Shepherd：实现自动化大规模登录安全研究
密码学与安全
2018-08-03 v1
摘要
互联网的越来越多部分隐藏在登录框之后。这对任何以扫描互联网为前提的研究都构成了障碍。此外，认证过程本身可能是一个薄弱点。为了大规模研究认证弱点，需要自动化的登录能力。在这项工作中，我们介绍了 Shepherd，一个用于自动登录网站的扫描框架。Shepherd 框架使我们能够对网站登录后的各个方面进行大规模扫描。Shepherd 扫描网站的登录框，尝试提交凭据并评估登录是否成功。我们通过针对会话劫持易感性的扫描来说明 Shepherd 的能力。在本研究中，我们使用了一组未经验证的网站凭据，其中部分凭据无效。使用这组凭据，Shepherd 能够在 6,273 个未知站点（占测试集的 12.4%）上完全自动登录并验证其确实已登录。我们发现，在我们的（有偏的）测试集中，2,579 个站点（即 41.4%）易受简单的会话劫持攻击。
引用
@article{arxiv.1808.00840,
title = {Shepherd: Enabling Automatic and Large-Scale Login Security Studies},
author = {Hugo Jonker and Jelmer Kalkman and Benjamin Krumnow and Marc Sleegers and Alan Verresen},
journal= {arXiv preprint arXiv:1808.00840},
year = {2018}
}