[论文解读] Deemon: Detecting CSRF with Dynamic Analysis and Property Graphs

Giancarlo Pellegrino, Martin Johns+3 more|arXiv (Cornell University)|Aug 29, 2017

Web Application Security Vulnerabilities参考文献 28被引用 4

一句话总结

Deemon 是首个使用动态分析和属性图建模的自动化框架，用于检测经过身份验证的跨站请求伪造（aCSRF）漏洞。它从运行时跟踪中推断出统一模型，通过图遍历识别可疑的状态更改请求，并通过自动化测试验证漏洞，在真实网络应用中发现了14个此前未知的aCSRF缺陷。

ABSTRACT

Cross-Site Request Forgery (CSRF) vulnerabilities are a severe class of web vulnerabilities that have received only marginal attention from the research and security testing communities. While much effort has been spent on countermeasures and detection of XSS and SQLi, to date, the detection of CSRF vulnerabilities is still performed predominantly manually. In this paper, we present Deemon, to the best of our knowledge the first automated security testing framework to discover CSRF vulnerabilities. Our approach is based on a new modeling paradigm which captures multiple aspects of web applications, including execution traces, data flows, and architecture tiers in a unified, comprehensive property graph. We present the paradigm and show how a concrete model can be built automatically using dynamic traces. Then, using graph traversals, we mine for potentially vulnerable operations. Using the information captured in the model, our approach then automatically creates and conducts security tests, to practically validate the found CSRF issues. We evaluate the effectiveness of Deemon with 10 popular open source web applications. Our experiments uncovered 14 previously unknown CSRF vulnerabilities that can be exploited, for instance, to take over user accounts or entire websites.

研究动机与目标

• 为解决目前缺乏自动化检测经过身份验证的 CSRF（aCSRF）漏洞的技术问题，此类漏洞目前仍主要依赖人工检查发现。
• 开发一种基于模型的方法，将执行跟踪、数据流和架构层级统一表示，以实现全面的漏洞分析。
• 通过仅使用 GUI 交互记录实现无监督、基于追踪的模型构建，减少手动配置。
• 自动生成并执行安全测试，以验证真实应用中候选漏洞的可利用性。
• 评估当前 aCSRF 意识水平，识别安全敏感操作保护不一致的情况。

提出的方法

• Deemon 动态插桩网络应用，收集包括网络请求、服务器端操作和数据库交互在内的执行跟踪。
• 它构建一个属性图模型，将状态转换、数据流和架构组件统一为单一可分析的表示形式。
• 应用图遍历技术，识别缺乏适当 CSRF 保护机制的状态更改 HTTP 请求。
• 该框架利用增强的运行时环境，自动生成并执行类似攻击的测试，以验证候选漏洞的可利用性。
• 模型推断以无监督方式执行，仅需记录的 GUI 交互作为输入，实现可扩展且低投入的部署。
• 该方法利用属性图上的查询语言，表达并检测可疑或存在漏洞的行为模式。

实验结果

研究问题

• RQ1 能否通过动态分析和基于模型的推理，在大规模场景下自动检测 aCSRF 漏洞？
• RQ2 基于属性图的建模范式在捕捉现代网络应用中与 CSRF 相关的跨层级和跨功能特性方面有多有效？
• RQ3 基于推断模型的自动化测试生成能否可靠地验证发现的 aCSRF 候选漏洞的可利用性？
• RQ4 现实世界网络应用中，安全敏感操作的意识水平和保护程度如何？
• RQ5 是否存在安全敏感操作选择性受保护的模式，表明可能存在配置错误或被忽视的漏洞？

主要发现

• Deemon 在10个流行的开源网络应用中发现了14个此前未知的 aCSRF 漏洞，包括可导致用户账户接管和数据库泄露的严重缺陷。
• 该框架通过自动化测试执行成功验证了全部14个漏洞的可利用性，确认了其在真实世界中的影响。
• 在两个案例中，Deemon 发现了令人担忧的保护模式，即安全敏感操作保护不一致，表明可能存在配置错误。
• 属性图建模方法有效检测到传统扫描器和静态分析工具常遗漏的复杂跨层级交互。
• 评估结果表明，动态、基于追踪的建模优于传统基于爬取的扫描器，在检测 aCSRF 等逻辑和状态相关漏洞方面表现更优。
• 结果凸显了当前人工检测实践的局限性，凸显了对自动化、可扩展 aCSRF 检测解决方案的迫切需求。