Webアプリケーションにおけるクロスドメイン脆弱性の自動検出手法

点击翻译按钮获取中文摘要

本年度は、昨年度までに行った脆弱性検出手法を拡張し、より多くのWebアプリケーションに対して脆弱性を検出することができるように、汎用性の高い脆弱性検出システムの研究を行った。世の中に存在する多くのWebアプリケーションは、使用目的や開発環境に合わせて、様々なプログラミング言語で記述され、言語に応じた実行環境で稼動している。昨年度までに私が取り組んだ脆弱性検出手法には、Webアプリケーションの記述言語や環境に依存する静的解析機構を部分的に用いていており、環境によっては脆弱性検出を行うことができない場合が存在する。そこで、多くの環境において共通して利用する機能のみを定義した抽象度の高い機構を用意し、様々な環境においても比較的容易に脆弱性検出手法を導入することができるようにインタフェースを定義した。本システム自体は拡張することを前提に構築されており、インタフェースを利用して、実際に脆弱性検出を行う機構をプラグインとして適宜追加することができる。本システムと同様に、拡張可能な脆弱性検出用ソフトウェアが存在するものの、インタフェースの定義方法に問題があり、潜在的に検出することができない脆弱性が存在することがわかった。一方、私の提案システムは、それらが実行できない脆弱性検出を行うことができる。本年度の成果は、汎用性の高い脆弱性検出システムの設計方法として、論文誌「日本ソフトウェア科学会コンピュータソフトウェア」に論文を投稿し、採択された。また、立命館大学情報理工学部にてrWebセキュリティ技術に関する講演会&研究討論会」と題した招待講演を行うなど、対外活動も行った。