公开(公告)号：KR101012335B1

公开(公告)日：2011-02-09

申请号：KR1020100067990

申请日：2010-07-14

Applicant: 한국항공대학교산학협력단

Inventor： 안준선 ,  차용남

IPC: G06F17/26 ,  G06F21/57

CPC classification number: G06F21/577

Abstract: PURPOSE: A secure information flow analysis method is provided to reduce the analysis time, and efficiently detect the vulnerability of the web application related to the input value verification. CONSTITUTION: An abstract interpretation domain is defined. The abstract interpretation domain includes external input display, a collection of infinite internal text string, number display, and internal number display. An analysis program is operated at the defined abstract interpretation domain. Whether a test string inputted from outside can be used as a sensitive factor for the safety or not is analyzed. By the analysis, the security vulnerability of a web application program is determined.

Abstract translation: 目的：提供一种安全的信息流分析方法，以减少分析时间，有效地检测与输入值验证相关的Web应用程序的漏洞。 规定：定义抽象解释域。 抽象解释领域包括外部输入显示，无限内部文本串，数字显示和内部数字显示的集合。 分析程序在定义的抽象解释领域运行。 分析从外部输入的测试串是否可以用作安全的敏感因素。 通过分析，确定了Web应用程序的安全漏洞。

公开(公告)号：KR1020100032095A

公开(公告)日：2010-03-25

申请号：KR1020080091071

申请日：2008-09-17

Applicant: 한국항공대학교산학협력단

Inventor： 안준선

IPC: G06F21/00 ,  G06F9/44 ,  G06F15/00

CPC classification number: H04L63/029 ,  G06F9/453 ,  G06F15/00 ,  G06F21/00 ,  H04L63/0227 ,  H04L63/0281

Abstract: PURPOSE: A firewall system for the web application program and method based on in the static analysis is provided so that the request-information transmitted from the client is inspected. The web page creating by the vested interest input is secluded. It dynamics, a weak point of a security according to a web page creating is supplemented. CONSTITUTION: If it dynamics, the request-information for a web application program execution request is received, a searcher(120) refers to the danger information of a web application program corresponding to request-information it dynamics from the danger information table. When the danger information is not searched, the analysis section(140) analyzes the danger information about the web application program it dynamics through the static analysis. A risk information database(110) stores the analyzed danger information as described above in the danger information table. It dynamics above statement, the execution of the web application program is judged comparing a decision device(130) is request-information with danger information.

Abstract translation: 目的：提供基于静态分析的Web应用程序和方法的防火墙系统，从而检查从客户端发送的请求信息。 由既得利益投入产生的网页是隐蔽的。 它的动态，一个根据网页创建的安全的弱点是补充。 构成：如果是动态的，则接收到web应用程序执行请求的请求信息，搜索器（120）根据危险信息表来查询对应于其动态的请求信息的web应用程序的危险信息。 当不搜索危险信息时，分析部分（140）通过静态分析分析其动态的web应用程序的危险信息。 风险信息数据库（110）将分析的危险信息存储在危险信息表中。 在动态上述语句之后，判断网络应用程序的执行将判定设备（130）作为请求信息与危险信息进行比较。

公开(公告)号：KR101005090B1

公开(公告)日：2010-12-30

申请号：KR1020080091071

申请日：2008-09-17

Applicant: 한국항공대학교산학협력단

Inventor： 안준선

IPC: G06F21/00 ,  G06F9/44 ,  G06F15/00

Abstract: 본 발명은 방화벽 기술에 관한 것으로, 보다 자세하게는 동적 웹페이지 구성을 위해 웹 응용프로그램을 제공하는 웹서버 측에서 관리자가 별도의 조치를 취하지 않고도 문자열에 의한 악의적 공격을 차단할 수 있는 정적분석에 기반한 웹 응용프로그램 방화벽시스템 및 방화방법에 관한 것이다.
본 발명에 따른 방화벽 시스템은, 네트워크를 통한 클라이언트로부터의 동적 웹 응용프로그램 실행요청에 따른 동적 웹 응용프로그램의 실행 허용 여부를 판정하기 위한 방화벽 시스템에 있어서, 상기 클라이언트로부터 동적 웹 응용프로그램 실행요청을 위한 요청정보가 전송되면, 위험정보테이블로부터 상기 요청정보에 해당하는 동적 웹 응용프로그램에 대한 위험정보를 검색하는 검색부; 상기 검색부를 통해 상기 요청정보에 해당하는 동적 웹 응용프로그램에 대한 위험정보가 검색되지 않을 경우, 동적 웹페이지 생성을 위해 웹서버에 구비된 다수의 동적 웹 응용프로그램 중 상기 요청정보에 해당하는 동적 웹 응용프로그램에 대한 위험정보를 분석하는 분석부; 상기 분석부를 통해 분석된 위험정보를 위험정보테이블에 저장하는 위험정보 DB; 상기 요청정보와 상기 위험정보테이블에 저장된 위험정보를 비교하여 상기 요청정보에 해당하는 동적 웹 응용프로그램의 실행 허용 여부를 판정하는 판정부; 및 상기 판정부에 의한 판정결과를 상기 동적 웹 응용프로그램을 실행하는 웹서버로 전송하는 결과전송부;를 포함한다.
동적 웹페이지, 방화벽, 위험 입력 차단, XSS, SQL 삽입 공격, 정적분석