[논문 리뷰] Consideration Points Detecting Cross-Site Scripting

Suman Saha|ArXiv.org|2009. 08. 28.

Web Application Security Vulnerabilities참고 문헌 13인용 수 18

한 줄 요약

이 논문은 웹 애플리케이션에서 크로스사이트 스크립팅(XSS) 취약점을 탐지하기 위한 기존 기법들을 조사하며, 그 효과성과 탐지 과정에서의 주요 과제를 분석한다. 본 논문은 새로운 탐지 방법을 제안하지는 않지만, 탐지 방법론에 대한 종합적인 평가를 제공하며, 주요 어려움을 부각하고 향후 XSS 완화에 대한 연구를 이끄는 데 도움이 되는 통찰을 제공한다.

ABSTRACT

Web application (WA) expands its usages to provide more and more services and it has become one of the most essential communication channels between service providers and the users. To augment the users experience many web applications are using client side scripting languages such as JavaScript but this growing of JavaScript is increasing serious security vulnerabilities in web application too, such as cross site scripting (XSS). In this paper, I survey all the techniques those have been used to detect XSS and arrange a number of analyses to evaluate performances of those methodologies. This paper points major difficulties to detect XSS. I do not implement any solution of this vulnerability problem because my focus is for reviewing this issue. But, I believe that this assessment will be cooperative for further research on this concern as this treatise figure out everything on this transcendent security problem.

연구 동기 및 목표

• 웹 애플리케이션에서 크로스사이트 스크립팅(XSS) 취약점을 탐지하기 위한 기존 방법론을 분석하고 평가하는 것.
• 현재 XSS 탐지 기법에서 나타나는 주요 과제와 한계를 규명하는 것.
• 새로운 솔루션을 구현하지 않고도 탐지 접근 방식에 대한 비판적 평가를 제공하며, 연구 지침에 중점을 두는 것.
• XSS 탐지의 복잡성과 미해결 과제들을 요약하여 향후 연구의 기초를 마련하는 것.
• 현대 웹 애플리케이션에서 클라이언트 측 스크립팅 위험과 그 탐지에 대한 이해를 기여하는 것.

제안 방법

• 웹 애플리케이션에서 XSS 취약점을 탐지하기 위한 기존 기법에 대한 체계적 검토.
• 정적, 동적, 하이브리드 XSS 탐지 방법의 분류 및 비교 분석.
• 정확도, 가짜 양성/음성 비율, 확장성 등을 기반으로 한 탐지 성능 평가.
• 효율적인 XSS 탐지에 장애가 되는 아키텍처적, 문법적, 의미적 과제 식별.
• 분석을 위한 주요 자료로 학술 논문과 기존 도구 활용.
• 클라이언트 측 스크립팅(예: 자바스크립트)을 XSS의 주요 공격 표면으로 중점적으로 다룸.

실험 결과

연구 질문

• RQ1 웹 애플리케이션에서 크로스사이트 스크립팅 취약점을 탐지하기 위해 주로 사용되는 기법은 무엇인가요?
• RQ2 정적, 동적, 하이브리드 분석 방법은 XSS 결함을 식별하는 데 얼마나 효과적인가요?
• RQ3 XSS 탐지의 정확성과 신뢰성에 제한을 주는 주요 기술적 및 실무적 과제는 무엇인가요?
• RQ4 기존 탐지 기법은 다양한 웹 애플리케이션 환경에서 일관된 결과를 도출하지 못하는 이유는 무엇인가요?
• RQ5 현재의 접근 방식으로부터 자동화된 XSS 탐지 분야의 향후 연구를 이끌 수 있는 통찰은 무엇인가요?

주요 결과

• 많은 기존 XSS 탐지 기법이 높은 가짜 양성 및 가짜 음성 비율을 겪어 실용적 유용성이 떨어진다.
• 정적 분석 기법은 런타임 동작 및 여러 스크립트 간 데이터 흐름을 고려하지 못하는 경우가 많다.
• 동적 분석은 더 정확하지만 확장성에 한계가 있으며, 완전한 테스트 커버리지가 필요하다.
• 하이브리드 접근 방식은 가능성은 있으나, 정적 및 동적 분석을 효과적으로 통합하는 데 어려움이 있다.
• 특히 프레임워크와 제3자 라이브러리를 활용한 클라이언트 측 스크립팅의 복잡성 증가는 탐지 과정을 크게 복잡하게 만든다.
• 연구 간 평가 기준이 표준화되어 있지 않아 탐지 기법의 성능을 객관적으로 비교하기 어렵다.