• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제17권6호
• /
• pp.1689-1705
• /
• 2023

To deal with the potential XSS vulnerabilities in the source code of the power communication network, an XSS vulnerability detection method combining the static analysis method with the dynamic testing method is proposed. The static analysis method aims to analyze the structure and content of the source code. We construct a set of feature expressions to match malignant content and set a "variable conversion" method to analyze the data flow of the code that implements interactive functions. The static analysis method explores the vulnerabilities existing in the source code structure and code content. Dynamic testing aims to simulate network attacks to reflect whether there are vulnerabilities in web pages. We construct many attack vectors and implemented the test in the Selenium tool. Due to the combination of the two analysis methods, XSS vulnerability discovery research could be conducted from two aspects: "white-box testing" and "black-box testing". Tests show that this method can effectively detect XSS vulnerabilities in the source code of the power communication network.

• Journal of Information Processing Systems
• /
• 제6권4호
• /
• pp.563-574
• /
• 2010

The growing number of web applications in the global economy has made it critically important to develop secure and reliable software to support the economy's increasing dependence on web-based systems. We propose an intercepting filter approach to mitigate the risk of injection flaw exploitation- one of the most dangerous methods of attacking web applications. The proposed approach can be implemented in Java or .NET environments following the intercepting filter design pattern. This paper provides examples to illustrate the proposed approach.

• 한국정보과학회:학술대회논문집
• /
• 한국정보과학회 2011년도 한국컴퓨터종합학술대회논문집 Vol.38 No.1(D)
• /
• pp.102-104
• /
• 2011

최근 스마트폰 사용자가 빠른 속도로 늘어나면서 'QR(Quick Response)코드가 새로운 마케팅 및 정보의 전달 수단으로 크게 각광받고 있다. 또한, QR코드는 인터넷 주소(URL), 사진 및 동영상 정보, 지도 정보, 명함 정보 등을 제공하는 매우 효율적인 수단으로 작용하고 있다. 하지만 스마트폰으로 무심코 인식한 QR 코드로 인해 악성코드에 감염될 가능성이 높아 사용자 주의가 필요하다. 로그인된 웹 사이트에서 QR 코드를 읽어 웹 브라우저로 접근할 때 XSS(Cross Site Scripting)을 통해 해당 웹사이트의 로그인 정보를 획득하거나 게시판 회원정보와 같은 데이터를 수정할 수도 있기 때문이다. 이에 본 논문에서는 QR 코드의 XSS 공격에 대한 대응방안을 상세히 기술하여 QR 코드를 사용하는 유저들에게 도움이 되고자 한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2015년도 추계학술발표대회
• /
• pp.784-786
• /
• 2015

사물인터넷 시대가 도래함에 따라, 사물과 인터넷 간의 연결을 위한 무선 공유기의 활용이 증가하고 있다. 그러나 무선 공유기의 보안 취약점을 악용한 침해 사고도 지속적으로 발생하고 있어, 공유기 보안이 심각한 문제로 대두된 상황이다. 본 논문에서는 국내에서 사용되는 3사의 공유기가 제공하는 웹 기반 관리자 인터페이스에서 발견된 크로스 사이트 스크립팅(cross-site scripting) 취약점을 분석한다. 발견된 취약점을 기반으로, 가능한 공격 시나리오와 패치 발표 이전까지 임시 대응할 수 있는 방법을 제시한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2007년도 추계학술발표대회
• /
• pp.1234-1237
• /
• 2007

웹 서비스를 기반으로 구축된 IT 환경에서 Dynamic Web page 를 동작하도록 하는 것이 CGI(Common Gateway Interface)이다. 이런 CGI 를 사용하는 Web page 에서는 XSS(Cross Site Scripting)에 취약점을 가지고 있다. XSS 의 취약점을 이용하여 Web page 의 변조, Cookie 의 가로채기 등의 악의적인 행동으로 인해 많은 피해사례가 있다. 기존의 연구들은 이러한 문제를 해결하기 위해서 게시판 입력 값을 체크하여 Meta character 를 필터링 하는 방법으로 XSS 공격을 대응하였다. 그러나 이러한 방법은 각 페이지 마다 필터링 스크립트를 사용하기 때문에 웹 서버의 성능에 많은 부하를 초래 하는 단점이 있었다. 따라서 본 논문에서는 이러한 웹 서버의 부하를 줄이기 위해 필터링 스크립트를 DLL(Dynamic link library) 화 시켜 모듈화된 함수를 각 페이지에서 호출하여 사용함으로써 웹 서버의 성능 향상을 제안 한다.

• 정보보호학회논문지
• /
• 제31권2호
• /
• pp.263-277
• /
• 2021

자바스크립트로 작성된 웹 어플리케이션에서 Cross-Site Scripting (XSS), SQL Injection과 같은 검증되지 않은 사용자 입력 데이터로 인해 발생하는 취약점을 탐지하기 위해 오염 분석 기법이 널리 사용되고 있다. 이러한 취약점을 탐지하기 위해서는 사용자 입력 데이터에 영향을 받는 변수들을 추적하는 것이 중요하지만, 자바스크립트의 동적인 특성으로 인해 웹 어플리케이션을 실행해 보지 않고 그러한 변수들을 식별하는 것은 매우 어렵다. 때문에, 기존의 오염 분석 도구들은 대상 어플리케이션을 실행하는 오버헤드가 존재하는 동적 오염 분석을 사용하도록 개발되었다. 본 논문에서는 타입스크립트(자바스크립트의 상위집합) 컴파일러를 활용해 얻은 심볼 정보를 기반으로 데이터의 흐름을 정확히 추적하고, 타입스크립트 코드에서 보안 취약점을 발견하는 새로운 정적 오염 분석 기법을 제안하였다. 제안한 기법은 개발자가 검증되지 않은 사용자 입력 데이터를 포함할 수 있는 변수에 표시를 할 수 있도록 하며, 이를 활용해 사용자 입력 값에 영향을 받는 변수와 데이터를 추적한다. 제안한 기법은 TypeScript 컴파일러에 원활히 통합될 수 있기 때문에, 별도의 도구로 작동하는 기존 분석 도구와 달리 개발자가 개발 과정에서 취약점을 발견할 수 있게 한다. 제안한 기법의 유효성을 확인하기 위해 프로토타입을 구현하였으며, 취약점이 보고된 8개의 웹 어플리케이션을 선정하여 분석을 수행하여 성능을 평가한 결과 기존의 취약점을 모두 탐지할 수 있음을 확인하였다.

• 한국인터넷방송통신학회논문지
• /
• 제14권4호
• /
• pp.57-61
• /
• 2014

제로보드는 PHP와 MySQL이 지원되는 공개용 게시판이다. 초보자들도 쉽게 사용할 수 있기 때문에 많이 사용되고 있으나 제로보드4를 마지막으로 더 이상의 업데이트는 없다고 알려져 있다. 때문에 취약점이 발생한다면 이를 사용하는 게시판 관리자들은 속수무책으로 당할 수밖에 없는 문제점이 존재한다. 본 논문에서는 XSS에서 확장하고 발전된 CSRF 공격에 대하여 알아보고, VM 웨어를 이용한 환경구축을 통해 대표적으로 게시판에서 이루어지는 CSRF의 공격방법과 그에 대한 대안방법을 제시한다. 제안된 방법(공격방법, 대안방법)의 주요한 특징 및 기여도는 다음과 같다. 첫째, VM 웨어를 비롯한 여러 tool들을 이용해 환경구축을 한다. 둘째, 프록시 서버를 사용해 취약점을 분석해 이에 대비한다. 성능평가는 고안한 대응방안을 적용시켜 그 성능을 평가한다.

• 융합보안논문지
• /
• 제18권3호
• /
• pp.37-44
• /
• 2018

오늘날 우리는 웹 사이트의 홍수 속에 살고 있으며, 다양한 정보를 얻기 위해서 인터넷을 통해 수많은 웹 사이트에 접속을 하고 있다. 하지만 웹 사이트의 보안성이 담보되지 않는다면, 여러 악의적인 공격들로부터 웹 사이트의 안전성을 확보할 수가 없다. 특히 금전적인 목적, 정치적인 목적 등 다양한 이유로 웹 사이트의 보안 취약점을 악용한 해킹 공격이 증가하고 있다. SQL-Injection, 크로스사이트스크립트(XSS), Drive-By-Download 등 다양한 공격기법들이 사용되고 있으며, 그 기술 또한 갈수록 발전하고 있다. 이와 같은 다양한 해킹 공격들을 방어하기 위해서는 웹 사이트의 개발단계부터 취약점을 제거하여 개발하여야 하지만, 시간 및 비용 등 여러 문제들로 인해 그러지 못하는 것이 현실이다. 이를 보완하기 위해 웹 취약점 점검을 통해 웹 사이트의 취약점을 파악하고 조치하는 것이 중요하다. 이에 본 논문에서는 웹 취약점 및 진단기법에 대해 알아보고 실제 웹 취약점 진단 사례를 통해 각 사례별 조치현황에 따른 개발단계에서의 취약점별 조치 우선 순위에 대해 알아보고자 한다.

• IEIE Transactions on Smart Processing and Computing
• /
• 제3권5호
• /
• pp.319-324
• /
• 2014

Web applications make life more convenient. Many web applications have several kinds of user input (e.g. personal information, a user's comment of commercial goods, etc.) for the activities. On the other hand, there are a range of vulnerabilities in the input functions of Web applications. Malicious actions can be attempted using the free accessibility of many web applications. Attacks by the exploitation of these input vulnerabilities can be achieved by injecting malicious web code; it enables one to perform a variety of illegal actions, such as SQL Injection Attacks (SQLIAs) and Cross Site Scripting (XSS). These actions come down to theft, replacing personal information, or phishing. The existing solutions use a parser for the code, are limited to fixed and very small patterns, and are difficult to adapt to variations. A machine learning method can give leverage to cover a far broader range of malicious web code and is easy to adapt to variations and changes. Therefore, this paper suggests the adaptable classification of malicious web code by machine learning approaches for detecting the exploitation user inputs. The approach usually identifies the "looks-like malicious" code for real malicious code. More detailed classification using sequence information is also introduced. The precision for the "looks-like malicious code" is 99% and for the precise classification with sequence is 90%.

• 융합보안논문지
• /
• 제12권3호
• /
• pp.85-92
• /
• 2012

기존의 보안 관리 수준을 측정하기 위한 방법들이 다양하지만 IT 자산을 중심으로 한 평가만이 이루어지고 있는 관계로 조직 전반에 걸친 분석이 이루어지지 못했다. 따라서 본 논문에서는 보안 관리 수준 점검을 손쉽게 할 수 있도록 웹 기반 보안 관리 수준 분석 도구에 대해 제시한다. 본 도구의 경우는 전사적 정보 보호 관리 방법론인 ISO 27001의 보안통제 항목들을 기반으로 설문 내용을 구성하였다.