• 한국정보통신학회:학술대회논문집
• /
• 한국정보통신학회 2022년도 추계학술대회
• /
• pp.337-340
• /
• 2022

SQL Injection 공격은 오래된 공격기법 중 하나로 웹 서비스에 대한 해킹 시도 유형 중에서도 높은 비중을 차지하고 있다. SQL Injection 공격은 데이터 노출 및 권한획득 등의 방법으로 현재까지도 해킹 시도가 많이 발생하고 있으며, 본 논문에서는 오픈소스인 ELK Stack을 활용하여 실시간으로 SQL Injection 공격 대응할 수 있는 로그 분석시스템을 구현하였다. 구현한 시스템을 통해 SQL Injection 공격에 대한 로그 데이터를 시각화하여 제공함으로써, 사용자는 공격의 위험도를 쉽게 파악할 수 있으며 신속하게 공격에 대비할 수 있을 것으로 기대한다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제14권6호
• /
• pp.2576-2590
• /
• 2020

The fundamental reason why most SQL injection detection methods are difficult to use in practice is the low reusability of the implementation code. This paper presents a reusable SQL injection detection method for Java Web applications based on AOP (Aspect-Oriented Programming) and dynamic taint analysis, which encapsulates the dynamic taint analysis processes into different aspects and establishes aspect library to realize the large-grained reuse of the code for detecting SQL injection attacks. A metamodel of aspect library is proposed, and a management tool for the aspect library is implemented. Experiments show that this method can effectively detect 7 known types of SQL injection attack such as tautologies, logically incorrect queries, union query, piggy-backed queries, stored procedures, inference query, alternate encodings and so on, and support the large-grained reuse of the code for detecting SQL injection attacks.

• Journal of Information Processing Systems
• /
• 제13권4호
• /
• pp.689-702
• /
• 2017

The Structured Query Language (SQL) Injection continues to be one of greatest security risks in the world according to the Open Web Application Security Project's (OWASP) [1] Top 10 Security vulnerabilities 2013. The ease of exploitability and severe impact puts this attack at the top. As the countermeasures become more sophisticated, SOL Injection Attacks also continue to evolve, thus thwarting the attempt to eliminate this attack completely. The vulnerable data is a source of worry for government and financial institutions. In this paper, a detailed survey of different types of SQL Injection and proposed methods and theories are presented, along with various tools and their efficiency in intercepting and preventing SQL attacks.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2015년도 추계학술발표대회
• /
• pp.867-869
• /
• 2015

최근 폭발적으로 증가하는 데이터양과 데이터 특성들로 인해 관계형 데이터베이스는 빅데이터 처리에 어려움이 발생하기 시작했으며, 이러한 빅데이터의 신속한 처리를 위해 비정형 데이터 분산처리, 병렬 처리 등 특정한 영역에서 우수한 성능을 보이는 NoSQL 데이터베이스의 활용이 증가하고 있다. 기존 관계형 데이터베이스에서 악의적인 SQL Injection 공격이 시스템에 치명적인 피해를 주는 것과 마찬가지로, 다른 쿼리 언어를 사용하는 NoSQL 데이터베이스에서도 Injection 공격에 대한 취약점이 여전히 존재할 뿐만 아니라, NoSQL 데이터베이스가 비교적 최신 기술이기 때문에 개발자들은 Injection 공격에 대한 인식이 부족한 실정이다. 본 논문에서는 NoSQL 데이터베이스에 대한 대표적인 2가지 Injection 공격 방법을 소개하고, "NoSQL Injection Defender(NID)"라 명명한 Injection 공격 방어 시스템의 설계 방안을 제시하고자 한다.

• 정보처리학회논문지A
• /
• 제15A권3호
• /
• pp.181-188
• /
• 2008

오늘날 대부분의 웹사이트는 웹 응용 프로그램이 적절한 웹 페이지를 생성하여 전송하는 형태인 동적 웹페이지를 사용하고 있다. 이에 대하여, 취약한 웹 응용 프로그램에 악의적인 문자열을 전달하는 공격의 형태가 증가하고 있다. 본 논문에서는 대표적인 문자열 삽입 공격인 SQL 삽입(SQL Injection) 공격과 크로스 사이트 스크립팅(Cross Site Scripting, XSS) 공격에 대하여 웹 응용 프로그램내의 보안 취약성을 자동으로 찾아 주는 프로그램 정적 분석기를 개발하였다. 요약 해석을 사용한 프로그램 분석을 위하여 가능한 문자열 값을 제외 문자열들과 함께 표현하는 요약 자료 공간과 PHP 언어의 요약된 의미 규칙을 설계하였으며, 이를 기반으로 분석기를 구현하였다. 또한 개발된 분석기가 기존의 연구 결과와 비교하여 경쟁력 있는 분석 속도와 정밀도를 가짐을 실험을 통하여 보였다.

• 한국정보통신학회:학술대회논문집
• /
• 한국해양정보통신학회 2010년도 춘계학술대회
• /
• pp.303-306
• /
• 2010

웹사이트를 통한 해커들의 악의적인 웹 취약점 공격으로 개인정보와 개인자산이 유출되고 있다. 일부국가에서는 해커부대가 운용되어, 타 국가의 웹사이트를 통해 기밀정보 및 개인정보를 불법적으로 접근하여 자료를 획득하고 있다. 국내 웹사이트들은 프로그램뿐만 아니라 웹사이트 관리의 문제로 인해 많은 취약점을 갖고 있다. 본 논문에서는 국내뿐만 아니라 전 세계적으로 유행하는 XSS, SQL Injection, Web Shell 공격에 대한 취약점을 분석하고, XSS, SQL Injection, Web Shell 공격을 직접 공격한다. 공격 후에 해킹을 시연한 자료를 수집, 분석을 하여 보안 대응책을 제시한다. 본 연구는 웹사이트 보안과 안전한 웹사이트 관리를 향상 시킬 수 있는 기술연구에 이바지 할 것이다.

• 정보보호학회논문지
• /
• 제18권5호
• /
• pp.135-148
• /
• 2008

인터넷이 발전함에 따라 웹 애플리케이션을 이용한 서비스가 대중화되었고, 웹 애플리케이션의 취약점을 목표로 하는 공격들도 증가하게 되었다. 많은 웹 공격 중의 하나인 SQL Injection 공격은 민감한 데이터를 처리하는 곳에서는 매우 치명적이고 위험하기 때문에 이를 탐지하고 예방하기 위한 연구들이 다양하게 이루어져 왔다. 이로 인하여 SQL Injection 공격들이 많이 감소했지만 아직도 이를 우회하는 방법들이 존재하며, 기존의 연구 방법들 또한 매우 복잡하여 실제 웹 애플리케이션에 적용하여 사용하기 어렵다. 따라서 본 논문에서는 SQL Injection 공격 탐지를 위해 웹 애플리케이션에 고정되어 있는 정적 SQL 질의와 사용자로부터 생성되는 동적 SQL 질의의 애트리뷰트 값을 제거한 정적 및 동적 분석 방법을 제안하고, 실험을 통하여 효율성을 검증하였다.

• 한국융합학회논문지
• /
• 제10권10호
• /
• pp.21-26
• /
• 2019

현재 사회는 정보화 사회로 데이터를 활용하는 것이 필수불가결하다. 따라서 데이터베이스를 활용하여 방대한 양의 데이터를 관리하고 있다. 실생활에서 데이터베이스에 들어있는 데이터들은 대부분 한 그룹의 회원들의 개인정보들이다. 개인정보는 민감한 데이터이기 때문에 개인정보를 관리하는 데이터베이스 관리자의 역할이 중요하다. 하지만 이런 개인정보를 악의적으로 사용하기 위해 데이터베이스를 공격하는 행위가 늘고 있다. SQL Injection은 가장 많이 알려져 있고 오래된 해킹기법 중에 하나이다. SQL Injection 공격은 공격하기 쉬운 기법으로 알려져 있으나 대응방안 또한 쉽지만 많은 로그인을 요구하는 웹페이지에서 SQL 공격을 피하기 위한 노력을 많이 하지만 일부 사이트는 여전히 SQL 공격에 취약하다. 따라서 본 연구에서 SQL해킹 기술 사례 분석을 통하여 효과적인 방어책을 제시하여 웹 해킹을 막고 안전한 정보통신 환경을 제공하는 데 기여한다.

• 한국정보처리학회:학술대회논문집
• /
• 한국정보처리학회 2014년도 춘계학술발표대회
• /
• pp.441-444
• /
• 2014

인터넷의 보급에 따른 신속정확하고 편리한 정보처리의 장점에도 불구하고 최근 들어 급증하고 있는 보안 관련 사고들로 인하여 개인정보 및 기업정보의 관리에 대한 대책 마련이 시급한 가운데 있다. 그 중에서도 SQL 삽입 공격에 의한 악의적인 관리자 권한 획득 및 비정상적인 로그인 등으로 인하여 많은 피해가 발생하고 있다. 현재 SQL Injection에 관련된 대부분의 연구는 공격을 탐지하는 방법에 초점이 맞추어져 있다. 본 논문에서는 프로그램 코드를 분석하여 따옴표가 포함된 취약한 인라인 SQL 쿼리 구문을 찾아서 매개변수화된 쿼리로 변경하는 기능을 제공함으로써 근본적인 해결책을 찾고자 하였으며 Java, C#.net 등 다양한 언어를 지원하여 개발 업무에서의 활용성을 높이고자 하였다.

• 정보보호학회논문지
• /
• 제30권3호
• /
• pp.455-464
• /
• 2020

데이터 활용의 다양성이 높아짐에 따라 비관계형 데이터베이스 사용이 증가했으며, 이에 대한 NoSQL 삽입 공격 또한 증가했다. 전통적으로 NoSQL 삽입 공격을 탐지하기 위해 규칙 기반 탐지 방법론이 제안돼왔으나, 이 방식은 규칙의 범위를 벗어나 발생하는 삽입 공격에의 대응이 어렵다는 한계점이 있다. 이에 본 논문에서는 CNN 알고리즘을 이용해 특징을 추출하고, RNN 알고리즘을 활용해 NoSQL 삽입 공격을 탐지하는 기법을 제시한다. 또한, 실험을 통하여 본 논문에서 제시한 모델이 기존의 지도학습을 이용한 가장 우수한 모델보다 정확도는 10%, 정밀도는 4%, 재현율은 14%, F2-score는 0.082만큼 더 높은 비율로 NoSQL 삽입 공격을 탐지함을 보인다.