ABSENTIA: Detecting Broken Access Control Vulnerabilities in Web Applications
该论文聚焦 Web 应用中最为普遍的安全风险之一——失效的访问控制（Broken Access Control, BAC），即授权机制的缺失或错误。作者指出，与注入类漏洞本质不同：注入是“不可信数据流入危险操作”的数据流问题，而授权是一种“
#web-security
共收录 49 条相关情报。
← 返回所有主题Comparative Evaluation of Static Embedding Models for HTTP Request Anomaly Detection
该论文面向 Web 应用安全中的 HTTP 请求异常检测问题。作者指出，传统 Web 应用防火墙（WAF）主要依赖人工规则，存在误报率高、对新型攻击与业务变化适应性差的问题；已有研究尝试用机器学习与词嵌入模型改善检测效果，但不同嵌入模型之间
Secrets That Survive Everything: Runtime Credential Exposure in Production Web Applications
该论文聚焦一个长期被忽视的防护缺口：部署前的密钥扫描只作用于源代码仓库，而从不检查生产应用实际向浏览器下发的资源。作者在一次获得授权的评估中审计了某组织约 2,000 个企业级 Web 资产，发现其中 113 个（5.65%）在生产 Jav
Plug 'n' Pray: Agentic LLM-based Detection of Potential Log File Exposures in Third-Party Content Management System Plugins
内容管理系统（CMS）承载了约 58% 的网站，其中 WordPress 占据主导地位；通过第三方插件进行功能扩展既是其流行的重要原因，也是其攻击面的主要来源。本文聚焦一个高影响但研究不足的弱点：CMS 插件产生的日志文件暴露。插件出于调试
WAPP: Safe Learning of Positive Security WAF Policies from Live Traffic
传统 Web 应用防火墙（WAF）主要依赖签名检测已知攻击，面对变种或未见过载荷容易留下防护缺口。正向安全（positive security）通过刻画合法流量形态并阻断偏离该形态的输入，作为补充思路，但其关键难点是：直接从实时流量学习可能
Web Application Vulnerability Repair Via Context-Aware Fault Localization and Directed Differential Fuzzing.
本文针对Web应用程序漏洞修复过程中存在的关键挑战：漏洞定位困难、修复补丁可能引入新问题或修复不完整等。作者提出了一种结合上下文感知的故障定位（Context-Aware Fault Localization）与定向差异模糊测试（Direc
Pixnapping: Bringing Pixel Stealing out of the Stone Age.
这篇 arXiv 论文提出了一种被称为“Pixnapping”的新型像素窃取攻击，旨在重新激活并超越 2013 年 Stone 所开创的经典像素窃取技术。像素窃取攻击利用恶意网站嵌入受害网站的 iframe，并借助 SVG 过滤器对跨域内容
U Can't Debug This: Detecting JavaScript Anti-Debugging Techniques in the Wild.
该论文针对Web环境中JavaScript反调试技术（Anti-Debugging Techniques）被恶意网站广泛使用以阻碍动态分析的问题，提出了一种自动化检测与分类方法。作者首先对Alexa Top 100万网站进行了大规模爬取，收
Atropos: Effective Fuzzing of Web Applications for Server-Side Vulnerabilities.
论文《Atropos: Effective Fuzzing of Web Applications for Server-Side Vulnerabilities》介绍了一种名为 Atropos 的模糊测试技术，旨在高效发现 Web 应用中
Runtime Recovery of Web Applications under Zero-Day ReDoS Attacks.
本文提出并实现了 RegexNet，一个面向 Web 服务的、基于请求负载的自动化响应式 ReDoS（正则表达式拒绝服务）恢复系统。ReDoS 攻击利用正则表达式匹配在最坏情况下呈超线性时间复杂度的特性，通过精心构造的输入使服务陷入长时间计
Testability Tarpits: the Impact of Code Patterns on the Security Testing of Web Applications.
该研究聚焦于静态应用安全测试（SAST）工具在发现 Web 应用漏洞时受到代码风格影响的问题。尽管 SAST 工具被广泛使用，但已知其存在诸多局限性，而编码风格对漏洞检测能力的影响此前鲜有系统研究。作者通过组合商业与开源的多种安全扫描器，对
Argus: All your (PHP) Injection-sinks are belong to us.
本文介绍 Argus，一个针对 PHP 应用程序的静态分析工具，旨在检测注入类漏洞（如 SQL 注入、命令注入等）。该工具的核心创新在于将所有可能的注入汇聚点（sink）纳入分析范围，而不仅仅是常见函数，从而减少漏报。作者提出了一种自动化方
Awakening the Web's Sleeper Agents: Misusing Service Workers for Privacy Leakage.
该论文提出并系统性地研究了一种新型的隐私泄露攻击面——滥用 Service Worker（服务工作线程）作为“潜伏代理”，在用户浏览网页时长期、隐蔽地泄露敏感数据。Service Worker 是浏览器提供的独立于页面的后台脚本机制，具有拦
Effective Directed Fuzzing with Hierarchical Scheduling for Web Vulnerability Detection.
本论文聚焦于Web漏洞检测中的定向模糊测试（Directed Fuzzing）问题，提出了一种基于层次化调度的有效方法。传统模糊测试通常盲目地探索程序状态，效率低下；而定向模糊测试则试图引导输入生成过程，使其更快地到达潜在漏洞点。论文的核心
T-Reqs: HTTP Request Smuggling with Differential Fuzzing.
本文是首篇以系统化科学框架研究 HTTP 请求走私（HRS）攻击的学术工作。HRS 是一种利用代理-源站架构中两个服务器对 HTTP 请求解析差异的攻击手法，攻击者可将隐藏请求通过代理转发至后端服务器。尽管该攻击概念并不新颖，但近期新披露的
STEK Sharing is Not Caring: Bypassing TLS Authentication in Web Servers using Session Tickets.
本文研究 TLS 会话票据（Session Tickets）机制中的安全缺陷，重点关注会话票据加密密钥（STEK）在 Web 服务器之间共享时带来的认证绕过风险。TLS 会话票据是用于恢复 TLS 会话的凭证，通常由服务器使用 STEK 加
From Prompt Injection to Web Exploitation: Revisiting Classic Vulnerabilities in LLM-Integrated Applications
本文研究了大语言模型（LLM）集成应用中的一类新型安全威胁，即“LLM 中介的 Web 攻击”（LLM-mediated web attacks）。随着 LLM 越来越多地被集成到 Web 应用中，用于聊天机器人、工具调用和智能体流程，用户
SugarCoat: Programmatically Generating Privacy-Preserving, Web-Compatible Resource Replacements for Content Blocking.
本文提出 SugarCoat，一种自动生成隐私保护且网页兼容的资源替换方案，以解决内容拦截工具中的隐私与功能权衡问题。当前许多广告拦截和隐私保护工具为了不破坏网站功能，会对大量具有隐私风险的脚本进行豁免，导致这些脚本仍能访问敏感数据。Sug
Automatically Detecting Online Deceptive Patterns.
本文针对数字界面中日益泛滥的欺骗性模式（deceptive patterns）提出了一种自动化检测框架 AutoBot。欺骗性模式利用用户的认知偏差和心理弱点，诱导其做出非本意的决策，常见于各类数字平台，对用户权益构成威胁。现有缓解措施主要
Cookie Crumbles: Breaking and Fixing Web Session Integrity.
本文研究了 Web 会话完整性（session integrity）的安全问题，重点分析了 Cookie 机制在机密性和完整性方面的长期漏洞。尽管浏览器和服务器应用已引入多种防护机制，如 Secure 属性、Cookie 前缀、SameSi