随着Web2.0概念的提出与推广,Web应用程序的实用性和友好性的特点使得Web应用受到越来越多开发人员和用户的肯定,脚本技术(如JavaScript、VBScript等)在Web应用中的广泛应用在带给用户便捷的同时,也给网络带来了新的安全威胁。在网络安全领域中,跨站脚本攻击(Cross Site Scripting)已经是其中最严重的安全问题之一,它主要利用Web应用中的对外部数据的过滤缺陷,将恶意脚本成功注入到网页中。论文在参考大量国内外相关资料的基础上,对跨站脚本漏洞的检测和防御做了深入研究。为了提高检测Web应用源码中跨站脚本漏洞的效率,论文提出了一种基于静态分析的逆向代码审计算法,用于检测和提取源代码中的跨站脚本漏洞。算法将输出节点定义为潜在危险节点,并对其进行逆向扫描,然后确定输出节点是否引用了污点数据。通过算法生成的数据链还可以发现漏洞的位置及生成漏洞的数据来源,方便测试人员和开发团队及时修复Web应用中的漏洞。实验验证表明该检测算法在有效检测源码中的XSS跨站脚本漏洞,同时,大大提高了 XSS漏洞的检测效率。另外,论文在深入研究跨站脚本攻击方式的基础上,提出了一种基于代理的跨站脚本防御框架。该框架部署在客户端与服务器端之间,拦截客户端与服务器端间的通信数据,对数据进行深度分析和过滤。不仅能对跨站脚本攻击进行有效的防御,而且可以对合法标签进行放行,为客户端用户提供良好的访问体验。该防御框架由分析引擎和处理引擎构成,其中分析引擎分为重编码、去除干扰字符和整理标签子模块,处理引擎分为处理非法标签、处理非法事件和处理非法引用子模块。该防御框架通过对数据的深入拆分解析,准确识别出标签是否合法、数据中是否存在脚本以及数据是否安全。实验表明该框架对于当前流行的跨站脚本攻击(包括反射型跨站脚本、存储型跨站脚本和DOM型跨站脚本)都有良好的防御效果,但是会存在延迟客户端与服务器端响应时间的问题。此外,针对论文提出的跨站脚本防御框架会造成客户端与服务器端间响应时间增加的问题,我们尝试对该防御框架进行了改进,提出了基于“任务自动处理机”的框架模型。该框架主要包括数据扫描和数据处理两个部分。所有存储到数据库的外部数据将被打上“未处理”标记,此时的数据没有被服务器使用的权限。任务自动处理机中的数据扫描任务将所有标有“未处理”标记的数据扫描存储,重新将数据标记为“处理中”,等待数据处理任务的处理。数据处理任务使用文中提出的防御算法对扫描到的数据按优先级进行处理,处理成功将更新原有数据的值和状态,将数据标记为“处理成功”,带有“处理成功”标记的数据可以被服务器端使用。论文还对此框架进行了有效性测试和性能测试,实验证明,该框架可以有效减少服务器的压力,降低客户端与服务器端的响应时间。最后,论文对跨站脚本的检测和防御都做出了详细的总结和研究结论。