اسکنر برنامه های وب مبتنی بر LLM وظایف و گردش کارها را تشخیص می دهد

یک اسکنر جدید برنامه های وب خودکار به طور مستقل وظایف و گردش کارها را در برنامه های وب درک و اجرا می کند. این ابزار با نام YuraScanner از دانش جهانی ذخیره شده در مدل های زبانی بزرگ (LLM) برای پیمایش در برنامه های وب به همان روشی که یک کاربر انسانی انجام می دهد، استفاده می کند. این ابزار قادر است وظایف را به طور منسجم انجام دهد و دنباله صحیح مراحل مورد نیاز، به عنوان مثال، یک فروشگاه آنلاین را انجام دهد.

YuraScanner در برابر 20 برنامه وب آزمایش شد و 12 آسیب‌پذیری اسکریپت‌نویسی متقابل سایت (XSS) روز صفر را کشف کرد. تکنیک پشت YuraScanner و همچنین خود ابزار در مرکز امنیت اطلاعات CISPA هلمهولتز توسعه یافته اند.

اسکنرهای خودکار برنامه های وب معمولاً برای آزمایش امنیت برنامه های آنلاین مانند، به عنوان مثال، فروشگاه های آنلاین، پلتفرم های یادگیری یا ابزارهای مدیریت پروژه استفاده می شوند. به طور معمول، این اسکنرها از دو بخش تشکیل شده اند: مولفه خزنده، که برنامه وب را برای رابط های کاربری اسکن می کند، و ماژول حمله، که سپس به آزمایش رابط های شناسایی شده توسط خزنده می پردازد.

الکسی استافیف، محقق CISPA، که در گروه تحقیقاتی دکتر جیانکارلو پلگرینو کار می کند، بر اهمیت مولفه خزنده برای موفقیت آمیز بودن چنین آزمایش خودکاری تأکید می کند: "یکی از چالش های اصلی در آزمایش امنیتی، تعیین دامنه برنامه وب و شناسایی عملکردها و گردش کارهای آن است. ما کاملاً می دانیم چگونه مسائل امنیتی را شناسایی کنیم، اما چگونه تمام نقاط ورودی را شناسایی کنیم؟" استافیف و همکارانش در CISPA، YuraScanner را با هدف شناسایی هر چه بیشتر سطح حمله توسعه داده اند.

نوآوری اصلی که YuraScanner پیشنهاد می کند، افزایش دامنه و عملکرد مولفه خزنده اسکنر با مهار آن به یک LLM است. استافیف توضیح می دهد: "LLM ها بر روی داده های وب آموزش دیده اند، که غنی از مستندات نحوه تعامل با وب سایت ها است. ما با ترکیب یک خزنده و یک LLM برای هدایت اکتشاف یک برنامه وب، از این دانش بهره می بریم."

استافیف و همکارانش به منظور مطالعه خود، از API OpenAI برای ایجاد ارتباط بین مولفه خزنده خود و مدل GPT-4 OpenAI استفاده کردند. ماژول حمله در YuraScanner با Black Widow، یک اسکنر اسکریپت‌نویسی متقابل سایت پیشرفته و تثبیت شده، یکسان است.

این تنظیم موازی به محققان CISPA اجازه داد تا به طور مستقیم عملکرد دو مولفه خزنده را مقایسه کنند. با آزمایش YuraScanner در برابر 20 برنامه وب، آنها در واقع توانستند 12 آسیب‌پذیری XSS ناشناخته قبلی را در مقایسه با تنها سه مورد شناسایی شده توسط Black Widow شناسایی کنند.

YuraScanner با هدایت یک LLM، به شیوه ای مبتنی بر وظیفه عمل می کند، که به آن امکان می دهد به لایه های عمیق تر برنامه وب مورد آزمایش دسترسی پیدا کند. نه تنها می تواند وظایفی را که توسط برنامه وب ارائه می شوند شناسایی کند، بلکه می تواند آنها را به شیوه ای سنجیده انجام دهد و دنباله مراحلی را که برای اتمام کار مورد نظر لازم است، انجام دهد. این ابزار به صورت عمودی پیش می رود، در حالی که سایر اسکنرهای از قبل تثبیت شده، تمایل دارند به صورت افقی پیش بروند.

استافیف توضیح می دهد: "معمولاً ابزارهای آزمایش بین انواع مختلف دکمه ها تمایز قائل نمی شوند، آنها فقط روی هر چیزی که در دسترس است کلیک می کنند. ایراد اصلی این است که اگر یک گردش کار چند مرحله ای بسیار خاص وجود داشته باشد، مانند، به عنوان مثال، یک فروشگاه آنلاین، که در آن باید یک مورد را در سبد خرید قرار دهید، به پرداخت هزینه بروید و یک فرم را پر کنید - شانس موفقیت یک خزنده وب ساده در این کار بسیار کم است."

اطلاعات بیشتر: الکسی استافیف و همکاران، YuraScanner: استفاده از LLM ها برای اسکن برنامه وب مبتنی بر وظیفه، (2024). DOI: 10.14722/ndss.2025.240388. trouge.net/papers/yura_llm_scanner_ndss25.pdf

ارائه شده توسط مرکز امنیت اطلاعات CISPA هلمهولتز

Citation: LLM-based web application scanner recognizes tasks and workflows (2025, February 21) retrieved 21 February 2025 from https://techxplore.com/news/2025-02-llm-based-web-application-scanner.html