了WebSpec如何帮助验证我们提出的更改，以修改影响当前Web平台的报告不一致。
2022-09-01 cs.CR
Security Monitoring of the Cyber Space
攻击者正在滥用互联网安全和隐私服务来执行网络攻击。为了应对这些威胁，网络运营商利用各种安全工具和技术来监控网络空间。推断互联网威胁活动的一种有效方法是从基于陷阱的监测传感器收集信息。因此，本章主要定义了基于网络空间陷阱的监测系统及其分类。此外，它还介绍了最先进的研究贡献和技术，工具和技术。此外，报告还指出了科学和技术方面的差距。此外，它还介绍了一些案例研究和实用的方法，对应于大规模的网络监控系统，如尼克特。我们进一步提出了一些相关的安全政策和法律问题的网络监控。本章概述互联网监察，并为读者提供指引，帮助他们了解透过计算机网络陷阱观察、侦测及分析网络攻击的概念。
2016-08-04 cs.CR
An Analysis of Modern Web Security Vulnerabilities Inside WebAssembly Applications
University of Cagliari（卡利亚里大学）；National Interuniversity Consortium for Informatics（意大利国家跨大学信息技术联合会）
本文分析了WebAssembly应用中的现代网络安全漏洞，揭示了二进制漏洞可能带来的安全风险，并提出了最佳实践和防御策略以缓解相关威胁。
2026-03-10 cs.CR
Multi-Stage Threat Modelling and Security Monitoring in 5GCN
第五代移动网络（5G）承诺了一系列新功能，包括更高的数据率和更多的连接用户。为了支持新的功能和用例，5G核心网络（5GCN）将是动态和可重新配置的，以满足需求。正是这些改进也为传统的安全监控方法和技术引入了问题，这些方法和技术需要适应新的网络架构。不断增加的数据量和动态的网络架构意味着需要一种方法来将安全监控资源集中在最需要的地方，并对网络变化做出实时的反应。在考虑多阶段威胁场景时，需要一种协调的集中式安全监控方法，以早期检测可能影响网络不同部分的攻击。在本章中，我们确定了克服这些挑战的潜在解决方案，首先确定5G网络的威胁，以确定5GCN中合适的安全监控位置。
2021-08-25 cs.CR
Herding Vulnerable Cats: A Statistical Approach to Disentangle Joint Responsibility for Web Security in Shared Hosting
主机提供商在打击网络攻击方面发挥着关键作用，但他们防止滥用的能力受到其客户安全实践的限制。{ \em Shared}托管提供了一个独特的视角，因为客户在受限的权限下操作，而提供商对配置保留更多的控制权。我们提出了第一个实证分析的网络安全功能和软件补丁的做法，在共享主机提供商的分布，提供商对这些安全措施的影响，以及它们对网络的危害率的影响。我们通过收集来自442，684个域的指标，在全球共享主机市场上构建提供商级别的功能-包含1，259个提供商。15个指标的探索性因素分析确定了四个主要的潜在因素，捕捉安全工作：内容安全，网站管理员安全，网络基础设施安全和网络应用程序安全。我们确认，通过固定效应回归模型，供应商施加显着影响后两个因素，这两个都与他们的托管环境中的软件栈。最后，通过对网络钓鱼和恶意软件滥用这些因素的GLM回归分析，我们发现，在控制规模后，四个安全和软件补丁因素解释了提供商滥用的10%至19%的差异。例如，对于Web应用程序安全性，我们发现，当提供商从最低的10%移动到性能最好的10%时，它将经历4倍的网络钓鱼事件。我们表明，供应商对补丁级别有影响力-甚至在堆栈中更高，CMS可以作为客户端软件运行-这种影响力与滥用水平的大幅降低有关。
2017-08-22 cs.CR
Evaluation of Static Analysis on Web Applications
Web服务正在成为业务关键组件，通常部署有可能被恶意利用的关键软件错误。Web漏洞扫描器允许通过从攻击者的角度强调服务来检测Web服务中的安全漏洞。然而，研究和实践表明，不同的扫描程序在漏洞检测方面的表现是不同的。本文提出了一个定性的评估Web应用程序中发现的安全漏洞。一些著名的漏洞扫描器已被用于识别Web服务实现中的安全漏洞。已经观察到许多漏洞，这证实了许多服务是在没有进行适当的安全测试的情况下部署的。此外，在回顾和考虑了几篇文章后，检测到的漏洞的差异和观察到的大量误报突出了Web漏洞扫描器在检测Web服务中的安全漏洞方面的局限性。此外，这项工作将讨论的静态分析方法，发现安全漏洞的Web应用程序，并补充它与成熟的研究成果或解决方案。这些漏洞包括破坏的访问控制、跨站点脚本、SQL注入、缓冲区溢出、不受限制的文件上传、破坏的身份验证等。Web应用程序正在成为企业的关键任务组件，可能存在黑客可以恶意利用的多个软件漏洞。少数漏洞扫描器已被用于检测Web服务应用程序中的安全漏洞，并发现了许多漏洞，从而证实了许多在线应用程序在没有进行充分安全测试的情况下启动。
2022-12-13 cs.CR
SOK: On the Analysis of Web Browser Security
Web浏览器是每个人日常生活中不可或缺的一部分。它们通常用于安全关键和隐私敏感的任务，如银行交易和检查医疗记录。不幸的是，现代web浏览器太复杂而不能是无错误的（例如，Chrome中有2500万行代码），它们作为网络空间接口的角色使它们成为有吸引力的攻击目标。因此，Web浏览器自然成为展示攻击者的高级利用技术和浏览器供应商的最先进防御的舞台。可以说，Web浏览器是学习最新安全问题和技术的最令人兴奋的地方，但对于大多数安全研究人员来说，由于其快速变化的特性和复杂的代码库，它仍然是一种黑色艺术。为了弥合这一差距，本文试图通过研究流行的安全漏洞，他们的开发技术，并部署防御系统的现代Web浏览器的安全景观。更具体地说，我们首先介绍了一个统一的架构，忠实地代表了四个主要的Web浏览器的安全设计。其次，我们分享了一项关于浏览器bug的10年纵向研究的见解。第三，我们提出了一个时间轴和缓解方案及其有效性的背景。第四，我们分享了我们在2020年Pwn2Own比赛中使用的全链利用的经验教训。以及漏洞赏金计划对网络浏览器安全性的影响。我们相信，这种系统化的关键要点可以揭示如何推进现代Web浏览器的现状，更重要的是，如何在未来创建安全而复杂的软件。
2021-12-31 cs.CR
WebAssembly and Security: a review
本文对 WebAssembly 生态系统中的安全研究进行了全面综述，分析 121 篇论文并归纳为七个安全类别，揭示其既能增强系统安全也可能被滥用的双重特性，为后续研究提供方向。
2024-07-17 cs.CR
The Web SSO Standard OpenID Connect: In-Depth Formal Security Analysis and Security Guidelines
基于Web的单点登录（SSO）服务，如Google Sign-In和Log In with Paypal，都是基于OpenID Connect协议的。该协议使所谓的依赖方能够将用户认证委托给所谓的身份提供者。OpenID Connect是Web上最新和部署最广泛的单点登录协议之一。尽管它很重要，但到目前为止，它还没有受到安全研究人员的重视，特别是没有进行任何严格的安全分析。本文首先对OpenID Connect进行了深入的安全分析。为此，我们使用一个全面的通用模型的网络开发一个详细的正式模型的OpenID连接。基于这个模型，我们精确地形式化和证明了OpenID Connect的中心安全属性，包括身份验证，授权和会话完整性属性。在我们对OpenID Connect的建模中，我们采用了安全措施，以避免以前发现的对OpenID Connect的攻击，以及我们在本文中首次记录的新攻击变体。基于这些安全措施，我们提出了OpenID连接的实施者的安全准则。我们的正式分析表明，这些准则实际上是有效和充分的。
2017-04-27 cs.CR
Security Analysis of Web Applications Based on Gruyere
Hainan University（海南大学）
本文梳理OWASP Top 10常见Web漏洞，以Gruyere平台为实验对象复现漏洞、提出修复策略并对比现代真实案例，证明其漏洞原理仍具参考价值，为Web安全防御提供实践支撑。
2026-02-02 cs.CR
An Empirical Assessment of Security and Privacy Risks of Web based-Chatbots
基于Web的聊天机器人为网站所有者提供了增加销售额、立即响应客户以及洞察客户行为的好处。虽然基于Web的聊天机器人越来越受欢迎，但它们并没有受到安全研究人员的严格审查。所有者的利益是以用户的隐私和安全为代价的。漏洞，如跟踪cookie和第三方域，可以隐藏在聊天机器人的iFrame脚本中。本文对Alexa排名前100万的网站中的五个基于Web的聊天机器人进行了大规模分析。通过我们的爬虫工具，我们可以识别这100万个网站中存在的聊天机器人。我们发现，前100万个Alexa网站中有13，515个（1.59%）使用五个分析的聊天机器人之一。我们的分析显示，Alexa排名前30万的网站由嵌入最少数量的第三方域名的内部通信聊天机器人主导。LiveChat聊天机器人在其余网站中占据主导地位，并嵌入了第三方域名的最高样本。我们还发现，850个（6.29%）聊天机器人使用不安全的协议以纯文本传输用户的聊天。此外，一些聊天机器人严重依赖cookie进行跟踪和广告。在聊天机器人iFrames中，超过三分之二（68.92%）的已识别cookie用于广告和跟踪用户。我们的研究结果表明，尽管大多数网站都承诺隐私，安全和匿名，但数百万用户可能会在不知不觉中受到聊天机器人服务提供商的不良安全保证
2022-05-17 cs.CR
Bulwark: Holistic and Verified Security Monitoring of Web Protocols
现代Web应用程序通常依赖于第三方服务来向用户提供其功能。这些服务的安全集成是一项重要的任务，正如针对单点登录和收银员即服务协议的大量攻击所示。在本文中，我们提出了壁垒，一个新的自动工具，生成正式验证的安全监视器应用π演算规范的Web协议。Bulwark生成的安全监控器提供全面保护，因为它们可以随时部署在客户端和服务器端，从而确保针对Web协议的攻击面的完全可见性。我们通过测试一组使用OAuth 2.0协议或集成PayPal支付系统的易受攻击的Web应用程序来评估Bulwark的有效性。
2021-01-15 cs.CR
A Systematic Literature Review of Cyber Security Monitoring in Maritime
本文遵循PRISMA协议开展海事网络安全监测系统性文献综述，完成文献计量分析并构建研究分类体系，同时指出现有研究的空白与局限，提出该领域未来研究方向。
2025-05-21 cs.CR
WPSE: Fortifying Web Protocols via Browser-Side Security Monitoring
我们提出了WPSE，浏览器端的Web协议的安全监视器，旨在确保符合预期的协议流，以及消息的机密性和完整性。我们正式证明，WPSE是足够的表达，以保护Web应用程序从广泛的协议实现错误和Web攻击。我们讨论了具体的攻击，可以防止WPSE OAuth 2.0和SAML 2.0，包括一个新的攻击谷歌实现的SAML 2.0，我们发现通过形式化的协议规范WPSE。此外，我们使用WPSE在野外对OAuth 2.0进行了广泛的实验评估。在90个测试网站中，我们发现了55个网站（61.1%）的安全漏洞，包括Facebook Pixel等跟踪库引入的新的关键漏洞，所有这些漏洞都可以通过WPSE修复。最后，我们发现WPSE在83个网站（92.2%）上可以正常工作，其中7个兼容性问题是由偏离OAuth 2.0规范的自定义实现引起的，其中一个引入了严重漏洞。
2018-06-24 cs.CR
Language-Based Web Session Integrity
会话管理是Web应用程序的基本组件：尽管表面上很简单，但正确实现Web会话是非常棘手的，正如大量现有攻击所证明的那样。这促使形式化方法的设计，严格的原因Web会话的安全性，但是，目前不支持合适的自动验证技术。在本文中，我们将介绍第一个安全类型系统，它在Web应用程序的核心模型上强制执行会话安全性，特别关注服务器端代码。我们通过分析HotCRP、Moodle和phpMyAdmin的会话管理逻辑来展示我们的类型系统的表现力，揭示了软件开发人员已经承认的新的安全缺陷。
2020-06-02 cs.CR
Evaluating the Security of a DNS Query Obfuscation Scheme for Private Web Surfing
域名系统（DNS）不提供查询隐私。查询混淆方案已被提出来克服这一限制，但到目前为止，他们还没有在现实的环境中进行评估。在本文中，我们评估的安全性随机设置范围查询方案在现实世界中的网络冲浪的情况下。我们证明，该计划没有充分混淆的特征查询模式，它可以被对手用来确定访问过的网站。我们还说明了如何挫败攻击，并讨论实际的挑战。我们的研究结果表明，以前公布的范围查询的评估可能会给一个错误的感觉，可达到的安全性，因为他们不考虑查询之间的任何相互依赖性。
2016-03-21 cs.CR
Understanding and Mitigating the Security Risks of Content Inclusion in Web Browsers
由于Web浏览器提供了广泛的功能，现代网站包括各种类型的内容，如JavaScript和CSS，以创建交互式用户界面。浏览器供应商还提供了扩展，以增强Web浏览器的附加有用功能，这些功能不一定在默认情况下得到维护或支持。然而，包含的内容可能会给这些网站的用户带来安全风险，而网站运营商和用户都不知道。此外，浏览器对资源URL的解释可能与Web服务器解析URL以确定哪个资源应该返回给浏览器的方式非常不同。URL可能根本不对应于实际的服务器端文件系统结构，或者web服务器可能在内部重写URL的部分。Web浏览器和Web服务器在解释相对路径时的这种语义脱节（路径混淆）可能会被相对路径覆盖（RPO）利用。另一方面，即使是强大的扩展也为Web浏览器提供了有用的附加功能，它们也是越来越受欢迎的攻击载体。由于扩展可以保持高度的特权，扩展已被滥用以将广告注入到网页中，从而从内容发布者转移收入并可能使用户暴露于恶意软件。在这篇论文中，我提出了新的研究来理解和减轻内容包含在Web浏览器中的安全风险，以保护网站发布者以及他们的用户。
2020-01-10 cs.CR
Adaptive Lightweight Security for Performance Efficiency in Critical Healthcare Monitoring
Centre for Wireless Communications, University of Oulu（奥卢大学无线通信中心）；VTT Technical Research Centre of Finland（芬兰技术研究中心）
针对医疗物联网因资源约束导致的安全限制，提出自适应轻量级安全方法以优化关键医疗监测（如远程患者监测）的安全与性能，实际实现显示系统性能显著提升。
2024-12-02 cs.CR cs.NI
Security Testing Framework for Web Applications: Benchmarking ZAP V2.12.0 and V2.13.0 by OWASP as an example
National Tsing Hua University（国立清华大学）；Industrial Technology Research Institute（工业技术研究院）
本研究以OWASP Benchmark v1.2为基准，对比OWASP ZAP V2.12.0与V2.13.0的漏洞检测性能，为Web应用安全测试工具的选择及研究发展提供参考。
2026-09-02 cs.CR
Security, Privacy, and Decentralization in Web3
最近对去中心化金融（DeFi）的兴奋主要来自于对DeFi的希望，即DeFi可以成为传统金融系统的一种安全、私有、不那么集中的替代方案。然而，人们转移到DeFi网站，希望提高他们的安全性和隐私性，最终可能会减少两者，因为最近的攻击已经证明。在这项工作中，我们通过对流行的DeFi前端的安全性，隐私性和分散性进行首次Web测量来提高对DeFi的理解。我们发现，DeFi应用程序（或dapps）也面临着与网络其他部分相同的安全和隐私风险，但考虑到DeFi所涉及的资金，这些风险大大加剧。我们的研究结果表明，一个常见的跟踪器可以观察到我们分析的超过56%的网站上的用户行为，DeFi网站上的许多跟踪器可以将用户的以太坊地址与PII（例如，用户名或人口统计信息），或通过发起虚假以太坊交易来欺骗用户。最后，我们确定，尽管有相反的说法，但由于亚马逊和Cloudflare等公司运营着重要的Web基础设施，DeFi作为一个整体比以前认为的要分散得多。
2023-02-06 cs.CR
On the Feasibility of Fine-Grained TLS Security Configurations in Web Browsers Based on the Requested Domain Name
如今，大多数现代Web浏览器都牺牲了最佳的TLS安全性来实现向后兼容性。它们应用粗粒度的TLS配置，支持（默认情况下）具有已知设计弱点的协议的遗留版本，以及提供较少安全保证的弱密码套件（例如，非前向密码），并且如果服务器选择，则会默默地回退到它们。这引入了各种风险，包括降级攻击，例如POODLE攻击[15]，它利用浏览器的静默回退机制来降级协议版本，以利用遗留版本缺陷。为了在安全性和向后兼容性之间实现更好的平衡，我们提出了一种基于HTTPS请求中域名敏感性的细粒度TLS配置机制。也就是说，浏览器会为连接到敏感域的连接强制执行最佳TLS配置，同时为其余连接强制执行默认配置。我们证明了我们的建议的可行性，通过实现一个概念验证的Firefox浏览器扩展。我们将此机制设想为Web浏览器中的内置安全功能，例如，类似于Firefox浏览器中的\quotes{Bookmark}按钮的按钮，以及标准化的HTTP头，以增强浏览器的安全性。
2018-09-15 cs.CR
WebTrap Park: An Automated Platform for Systematic Security Evaluation of Web Agents
Fudan University（复旦大学）；Shanghai Innovation Institute（上海创新研究院）
WebTrap Park通过自动化平台系统评估Web代理的安全性，揭示不同框架间的安全差异，强调架构重要性。
2026-01-13 cs.AI cs.CR
Automatic Web Security Unit Testing: XSS Vulnerability Detection
将安全测试集成到软件开发人员的工作流程中，不仅可以节省单独安全测试的资源，还可以通过在开发周期的早期检测来降低修复安全漏洞的成本。我们提出了一种自动测试方法来检测一种常见的跨站点脚本（XSS）漏洞所造成的不受信任的数据的不正确编码。我们自动提取在Web应用程序中使用的编码函数来清理不可信的输入，然后通过自动生成XSS攻击字符串来评估其有效性。我们的评估表明，这种技术可以检测到0天的XSS漏洞，不能发现的静态分析工具。我们还将证明我们的方法可以有效地覆盖常见类型的XSS漏洞。这种方法可以推广到针对其他类型注入（如命令行注入）的输入验证测试。
2018-04-02 cs.CR
Most Websites Don't Need to Vibrate: A Cost-Benefit Approach to Improving Browser Security
自1990年为超媒体传播而发明以来，现代Web浏览器已经积累了令人难以置信的广泛功能。这些功能中的许多功能通过启用新类型的Web应用程序而使用户受益。然而，有些功能也会给用户的隐私和安全带来风险，无论是通过实现错误、意外组合还是意外使用。目前还没有衡量这些成本和效益的通用方法。将访问限制为仅对在给定网站上提供所需功能所必需的功能，将允许用户在使用现代Web浏览器中存在的无数API时执行租赁特权原则。但是，通过增加限制获得的安全利益必须与破坏现有网站的风险相平衡。这项工作解决了这个问题的方法来权衡成本和效益，让网站默认访问每个浏览器功能。我们将收益建模为需要该功能以获得某些用户可见收益的网站数量，并将成本建模为与功能相关的CVE，代码行和学术攻击的数量。然后，我们将这种方法应用于现代浏览器中实现的74个Web API标准。我们发现，允许网站默认访问Web API的大部分内容会带来重大的安全和隐私风险，但几乎没有相应的好处。我们还引入了一个可配置的浏览器扩展，允许用户选择性地限制对每个站点的低收益，高风险功能的访问。我们使用两个强化的浏览器配置评估了我们的扩展，发现阻止74个标准中的15个标准避免了与以前的CVE相关的52.0%的代码路径，以及我们的度量确定的50.0%的实现代码，而不影响94.7%的测量网站的功能。
2017-09-05 cs.CR
Information Security Management of Web Portals Based on Joomla CMS
信息是所有组织的关键资产，可以以多种形式存在。它可以打印或写在纸上，以电子方式存储，通过邮件或电子方式传输，在电影中显示，或在对话中说出。在当今竞争激烈的商业环境中，这些信息不断受到来自许多来源的威胁，这些来源可以是内部的、外部的、意外的或恶意的。Joomla是一个非常流行的内容管理系统（CMS），用于网页维护。这个高度通用的软件已经在大型企业门户网站和简单的网页（如博客）中找到了自己。这种流行增加了其对潜在攻击的脆弱性，因此需要适当的安全管理。ISO（国际标准化组织）和IEC（国际电工委员会）创建了一系列标准，旨在为建立、实施、运行、监控、审查、维护和改进信息安全管理体系（ISMS）提供一个模型。本文展示了如何在ISO/IEC 27000系列标准中设置的原则可以用来提高基于Joomla的门户网站的安全性。
2014-04-14 cs.CR
GuardianPWA: Enhancing Security Throughout the Progressive Web App Installation Lifecycle
Texas A&M University（德克萨斯农工大学）
本文提出GUARDIANPWA框架，基于CIA原则分析PWA安装机制，发现203处安全违规，揭示浏览器厂商在PWA安装生命周期中的隐私风险，并帮助开发者提升安全性。
2026-06-26 cs.CR
Endpoint Security Agent: A Comprehensive Approach to Real-time System Monitoring and Threat Detection
针对网络威胁演变带来的端点安全需求，提出适用于Windows端点的模块化实时安全代理，利用WMI、ETW监控系统活动，结合机器学习检测引擎与MITRE ATT&CK框架，实现高效准确的威胁检测与标准化分类。
2025-11-11 cs.CR
A Study on Web Application Vulnerabilities to find an optimal Security Architecture
本文针对Web应用安全漏洞这一企业界重大挑战，分析了现实世界中面临的主要安全问题，并提出有效解决方案以寻找最优的安全架构。
2022-04-14 cs.CR
TulaFale: A Security Tool for Web Services
Web服务安全规范通常表示为XML模式、示例消息和叙述性解释的混合体。我们提出了一种新的规约语言，用于编写基于SOAP的安全协议及其属性的补充机器可检查的描述。我们的TulaFale语言基于pi演算（用于编写并行运行的SOAP处理器的集合），加上XML语法（用于表达SOAP消息传递），逻辑谓词（用于构造和过滤SOAP消息）和通信断言（用于指定协议的身份验证目标）。我们的实现编译TulaFale到应用π演算，然后运行Blanchet的基于分辨率的协议验证器。因此，我们可以自动验证SOAP协议的身份验证属性。
2004-12-10 cs.CR
HyperSec: Visual Analytics for blockchain security monitoring
如今，大型组织正在采用许可区块链进行业务关键操作。因此，它们容易受到恶意行为者的攻击。研究人员已经发现并列举了一些可能威胁区块链数据的可用性、完整性和机密性的攻击。然而，目前仍然很难发现这些攻击。我们认为，安全专家需要适当的可视化来帮助他们检测对区块链网络的攻击。为了实现这一目标，我们开发了HyperSec，这是一种可视化分析监控工具，可以提供相关信息，以检测对Hyperledger Fabric的持续攻击。为了进行评估，我们将HyperSec原型连接到Hyperledger Fabric测试网络。结果表明，安全专家可以使用HyperSec的可视化来检测对Fabric的常见攻击。
2021-03-26 cs.CR
A Multi-Factor Security Protocol for Wireless Payment - Secure Web Authentication using Mobile Devices
以前的Web访问认证系统通常单独使用Web或移动信道来确认远程用户的声明身份。本文提出了一种新的协议，使用多因素认证系统，是安全的和高度可用的。它采用了一种基于交易识别码和SMS的新方法，与传统的登录/密码系统相比，增强了额外的安全级别。该系统提供了一个高度安全的环境，易于使用和部署，不需要对无线网络的基础设施或协议进行任何更改。该无线支付协议被扩展以提供双向认证。
2011-11-13 cs.CR
Validating a Web Service Security Abstraction by Typing
XML Web服务大致上是一种RPC服务，其中请求和响应以XML编码为SOAP信封，并通过HTTP传输。我们考虑在SOAP级别对请求和响应进行身份验证的问题，而不是依赖于传输级别的安全性。我们提出了一个安全的抽象，灵感来自早期的工作安全RPC，其中的Web服务导出的方法注释与三个安全级别之一：无，认证，或认证和加密。我们的抽象模型作为一个对象演算与原语定义和调用Web服务。我们描述我们的对象演算的语义，通过翻译到一个较低层次的语言与原语的消息传递和密码学。为了验证我们的语义，我们嵌入了指定请求和响应的正确身份验证的对应断言。借助Gordon和Jeffrey的Cryptyc密码协议的类型论，我们简单地通过类型化来验证对应断言。最后，我们描述了我们的语义通过自定义SOAP头的实现。
2004-12-10 cs.CR
A Cryptographic Mutual Authentication Scheme for Web Applications
当前大多数Web身份验证都是基于用户名/密码的。不幸的是，密码替换提供了更多的安全性，但它很难使用，部署成本也很高。在本文中，我们提出了一个新的相互认证方案称为StrongAuth，保留了大多数密码认证的优点，同时提高了安全性，使用密码原语。我们的方案不仅为网站管理员提供了一个清晰的框架来建立安全的用户认证，但它也提供了几乎相同的传统用户体验。安全性分析表明，该方案满足用户认证的安全性要求，能够抵抗各种可能的攻击。
2014-12-09 cs.CR
From ECU to VSOC: UDS Security Monitoring Strategies
针对汽车UDS协议的安全挑战，提出结合车载日志与VSOC远程分析的UDS安全监控策略，验证其可覆盖多类攻击向量，并指出AUTOSAR标准安全事件的现存缺口。
2025-10-29 cs.CR
HTTPS Event-Flow Correlation: Improving Situational Awareness in Encrypted Web Traffic
在当前HTTPS占主导地位的网络流量中，实现态势感知是一个具有挑战性的过程。在本文中，我们提出了一种新的方法来加密的Web流量监测。首先，我们设计了一种基于主机和网络监控数据的关联方法，该方法基于它们的共同特征和关联时间窗。然后，我们详细分析相关性结果，以确定Web服务器和监控基础设施的配置，产生负面影响的相关性。我们描述了这些属性和可能的数据预处理技术，以尽量减少它们对相关性能的影响。此外，为了测试关联方法在不同Web服务器设置和最新加密协议中的行为，我们通过将关联功能调整为TLS 1.3和QUIC来对其进行修改。最后，我们从校园网收集的数据集上的相关性方法进行评估。结果表明，虽然相关性需要监控自定义事件和流功能，但即使使用为不久的将来设计的加密协议，它仍然是可行的。
2022-06-22 cs.CR
Extending WS-Security to Implement Security Protocols for Web Services
Web服务使用WS-Security标准提供的令牌来实现安全协议。我们对WS-Security标准提出了几个扩展，包括名称类型、密钥和随机数扩展。这些扩展用于实现现有的协议，如ISO 9798、BAN或BAN-Lowe。使用这些实现而不是现有的二进制实现的优点是从使用Web服务技术的优点继承而来的，例如跨不支持基于连接的通信的多个环境的可扩展性和端到端安全性。
2009-09-09 cs.CR cs.NI
An Innovative Security Strategy using Reactive Web Application Honeypot
如今，Web应用程序已成为行业中最流行的应用程序，大多数组织的关键数据都是使用Web应用程序存储的。因此，Web应用程序成为各种网络攻击的更大目标，这些攻击包括数据库注入-SQL注入，PHP对象注入，模板注入，XML外部实体注入，未经消毒的输入攻击-跨站点脚本（XSS）等等。在众多的解决方案中，Web应用程序蜜罐是一种复杂而强大的保护机制。在本文中，我们提出了一个低交互，自适应，动态的Web应用程序蜜罐，通过HTTP事件模仿漏洞。蜜罐是用SNARE和TANNER构建的; SNARE创建攻击面并将请求发送给TANNER，TANNER评估它们并决定SNARE应该如何响应请求。TANNER是一个分析和分类工具，它分析和评估由SNARE提供的HTTP请求，并组成响应，它由模拟器提供支持，模拟器是用于模拟漏洞的引擎。
2021-05-11 cs.CR
Penetration Testing of 5G Core Network Web Technologies
针对5G核心网网络技术缺乏安全评估的问题，本文利用STRIDE威胁建模与安全测试工具，对Open5GS、Free5Gc和OpenAirInterface进行渗透测试，发现三者均存在至少两类攻击向量漏洞。
2024-03-04 cs.CR
SpiderSapien: Client-Centric Web Crawler and Security Scanner
Chalmers University of Technology（查尔姆斯理工大学）；University of Gothenburg（哥德堡大学）；Arizona State University（亚利桑那州立大学）
SpiderSapien是一款以客户端为中心的网络爬虫与安全扫描器，通过结合可交互元素检测、UI交互排序及LLM表单解决等技术，大幅提升了网络应用的代码覆盖率与XSS漏洞检测能力。
2026-09-03 cs.CR
Exploring the Attack Surface of WebSocket
多年来，随着技术的进步，Web技术有了很多改进。在早期，网络是单向的交流，只有客户能够看到网站的内容，不能输入信息。然而，一天又一天，网络取得了重大进展，HTTP，APDL，WebSocket等技术引入了使页面动态化的技术。简而言之，它是一种新型的通信协议，比以前的通信协议更快，更有效。自从WebSocket问世以来，和其他技术一样，它的安全性也一直是人们讨论的话题，技术的安全性一直是人们面临的一个挑战。因此，在本文中，我们将研究Web套接字中可能出现的结构和安全问题，以选择HTTP的优秀替代方案并使用它。
2021-04-12 cs.CR
Security in Monitoring Schemes: A Survey
随着分布式网络的可靠性不断提高，这种网络的安全性变得至关重要。在大规模的分布式网络中，一个高效、有效的监控方案变得至关重要。监控方案监督网络中的节点行为，并寻找任何差异。监控方案包括监控组件，这些组件一起工作以帮助方案满足网络的各种安全要求参数。这些安全参数通过操纵特定监控方案的监控组件的各种攻击被破坏，以产生错误的结果，从而降低网络的效率、可靠性和安全性。在本文中，我们讨论了这些组件的监测，多个监测计划，其安全参数和各种类型的攻击可能对这些监测组件通过操纵假设的监测计划。
2014-11-19 cs.CR cs.DC cs.NI
WAFBOOSTER: Automatic Boosting of WAF Security Against Mutated Malicious Payloads
WAFBOOSTER是一个基于学习的框架，通过影子模型和载荷生成技术识别WAF绕过漏洞并生成签名，将变异恶意载荷的拒绝率从21%提升至96%，且无误拒绝。
2025-01-23 cs.CR
BrFAST: a Tool to Select Browser Fingerprinting Attributes for Web Authentication According to a Usability-Security Trade-off
在本演示中，我们将自己置于一个网站管理员的位置，他试图使用浏览器指纹进行Web身份验证。第一步是从数百个可用属性中选择要实现的属性。为此，我们开发了BrFAST，这是一个属性选择平台，其中包括FPSelect，这是一种根据安全性和可用性之间的权衡严格选择属性的算法。BrFAST配置了一组参数，我们为BrFAST提供了可用的值。我们特别包括使用两个公开的浏览器指纹数据集的资源。BrFAST可以扩展到使用其他参数：其他属性选择方法，其他安全性和可用性措施，或其他指纹数据集。BrFAST有助于在搜索要使用的最佳属性期间可视化探索可能性，比较属性集的属性，并比较几种属性选择方法。在演示过程中，我们将FPSelect选择的属性与根据所得浏览器指纹的属性（例如，它们的可用性，它们的唯一性）。
2021-04-19 cs.CR
FIDO2 With Two Displays-Or How to Protect Security-Critical Web Transactions Against Malware Attacks
随着过去几年对在线帐户的攻击的增加，越来越多的服务为其用户提供双重认证。从三个类别中的两个类别中选择一个因素，即你知道的东西，你拥有的东西和你是什么，应该确保攻击者不能同时破坏其中两个。因此，对手不应该能够恶意地与某人的帐户进行交互。然而，只有当一个人认为对手很弱时，这才是正确的。特别是，由于大多数当前的解决方案只认证会话而不是单个交易，如果设备感染了恶意软件，它们就无效了。对于网上银行，银行业早就认识到需要对交易进行身份验证。然而，这种身份验证方案的规范并不公开，并且实施细节因银行而异，大多数银行仍然无法抵御恶意软件。在这项工作中，我们提出了一个通用的方法来解决恶意帐户接管的问题，即使在存在恶意软件。为此，我们定义了一个新的范例，以改善双因素身份验证，涉及的概念，二选一的安全和交易身份验证。遵循这种范式的Web身份验证方案可以保护安全关键事务免受操纵，即使其中一个因素完全受损。分析现有的认证方案，我们发现他们没有实现二选一的安全性。我们给出了一个蓝图，如何设计安全的Web认证方案一般。基于这一蓝图，我们提出了FIDO 2与两个显示器（FIDO 2D），一个新的Web认证方案的基础上FIDO 2标准，并证明其安全性使用Tamarin。我们希望我们的工作能够激发新一波更安全的Web身份验证方案，即使是恶意软件的攻击也能保护安全关键交易。
2022-07-06 cs.CR
Web Vulnerability Scanners: A Case Study
云安全是许多公司最关心的问题之一。网站数量和规模的增长增加了对更好地保护这些网站的需求。手动测试和检测Web漏洞可能非常耗时。自动Web漏洞扫描器（WVS）有助于检测Web应用程序中的漏洞。Acunetix是广泛使用的漏洞扫描器之一。Acunetix也易于实施和使用。扫描结果不仅提供了漏洞的详细信息，还提供了有关修复漏洞的信息。AcuSensor和AcuMonitor（Acunetix使用的技术）有助于生成更准确的潜在漏洞结果。本文的目的之一是引导当前计算机安全的学生使用漏洞扫描器。其次，本文提供了一个文献综述相关的安全漏洞扫描器的主题。最后，从移动终端和浏览器的角度来解决Web漏洞。
2017-06-25 cs.CR
Towards automated formal security analysis of SAML V2.0 Web Browser SSO standard -- the POST/Artifact use case
University of Zagreb（萨格勒布大学）
本文通过Tamarin证明器对SAML V2.0 SP发起的SSO与POST/Artifact绑定用例进行了全面的形式安全分析，验证了多个关键安全属性并识别了潜在漏洞。
2026-01-20 cs.CR
Guardians of the Web: The Evolution and Future of Website Information Security
School of Computer Science, Zhongyuan University of Technology（中原工学院计算机科学学院）；Henan Key Laboratory on Public Opinion Intelligent Analysis（河南省舆情智能分析重点实验室）
本文回顾了网站信息安全从ARPANET、SSL到多层防护的历史演进，并指出其未来将受人工智能、区块链、量子计算及国际合作驱动，强调持续研究创新对保护敏感信息和维护数字信任的关键作用。
2025-05-07 cs.AI cs.CR
Vulnerability Scanners-A Proactive Approach To Assess Web Application Security
随着人们对网络安全性的日益关注，人们提出了许多方法来保护网络免受未经授权的访问。采用了新的方法，以找到可能损坏网络的潜在差异。最常用的方法是脆弱性评估。所谓脆弱性，我们指的是系统中使其易于受到攻击的潜在缺陷。对这些系统脆弱性的评估提供了一种手段，以确定和制定新的战略，以保护系统免受损害的风险。本文重点介绍了各种漏洞扫描器及其相关方法的使用，以检测网络中的Web应用程序或远程主机中的各种漏洞，并试图确定可以部署以保护网络的新机制。
2014-03-27 cs.CR
The Nonce-nce of Web Security: an Investigation of CSP Nonces Reuse
本研究测量了实际环境中CSP nonce的使用情况，发现2271个部署nonce策略的网站中有598个存在nonce重用问题，分析了重用原因及影响，并探讨了攻击者绕过CSP实现XSS的可能性。
2023-09-14 cs.CR
Security for Distributed Web-Applications via Aspect-Oriented Programming
身份管理在商业系统中变得越来越重要，因为它们对包括贸易伙伴，消费者和供应商在内的第三方开放。本文提出了一种在不知道系统源代码的情况下保护系统安全的方法。安全模块基于面向方面的编程和自由联盟框架（一个即将到来的提供单点登录的工业标准）向现有系统添加认证和授权。在初始培训阶段，模块适用于要保护的应用程序。此外，硬件令牌和主动计算的使用进行了演示。高度模块化是通过使用Java的程序设计语言扩展来实现的。
2005-07-29 cs.CR
A [in]Segurança dos Sistemas Governamentais Brasileiros: Um Estudo de Caso em Sistemas Web e Redes Abertas
虽然世界依赖计算机系统提供公共服务，但缺乏系统评估政府系统安全性的学术工作。为了部分填补这一空白，我们对公共机构的公开系统进行了安全评估。我们重新访问了OWASP前10名，并通过扫描公共政府网络发现了部署服务中的多个漏洞。总体而言，发现的未受保护的服务的安全级别不足，必须对此进行适当讨论和解决。
2021-09-13 cs.CR
SDN-based Runtime Security Enforcement Approach for Privacy Preservation of Dynamic Web Service Composition
针对动态Web服务组合的隐私保护问题，提出了一种基于SDN的动态Web服务组合隐私保护运行时安全实施方法。该方法的主要思想是服务组合的所有者利用安全策略模型（SPM）定义服务组合在应用平面上必须遵循的访问控制关系，然后将SPM模型转换为包含SDN数据平面信息的低层安全策略模型（RSPM），并将RSPM模型上传到SDN控制器。在上传之后，集成在SDN控制器中的虚拟机访问控制算法在运行时监控所有针对服务组合的访问请求。只有满足RSPM模型定义的接入请求才能转发到目标终端。任何不符合RSPM模型定义的访问请求将被Openflow交换机自动拦截或被SDN控制器删除，从而有效解决Web服务组合运行时的网络层非法访问、身份窃取攻击和服务泄漏等问题。为了验证该方法的可行性，本文利用POX控制器和Mininet虚拟网络仿真器实现了一个实验系统，并利用该系统对该方法的有效性和性能进行了评估。最后的实验结果表明，该方法是完全有效的，当RSPM模型规模逐渐增大时，该方法总能在可接受的时间内得到正确的计算结果。
2021-05-27 cs.CR
Advancing Biomedical Signal Security: Real-Time ECG Monitoring with Chaotic Encryption
本研究开发了集成混沌加密的实时心电图监测系统，通过逻辑斯蒂映射动态加密信号，在保障安全性的同时实现基于深度学习的实时疾病检测，适用于远程医疗。研究证实混沌加密能有效提升数据安全性，为生物医学信号安全传输提供了可行方案。
2024-11-02 cs.CR
