Microsoft Source Code Analyzer for SQL Injection 도구에 대해 설명합니다. 이 정적 코드 분석 도구를 사용하여 ASP 코드에서 SQL 삽입 공격 취약점을 찾을 수 있습니다.
ASP 코드의 SQL 삽입 공격 문제
ASP 코드의 Request.Form 또는 Request.Querystring 컬렉션에서 사용자가 제공한 데이터가 데이터 유효성 검사 없이 동적 SQL 문을 만드는 데 사용되는 경우 공격자가 SQL 명령을 SQL 문에 삽입하고 악용할 수 있습니다. 이를 일반적으로 1차 SQL 삽입 공격 취약점이라고 합니다.한 ASP 페이지를 사용하여 데이터베이스에 저장된 사용자 입력이 데이터베이스에서 검색된 다음 다른 ASP 페이지에서 동적 SQL 문을 만드는 데 사용되는 경우 공격자가 SQL 명령을 SQL 문에 삽입하고 악용할 수 있습니다. 이를 일반적으로 2차 SQL 삽입 공격 취약점이라고 합니다.
이러한 취약점을 줄이려면 매개 변수가 있는 SQL 쿼리를 사용하는 것이 가장 좋습니다. ASP의 SQL 삽입 공격 취약점과 이러한 취약점을 줄이는 방법에 대한 자세한 내용은 다음 Microsoft 웹 사이트를 참조하십시오.
http://msdn.microsoft.com/en-us/library/cc676512.aspx
(http://msdn.microsoft.com/en-us/library/cc676512.aspx)(영문)
Microsoft
Source Code Analyzer for SQL Injection 도구는 이러한 문제 중 일부를 자동으로 찾는 데 도움이 됩니다. 사용법
이 도구는 다음 구문을 사용합니다.msscasi_asp.exe [/nologo] [/quiet]
[/suppress=num;..;num] [/GlobalAsaPath=path] [/IncludePaths=path;..;path]
/Input=file.asp
매개 변수 목록
| 매개 변수 | 옵션 | 설명 |
|---|---|---|
| /GlobalAsaPath | 경로 | Global.asa 파일의 경로를 표시합니다. |
| /IncludePaths | 경로 | 가상 경로를 사용하여 포함된 파일을 확인하기 위한 세미콜론으로 구분된 경로를 표시합니다. |
| /input | ASP 파일 | 분석해야 하는 ASP 파일의 절대 경로를 표시합니다. |
| /suppress warnings | 경고가 보고되지 않습니다. | |
| /nologo | 도구 로고가 표시되지 않습니다. | |
| /quiet | 구문 분석 오류가 표시되지 않습니다. /nologo 및 /quiet 스위치를 사용하는 경우 경고 메시지만 표시됩니다. |
예제.
MSSCASI_ASP /input="c:\source\logon.asp"
MSSCASI_ASP /GlobalAsaPath="C:\source" /input="c:\source\webitems\display.asp"
MSSCASI_ASP /GlobalAsaPath="C:\source" /input="c:\source\webitems\display.asp" /IncludePaths="C:\virtualdirectory1;C:\virtualdirectory2"
MSSCASI_ASP /input="c:\source\webitems\display.asp" /suppress="80406;80407"
- 상세 관련 자료 : ASP 코드에서 SQL 삽입 공격 취약점을 찾을 수 있는 분석툴
- Microsoft Source Code Analyzer for SQL Injection
아래 링크가 깨지면 직접 다운로드 페이지
msscasi_asp_pkg.exe'윈도우 보안' 카테고리의 다른 글
| 한국식 단일 로그온 시스템의 문제 (2) | 2008/07/16 |
|---|---|
| 기업의 자료 삭제 시 직원 처벌은? (0) | 2008/07/09 |
| ASP 코드에서 SQL 삽입 공격 취약점을 찾을 수 있는 분석툴 (0) | 2008/07/08 |
| 800개 사이트 해킹` 대형 악성코드 사고 (0) | 2008/07/08 |
| KISA, 웹 서버 보안강화 가이드라인 발표 (0) | 2008/07/07 |
| 웹해킹은 방화벽+패치+백신해도 해킹한다 (14) | 2008/07/03 |
댓글을 달아 주세요