버퍼 오버플로우 취약점 탐지를 위한 퍼징 에이전트 구현
Implementing a Fuzzing Agent to Dectect Buffer Overflow Vulnerability
1
조회
0
다운로드
3
인용
0
참고문헌
키워드
초록
네트워크에 연결되는 소프트웨어에서 사용자의 권한을 획득할 수 있는 취약점이 존재한다면, 컴퓨터의 사용 권한을 원격지의 공격자가 획득할 수 있게 된다. 또한 특정 계열에 대한 운영체제의 점유율이 높은 사용자 환경에서는 해당 운영체제에서 문제가 발생하면 보다 큰 피해가 발생될 수 있다. 특히, 보안상 취약점을 가지는 오류가 발견된다면 상당히 큰 문제가 될 수 있다. 이러한 환경 속에서 취약점을 발견하고 대응하기 위한 다양한 연구들이 진행되어왔으며, 퍼징 기법은 소프트웨어에 있는 오류를 찾아내는 가장 효과적인 기술 중 하나이다. 본 논문에서는 다양한 어플리케이션에서 발생할 수 있는 버퍼 오버플로우 취약점을 탐지할 수 있는 퍼징 에이전트를 설계하고 구현하고자 한다. 이러한 퍼징 에이전트를 통해 어플리케이션 개발자들이 스스로 어플리케이션의 취약점을 발견하고 수정할 수 있는 보다 안전한 컴퓨팅 환경을 실현할 수 있을 것이다.
Abstract
If a vulnerability in the software connected to the network to obtain the user's privilege, a remote attacker could gain the privilege to use the computer. In addition, in a user environment in which an operating system for a specific series is used a lot, if a problem occurs in the operating system, considerable damage can occur. In particular, If an error is a security vulnerability, it can be a very big problem. Various studies have been conducted to find and respond to vulnerabilities in such a situation. Among various security technologies, the fuzzing technology is one of the most effective technologies to find errors in software. In this paper, I designed and implemented a fuzzing agent that can detect buffer overflow vulnerabilities that can occur in various applications. Through this fuzzing agent, application developers will be able to realize a more secure computing environment in which they can discover and fix vulnerabilities in their own applications.
참고문헌 (15)
- 임수창, "원전 적용을 위한 네트워크 기반 취약점 스캐너의 비교 분석", 한국정보통신학회논문지, 22(10), pp.1392~1397 (2018), 한국정보통신학회[DOI]
- T. K. Lee, "Performance Analysis of Open Source Web Vulnerability Scanner", Communications of the Korean Institute of Information Scientists and Engineers, 36(3), pp.42~49 (2018)
- K. S. Oh, "A Study on Tools for Control System Platform Vulnerability Scanner Development", Proceedings of the Korea Information Processing Society Conference, 51, pp.202~205 (2016)
- 오상환, "SW 보안 취약점 자동 탐색 및 대응 기술 분석", 한국산학기술학회논문지, 18(11), pp.94~103 (2017), 한국산학기술학회[DOI]
- K. Y. Lim, "A study on the security weakness diagnosis method for commercial and open software based on fuzzing", REVIEW OF KIISC, 26(1), pp.27~33 (2016)
- Rustamov FAYOZBEK, "Search-Based Concolic Execution for SW Vulnerability Discovery", IEICE Transactions on Information and Systems, E101.D(10), pp.2526~2529 (2018), Institute of Electronics, Information and Communications Engineers (IEICE)[DOI]
- Patrice Godefroid, "SAGE:Whitebox Fuzzing for Security Testing", Communications of the ACM, 55(3), pp.40~44 (2012), Association for Computing Machinery (ACM)[DOI]
- 윤종문, "SIEM과 OWASP-ZAP및ANGRY-IP취약점분석모듈과 연동구현", 융합보안 논문지, 19(2), pp.83~89 (2019), 한국융합보안학회[DOI]
- 백승현, "수준별 신규 취약점 점검 모듈 개발 방법론", 융합보안 논문지, 6(4), pp.29~40 (2006), 한국융합보안학회
- I. Haller, "Dowsing for overflows: A guided fuzzer to find buffer boundary violations", Proceedings of the USENIX Security Symposium, pp.49~63 (2013), USENIX
- W. You, "SemFuzz: Semantics- based automatic generation proof-of-concept exploits", Proceedings of the ACM SIGSAC Conference on Computer and Communications Security, pp.2139~2154 (2017), ACM
- S. McClure, "Hacking Exposed 7 : Network Security Secrets and Solutions" (2012), McGraw Hill
- A. Takanen, "Fuzzing for Software Security Testing and Quality Assurance" (2018), Artech House
- P. Brandon, "Gray Hat C# : A Hacker's Guide to Creating and Automating Security Tools" (2017), No Starch Press
- 홍성혁, "시나리오 분석을 통한 사물인터넷(IoT)의 취약성 분석", 한국융합학회논문지, 8(9), pp.1~7 (2017), 한국융합학회[DOI]