Statically Identifying XSS using Deep Learning - Inria - Institut national de recherche en sciences et technologies du numérique Access content directly
Conference Papers Year : 2021

Statically Identifying XSS using Deep Learning

Identifier statiquement des failles XSS à l'aide d'apprentissage en profondeur

Heloise Maurel
  • Function : Author
  • PersonId : 1103601
Tamara Rezk
  • Function : Author
  • PersonId : 949476
  • IdRef : 136831605

Abstract

Cross-site Scripting (XSS) is ranked first in the top 25 Most Dangerous Software Weaknesses (2020) of Common Weakness Enumeration (CWE) and places this vulnerability as the most dangerous among programming errors. In this work, we explore static approaches to detect XSS vulnerabilities using neural networks. We compare two different code representations based on Natural Language Processing (NLP) and Programming Language Processing (PLP) and experiment with models based on different neural network architectures for static analysis detection in PHP and Node.js. We train and evaluate the models using synthetic databases. Using the generated PHP and Node.js databases, we compare our results with a well-known static analyzer for PHP code, ProgPilot, and a known scanner for Node.js, AppScan static mode. Our analyzers using neural networks overcome the results of existing tools in all cases.
Cross-site Scripting (XSS) est classé au premier rang des 25 faiblesses logicielles les plus dangereuses (2020) de Common Weakness Enumeration (CWE) et place cette vulnérabilité comme la plus dangereuse parmi les erreurs de programmation. Dans ce travail, nous explorons des approches statiques pour détecter les vulnérabilités XSS à l'aide de réseaux de neurones. Nous comparons deux représentations de code différentes basées sur le traitement du langage naturel (NLP) et le traitement du langage de programmation (PLP) et nous expérimentons des modèles basés sur différentes architectures de réseaux neuronaux pour la détection d'analyse statique en PHP et Node.js. Nous formons et évaluons les modèles à l'aide de bases de données synthétiques. En utilisant les bases de données PHP et Node.js générées, nous comparons nos résultats avec un analyseur statique connu pour le code PHP, nommé Progpilot, et le mode statique d'un scanner connu pour Node.js, AppScan. Dans tous les cas, nos analyseurs utilisant des réseaux de neurones surpassent les résultats des outils existants.
Fichier principal
Vignette du fichier
SECRYPT_2021_53_CR.pdf (265.43 Ko) Télécharger le fichier
Origin Files produced by the author(s)

Dates and versions

hal-03273564 , version 1 (29-06-2021)

Identifiers

  • HAL Id : hal-03273564 , version 1

Cite

Heloise Maurel, Santiago Vidal, Tamara Rezk. Statically Identifying XSS using Deep Learning. SECRYPT 2021 - 18th International Conference on Security and Cryptography, Jul 2021, Virtual, France. ⟨hal-03273564⟩
271 View
1056 Download

Share

Gmail Mastodon Facebook X LinkedIn More