情報処理学会 第88回全国大会

1U-02
フォームの入力制限に対して長さを最適化した敵対的XSSに関する考察
○四方隆之介,大久保隆夫,羽田大樹(情報セキュリティ大)
WebアプリケーションにおいてXSS攻撃は主要な脅威であり、深層学習を用いた検知手法と検知回避を行う敵対的サンプル生成手法が提案されている。従来の敵対的サンプルでは、検知器の回避、XSS攻撃の妥当性が議論されていたが、Webアプリケーションの仕様は考慮されていなかった。Pasiniらの深層強化学習(PPO)を用いた手法ではペイロード長が約10倍に増大しており、フォームの入力長制限により攻撃が成立しない場合がある。本研究では、より多くのWebアプリケーションに有効な敵対的サンプルを生成するため、Pasiniらの手法の後処理として探索的にタグ削除を行う処理を追加し、回避と妥当性を維持したままペイロード長を最小化できる余地があることを実証した。