Automatic Creation of SQL Injection and Cross-Site Scripting Attacks
Abstract
우리는 웹 애플리케이션에서 보안 취약점을 찾기 위한 기법을 보인다. SQL 인젝션(SQLI)과 크로스사이트 스크립팅(XSS) 공격은 공격자가 액세스하는 애플리케이션에 입력을 공들여 만들거나 사용자 데이터를 수정하고 악의적인 코드를 실행하는 널리 퍼진 형태의 공격이다. 가장 위험한 공격(second-order, or persistent, XSS라 불리는)에서, 공격자는 사용자들이 다음에 악의적인 코드를 실행하도록 야기하기 위해 데이터베이스에 오류를 일으킨다. 이 논문은 SQLI와 XSS 취약점을 노출시키는 입력들을 생성하기 위한 자동화된 기법을 보인다. 이 기법은 실행을 통해(데이터베이스 액세스를 통한 것을 포함하여) 상징적인 흔적을 오염시키는 샘플 입력들을 생성하고 구체적인 exploits을 초래하는 입력을 변형한다. 우리 것은 정확하게 second-order XSS 공격을 다룰 수 있다고 다룬 첫 번째 분석이다. 우리의 기법은 실제 공격 백터를 생성하고, 거짓 양성을 가지며, 배포된 애플리케이션에 런타임 오버헤드를 생성하지 않고, 애플리케이션 코드의 수정을 요구하지 않고 작업되며, 동적 프로그래밍-언어 제약을 다룬다. 우리는 Ardilla 툴에서, PHP를 위한 기법을 구현하였다. 우리는 5개의 PHP 애플리케이션에서 Ardilla를 평가하여, 68개의 이전에 알려지지 않은 취약점을 찾았다(23개의 SQLI, 33개의 first-order XSS, 그리고 12개의 second-order XSS).
논문 보다가 아까워서....
하지만 발로 번역했다는거... ㅋㅋㅋ
'Computer Science' 카테고리의 다른 글
| SCTP 특성 발표자료 입니다. (0) | 2009.04.08 |
|---|---|
| SCTP 발표 준비중 (0) | 2009.04.02 |
SCTP 특성 발표자료 입니다.
이번에 발표자료로 만든겁니다.
SCTP의 특성에 대해 발표하게 되어서 만들었는데...
TCP와 비교 설명되어있습니다.
쉽게 설명을 하려다 보니...
애니메이션이 많이 들어갔는데....
스토리Q에 PPT만들기에는 애니메이션까지는 않되는군여....
자세히 보고 싶은 분은 첨부파일을 참조하세여...
SCTP.pptx'Computer Science' 카테고리의 다른 글
| Automatic Creation of SQL Injection and Cross-Site Scripting Attacks (0) | 2012.04.25 |
|---|---|
| SCTP 발표 준비중 (0) | 2009.04.02 |
SCTP 발표 준비중
SCTP : State of the Art in Research, Products, and Technical Challenges 논문 발표가 있습니다.
그래서...
나올수 있는 질문에 대한 답변을 만들어 보려합니다.
1. 연결 준비시 TCP는 3-way handshake를, SCTP는 4-way handshake를 사용합니다. 이럼 패킷 하나를 낭비하게 되는데?
- 이는 SCTP가 TCP보다 효율적이지 않아 보입니다. 하지만, SCTP는 세 번째와 네 번째 패킷에서 데이터의 교환을 허용한다는 것과 SYN 서비스 거부 공격에 대해 더 향상된 보안을 제공한다는 것을 고려해야 합니다. 서버가 다운되는 것에 비해 패킷 1개의 소모는 이득이 되는 장사가 아닐지?
2. 멀티 호밍시 네트워크망은 2개를 유지하는지? 2개 이상을 유지하는지?
- SCTP와 TCP의 큰 차이점은 SCTP가 여러개의 IP 주소들로 어소시에이션을 구성할 수 있다는 점이다.
3. 느린 시작의 임계치는?
- 송신자는 ssthresh(느린 시작 임계치 : slow start threshold)이라는 변수를 관리한다.
- 대부분의 구현에서 ssthresh는 65535이다.
4. 혼잡 회피에 들어가는 순간은?
- 느린 시작에 임계치에 도달하는 순간 혼잡 회피에 들어가게 된다.
5. AH와 ESP는 언제나 같이 사용되는가?
- AH는 단독으로 사용 or ESP와 결합되어 사용 가능하다.
- But, ESP를 하고 AH를 하면 IP헤더 부분과 ESP부분을 모두 인증할 수 있다.
6. IPSec의 자세한 설명?
- IPSec은 네트웍이나 네트웍 통신의 패킷 처리 계층에서의 보안을 위해, 지금도 발전되고 있는 표준이다. 이전의 보안 기법들에서는 보안이 통신 모델의 응용 계층에 삽입되었었다. IPSec은 가상 사설망과 사설망에 다이얼업 접속을 통한 원격 사용자 접속의 구현에 특히 유용할 것이다. IPSec의 커다란 장점은 개별 사용자 컴퓨터의 변경 없이도 보안에 관한 준비가 처리될 수 있다는 것이다. 시스코는 IPSec를 표준으로 제안하는데 선두주자였으며, 자신들의 네트웍 라우터에 이 기능의 지원을 포함하였다.
- IPSec은, 본질적으로 데이터 송신자의 인증을
허용하는 인증 헤더 (AH)와, 송신자의 인증 및 데이터 암호화를 함께 지원하는 ESP (Encapsulating Security
Payload) 등, 두 종류의 보안 서비스를 제공한다. 이러한 각 서비스에 관련된 명확한 정보는 IP
패킷 헤더의 뒤를 잇는, 헤더 속의 패킷에 삽입된다. ISAKMP/Oakley 프로토콜과
같은 별개의 키 프로토콜들이 선택될 수 있다.
6.1 TLS의 자세한 설명은?
- TLS는 인터넷 상에서 통신하고 있는 애플리케이션과 그 사용자들 간에 프라이버시를 지키기 위한 프로토콜이다. TLS는 서버와 클라이언트가 통신할 때, 어떠한 메시지에 대해서도 제3자가 엿듣거나 또는 손을 댈 수 없도록 안전하게 지켜준다.
- TLS는 TLS 레코드 프로토콜과 TLS 핸드셰이크 프로토콜의 두 개의 계층으로 구성된다. TLS 레코드 프로토콜은 DES와 같은 일부 암호화 방식을 이용하여 접속 보안을 제공한다. TLS 레코드 프로토콜은 또한 암호화 없이도 사용될 수 있다. TLS 핸드셰이크 프로토콜은 데이터가 교환되기 이전에 서버와 클라이언트가 서로를 인증하고, 암호화 알고리즘 및 암호 키를 결정하게 해준다.
- TLS 프로토콜은 넷스케이프의 SSL 3.0 프로토콜에 기반을 두고 있지만, TLS와 SSL 간에는 상호 운용성이 없다. TLS 프로토콜은 TLS 구현을 SSL 3.0으로 낮추도록 허용하는 메커니즘을 담고 있다. 최신 버전의 브라우저는 TLS를 지원한다. 1996년에 설립된 TLS 작업그룹은 TLS 프로토콜과 관련 애플리케이션을 위해 연구를 계속하고 있다.
- http://www.terms.co.kr/ 에서 발췌...
7. AH와 ESP의 차이는 무엇인가?
- 가장 중요한 차이점은 서비스의 적용 범위
- IP헤더 필드들의 터널 모드 ESP에 의해서 캡슐화되는 경우가 아니면 ESP는 어떠한 IP 헤더 필드들도 보호하지 못한다.
8. TLS와 IPSec은 같이 사용되는가? 따로 사용되는가?
- 같이사용된다던가, 따로 사용된다던가하는 의미가 없음.
- TLS는 어플리케이션등에서 암호화같은 걸 사용해서 안전하게 통신하자는 프로토콜.
- IPSec은 IP단에서의 헤더에 패킷등을 넣어서 인증하는 것.
- 인증 방식의 차이일뿐, 그런 질문은 무의미.
9. TCP의 3DupAck의 빠른 재전송 수행과 SCTP의 4DupAck의 차이는?
- 멀까?
- 각각에 정책에 따라 다르겠지만,
- 응용 프로그램에서 VoIP나 실시간 멀티미디어와 같은 지연에 민감한 데이터가 발생하여 신속한 처리를 워한다면 각 경로의 RTT 정보를 이용하여 가장 작은 RTT를 가지는 경로를 통해서 지연에 민감한 데이터를 전송하며 동시에 기존 Primary path를 통해서는 지연에 영향을 받지 않는 데이터를 함께 전송하기도 한다.
- 송신측에서 해당 SCTP 어소시에이션에 속해 있는 목적지 주소 리스트들 중에서 무작위로 새로운 우선 경로를 위한 주소를 선태한다.
10. 연결설정시 쿠키에 들어있는 정보는?
- IP어디레스에 대한 정보, 스트림 넘버들, 광고된 수취인 윈도우, 초기화 태그들, 타임스탬프, 쿠키의 산시간(TTL), 쿠키를 증명하는 디지털 서명.
(발표준비 하면서 틈틈히 계속 추가될 겁니다. ^^)
'Computer Science' 카테고리의 다른 글
| Automatic Creation of SQL Injection and Cross-Site Scripting Attacks (0) | 2012.04.25 |
|---|---|
| SCTP 특성 발표자료 입니다. (0) | 2009.04.08 |
