동적으로 추출한 스크립트 분석을 통한 DOM 기반 XSS 취약점 탐지

Abstract

DOM 기반 XSS는 공격자가 웹 애플리케이션의 취약점을 이용하여 주입한 악성 코드가 서버 측의 검증을 피하고 사용자의 브라우저 내에서 클라이언트 측 스크립트에 의하여 실행되었을 때 발생한다. 악성 코드는 사용자의 브라우저에서 실행되어 사용자의 중요한 데이터를 제3자에게 전송할 수 있다. 기존의 연구는 DOM 기반 XSS 취약점을 탐지하려고 클라이언트 측에서 웹 애플리케이션을 실행하여 동적으로 실행 경로를 추적하거나 실행 출력을 관찰하는 방법으로 취약점을 분석한다. 그러나 이와 같은 동적 분석 방법은 미탐(false negative) 문제가 있기 때문에 완벽한 대응 기법이라고 할 수 없다. 따라서 효과적이며 근본적인 DOM 기반 XSS 취약점 탐지를 위하여 본 논문에서는 웹 애플리케이션에 대하여 동적으로 추출한 스크립트의 정적 분석 방법으로 DOM 기반 XSS 취약점을 탐지하는 방안을 제안한다. 그리고 제안한 방법으로 취약점 탐지 시스템을 설계 및 구현하고 웹 사이트에 대하여 실험을 수행하여 논문에서 제안하는 방법이 취약점 탐지에 더 효과적이고 믿음직한 방법임을 검증하였다.