Abstract-Livet på webbapplikationer har ökat snabbt under årens lopp. Samtidigt har mängden och effekterna av applikationssäkerhetssårbarheter också ökat. Bland dessa sårbarheter har SQL-injektion klassificerats som den vanligaste, farliga och vanligaste webbapplikationsbristen. I detta dokument föreslår vi Escrow, ett storskaligt SQL injektionsdetekteringsverktyg med en exploateringsmodul som är lätt, snabb och plattformsoberoende. Escrow använder en anpassad sökning implementation tillsammans med en statisk kodanalysmodul för att hitta potentiella mål webbapplikationer. Dessutom ger det en enkel att använda grafiskt användargränssnitt (GUI) för att navigera genom en sårbar fjärrdatabas. Escrow är implementationagnostic, d.v.s. Det kan utföra analys på alla webbprogram oavsett server-side implementation (PHP, ASP, etc.). Med hjälp av vårt verktyg upptäckte vi att det verkligen är möjligt att identifiera och utnyttja minst 100 databaser per 100 minuter, utan förkunskaper om deras underliggande genomförande. Vi noterade att för varje fråga som skickades, kan vi skanna och upptäcka dussintals sårbara webbapplikationer på kort tid, samtidigt som vi tillhandahåller ett sätt att utnyttja. Slutligen ger vi rekommendationer för utvecklare att försvara mot SQL-injektion och betonar behovet av proaktiv bedömning och defensiva kodningsmetoder.
Escrow använder en anpassad sökimplementering tillsammans med en statisk kodanalysmodul för att hitta potentiella mål webbapplikationer REF.
Escrow: A Large-Scale Web Vulnerability Assessment Tool
{'venue': '2014 IEEE 13th International Conference on Trust, Security and Privacy in Computing and Communications', 'journal': '2014 IEEE 13th International Conference on Trust, Security and Privacy in Computing and Communications', 'mag_field_of_study': ['Computer Science']}