IT for researcher/Web Security (2) 썸네일형 리스트형 Defending against injection attacks through context-sensitive string evaluation Safe ad-hoc serialization Serialization API (Prepared Statment 같은 것들) 쓰는 방식으로 SQL Injection을 해결할 때 장/단점 장점 1. 개발자가 해당 API를 사용해서 개발만 하면 자동으로 해결됨~~ 단점. 1. tool이 제한적이다. 지원하지 않는 부분들도 있다 XPATH 등등. 2. 개발자에 의존적이다. 3. 해당 API를 사용하지 않고 개발한 기존 시스템들이 존재한다. 메타데이터를 추적해서 소스고침없이 safe adhoc serialization을 수행. 메타데이터 - orgin 데이터에 대한 정보 (user 제공, 개발자 제공) 펄에서 variable taint 와 유사하다. (그러나 좀더 많은 정보를 가지고 있어야한다.) 사용자로부터 .. Automatic Creation of SQL Injection and Cross-Site Scripting Attacks Abstract 우리는 SQL 인젝션과 크로스 사이트 스크립트에 취약점을 찾는 기술에 대해 쓴다. 가장 심각한 공격에서 공격자는 사용자가 악성 코드를 실행하기 위하여 데이터베이스를 망가트릴 수 있다. 이논문에서 SQLI와 XSS 취약점을 드러내는 입력을 생성하기 위한 자동화된 기술을 보인다. 이 기술은 샘플 입력, track saints, 익스플로잇을 생성한다. 이차 XSS 공격을 알 수 있는 첫 분석이다. Introduction 공격의 두가지 종류 SQL 인젝션, 크로스사이트 스크립팅 SQLI와 XSS 취약점을 식별하고 이를 막기 위한 이전 방식들은 방어 코드, 정적 분석, 동적 모니터링, 테스트 생성등을 포함한다. 이러한 접근 방법들은 각각 장점 및 개선 사항들을 가지고 있다. Defensive co.. 이전 1 다음