임베디드 디바이스 펌웨어의 웹 인터페이스 취약점 식별을 위한 에뮬레이션 기반 퍼징 기법 (Emulation-Based Fuzzing Techniques for Identifying Web Interface Vulnerabilities in Embedded Device Firmware)

서지정보

· 발행기관 : 한국정보보호학회
· 수록지 정보 : 정보보호학회논문지 / 29권 / 6호 / 1225 ~ 1234페이지
· 저자명 : 허정민, 김지민, 지청민, 홍만표

초록

임베디드 디바이스의 대중화로 인해 펌웨어의 보안은 더욱 중요해지고 있다. 유무선 공유기와 같은 네트워크 장비는 내재된 펌웨어의 웹 인터페이스 취약점을 통해 외부의 공격자로부터 피해를 받을 수 있기 때문에 빠르게 찾아내어제거해야 한다. 이전 연구인 Firmadyne 프레임워크는 펌웨어를 에뮬레이션 한 뒤 취약점을 찾아내기 위한 동적 분석 방법을 제안한다. 그러나 이는 도구에서 정의된 분석 방법대로만 취약점 점검을 수행하므로 찾을 수 있는 취약점의 범위가 한정되어 있다. 본 논문에서는 소프트웨어 보안 테스트 기술 중 하나인 퍼징을 통해 에뮬레이션 기반 환경에서의 퍼징 테스트를 수행한다. 또한 효율적인 에뮬레이션 기반 퍼징을 위해 Fabfuzz 도구를 제안한다. 실험을 통해 확인한 결과 기존 도구에서 식별했던 취약점뿐만 아니라 다른 유형의 취약점도 발견할 수 있다.

영어초록

The security of the firmware is more important because embedded devices have become popular. Network devices suchas routers can be attacked by attackers through web application vulnerabilities in embedded firmware. Therefore, they mustbe found and removed quickly. The Firmadyne framework proposes a dynamic analysis method to find vulnerabilities afteremulating firmware. However, it only performs vulnerability checks according to the analysis methods defined in the tool,thus limiting the scope of vulnerabilities that can be found. In this paper, fuzzing is performed in emulation-basedenvironment through fuzzing, one of the software security test techniques. We also propose a Fabfuzz tool for efficientemulation based fuzzing. Experiments have shown that in addition to the vulnerabilities identified in existing tools, othertypes of vulnerabilities have been found.

참고자료

· 없음