Abstract-I tidigare arbete, föreslog vi en uppsättning statiska attribut som kännetecknar input validering och input renitization kodmönster. Vi visade att några av de föreslagna statiska attributen är betydande prediktorer av SQL injektion och kors plats skript sårbarheter. Statiska attribut har fördelen att återspegla allmänna egenskaper hos ett program. Dynamiska attribut som samlas in från körspår kan dock återspegla mer specifika kodegenskaper som kompletterar statiska attribut. För att förbättra vårt inledande arbete föreslår vi därför i detta dokument att dynamiska attribut används för att komplettera statiska attribut i sårbarhetsprognoser. Eftersom det befintliga arbetet bygger på övervakad inlärning är det dessutom beroende av tillgången till utbildningsdata som är märkta med kända sårbarheter. I detta dokument presenteras förutsägelser modeller som bygger på både klassificering och klusterering för att förutsäga sårbarheter, arbetar i närvaro eller avsaknad av märkta utbildningsdata, respektive. I våra experiment över sex applikationer har våra nya övervakade sårbarhetsprediktorer baserat på hybrida (statiska och dynamiska) attribut uppnått, i genomsnitt 90% recall och 85% precision, det är en kraftig ökning av recall jämfört med statiska analysbaserade förutsägelser. Även om våra oövervakade prediktorer inte är lika exakta, har de i genomsnitt uppnått 76% recall och 39% precision, vilket tyder på att de kan vara användbara i avsaknad av märkta träningsdata. Index Terms-Defect förutsägelse, sårbarhet, input validering och sanitization, statisk och dynamisk analys, empirisk studie.
REF föreslog attribut för att kontrollera indatavalideringen från SQL-injektions- och XSS-sårbarheter baserat på hybridanalys.
Mining SQL injection and cross site scripting vulnerabilities using hybrid program analysis
{'venue': '2013 35th International Conference on Software Engineering (ICSE)', 'journal': '2013 35th International Conference on Software Engineering (ICSE)', 'mag_field_of_study': ['Computer Science']}