웹 어셈블리 모듈 안전성 검증을 위한 퍼징 방법
Fuzzing Method for Web-Assembly Module Safety Validation
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
웹 어셈블리는 웹 브라우저 자바스크립트의 성능 향상을 위해 설계된 새로운 바이너리 표준이다. 웹 어셈블리는효율적인 실행 및 간결한 표현과 여러 언어를 바탕으로 작성된 코드를 네이티브에 가까운 속도로 구동될 수 있는 새로운 웹 표준으로 자리 잡고 있다. 하지만 현재 웹 어셈블리 취약성 검증은 웹 어셈블리 인터프리터 언어에 제한되어 있으며, 웹 어셈블리 바이너리 자체에 대한 취약성 검증은 부족한 상황이다. 따라서 웹 어셈블리의 자체적인 안전성 검증이 필요한 실정이다. 본 논문에서는 먼저 웹 어셈블리의 구동 방식과 현재 웹 어셈블리의 안전성 검증 방법에 대해서 분석한다. 또한 기존에 발생하였던 웹 어셈블리 안전성 검증 방식에 대해 살펴보고, 이에 따른 기존 안전성 검증 방식의 한계점을 분석한다. 최종적으로 기존 안전성 검증 방법의 한계점을 극복하기 위한 웹 어셈블리API 기반 퍼징 방법을 소개한다. 이는 기존 안전성 검증 도구로 탐지할 수 없었던 크래시를 탐지함으로써 제안하는퍼징의 효용성을 검증한다.
Abstract
Web-assemblies are a new binary standard designed to improve the performance of Web browser JavaScript. Web-assemblies are becoming a new web standard that can run at near native speed with efficient execution, conciserepresentation, and code written in multiple languages. However, current Web-assembly vulnerability verification is limited tothe Web assembly interpreter language, and vulnerability verification of Web-assembly binary itself is insufficient. Therefore,it is necessary to verify the safety of the web assembly itself. In this paper, we analyze how to operate the web assemblyand verify the safety of the current web-assembly. In addition, we examine vulnerability of existing web -assembly andanalyze limitations according to existing safety verification method. Finally, we introduce web-assembly API based fuzzingmethod to overcome limitation of web-assembly safety verification method. This verifies the effectiveness of the proposedFuzzing by detecting crashes that could not be detected by existing safety verification tools
참고문헌 (10)
- "MDN web docs" (2019)[URL]
- "World Wide Web Consortium" (2019)[URL]
- "libFuzzer" (2019)[URL]
- "Chromium Projects" (2019)[URL]
- Lattner, Chris, "LLVM: A compilation framework for lifelong program analysis & transformation", Proceedings of the international symposium on Code generation and optimization: feedback-directed and runtime optimization, pp.75~ (2004), IEEE Computer Society
- Serebryany, Konstantin, "AddressSanitizer: A Fast Address Sanity Checker", Presented as part of the 2012 {USENIX} Annual Technical Conference, pp.309~318 (2012)
- "jsfunfuzz" (2019)[URL]
- "wabt" (2019)[URL]
- "dharma" (2018)[URL]