公开(公告)号：KR100670209B1

公开(公告)日：2007-01-16

申请号：KR1020040110944

申请日：2004-12-23

Applicant: 한국전자통신연구원

Inventor： 남건우 ,  민병길 ,  박중길

IPC: G06F17/20

Abstract: 본 발명은 파라미터 상태 추적을 통한 웹 응용프로그램 취약점의 소스코드 분석 장치 및 방법에 관한 것으로, 특히 각종 함수에 대한 목록을 사전에 정의하여 관리하는 함수특성 사전정의부(100); 소스코드를 분석하기 위해 정규 표현식으로 정의된 문법 구조에 맞추어 소스 코드에서 토큰을 식별하는 어휘 분석을 수행하는 어휘 분석부(200); 웹 응용프로그램의 일반적인 구문을 인식하기 위해 함수 호출의 특성을 파악하는 구문 분석부(300); 구문에 따른 상태 변화와 함수 특성에 따른 상태 변화를 추적하는 파라미터 상태 추적부(400); 및 출력 지점에서 변수의 특정 취약점에 대한 발생 가능성을 보고하는 취약 결과 보고부(500)로 구성된 것을 특징으로 하며, 이러한 본 발명은 현재 문제가 되고 있는 주요 웹 취약점을 점검하여 보안 취약점을 제거해 준다는 뛰어난 효과가 있다.
파라미터 상태 추적, 웹 응용프로그램 취약점, 소스코드 분석 장치, 사용자 입력 검증, SQL 삽입, 명령어 삽입, 크로스 사이트 스크립팅,

公开(公告)号：KR1020060072353A

公开(公告)日：2006-06-28

申请号：KR1020040110944

申请日：2004-12-23

Applicant: 한국전자통신연구원

Inventor： 남건우 ,  민병길 ,  박중길

IPC: G06F17/20

CPC classification number: G06F11/3604 ,  G06F17/271 ,  G06F17/277

Abstract: 본 발명은 파라미터 상태 추적을 통한 웹 응용프로그램 취약점의 소스코드 분석 장치 및 방법에 관한 것으로, 특히 각종 함수에 대한 목록을 사전에 정의하여 관리하는 함수특성 사전정의부(100); 소스코드를 분석하기 위해 정규 표현식으로 정의된 문법 구조에 맞추어 소스 코드에서 토큰을 식별하는 어휘 분석을 수행하는 어휘 분석부(200); 웹 응용프로그램의 일반적인 구문을 인식하기 위해 함수 호출의 특성을 파악하는 구문 분석부(300); 구문에 따른 상태 변화와 함수 특성에 따른 상태 변화를 추적하는 파라미터 상태 추적부(400); 및 출력 지점에서 변수의 특정 취약점에 대한 발생 가능성을 보고하는 취약 결과 보고부(500)로 구성된 것을 특징으로 하며, 이러한 본 발명은 현재 문제가 되고 있는 주요 웹 취약점을 점검하여 보안 취약점을 제거해 준다는 뛰어난 효과가 있다.
파라미터 상태 추적, 웹 응용프로그램 취약점, 소스코드 분석 장치, 사용자 입력 검증, SQL 삽입, 명령어 삽입, 크로스 사이트 스크립팅,