웹 응용 프로그램의 문자열 삽입 보안 취약성 분석기 개발
Development of a String Injection Vulnerability Analyzer for Web Application Programs
0
조회
0
다운로드
1
인용
0
참고문헌
키워드
초록
오늘날 대부분의 웹사이트는 웹 응용 프로그램이 적절한 웹 페이지를 생성하여 전송하는 형태인 동적 웹페이지를 사용하고 있다. 이에 대하여, 취약한 웹 응용 프로그램에 악의적인 문자열을 전달하는 공격의 형태가 증가하고 있다. 본 논문에서는 대표적인 문자열 삽입 공격인 SQL 삽입(SQL Injection) 공격과 크로스 사이트 스크립팅(Cross Site Scripting, XSS) 공격에 대하여 웹 응용 프로그램내의 보안 취약성을 자동으로 찾아 주는 프로그램 정적 분석기를 개발하였다. 요약 해석을 사용한 프로그램 분석을 위하여 가능한 문자열 값을 제외 문자열들과 함께 표현하는 요약 자료 공간과 PHP 언어의 요약된 의미 규칙을 설계하였으며, 이를 기반으로 분석기를 구현하였다. 또한 개발된 분석기가 기존의 연구 결과와 비교하여 경쟁력 있는 분석 속도와 정밀도를 가짐을 실험을 통하여 보였다.
Abstract
Nowadays, most web sites are developed using dynamic web pages where web pages are generated and transmitted by web application programs. Therefore, the ratio of attacks injecting malevolent strings to vulnerable web applications is increasing. In this paper, we present a static program analyzer which analyzes whether a web application program has vulnerabilities to the SQL injection attack and the cross site scripting(XSS) attack. To analyze programs using abstract interpretation framework, we designed an abstract domain which models potential string set along with excluded strings and developed an abstract interpreter for the PHP language. Also, based on them, we implemented a static analyzer. According to our experiments, our analyzer has competitive analysis speed and accuracy compared with related research results.
참고문헌 (13)
- Curphey, M., "“A Guide to Building Secure Web Applications,” The Open Web Application Security Project, v.1.1.1, Sep., 2002", ~ (2002)
- D. Turner, "Symantec Internet Security Threat Report Vol.Ⅸ - Trends for July 05-December 05", Symantec (2006)
- Scott, D., "Abstracting Application-Level Web Security", Proc. 11th Int’l Conf. World Wide Web, pp.396~407 (2002)
- Scott, D., "Developing Secure Web Applications", IEEE internet Computing, 6(6), pp.38~45 (2002)
- "AppShield 4.0 Whitepaper//Sanctum Inc./2002"[URL]
- Kavado,Inc., "InterDo Version 3.0", Kavado Whitepaper (2003)
- Huang, Y. W., "Web Application Security Assessment by Fault Injection and Behavior Monitoring", In Proc. 12th International World Wide Web Conference, pp.148~159 (2003)
- Aske Simon Christensen, "Precise Analysis of String Expressions", 14th International Static Analysis Symposium, pp.1~18 (2003)
- Minamide, Y., "Static Approximation of Dynamically Generated Web Pages", 14th International World Wide Web Conference, pp.432~441 (2005)
- Tae-Hyoung Choi, "A Practical String Analyzer by the Widening Approach", Asian Symposium on Programming Languages and Systems, pp.374~388 (2006)
- Yichen, X., "Static Detection of Security Vulnerabilities in Scripting Languages", 15th USENIX Security Symposium (2006)
- Wassermann, "Sound and Precise Analysis of Web Applications for Injection Vulnerabilities", In Proceedings of PLDI 2007, pp.32~41 (2007)
- Gagnon, E. M., "SableCC, an Object-Oriented Compiler Framework", In Proc. 1998 Conf. Technology of Object-Oriented Languages and Systems, pp.140~154 (1998)