In the context of our system, a fal

In the context of our system, a false positive is a page that is detected as malicious without actually loading shellcode to memory. To evaluate the likelihood of false positives,
we extended our prototype system to visit a list of k = 4, 502 known, benign pages.
These pages were taken from the Alexa ranking of global top-sites, and simply consisted of the top k pages. We consider this to be a realistic test set that reflects a wide
range of web applications and categories of content.
For the batch evaluation of URLs, we implemented a Firefox extension that visits
all URLs provided in a file. After a timeout, the extension automatically visits the next
URL in the list. More precisely, the extension moves to the next URL two seconds after
the page finished loading, or ten seconds after page loading started. The hard limit of
ten seconds was necessary to handle scripts that continuously issued page reloads.
Our prototype did not produce any false positives for this dataset. This might look
suspicious at a first glance: The x86 instruction set is known to be densely packed, thus,
almost any sequence of bytes makes up valid instructions. However, one has to consider
the fact that JavaScript uses 16-bit Unicode characters to store text. That is, even if a
given sequence of ASCII characters results in a valid x86 instruction most of the time,
the JavaScript representation of the same characters most likely does not, since every
other byte would contain the value 0x0. Of course, an attacker can encode the shellcode
appropriately. However, benign pages typically do not contain strings that map to valid
instruction sequences

Kết quả (Việt) 1:

Trong bối cảnh hệ thống của chúng tôi, dương tính giả là một trang được phát hiện như là độc hại mà không có thực sự tải shellcode vào bộ nhớ. Để đánh giá khả năng của quả dương giả,chúng tôi mở rộng hệ thống mẫu thử nghiệm của chúng tôi để truy cập vào một danh sách các k = 4, 502 được biết đến, lành tính trang.Các trang đã được đưa từ Alexa xếp hạng của trang web hàng đầu toàn cầu, và chỉ đơn giản là bao gồm các trang hàng đầu k. Chúng tôi coi đây là một tập hợp các thử nghiệm thực tế phản ánh một rộngphạm vi của các ứng dụng web và các loại nội dung.Đánh giá thực thi URL, chúng tôi thực hiện một phần mở rộng Firefox truy cậpTất cả các URL được cung cấp trong một tập tin. Sau một thời gian chờ, phần mở rộng tự động truy cập tiếp theoURL trong danh sách. Chính xác hơn, phần mở rộng di chuyển đến URL sau hai giây sau khiTrang hoàn tất tải, hoặc mười giây sau khi tải trang bắt đầu. Giới hạn cứng của10 giây là cần thiết để xử lý kịch bản đã tạo ra liên tục tải lại trang.Nguyên mẫu của chúng tôi không sản xuất bất kỳ sai tích cực cho số liệu này. Điều này có thể hìnhđáng ngờ tại một trong nháy mắt đầu tiên: x 86 tập lệnh được biết đến để có được đóng gói, do đó,hầu như bất kỳ thứ tự của byte chiếm hướng dẫn hợp lệ. Tuy nhiên, người ta phải xem xétmột thực tế rằng JavaScript sử dụng 16-bit Unicode ký tự để lưu trữ văn bản. Có nghĩa là, ngay cả khi mộtcho chuỗi ASCII nhân vật kết quả trong một chỉ dẫn hợp lệ x 86 phần lớn thời gian,đại diện JavaScript của cùng một nhân vật rất có thể hiện không, kể từ khi mỗibyte khác sẽ chứa giá trị 0x0. Tất nhiên, một kẻ tấn công có thể mã hóa shellcodemột cách thích hợp. Tuy nhiên, trang lành tính thường không chứa chuỗi ánh xạ cho hợp lệtrình tự hướng dẫn

Kết quả (Việt) 2:

Trong bối cảnh hệ thống của chúng tôi, một dương tính giả là một trang web được phát hiện như là độc hại mà không thực sự shellcode tải vào bộ nhớ. Để đánh giá khả năng của dương tính giả,
chúng tôi mở rộng hệ thống nguyên mẫu của chúng tôi đến thăm một danh sách các k = 4, 502 tiếng, trang lành tính.
Những trang này được lấy từ Alexa xếp hạng của toàn cầu trên các trang web, và đơn giản chỉ gồm các trang k đầu . Chúng tôi coi đây là một bộ kiểm tra thực tế phản ánh một rộng
phạm vi của các ứng dụng web và các loại nội dung.
Đối với việc đánh giá hàng loạt các URL, chúng tôi thực hiện một phần mở rộng Firefox mà thăm
tất cả các URL được cung cấp trong một tập tin. Sau một thời gian chờ, phần mở rộng tự động thăm tiếp theo
URL trong danh sách. Chính xác hơn, phần mở rộng di chuyển đến các URL sau hai giây sau khi
tải trang hoàn tất, hoặc mười giây sau khi tải trang bắt đầu. Các giới hạn cứng của
mười giây là cần thiết để xử lý các kịch bản liên tục ban hành tải lại trang.
nguyên mẫu của chúng tôi không sản xuất bất kỳ sai tích cực cho tập dữ liệu này. Điều này có thể trông
đáng ngờ trong nháy mắt đầu tiên: Các tập lệnh x86 được biết đến là mật độ dày đặc, do đó,
hầu như bất kỳ chuỗi các byte chiếm hướng dẫn hợp lệ. Tuy nhiên, người ta phải xem xét
thực tế là JavaScript sử dụng 16-bit ký tự Unicode để lưu trữ văn bản. Đó là, ngay cả khi một
trình tự nhất định của các ký tự ASCII kết quả trong một lệnh x86 có giá trị hầu hết thời gian,
các đại diện JavaScript của nhân vật tương tự rất có thể không, vì mỗi
byte khác sẽ chứa các giá trị 0x0. Tất nhiên, một kẻ tấn công có thể mã hóa các shellcode
thích hợp. Tuy nhiên, các trang lành tính thường không chứa chuỗi bản đồ để hợp lệ
trình tự hướng dẫn