[논문 리뷰] XSS-FP: Browser Fingerprinting using HTML Parser Quirks

Erwan Abgrall, Yves Le Traon외 4명|arXiv (Cornell University)|2012. 11. 20.

Advanced Malware Detection Techniques참고 문헌 11인용 수 7

한 줄 요약

이 논문은 크로스사이트 스크립팅(XSS) 벡터를 통해 HTML 파서의 비정상적인 동작 방식을 악용하여 브라우저 유형과 버전을 식별하는 새로운 브라우저 지문 기반 기법인 XSS-FP를 제안한다. 여섯 개의 정교하게 설계된 XSS 테스트를 실행함으로써 브라우저 패밀리 식별 정확도가 98%에 달하고, 정확한 브라우저 버전 식별 정확도는 71%에 이르며, 응용 프로그램 수준에서 매우 정확하고 위조하기 어려운 클라이언트 지문 기반 기법을 제공한다.

ABSTRACT

There are many scenarios in which inferring the type of a client browser is desirable, for instance to fight against session stealing. This is known as browser fingerprinting. This paper presents and evaluates a novel fingerprinting technique to determine the exact nature (browser type and version, eg Firefox 15) of a web-browser, exploiting HTML parser quirks exercised through XSS. Our experiments show that the exact version of a web browser can be determined with 71% of accuracy, and that only 6 tests are sufficient to quickly determine the exact family a web browser belongs to.

연구 동기 및 목표

• JavaScript 또는 네트워크 행동 기반으로 구동되는 전통적인 브라우저 지문 기반 기법의 한계를 해결하기 위해.
• 다양한 브라우저에서 발생하는 내재된, 쉽게 모의할 수 없는 HTML 파서 동작의 비정상적인 동작 방식을 활용한 지문 기반 기법을 개발하기 위해.
• 세션 도용 방지를 포함한 보안 검출을 향상시키기 위해 브라우저 유형과 버전(정확한 버전 포함)을 정밀하게 식별할 수 있도록 하기 위해.
• 저수준 네트워크 스택 접근이 필요 없이도 강력한 응용 프로그램 수준의 지문 기반 기법을 구현하기 위해.
• 실세계 환경에서 HTML 파서의 비정상적인 동작 방식을 신뢰할 수 있는 지문 기반 벡터로 사용할 수 있는지의 타당성과 정확도를 평가하기 위해.

제안 방법

• 다양한 웹 브라우저에서 고유한 파싱 동작을 유도하는 특정 HTML 입력을 활용하여, 이를 '파서 비정상 동작'으로 간주한다.
• 이러한 입력은 브라우저의 기반이 되는 HTML 파서에 따라 다르게 렲시되거나 실행되는 알려진 XSS 벡터에서 유도된다.
• 다양한 브라우저에서 이러한 XSS 벡터를 자동으로 실행하고 그 응답을 수집하기 위해 전용 도구를 개발하였다.
• 응답을 분석하여 동일한 손상되거나 극단적인 HTML을 각 브라우저가 어떻게 파싱하는지에 따라 고유한 서명을 추출하였다.
• 정확도를 유지하면서도 필요한 테스트 수를 줄이기 위해 기계학습 분류 기법(예: Hall 등에 의한 기법)을 적용하였다.
• HTML 파서 동작은 브라우저 엔진에 깊이 통합되어 있어, 동일한 파서 논리를 재현하지 않는 한 쉽게 모의할 수 없다는 점에 기반한다.

실험 결과

연구 질문

• RQ1 HTML 파서의 비정상적인 동작 방식은 다양한 브라우저 유형과 버전을 신뢰성 있게 구분하는 데 사용될 수 있는가?
• RQ2 소수의 XSS 기반 테스트로 브라우저 패밀리 분류 정확도를 얼마나 높일 수 있는가?
• RQ3 버전 수준의 지문 기반 기법 정확도가 JavaScript나 네트워크 행동 기반 기존 방법과 비교해 어떻게 다른가?
• RQ4 기존의 다른 클라이언트 지문 기반 기법과 비교해 이 지문 기반 기법은 위조 시도에 얼마나 강건한가?
• RQ5 이 방법은 봇이나 크롤러와 같은 위장된 클라이언트를 탐지하는 데 확장 가능할 수 있는가?

주요 결과

• 제안된 XSS-FP 기법은 77개의 가능한 브라우저 버전 중 정확한 버전을 71%의 정확도로 식별할 수 있다.
• 단 여섯 개의 XSS 벡터만으로도 브라우저를 정확한 패밀리로 분류하는 데 98%의 정확도를 달성한다.
• HTML 파서의 비정상적인 동작 방식은 브라우저 엔진에 깊이 통합되어 있어, 동일한 파서 논리를 재현하지 않는 한 쉽게 모의할 수 없기 때문에, 이 기법은 위조에 매우 강건하다.
• 이 기법은 응용 프로그램 수준에서 작동하며 저수준 네트워크 스택 접근이 필요 없어 서버 측 배포에 더 실용적이다.
• 특히 서브버전 식별에 있어 기존의 JavaScript 기반 지문 기반 기법보다 성능이 뛰어나다.
• 연구 결과, HTML 파서의 비정상적인 동작 방식은 안정적이고 고유한 지문 기반 벡터를 제공하며, 봇이나 크롤러와 같은 비인간 클라이언트 탐지 가능성도 있다.