.webp)
1736148583
2025-01-06 07:23:00
研究者チームは、侵入テスト中の SQL インジェクション (SQLi) 脆弱性検出の効率を高めることを目的とした、ART4SQLi と呼ばれる新しいアプローチを開発しました。
最近の論文で説明されているこの革新的な方法は、適応ランダム テスト技術を活用して、SQL インジェクション ペイロードをより効果的に優先順位付けして選択します。
SQL インジェクションは依然として Web アプリケーションの最も重大な脆弱性の 1 つであり、攻撃者がデータベース クエリを操作し、不正アクセスを取得する可能性があります。
動的テストは展開前に SQLi の欠陥を発見するために一般的に使用されますが、膨大な数の潜在的な攻撃ペイロードがあるため、このプロセスには時間がかかり、リソースが大量に消費される可能性があります。
ART4SQLi は、評価用に有望なペイロードを順次またはランダムにテストするのではなく、インテリジェントに選択することでこの課題に対処します。
ANY.RUN を使用して、現実世界の悪意のあるリンク、マルウェア、フィッシング攻撃を調査します – 無料でお試しください
この方法は、まず、事前定義された文法に基づいて SQL インジェクション ペイロードをトークンに分解することで機能します。
ART4SQLi
次に、各ペイロードを特徴ベクトルとして特徴付け、距離メトリックを使用して、すでにテストされたペイロードと最も類似していないペイロードを特定します。
研究者らは、広く採用されている 3 つのオープンソース SQLi ベンチマーク、Web for Pentester、DVWA 2014、MCIR-SQLol を使用して ART4SQLi を評価しました。
その結果、従来のランダム テストのアプローチに比べて大幅な改善が見られました。
- ART4SQLi は、ランダム テストと比較して、SQLi 脆弱性の発見に必要なペイロード数を平均で 26.72% 削減しました。
- Web for Pentester の場合、改善率は 21.81% でした。
- DVWA 2014 では 28.38% の機能強化が見られました。
- MCIR-SQLol は効率が 28.23% 向上しました。
これらの向上は、計算オーバーヘッドのわずか 3.94% の増加のみで達成されたため、ART4SQLi は現実の侵入テスト シナリオにとって実用的なオプションとなっています。
ART4SQLi ペイロード
の 勉強もする 全体のペイロード空間内での効果的な SQLi ペイロードの分布に関する洞察を提供しました。研究者らは、成功したペイロードがクラスターに集まり、セット全体のまばらな部分を占める傾向があることを発見しました。
この観察は、ART4SQLi の適応選択戦略の基礎となる原理を裏付けています。 ART4SQLi はほとんどのテスト ケースで一貫した改善を示しましたが、研究者らはいくつかの制限があることを指摘しました。
有効なペイロードが非常に一般的であるか、または非常にまれであるシナリオでは、適応型アプローチの利点はそれほど顕著ではありません。
ただし、このようなエッジケースでも、ART4SQLi はランダム テストよりも少なくとも 13% 優れたパフォーマンスを示しました。 ART4SQLi の開発は、SQLi 脆弱性発見プロセスの自動化と最適化における重要な前進を表しています。
評価する必要があるペイロードの数を減らすことで、ペネトレーション テスターやセキュリティ専門家は、より迅速かつ効率的に重大な欠陥を発見できる可能性があります。
Web アプリケーションは引き続きサイバー攻撃の主な標的となるため、ART4SQLi のようなツールはセキュリティ体制の強化において重要な役割を果たします。
研究者らは、今後の研究では、この手法を他のタイプのインジェクション脆弱性にも拡張し、追加の適応ランダムテスト手法を組み込んでパフォーマンスをさらに向上させることに焦点を当てる可能性があると示唆しています。
ART4SQLi は、その有望な結果と実用的な適用性により、SQL インジェクションの脅威から Web アプリケーションを保護する任務を負うセキュリティ担当者のツールキットの不可欠なコンポーネントになる可能性があります。
この技術が成熟し、既存の侵入テスト フレームワークに統合されるにつれて、脆弱性評価プロセスが大幅に合理化され、業界全体のより堅牢な Web セキュリティ実践に貢献する可能性があります。
このニュースを面白いと思ってください!フォローしてください Google ニュース、 リンクトイン、 そして × すぐにアップデートを入手してください!
#侵入テストの効率を向上させる新しい #SQLi #検出方法