Дослідження та розробка методики автоматизації пошуку вразливостей SQL Injection у веб-додатку

Abstract

Проаналізовано можливості тестування веб-додатків Black Box та показано що SQL Injection є найпоширенішим вразливим місцем. Наведено приклад ідентифікації SQL вразливості для веб-вітрини. Запропоновано методику автоматизації пошуку SQL Injection вразливості у веб- додатку, яка складається із модулів Crawler, Attack, Analysis та Report. Розглянуто можливості що до удосконалення пошуку графа в ширину для модуля Crawling (парсинг GET, POST запитів та їх параметрів) , що посприяло зменшенню часу сканування.

Black Box web application testing capabilities were analyzed and SQL Injection was shown to be the most common vulnerability. An example of SQL vulnerability identification for a web store is provided. A technique for automating the search for SQL Injection vulnerabilities in a web application is proposed, which consists of Crawler, Attack, Analysis and Report modules. Considered the possibilities of improving the width graph search for the Crawling module (parsing GET, POST requests and their parameters), which contributed to reducing the scanning time.