웹 브라우저 취약성 검증을 위한 이벤트 및 커맨드 기반 퍼징 방법 (Event and Command based Fuzzing Method for Verification of Web Browser Vulnerabilities)

서지정보

· 발행기관 : 한국정보보호학회
· 수록지 정보 : 정보보호학회논문지 / 24권 / 3호 / 535 ~ 545페이지
· 저자명 : 박성빈, 김민수, 노봉남

초록

최근 소프트웨어 산업의 발전과 더불어 소프트웨어 취약점을 이용한 공격이 사회적으로 많은 이슈가 되고 있다. 특히, 웹 브라우저 취약점을 이용한 공격은 윈도우 보호메커니즘을 우회할 수 있기 때문에 주요 공격 대상이 될 수 있다.
이러한 보안위협으로부터 웹 브라우저를 보호하기 위한 퍼징 연구가 지속적으로 수행되어 왔다. 하지만 기존 웹 브라우저 퍼징 도구에서는 대부분 DOM 트리를 무작위로 변형시키는 단순한 형태의 퍼징 방법을 사용하고 있다. 본 논문에서는 알려진 취약점에 대한 패턴 분석과 기존 웹 브라우저 퍼징 도구의 분석을 통해 최신 웹 브라우저 취약점을 보다 효과적으로 탐지하기 위한 이벤트 및 커맨드 기반 퍼징 방법을 제안한다. 기존 퍼징 도구 3종과 제안하는 방법을 비교한 결과 이벤트 및 커맨드 기반의 퍼징 도구가 더욱 효과적이라는 것을 볼 수 있었다.

영어초록

As the software industry has developed, the attacks making use of software vulnerability has become a big issue in society.
In particular, because the attacks using the vulnerability of web browsers bypass Windows protection mechanism, web browserscan readily be attacked. To protect web browsers against security threat, research on fuzzing has constantly been conducted.
However, most existing web browser fuzzing tools use a simple fuzzing technique which randomly mutates DOM tree.
Therefore, this paper analyzed existing web browser fuzzing tools and the patterns of their already-known vulnerability topropose an event and command based fuzzing tool which can detect the latest web browser vulnerability more effectively. Threekinds of existing fuzzing tools were compared with the proposed tool. As a result, it was found that the event and commandbased fuzzing tool proposed was more effective.

참고자료

· 없음