[논문 리뷰] Cross-site Scripting Attacks on Android WebView

A. B. Bhavani|arXiv (Cornell University)|2013. 04. 28.

Advanced Malware Detection Techniques참고 문헌 4인용 수 33

한 줄 요약

이 논문은 Android WebView에서의 크로스사이트 스크립팅(XSS) 취약성을 조사하며, 공격자가 HttpClient API를 통해 동일원칙 정책 보호 기능을 우회하여 악성 스크립트를 실행하고 사용자 자격 증명(예: 쿠키)을 도용할 수 있음을 입증한다. 이 연구는 WebView의 보안 모델이 클라이언트 측 XSS 공격에 취약하여 취약한 애플리케이션에서 사용자 데이터가 완전히 악용당할 수 있음을 드러낸다.

ABSTRACT

WebView is an essential component in Android and iOS. It enables applications to display content from on-line resources. It simplifies task of performing a network request, parsing the data and rendering it. WebView uses a number of APIs which can interact with the web contents inside WebView. In the current paper, Cross-site scripting attacks or XSS attacks specific to Android WebView are discussed. Cross site scripting (XSS) is a type of vulnerability commonly found in web applications. This vulnerability makes it possible for attackers to run malicious code into victim's WebView,through HttpClient APIs. Using this malicious code, the attackers can steal the victim's credentials, such as cookies. The access control policies (that is,the same origin policy) employed by the browser to protect those credentials can be bypassed by exploiting the XSS vulnerability.

연구 동기 및 목표

• Android WebView 컴ponent에서의 크로스사이트 스크립팅(XSS) 취약성이 초래하는 보안 위험을 분석하기 위해.
• 공격자가 HttpClient API를 어떻게 악용하여 WebView 내부에서 악성 스크립트를 실행할 수 있는지 조사하기 위해.
• WebView에서 동일원칙 정책 보호 기능을 어떻게 우회할 수 있는지 보여주기 위해, 이를 통해 자격 증명 도용을 가능하게 하기 위해.
• Android 앱에서 널리 사용되고 있음에도 불구하고 WebView에 적절한 액세스 제어 메커니즘이 부족함을 강조하기 위해.
• 모바일 애플리케이션 개발에서 WebView 통합의 보안 영향에 대한 인식을 높이기 위해.

제안 방법

• 저자들은 공격 벡터를 식별하기 위해 Android WebView의 아키텍처와 HttpClient API와의 상호작용을 분석한다.
• 불안전한 데이터 처리 방식을 통해 신뢰할 수 없는 웹 콘텐츠가 WebView에 주입될 수 있음을 시연한다.
• WebView에서 엄격한 콘텐츠 보안 정책이 부재함을 악용하여 임의의 JavaScript 코드를 실행한다.
• 공격 가능성 검증을 위해 제어된 테스트 환경에서 실제 세계의 공격 시나리오를 시뮬레이션한다.
• 동일원칙 정책과 같은 기존 액세스 제어 정책의 효과성을 평가하여 무단 스크립트 실행을 방지하는지 검토한다.
• WebView 동작을 역공학하고, 다양한 설정에서의 렲영 및 실행 모델을 분석하는 방법을 포함한다.

실험 결과

연구 질문

• RQ1 크로스사이트 스크립팅 공격는 Android WebView 컴ponent를 어떻게 악용하여 손상시킬 수 있는가?
• RQ2 HttpClient API는 WebView에서 악성 스크립트를 주입하고 실행하기 위해 어떻게 악용될 수 있는가?
• RQ3 Android WebView에서 동일원칙 정책은 어느 정도 우회될 수 있으며, 자격 증명 도용을 가능하게 하는가?
• RQ4 이러한 공격를 가능하게 하는 WebView의 아키텍처적 및 구현적 결함는 무엇인가?
• RQ5 WebView에 내장된 기존 보안 메커니즘은 클라이언트 측 XSS 악용을 방지하는 데에서 어떻게 실패하는가?

주요 결과

• Android WebView에서의 XSS 공격는 동일원칙 정책을 성공적으로 우회하여 민감한 사용자 데이터에 무단으로 접근할 수 있다.
• HttpClient API를 통해 주입된 악성 스크립트는 WebView 컨텍스트 내에서 실행되어 사용자 쿠키와 세션 토큰에 접근할 수 있다.
• 연구는 신뢰할 수 없는 콘텐츠가 렌더링될 경우 WebView의 보안 모델이 클라이언트 측 XSS를 방지하는 데 부적절함을 확인한다.
• 입력 정제가 적절히 이루어지지 않은 Android 애플리케이션에서는 이 취약성이 실제 세계에서 악용될 수 있다.
• 표준 보안 정책이 적용되어 있더라도 WebView는 여전히 XSS를 통한 자격 증명 도용에 취약하다는 것을 연구는 입증한다.
• 이러한 발견은 WebView를 웹 콘텐츠 렌더링에 사용하는 애플리케이션에서 특히 심각한 보안 격차를 드러낸다.