ASST #BETA

OWASP ASST (자동화된 소프트웨어 보안 툴킷) | 혁신적인 오픈 소스 웹 보안 스캐너.

참고: AWSS는 ASST의 이전 이름입니다.

소개

웹 애플리케이션은 일상 생활의 필수적인 부분이 되었지만, 이러한 애플리케이션 중 상당수는 치명적으로 악용될 수 있는 심각한 취약점을 포함한 채 배포됩니다. 이러한 애플리케이션을 개발하는 데 사용되는 기술이 정교해짐에 따라 공격자의 기술도 함께 정교해지고 있습니다. 공격자는 더 이상 피해자에게 물리적으로 접근할 필요가 없으며, 동시에 여러 피해자를 공격할 수 있고, 적발되어 법의 심판을 받을 가능성도 최소화되었습니다. 자동화된 웹 취약점 스캐너는 웹 애플리케이션의 보안을 평가하는 데 널리 사용되어 왔습니다. 이는 시간이 많이 걸리고 노동 집약적이며 비효율적인 기존의 수동 취약점 탐지에 비해 취약점 스캔의 효율성을 향상시킬 수 있습니다. 인터넷에는 많은 웹 취약점 스캐너가 있지만, 이들은 가능한 공격과 그에 대한 대응 방법을 설명하지 않습니다. 우리는 Automated Software Security Toolkit (ASST)이라는 새로운 자동화된 웹 취약점 스캐너를 설계하고 구현했습니다. 이 스캐너는 웹 프로젝트의 소스 코드를 스캔하고 각 취약점에 대한 자세한 설명과 방어 방법을 포함한 결과 보고서를 생성합니다. 우리는 ASST의 성능을 테스트하고 다른 주요 오픈 소스 취약점 스캐너와 결과를 비교했습니다. 그 결과 ASST가 웹 소프트웨어 보안 취약점을 더 포괄적이고 정확하게 식별할 수 있음을 보여줍니다.

참고: 아직 개발 중입니다. 오류가 발생하면 보고해 주세요.

ASST란 무엇인가요?

ASST는 오픈 소스 소스 코드 스캐닝 도구로, JavaScript(Node.js 프레임워크)로 개발된 CLI(Command Line Interface) 애플리케이션입니다. 현재 PHP 및 MySQL 프로그래밍 언어에 초점을 맞추고 있지만, 핵심 기능이 준비되어 있고 누구나 사용할 수 있으므로 프로그래머가 플러그인이나 확장 기능을 추가하여 Java, C#, Python 등 다른 프로그래밍 언어와 그 프레임워크를 스캔하도록 기능을 추가할 수 있습니다. 따라서 인프라는 다른 프로그래머들이 기여하여 더 좋고 참신하게 만들 수 있도록 설계되었습니다. 현재까지 알려진 바로는 ASST는 OWASP Top 10 웹 애플리케이션 보안 위험에 따라 PHP 언어를 스캔하는 유일한 도구입니다.

ASST는 개발자들에게 코드를 보호하는 방법을 어떻게 가르치나요?

ASST가 프로젝트를 스캔할 때 모든 파일을 한 줄씩 검사하여 보안 취약점을 찾습니다. 취약점이 감지되면 보고서에서 어떤 파일의 몇 번째 줄에서 취약점이 발견되었는지 알리고, 공격을 설명하고 방어 방법을 설명하는 "Click Here" 링크를 제공합니다. ASST의 결과는 각 공격과 보호 메커니즘을 설명하는 PDF 파일과 연결된 HTML 보고서로 표시됩니다.

기여하는 방법

• ASST는 취약점을 스캔할 다른 프로그래밍 언어를 지원하도록 쉽게 확장할 수 있습니다. 이 프로젝트는 오픈 소스이므로 사이버 보안 전문 지식을 가진 프로그래머가 기여하거나 툴킷을 포크하여 기능을 추가할 수 있습니다. Python, C#, Java 또는 Node.js 자체와 같은 다른 프로그래밍 언어를 백엔드 서버 코드로 취약점 스캔 대상에 추가할 수 있습니다.
• 보안 경험이 있는 개발자라면 현재 버전을 개선하거나 스캔할 새로운 프로그래밍 언어를 추가하는 데 기여할 수 있습니다. 단, 개선 시 따라야 할 규칙이 있습니다:

1. 핵심 코드는 변경해서는 안 되며, 더 나은 코드를 제안하거나 필요성이 잘 정당화되는 경우 새 코드를 추가할 수 있습니다.
2. 특정 언어의 핵심 코드는 더 나아질 수 있는 경우 변경할 수 있습니다.
3. 새 언어를 추가하려면 프로젝트의 동일한 코드 설계 및 파일 구조를 따라야 합니다.

설치 및 실행 방법

ASST를 100% 작동시키려면 다음을 설치해야 합니다:

1. PC에 localhost, (XAMPP 권장).
2. Node.js Engine v12.13.0

• ASST의 가장 좋은 사용법은 온라인 프로덕션 서버에서 직접 실행하고 그 안의 프로젝트를 스캔하는 것입니다. ASST는 서버의 PHP 및 MySQL 버전이 최신인지 여부도 확인하기 때문입니다.

A) Windows에 ASST 설치

Windows에서 ASST를 실행하는 전체 동영상: https://youtu.be/FKxDa3zYz1E

1. Windows에서 XAMPP

XAMPP for Windows는 여기에서 다운로드할 수 있습니다: https://www.apachefriends.org/download.html 프로젝트에 맞는 PHP 버전을 선택하세요. 어떤 버전을 선택해야 할지 모르겠다면 Windows용 첫 번째 버전을 선택하세요.

XAMPP를 다운로드하고 설치(Next, Next, Next, Finish)한 후 XAMPP Control Panel을 실행하세요. 시작 메뉴 검색창에 XAMPP를 입력하면 나타납니다. 실행 후 Apache 및 MySQL 레이블 옆에 있는 start 버튼을 누르세요.

참고:

1. PC에 Virtual Machine 프로그램이 설치되어 있지 않은지 확인하세요. XAMPP와 Virtual Machine은 포트에서 충돌이 발생하므로, 작업 관리자를 사용하여 VM 백그라운드 서비스를 강제 종료해야 합니다(무슨 말인지 모르겠다면 검색해 보세요).

2. Skype 프로그램이 종료되어 있는지 확인하세요(트레이 바에서도). 이들도 포트에서 충돌이 발생합니다. XAMPP를 시작한 후 Skype를 실행할 수 있습니다.

프로젝트 폴더를 htdocs에 배치하세요. 기본 위치: "C:\xampp\htdocs\YourProjectFolderName"

브라우저를 열고 localhost/phpmyadmin을 입력한 후 빈 데이터베이스를 만들고, 프로젝트의 project_database.sql 파일을 가져온 다음, 프로젝트 폴더를 열고 config 파일을 수정하여 MySQL localhost에 연결하세요. 기본 설정: host: "localhost" 또는 "127.0.0.1", username: "root", password: "" (빈 문자열), database name: "phpmyadmin에서 선택한 dbname"

2. Windows에서 Node.js

특정 버전의 Node.js for Windows를 여기에서 다운로드해야 합니다: https://nodejs.org/en/blog/release/v12.13.0/ (Windows 64-bit Installer)를 선택한 다음 다운로드, Next, Next, Next, Finish를 진행합니다.

우리는 매달 Node.js 업그레이드를 따라가지 않습니다. 직접 테스트해 보고 싶다면 여기에서 최신 Node.js 버전을 다운로드할 수 있습니다: https://nodejs.org/en/download/ (Windows Installer (.msi))를 선택하고 다운로드하여 실행한 후 Next, Next, Next, Finish를 진행하세요.

참고: 최신 Node.js Engine을 다운로드하면 ASST의 모듈을 업데이트해야 할 수 있습니다. 따라서 자신이 무엇을 하고 있는지 알고 시간이 있으며 기여하고 싶다면, 사용 중인 최신 Node.js 버전을 보고하고 모듈을 업데이트한 후 작동한다면 저장소에 커밋을 요청할 수 있습니다.

3. Windows에서 ASST 실행

이 GitHub 페이지에서 ASST 프로젝트를 다운로드하여 압축을 풀고 폴더 이름을 "ASST-main"이 아닌 "ASST"로만 변경한 후, 스캔할 웹 프로젝트 옆으로 ASST 폴더를 이동하세요. 기본 위치: "C:\xampp\htdocs\ASST"

설정:

1. ASST 폴더 안의 config.js 파일을 열고 DEFAULT_PROJECT_PATH_TO_SCAN 변수에 스캔할 웹 프로젝트 폴더 이름을 설정하세요.

2. ASST 폴더 안의 config_php_lang.js 파일을 열고: MySQL을 사용하는 경우 파일에 설명된 대로 변수를 설정하세요. MySQL을 사용하지 않는 경우 IS_DBMS_USED 변수를 false로 설정하고 나머지는 무시하세요. PHP_EXE_BIN_PATH는 XAMPP의 기본 위치로 설정되어 있으므로 다른 PHP 바이너리나 다른 XAMPP 위치를 사용하는 경우 변경하세요.

참고: 두 설정 파일은 프로젝트에 맞게 변경할 내용이 잘 설명되어 있습니다.

ASST.bat를 더블 클릭하여 실행하세요. Windows Defender Smart Screen에 차단되면 More Info를 클릭한 후 Run 또는 Run Anyway를 클릭하여 허용하거나, CMD 명령어로 실행할 수 있습니다.

이 프로젝트의 node_modules를 설치하려면 다음 명령을 한 번 실행하세요:

$ cd C:\xampp\htdocs\ASST && npm install

ASST 실행을 위한 기본 CMD 명령:

$ node C:\xampp\htdocs\ASST\main.js

B) Linux (Ubuntu)에 ASST 설치

Ubuntu에서 ASST를 실행하는 전체 동영상: https://youtu.be/XrAB8_BHxfo

1. Ubuntu에서 XAMPP

웹 브라우저를 사용하여 이 링크를 여세요: https://www.apachefriends.org/download.html 에서 "XAMPP for Linux" 섹션을 찾아 프로젝트에 맞는 PHP 버전을 선택하고 다운로드하세요. 어떤 버전을 선택해야 할지 모르겠다면 첫 번째 버전을 선택하세요. 또는 "wget" 명령(도구)을 사용하여 터미널을 통해 XAMPP를 다운로드할 수 있지만, 올바른 URL 버전을 알고 있어야 합니다.

이제 터미널에서 작업:

$ cd Downloads

$ ls

다운로드한 XAMPP 설정 파일이 보일 것입니다.

$ sudo chmod +x xampp-linux-*

$ sudo ./xampp-linux-*

잠시 기다리면 설정이 실행된 후 지침을 따르세요. XAMPP를 다운로드하고 설치한 후 실행하세요.

$ sudo /opt/lampp/lampp start

프로젝트 폴더를 htdocs에 배치하세요. 기본 위치: "/opt/lampp/htdocs/YourProjectFolderName"

브라우저를 열고 localhost/phpmyadmin을 입력한 후 빈 데이터베이스를 만들고, 프로젝트의 project_database.sql 파일을 가져온 다음, 프로젝트 폴더를 열고 config 파일을 수정하여 MySQL localhost에 연결하세요. 기본 설정: host: "localhost" 또는 "127.0.0.1", username: "root", password: "" (빈 문자열), database name: "phpmyadmin에서 선택한 dbname"

2. Ubuntu에서 Node.js

$ sudo apt-get install nodejs -y

$ sudo apt-get install npm -y

ASST가 문제 없이 작동하도록 특정 Node.js 버전을 설정해야 합니다.

$ sudo npm install n -g

$ sudo n 12.13.0

우리는 매달 Node.js 업그레이드를 따라가지 않습니다. 직접 테스트해 보고 싶다면 npm을 사용하여 "n"을 설치하는 마지막 두 명령을 무시할 수 있습니다.

참고: 최신 Node.js Engine을 사용하면 ASST의 모듈을 업데이트해야 할 수 있습니다. 따라서 자신이 무엇을 하고 있는지 알고 시간이 있으며 기여하고 싶다면, 사용 중인 최신 Node.js 버전을 보고하고 모듈을 업데이트한 후 작동한다면 저장소에 커밋을 요청할 수 있습니다.

3. Ubuntu에서 ASST 실행

이 GitHub 페이지에서 ASST 프로젝트를 다운로드하여 압축을 풉니다. 브라우저, wget 또는 git을 사용할 수 있습니다. 폴더 이름을 "ASST-main"이 아닌 "ASST"로만 변경한 후, 스캔할 웹 프로젝트 옆으로 ASST 폴더를 이동하세요. 기본 위치: "/opt/lampp/htdocs/ASST"

설정:

1. nano, vim 또는 텍스트 편집기를 사용하여 ASST 폴더 안의 config.js 파일을 열고 DEFAULT_PROJECT_PATH_TO_SCAN 변수에 스캔할 웹 프로젝트 폴더 이름을 설정하세요.

2. ASST 폴더 안의 config_php_lang.js 파일을 열고: MySQL을 사용하는 경우 파일에 설명된 대로 변수를 설정하세요. MySQL을 사용하지 않는 경우 IS_DBMS_USED 변수를 false로 설정하고 나머지는 무시하세요. PHP_EXE_BIN_PATH는 XAMPP의 기본 위치로 설정되어 있으므로 다른 PHP 바이너리나 다른 XAMPP 위치를 사용하는 경우 변경하세요.

참고: 두 설정 파일은 프로젝트에 맞게 변경할 내용이 잘 설명되어 있습니다.

이 프로젝트의 node_modules를 설치하려면 다음 명령을 한 번 실행하세요:

$ cd /opt/lampp/htdocs/ASST && sudo npm install

ASST 실행을 위한 기본 명령:

$ sudo node /opt/lampp/htdocs/ASST/main.js

C) MacOSX에 ASST 설치

MacOSX에서 ASST를 실행하는 전체 동영상: https://youtu.be/IThRZEQVa7M

1. MacOSX에서 XAMPP

웹 브라우저를 사용하여 이 링크를 여세요: https://www.apachefriends.org/download.html 에서 "XAMPP for OSX" 섹션을 찾아 프로젝트에 맞는 PHP 버전을 선택하고 다운로드하세요. 어떤 버전을 선택해야 할지 모르겠다면 첫 번째 버전을 선택하세요.

다운로드 폴더를 열고 다운로드한 xampp-osx-.dmg 파일을 더블 클릭하세요. 그런 다음 설치: Next, Next, Next, Finish.

설치 후 Finder를 사용하여 Applications 폴더를 열고 XAMPP 폴더를 연 다음 manager-osx.app를 클릭하여 XAMPP Control Panel을 열고 Manage Servers 탭을 클릭한 다음 Start All 버튼을 클릭하세요.

프로젝트 폴더를 htdocs에 배치하세요:

1. Finder를 사용하여 Applications를 연 다음 XAMPP 폴더로 이동한 후 htdocs를 열고 프로젝트를 배치하세요.
2. 터미널을 사용할 수 있습니다: 기본 위치 /Applications/XAMPP/htdocs/YourProjectFolderName

브라우저를 열고 localhost/phpmyadmin을 입력한 후 빈 데이터베이스를 만들고, 프로젝트의 project_database.sql 파일을 가져온 다음, 프로젝트 폴더를 열고 config 파일을 수정하여 MySQL localhost에 연결하세요. 기본 설정: host: "localhost" 또는 "127.0.0.1", username: "root", password: "" (빈 문자열), database name: "phpmyadmin에서 선택한 dbname"

2. MacOSX에서 Node.js

MacOSX에 Node.js를 다운로드하고 설치하는 여러 가지 방법이 있습니다 (여기 명시됨: https://nodejs.org/en/download/package-manager/#macos)

우리는 brew (패키지 시스템)를 사용했습니다. 터미널을 열어:

$ sudo /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install.sh)"

$ sudo brew install node

ASST가 문제 없이 작동하도록 특정 Node.js 버전을 설정해야 합니다.

$ sudo npm install n -g

$ sudo n 12.13.0

우리는 매달 Node.js 업그레이드를 따라가지 않습니다. 직접 테스트해 보고 싶다면 npm을 사용하여 "n"을 설치하는 마지막 두 명령을 무시할 수 있습니다.

참고: 최신 Node.js Engine을 사용하면 ASST의 모듈을 업데이트해야 할 수 있습니다. 따라서 자신이 무엇을 하고 있는지 알고 시간이 있으며 기여하고 싶다면, 사용 중인 최신 Node.js 버전을 보고하고 모듈을 업데이트한 후 작동한다면 저장소에 커밋을 요청할 수 있습니다.

3. MacOSX에서 ASST 실행

이 GitHub 페이지에서 ASST 프로젝트를 다운로드하여 압축을 풉니다. 브라우저 또는 git을 사용할 수 있습니다. 폴더 이름을 "ASST-main"이 아닌 "ASST"로만 변경한 후, 스캔할 웹 프로젝트 옆으로 ASST 폴더를 이동하세요. 기본 위치: "/Applications/XAMPP/htdocs/ASST"

설정:

1. 텍스트 편집기를 사용하여 ASST 폴더 안의 config.js 파일을 열고 DEFAULT_PROJECT_PATH_TO_SCAN 변수에 스캔할 웹 프로젝트 폴더 이름을 설정하세요.

2. ASST 폴더 안의 config_php_lang.js 파일을 열고: MySQL을 사용하는 경우 파일에 설명된 대로 변수를 설정하세요. MySQL을 사용하지 않는 경우 IS_DBMS_USED 변수를 false로 설정하고 나머지는 무시하세요. PHP_EXE_BIN_PATH는 XAMPP의 기본 위치로 설정되어 있으므로 다른 PHP 바이너리나 다른 XAMPP 위치를 사용하는 경우 변경하세요.

참고: 두 설정 파일은 프로젝트에 맞게 변경할 내용이 잘 설명되어 있습니다.

이 프로젝트의 node_modules를 설치하려면 다음 명령을 한 번 실행하세요:

$ cd /Applications/XAMPP/htdocs/ASST && sudo npm install

ASST 실행을 위한 기본 명령:

$ sudo node /Applications/XAMPP/htdocs/ASST/main.js

특별 감사

특별히 감사드립니다:

1. Assist. Prof. Dr. Ece Gelal Soyak: https://scholar.google.com.tr/citations?user=w-RBj5QAAAAJ&hl=en
2. Assist. Prof. Dr. Selçuk Baktır: https://scholar.google.com/citations?user=iwR7YF8AAAAJ&hl=en
3. Assist. Prof. Dr. Özgül Küçük: https://scholar.google.com/citations?user=qJJSkrAAAAAJ&hl=en
4. OWASP Foundation

지도와 도움을 제공하여 이 툴킷을 가능하게 해 주셔서 감사합니다.