Порівняльний аналіз алгоритмів автоматизованого виявлення ін'єкційних вразливостей у сучасних вебзастосунках

Abstract

The paper investigates the problem of automated vulnerability detection in web applications against injection attacks (SQL Injection, Cross-Site Scripting, OS Command Injection). Due to the consistent dominance of these threats in global security rankings, there is a critical need to improve Dynamic Application Security Testing (DAST) methods. A comparative analysis of signature-based and heuristic scanning algorithms, implemented within a developed specialized web platform, is conducted. The advantages and disadvantages of each approach are identified based on performance criteria and the rate of false positives. The feasibility of using a hybrid scanning model to increase the accuracy of attack vector identification is substantiated.

У роботі досліджується проблематика автоматизованого виявлення вразливостей вебзастосунків до ін'єкційних атак (SQL Injection, Cross-Site Scripting, OS Command Injection). У зв'язку зі стабільним домінуванням цих загроз у глобальних рейтингах безпеки, виникає критична потреба у вдосконаленні методів динамічного тестування безпеки (DAST). Проведено порівняльний аналіз сигнатурних та евристичних алгоритмів сканування, реалізованих у межах розробленої спеціалізованої програмної вебплатформи. Визначено переваги та недоліки кожного підходу за критеріями швидкодії та рівня хибних спрацювань. Обґрунтовано доцільність застосування гібридної моделі сканування для підвищення точності ідентифікації векторів атак.