SQL 인젝션 취약점과 XSS(cross site scripting)  취약점은 웹 보안에 있어 가장 핵심적인 부분이라고 말할 수 있습니다. 두가지 취약점 모두 입력값(매개변수 등등)을 확인하는 과정이 빠져 있어 이를 이용하여 공격하게 됩니다.

웹애플리케이션 보안의 측면에서는 다양한 진단 툴(스캐너)가 오픈 소스 형태인 무료로, 또는 유명한 보안 회사에서는 수천달러 이상의 고가에 제품으로 판매되고 있습니다.

하지만, 이러한 취약점은 웹애플리케이션 뿐만 아니라 컴파일되는 응용 프로그램에게서도 발생할 수 있는 가능성이 있습니다.

최근 마이크로소프트(Microsoft)는 새로운 안티 XSS 라이브러리의 출시를 약속했으며 조만간에 공개될 예정이라고 합니다. 아직까지 자세한 사항에 대해 알려지지 않았습니다만, 정보 보안 팀의 아닐 레부루(Anil Revuru)는 기존의 안티-XSS(AntiXss) 라이브러리를 새롭게 한 WPL(Web Protection Library)로 출시한다고 합니다.

WPL은 기존의 안티-XSS 라이브러리에 SRE(Security Runtime Engine)이 추가되었으며, LDAP 인젝션과 CSS(Cascading Style Sheets) 인젝션을 완화하는 기능이 추가되어 있습니다. SRE 모듈에는 입력값에서 올바른 SQL 쿼리인지 진단하기 위해 특별한 SQL 파서를 사용하여 SQL 인젝션 시도를 진단하고 차단하는 새로운 HTTP 모듈이 포함되어 있습니다.

WPL을 적용하기 위해서는 ASP.NET으로 개발 환경을 바꾸는 것이 좋다고 MS가 추천하고 있습니다. WPL CPL은 수주 내에 다운로드 링크가 공개될 예정입니다.

WPL v1.0의 주요한 기능은 다음과 같습니다.
  • 인코딩 및 변수 확인(sanitization)기능을 제공하는 새로운 Encoder, Sanitizer 클래스 제공.
  • AntiXss 클래스 제외. 하위 호환성을 위해 메소드는 제대로 동작하지만 AntiXss로 컴파일할 때 경고 메시지 표시.
  • 성능 향상을 위해 Anti-XSS 모듈 업데이트
  • 입력 값에서 SQL 쿼리문을 진단할 수 있도록 새로운 SQL 인젝션 진단 모듈 추가
  • 비주얼 스튜디오에서 손쉽게 구성 파일을 설정할 수 있도록 UI 변경
  • SRE에서는 새로운 완화 방침을 구현할 수 있도록 확장된 API 공개
참고로, MS Anti-XSS 라이브러리 3.1 버전은 아래 링크에서 다운로드할 수 있습니다.

다운로드 링크

reTweet
Posted by 문스랩닷컴
blog comments powered by Disqus


    Web Analytics Blogs Directory