Insecure Ingredients? Exploring Dependency Update Patterns of Bundled JavaScript Packages on the Web
Fraunhofer FKIE（弗劳恩霍夫应用研究促进协会FKIE）；University of Bonn（波恩大学）
本文提出Aletheia方法，通过剽窃检测算法分析JavaScript捆绑，发现依赖更新行为，揭示5%-20%的域名在16周内更新依赖，且捆绑包更新速度更快，但少数供应商可能主导更新。
2026-01-23 cs.CR cs.SE
When Flaws Cascade: Understanding Vulnerabilities and Exploitation Chains in JavaScript Engines
Tianjin University（天津大学）；Nanyang Technological University（南洋理工大学）；Singapore Management University（新加坡管理大学）；Qi An Xin Group Corp（奇安信集团）
本文通过对2017-2024年4款主流JavaScript引擎的241个漏洞开展实证研究，建立漏洞分类体系，分析其可利用性与缓解策略，为相关方提供提升引擎安全性的见解。
2026-10-09 cs.CR cs.SE
An Empirical Study of JavaScript Inclusion Security Issues in Chrome Extensions
本研究通过混合静态与动态分析方法，系统测量了36,324个Chrome扩展中的350,784个JavaScript包含，发现22个易受攻击的远程包含及广泛使用的过时库，揭示了扩展安全风险。
2025-05-26 cs.CR
Web Content Signing with Service Workers
保护Web服务器和浏览器之间的通信是保护万维网的基本任务。今天的网站严重依赖HTTPS来建立安全连接。近年来，几起事件破坏了这种信任，从而破坏了HTTPS系统的安全性。在本文中，我们介绍了一种方法，允许安全的JavaScript文件的情况下，Web服务器和浏览器之间的HTTPS连接受到损害。我们的论文提出了一种解决方案，以保护用户的浏览器，使其只处理内容（例如，JavaScript或HTML），这是真正由Web应用程序服务提供商自己提供的。我们的解决方案利用了service worker，这是最近提出的W3C候选建议，使应用程序能够利用持久的后台处理，包括钩子，以便在离线时启动Web应用程序。它演示了服务工作者如何能够验证客户端浏览器中JavaScript文件的完整性，以及如何使用服务工作者来检测和缓解恶意JavaScript文件。
2021-05-12 cs.CR
Gelato: Feedback-driven and Guided Security Analysis of Client-side Web Applications
尽管在过去的十年中，在分析客户端Web应用程序方面投入了大量的精力，但现有的工具往往无法处理现代JavaScript应用程序的复杂性。然而，从攻击者的角度来看，这种Web应用程序的客户端可能会泄露有关服务器端的宝贵信息。在本文中，我们首先研究了现有的工具，并列举了安全意识的客户端分析应该支持的最重要的功能。接下来，我们提出GELATO来检测现代客户端JavaScript应用程序中的漏洞，这些应用程序构建在复杂的库和框架上。特别是，我们采取的第一步，在关闭状态感知爬行和客户端安全分析之间的差距，提出了一个反馈驱动的安全意识引导爬虫，能够自动分析复杂的框架，并有效地增加程序的安全敏感部分的覆盖范围。此外，我们提出了一个新的轻量级客户端污点分析，优于最先进的工具，不需要修改浏览器，并报告现代JavaScript应用程序上的非平凡的污点流。
2020-04-14 cs.CR cs.SE
Thou Shalt Not Depend on Me: Analysing the Use of Outdated JavaScript Libraries on the Web
Web开发人员通常依赖第三方Java-Script库（如jQuery）来增强其网站的功能。然而，如果不正确维护，这种依赖关系可能会产生攻击媒介，使网站受到损害。在本文中，我们进行了第一次全面的研究客户端JavaScript库的使用和由此产生的安全性影响在整个Web。使用来自超过133 k网站的数据，我们发现其中37%至少包含一个具有已知漏洞的库;库最新版本发布的时间滞后以年为单位。为了更好地理解为什么网站使用这么多脆弱或过时的库，我们跟踪因果包含关系并量化不同的场景。我们观察到站点以临时且通常是可传递的方式包含库，这可能导致同一库的不同版本同时加载到同一文档中。此外，我们发现，通过传递或通过广告和跟踪代码包含的库更容易受到攻击。这表明，不仅网站管理员，而且第三方服务的动态架构和开发人员也应该为Web的图书馆管理状况不佳负责。我们的工作结果强调，需要更彻底的方法来依赖管理，代码维护和第三方代码包含在Web上。
2020-02-13 cs.CR
Accountable Javascript Code Delivery
互联网是Web应用程序的主要分发平台，但Web没有有效的透明度和审计机制。由于Web应用程序的短暂性，访问网站的客户端无法保证今天收到的代码与昨天相同，或者与其他访问者收到的代码相同。尽管在Web安全方面取得了进展，但在Web应用程序在浏览器中呈现之前对其进行审计仍然具有挑战性。我们提出Accountable JS，一个浏览器扩展和选择协议，负责在网页上提供活动内容。我们原型我们的协议，正式建模其安全属性与Tamarin证明，并评估其兼容性和性能影响的案例研究，包括WhatsApp Web，AdSense和Nimiq。问责制开始大规模部署，Meta最近宣布代码验证可供所有20亿WhatsApp用户使用，但很少有对此类协议的正式分析。我们使用Tamarin Prover正式建模代码验证，并将其属性与我们的Accountable JS协议进行比较。我们还比较了Code Verify和Accountable JS扩展对WhatsApp Web性能的影响。
2023-01-12 cs.CR
Conscript Your Friends into Larger Anonymity Sets with JavaScript
我们提出的设计和原型实现的ConScript，一个框架，使用JavaScript，让休闲的Web用户参与一个匿名的通信系统。当Web用户访问合作Web站点时，该站点提供JavaScript应用程序，该应用程序指示浏览器创建“虚拟”消息并将其提交到匿名系统中。想要通过匿名系统发送非虚拟消息的用户使用浏览器插件将这些虚拟消息替换为真实消息。创建这样的应征匿名集可以增加可用于remailer，电子投票和可验证的洗牌式匿名系统的用户的匿名集大小。我们概述了ConScript的架构，我们解决了一些潜在的攻击ConScript，我们讨论了部署这样一个系统相关的道德问题。我们的实现结果证明了ConScript的实用性：运行我们的ConScript原型JavaScript客户端的工作站在81毫秒内为混合网络生成一个虚拟消息，在156毫秒内为抗DOS的DC网络生成一个虚拟消息。
2013-09-04 cs.CR
On the Integrity of Cross-Origin JavaScripts
同源策略是Web的基本组成部分。尽管有策略的限制，但允许嵌入第三方JavaScript代码，并且通常使用。这些代码的完整性没有任何保证。为了解决这一缺陷，最近引入了子资源完整性标准等解决方案。在此背景下，本文提出了跨源JavaScript代码的时间完整性的第一个实证研究。根据从流行网站收集的超过35000个脚本的10天投票期的经验结果，（i）时间完整性变化相对常见;（ii）子资源完整性标准的采用仍处于起步阶段;以及（iii）有可能统计预测时间完整性变化是否可能发生。这些结果和随之而来的讨论，本文有助于正在进行的尝试，以更好地了解当前Web的安全和隐私。
2018-09-15 cs.CR cs.NI
Enhancing JavaScript Malware Detection through Weighted Behavioral DFAs
提出基于加权行为DFA的JavaScript恶意软件检测系统，通过捕获恶意模式并分类部分相似序列，在1,058个真实序列上有效检测威胁，兼顾适应性与决策透明度。
2025-05-27 cs.CR
A Study of Vulnerability Repair in JavaScript Programs with Large Language Models
Simon Fraser University（西蒙菲莎大学）
本研究探讨了ChatGPT和Bard等大型语言模型在修复JavaScript程序安全漏洞中的准确性，并发现提示中适当的上下文对生成正确补丁至关重要。
2024-03-19 cs.AI cs.CR
Malicious web script-based cyber attack protection technology
最近基于Web的网络攻击正在演变成一种新的攻击形式，例如利用网页内的JavaScript的私人信息窃取和DDoS攻击。这些攻击可以通过访问网站进行，而不会分发恶意代码和感染。基于脚本的网络攻击很难被传统的安全设备（如防火墙和IPS）检测到，因为它们会在正常Web请求的响应消息中注入恶意脚本。此外，它们很难追踪，因为DDoS等攻击可以通过访问网页进行。由于这些原因，预计它们可能导致直接损害和巨大的连锁反应。为了应对这些问题，在这篇文章中，提出了一个建议的技术，用于检测恶意脚本，通过实时的Web内容分析，并自动生成检测签名的恶意JavaScript。
2015-02-13 cs.CR
The Spy in the Sandbox -- Practical Cache Attacks in Javascript
我们提出了第一个微架构的侧信道攻击，它完全在浏览器中运行。与其他此类作品不同，这种攻击不需要攻击者在受害者的机器上安装任何软件-为了便于攻击，受害者只需要浏览包含攻击者控制内容的不受信任的网页。这使得攻击模型具有高度可扩展性，并且与当今的Web非常相关和实用，特别是因为目前访问Internet的大多数桌面浏览器都容易受到这种攻击。我们的攻击是Yarom等人的末级缓存攻击的扩展，允许远程攻击者恢复属于其他进程、其他用户、甚至与受害者web浏览器在同一物理主机上运行的其他虚拟机的信息。我们描述了我们的攻击背后的基本原理，使用高带宽隐蔽通道评估其性能，最后用它来构建一个系统范围内的鼠标/网络活动记录器。防御这种攻击是可能的，但所需的对策可能会对Web浏览器和计算机的其他良性使用造成不切实际的成本。
2015-03-01 cs.CR cs.NI
WebGraph: Capturing Advertising and Tracking Information Flows for Robust Blocking
数以百万计的网络用户直接依赖广告和跟踪器阻止工具来保护他们的隐私。然而，现有的广告和跟踪拦截器由于依赖于容易受到影响的广告和跟踪内容而不足。在本文中，我们首先证明了最先进的基于机器学习的广告和跟踪拦截器，如AdGraph，容易受到现实世界中部署的对抗性规避的影响。其次，我们介绍了WebGraph，这是第一个基于图形的机器学习拦截器，它可以根据广告和跟踪器的动作而不是内容来检测广告和跟踪器。通过围绕广告和跟踪的基本动作构建功能-在浏览器中存储标识符，或与另一个跟踪器共享标识符- WebGraph的性能几乎与之前的方法一样好，但对对抗性规避的鲁棒性更强。特别是，我们表明，WebGraph实现了与AdGraph相当的准确性，同时显着降低了对手的成功率，从AdGraph下的近乎完美到WebGraph下的8%左右。最后，我们表明，WebGraph仍然强大的一个更复杂的对手，使用规避技术超出目前部署在网络上。
2021-08-17 cs.CR
A Longitudinal Analysis of Online Ad-Blocking Blacklists
网站使用第三方广告和跟踪服务，利用Cookie和JavaScript代码来投放广告和跟踪用户行为，从而引起隐私问题。为了限制在线跟踪和阻止广告，已经策划了几个广告阻止（黑）名单，其中包括知名广告和跟踪服务的URL和域。使用互联网档案馆的Wayback Machine在本文中，我们收集了一个回顾性的Web视图来分析广告和跟踪服务的演变，并评估广告拦截黑名单的有效性。我们提出的指标来捕捉广告拦截黑名单的功效，以调查这些黑名单是否已经反应或主动处理在线广告和跟踪服务。我们引入了一个稳定性指标来衡量广告和跟踪域的时间变化阻止广告拦截黑名单，和多样性指标来衡量新的广告和跟踪域检测到的比率。我们观察到，网站中的广告和跟踪域会随着时间的推移而变化，在我们调查的广告拦截黑名单中，我们的分析显示，一些黑名单更了解广告和跟踪域的存在，但它们的变化速度比其他黑名单慢。我们的分析还显示，美国、加拿大和英国的Alexa前5K网站每个网站的广告和跟踪域名数量最多，主动得分最高。这表明，广告拦截黑名单是通过对这些国家的热门网站中报告的广告进行优先排序和跟踪域名来更新的。
2019-06-01 cs.CR
TaintAssembly: Taint-Based Information Flow Control Tracking for WebAssembly
WebAssembly（WASM）最近已经成为一种有希望的可移植，大小有效，快速和安全的Web二进制格式。由于WebAssembly可以自由地与JavaScript库交互，因此可能会出现不良行为。因此，重要的是能够检测何时可能发生这种情况。一种方法是通过污点跟踪，我们通过将污点标签应用于数据来跟踪信息流。在本文中，我们描述了TaintAssembly，一个用于解释WebAssembly的污点跟踪引擎，我们通过修改V8 JavaScript引擎创建了它。我们实现了基本的污点跟踪功能，线性内存中的污点，以及污点的概率变体。然后，我们通过将TaintAssembly引擎合并到Chromium构建中并在自定义测试脚本和各种真实世界的WebAssembly应用程序上运行它来对它进行基准测试。我们发现，我们对V8引擎的修改不会导致vanilla V8的解释WebAssembly的显着开销，使TaintAssembly适合开发和调试。
2018-02-04 cs.CR
CORSICA: Cross-Origin Web Service Identification
私有网络中的漏洞很难被网络外部的攻击者检测到。虽然存在用于端口扫描内部主机的已知方法，其通过将不知情的内部用户引诱到托管恶意JavaScript代码的外部网页来工作，但是不知道用于详细和精确的服务标识的这种方法。原因是同源策略（SOP）默认情况下阻止访问其他来源的HTTP响应。我们对SOP中的漏洞进行了结构化分析，这些漏洞可用于识别跨网络边界的Web应用程序。为此，我们分析了符合标准的Web浏览器的HTML5，CSS和JavaScript功能，这些功能可能会泄露有关跨源内容的敏感信息。结果揭示了几种新颖的技术，包括泄漏所有常见浏览器中可用的跨域请求的JavaScript函数名或样式。我们实现和测试这些技术中的一个工具，称为CORSICA。它可以成功识别在不同物联网设备上运行的42个Web服务中的31个（74%），以及四个最广泛使用的内容管理系统WordPress，Drupal，Joomla和TYPO3的版本号。CORSICA还可以确定补丁级别，平均分为三个版本（WordPress），六个版本（Drupal），两个版本（Joomla）和四个版本（TYPO3），平均只有十个请求。此外，CORSICA能够识别出48个WordPress插件，其中包含65个漏洞。最后，我们分析了缓解策略，并表明，建议，但尚未实施的策略跨源资源策略（CORP）和SEC元数据将阻止我们的识别技术。
2020-04-02 cs.CR
From Blocking to Breaking: Evaluating the Impact of Adblockers on Web Usability
针对广告拦截器使用上升但易引发网页损坏致用户关闭的问题，本研究用自动化工具评估实时网站广告拦截的网页损坏程度以建立基准，同时指出测量挑战并给出初步发现，计划后续深入研究。
2024-10-30 cs.CR
The Chain of Implicit Trust: An Analysis of the Web Third-party Resources Loading
Web是一个错综复杂的互联服务，其中网站从各种第三方域导入一系列外部资源。但是，后者可以进一步加载托管在其他域上的资源。对于每个网站，这都会创建一个依赖链，该依赖链由第一方和可传递连接的第三方之间的隐式信任形式支撑。该链只能松散地控制，因为第一方网站通常很少（如果有的话）了解这些资源的加载位置。本文对Web中的依赖链进行了大规模的研究，发现大约50%的第一方网站呈现的内容不是直接加载的。虽然大多数网站（84.91%）的依赖链较短（低于3级），但我们发现依赖链超过30的网站。使用VirusTotal，我们发现这些第三方中有1.2%被归类为可疑-虽然看起来很小，但这有限的可疑第三方对更广泛的生态系统具有显着的影响力。通过运行沙盒实验，我们观察到一系列活动，大多数可疑的JavaScript下载恶意软件;令人担忧的是，我们发现这种倾向是更大的隐含信任的JavaScript。
2019-02-18 cs.CR
JABBERWOCK: A Tool for WebAssembly Dataset Generation and Its Application to Malicious Website Detection
Osaka University（大阪大学）；National Institute of Technology, Nara College（奈良工业高等专门学校）
针对WebAssembly样本不足限制恶意网站检测新特征探索的问题，提出可通过JavaScript伪生成WebAssembly数据集的工具JABBERWOCK，生成样本接近真实样本，单样本生成仅需4.5秒，助力恶意网站检测达99%F1值且可兼容现有工具提升性能。
2023-06-09 cs.CR cs.LG
Who Filters the Filters: Understanding the Growth, Usefulness and Efficiency of Crowdsourced Ad Blocking
广告和跟踪拦截扩展是用于改善网络性能、隐私和美观的流行工具。内容阻止扩展通常依赖于过滤器列表来决定Web请求是否与跟踪或广告相关联，因此应该被阻止。数以百万计的网络用户依靠过滤器列表来保护他们的隐私并改善他们的浏览体验。尽管它们很重要，但人们对过滤器列表的增长和健康状况知之甚少。过滤器列表由少数贡献者维护，他们使用各种未记录的规则来确定应该包括哪些规则。列表会迅速积累规则，并且规则很少被删除。结果，用户的浏览体验被降级，因为陈旧的、死的或以其他方式无用的规则的数量越来越使有用规则的数量相形见绌，而没有衰减的益处。“无用”规则的积累也使得在资源有限的移动设备上应用过滤器列表变得困难。本文通过对最流行的过滤列表EasyList的研究，提高了对众包过滤列表的理解。我们发现EasyList在其9年的历史中已经从几百条规则发展到超过60，000条规则。我们通过将EasyList应用于10，000个网站的样本来衡量EasyList如何影响网页浏览。我们发现EasyList中90.16%的资源阻止规则在常见的浏览场景中对用户没有任何好处。我们进一步使用EasyList应用率的变化来提供广告商规避EasyList规则的方式的分类。最后，我们对流行的广告拦截工具提出了优化建议，使EasyList能够应用于性能受限的移动设备，并将桌面性能提高62.5%，同时保留99%以上的拦截覆盖率。
2020-05-21 cs.CR
Ad-Blocking and Counter Blocking: A Slice of the Arms Race
像Adblock Plus这样的广告拦截工具越来越受欢迎，这可能会威胁到广告收入流的动态。作为回应，许多发布商加大了开发和部署检测和/或反拦截广告拦截器（我们称之为反广告拦截器）的机制的力度，有效地升级了在线广告军备竞赛。在本文中，我们开发了一种可扩展的方法来识别跨多个网站共享的第三方服务，并使用它来提供Alexa Top-5 K网站的反广告拦截的第一个特征。我们映射执行反广告拦截的网站以及提供反广告拦截脚本的实体。我们研究了这些脚本的运作方式及其对流行广告拦截器的影响。我们发现，Alexa Top-5 K中至少有6.7%的网站使用反广告拦截脚本，这些脚本来自12个不同的实体，其中一些实体对滋养在线广告行业有直接的兴趣。
2016-07-20 cs.CR cs.CY cs.NI
AdVersarial: Perceptual Ad Blocking meets Adversarial Machine Learning
Stanford University（斯坦福大学）；CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）
感知广告拦截是一种基于视觉内容检测在线广告的新方法。与传统的过滤列表相比，使用感知信号被认为不太容易与网络发布商和广告网络进行军备竞赛。我们证明情况可能并非如此。我们描述了对多种感知广告拦截技术的攻击，并揭示了一种可能不利于广告拦截器的新军备竞赛。出乎意料的是，感知广告拦截还可以引入新的漏洞，让攻击者绕过Web安全边界并发起DDoS攻击。我们首先分析了感知广告拦截器的设计空间，并提出了一个统一的架构，结合了以前的学术和商业工作。然后，我们探讨了对广告拦截器检测管道的各种攻击，这些攻击使发布商或广告网络能够逃避或检测广告拦截，有时甚至滥用其高权限级别来绕过Web安全边界。一方面，我们表明，感知广告拦截必须在视觉上分类呈现的网页内容，以逃避以混淆页面标记为中心的军备竞赛。另一方面，我们提出了一套具体的攻击视觉广告拦截器通过构建对抗性的例子在一个真实的网页上下文中。对于七个广告检测器，我们创建了干扰广告，广告披露徽标和本地Web内容，这些内容误导了感知广告拦截，成功率为100%。在我们的一次攻击中，我们演示了恶意用户如何上传对抗性内容，例如Facebook帖子中的扰动图像，从而欺骗广告拦截器删除其他用户的非广告内容。除了Web和视觉领域，我们还为AdblockRadio构建了对抗性示例，AdblockRadio是一个开源的无线电客户端，使用机器学习来检测原始音频流中的广告。
2019-08-26 cs.CR cs.LG stat.ML
Favicon Trojans: Executable Steganography Via Ico Alpha Channel Exploitation
本文提出利用ICO图像alpha通道LSB隐写JavaScript载荷的新型攻击方法，在浏览器加载favicon时隐蔽执行，构建无需额外请求的两阶段隐蔽通道，揭示了静态图像与可执行内容边界的模糊性及现有防御局限。
2025-07-11 cs.CR
Taint Tracking for WebAssembly
WebAssembly旨在通过为原生Web计算实现可移植的，高性能的和安全的字节码格式，为在Web浏览器中运行大型和不受信任的二进制文件提供一种替代方案。然而，WebAssembly在很大程度上没有从安全的角度进行研究。在这项工作中，我们建立了第一个WebAssembly虚拟机，运行在本机JavaScript，并实现了一个新的污点跟踪系统，允许用户运行不受信任的WebAssembly代码，同时监视敏感数据通过应用程序的流动。我们还引入了间接污点，一个标签，表示局部变量之间的敏感信息的隐式流。通过严格的测试和验证，我们证明了我们的系统是正确的，安全的，相对高效的，受益于WebAssembly的本地性能，同时保留更成熟的软件范例的精确安全保证。
2018-07-22 cs.CR
User Blocking Considered Harmful? An Attacker-controllable Side Channel to Identify Social Accounts
本文提出了一种实用的侧信道攻击，它可以识别攻击者网站访问者的社交网络服务帐户。我们的攻击利用了广泛采用的用户阻止机制，滥用其固有属性，即某些页面根据用户是否被阻止而返回不同的Web内容。我们的关键见解是，攻击者准备的帐户可以针对同一服务上的任意用户保持攻击者可控制的阻塞/非阻塞二进制状态;只要用户登录到服务，则当用户访问攻击者的网站时，可以通过传统的跨站定时攻击将此状态检索为一位数据。我们概括并引用这样一个属性作为可见性控制，我们认为这是我们攻击的基本假设。在此基础上，我们证明了具有一组受控帐户的攻击者可以对通过侧通道泄漏的数据进行完整而灵活的控制。使用这种机制，我们表明，它是可能的设计和实现一个强大的，大规模的用户识别攻击各种各样的社交网络服务。为了验证我们的攻击的可行性，我们使用16个流行的社交网络服务进行了广泛的实证研究，并证明其中至少有12个容易受到我们的攻击。易受攻击的服务不仅包括Twitter和Facebook等流行的社交网站，还包括提供社交功能的其他类型的Web服务，例如，eBay和Xbox Live。我们还证明了攻击可以达到近100%的准确性，并可以在足够短的时间内完成在一个实际的设置。我们讨论的基本原则，实际方面，以及可能的防御攻击的局限性。
2018-05-14 cs.CR cs.SI
Blocked or Broken? Automatically Detecting When Privacy Interventions Break Websites
开发和维护众包过滤器列表的一个核心问题是，它们的维护者无法自信地预测新的过滤器列表规则是否（以及在何处）会破坏网站。这是由于Web的不可分割性，它阻止了过滤器列表作者在向数百万用户发布新的阻止规则之前广泛了解其影响。过滤器列表作者无法在发布新规则之前评估其对Web兼容性的影响，这严重降低了基于过滤器列表的内容阻止的好处：过滤器列表既过于保守（即规则被狭隘地定制以减少破坏的风险）又容易出错（即阻止工具仍然会破坏大量网站）。为了扩展到Web的大小和范围，过滤器列表作者需要一个自动化系统来检测新的过滤规则何时破坏网站，在这种破坏有机会到达最终用户之前。在这项工作中，我们设计并实现了第一个自动化系统，用于预测过滤器列表规则何时会破坏网站。我们构建了一个分类器，在EasyList项目和新型浏览器工具的兼容性数据组合生成的数据集上进行训练，并发现它准确到实用水平（AUC 0.88）。我们的开源系统在评估拟议的隐私干预的兼容性风险时不需要人工交互。我们还提出了40个页面行为，最预测破损观察网站。
2022-05-02 cs.CR
WebPol: Fine-grained Information Flow Policies for Web Browsers
针对现有浏览器安全机制粒度过粗、无法平衡第三方脚本数据访问需求与泄露防护的问题，提出WebPol细粒度信息流策略机制，支持用JavaScript语法定义数据访问规则，可基于现有信息流跟踪方案实施，经集成测试验证了可行性。
2017-06-26 cs.CR
Block the blocker: Studying the effects of Anti Ad-blocking
广告为网站和在线业务带来了巨大的收入。广告拦截器和跟踪器拦截程序在过去几年中获得了发展势头，围绕隐私问题和改善在线用户体验展开了激烈的辩论。可接受的广告计划和反广告拦截器是近年来出现的打击广告拦截器的主要因素。本文详细讨论了世界顶级网站、德国顶级网站、DACH地区顶级网站和新闻类顶级网站的数据汇集。我们生成基于特征的A/B测试指标，并对它们进行分类器评估，然后分析结果。我们的论文还讨论了反广告拦截器如何影响德国的经济，法律和道德使用以及GDPR的最新变化，同时了解可接受的广告计划和白名单。
2020-01-26 cs.CR cs.CY
Consideration Points Detecting Cross-Site Scripting
Web应用的应用范围不断扩大，提供的服务越来越多，已经成为服务提供者和用户之间最重要的沟通渠道之一。为了增强用户体验，许多Web应用程序正在使用客户端脚本语言，例如JavaScript，但这种JavaScript的增长也增加了Web应用程序中的严重安全漏洞，例如跨站脚本（XSS）。在本文中，我调查了所有的技术已经被用来检测XSS和安排一些分析，以评估这些方法的性能。本文指出了XSS检测的主要难点。我没有实现这个漏洞问题的任何解决方案，因为我的重点是审查这个问题。但是，我相信，这一评估将是合作的进一步研究，这方面的关注，因为这篇论文弄清楚这一超越安全问题的一切。
2009-08-28 cs.CR cs.PL
SINBAD: Saliency-informed detection of breakage caused by ad blocking
EPFL（洛桑联邦理工学院）；Imperial College London（帝国理工学院）
本文提出 SINBAD 自动化故障检测器，结合用户报告数据、网页显著性和子树分析，检测广告拦截规则引发的动态及样式故障，准确率较现有方法提升 20%。
2024-05-08 cs.CR cs.LG
Exposing the Hidden Web: An Analysis of Third-Party HTTP Requests on 1 Million Websites
本文对100万个流行网站的隐私泄露机制进行了定量分析。调查结果表明，近十分之九的网站将用户数据泄露给用户可能不知道的各方;超过十分之六的网站产生第三方cookie;超过十分之八的网站将外部方的JavaScript代码加载到用户的计算机上。泄露用户数据的网站平均联系9个外部域，这表明用户可能被多个实体串联跟踪。通过追踪网络上个人浏览历史的意外泄露，可以发现少数美国公司收到了大量的用户数据。最后，在分析时，大约五分之一的网站可能容易受到已知的国家安全局间谍技术的攻击。
2015-11-02 cs.CR cs.CY
A Study of Third-party Resources Loading on Web
本文对网络中的依赖链进行了大规模的研究，发现大约50%的第一方网站呈现的内容不是直接加载的。虽然大多数网站（84.91%）的依赖链较短（低于3级），但我们发现依赖链超过30的网站。使用VirusTotal，我们发现这些第三方中有1.2%被归类为可疑-虽然看起来很小，但这有限的可疑第三方对更广泛的生态系统有着显著的影响。我们发现，73%的网站从可疑的第三方加载资源，24.8%的第一方网页在其依赖链中包含至少三个被归类为可疑的第三方。通过运行沙箱实验，我们观察到一系列活动，其中大多数可疑的JavaScript代码下载恶意软件。
2022-03-07 cs.CR
Detecting Bot Detection: Prevalence, Techniques, and Implications for Web Measurement Research
University of Bamberg（班贝格大学）
通过测量10,000个网站发现，机器人检测导致Chromium无头模式软拦截率15%，82%的拦截归因于机器人检测，且社区未充分报告此样本损失。
2026-06-15 cs.CR cs.CY
How India Censors the Web
印度进行在线审查的主要方式之一是命令在其管辖范围内运营的互联网服务提供商（ISP）阻止其用户访问某些网站。本文报告了印度互联网服务提供商使用的不同技术来审查网站，并调查了网站封锁名单是否在互联网服务提供商之间保持一致。我们提出了一套测试，证明更强大的比以前的工作在检测DNS和HTTP的审查。我们的测试还发现使用SNI检查来阻止网站，这在印度背景下以前没有记录。利用来自法院命令、用户报告以及公开和泄露的政府命令的信息，我们编制了印度已知最大的可能被屏蔽网站列表。我们将此列表传递给我们的测试，并从六个不同的ISP连接运行它们，这些ISP共同为印度98%以上的互联网用户提供服务。我们的调查结果不仅证实了互联网服务提供商使用不同的技术来阻止网站，而且还表明不同的互联网服务提供商并没有阻止相同的网站。
2020-05-30 cs.CR cs.CY cs.NI
Analyzing In-browser Cryptojacking
PayPal（贝宝）；University of Central Florida（中佛罗里达大学）
本文从静态、动态和经济维度系统分析浏览器内加密劫持，实现100%脚本识别，评估资源影响与经济不可行性，并提出改进型防御措施。
2023-04-26 cs.CR cs.CY cs.LG
Web-based Cryptojacking in the Wild
随着Monero等内存绑定加密货币的引入，在基于浏览器的JavaScript中实现挖矿代码已成为专用挖矿平台的一种有价值的替代方案。基于这项技术，一种新形式的寄生计算，广泛称为加密劫持或驱动挖掘，已经在网络中获得了发展势头。一个加密劫持网站滥用其访问者的计算资源来秘密挖掘加密货币。本文对这一现象进行了系统的探讨。为此，我们提出了一种3阶段分析方法，使我们能够识别挖掘脚本，并对Alexa 100万网站中加密劫持的流行程度进行大规模研究。我们发现加密劫持很常见，目前每500个网站中就有1个托管挖矿脚本。此外，我们还进行了几次二次分析，以深入了解加密劫持的情况，包括对代码特征的测量，对预期采矿收入的估计，以及对当前基于黑名单的对策的评估。
2018-08-28 cs.CR
Breaking Obfuscation: Cluster-Aware Graph with LLM-Aided Recovery for Malicious JavaScript Detection
Electric Power Research Institute, CSG（电力研究院，中国南方电网）；Guangdong Provincial Key Laboratory of Power System Network Security（广东省电力系统网络安全重点实验室）；Hangzhou Institute of Technology, Xidian University（杭州理工大学）
针对混淆恶意JavaScript检测难题，提出DeCoda混合框架，结合LLM多阶段去混淆生成规范化AST，再用聚类感知图学习层级表示，在两个基准上F1较SOTA提升超10%，假阳性控制表现更优。
2025-07-30 cs.CR cs.LG
