SECoverer - Finding Security Vulnerabilities in Web Applications

01.04.2008 - 31.05.2011
Research funding project
Webanwendungen haben sich zu einem zentralen Bestandteil des Internets entwickelt. Leider werden diese Programme oft von Entwicklern geschrieben, deren Hauptaugenmerk auf neuen Features liegt und die kaum Erfahrung mit sichrerer Programmierung haben. Daher steigt die Anzahl der Schwachstellen in Webanwendungen stetig. Dazu kommt, dass es kaum Tools gibt, die es erlauben, Schwachstellen automatisch zu finden. Die existierenden Tools verwenden entweder einen Ansatz, bei dem zufälliger Input an Applikationen geschickt wird, oder sie analysieren den Code der Webanwendung. Leider finden diese Tools zur Fehlersuche nur einen kleinen Teil der existierenden Probleme. Während XSS Schwachstellen und SQL Injection Fehler oft leicht gefunden werden können, werden logische Fehler kaum erkannt. Außerdem skalieren die existierenden Programme schlecht und melden zu viele korrekte Codepassagen als fehlerhaft. In diesem Projekt wollen wir eine Analyseplattform entwickeln, die es erlaubt, eine Vielzahl von Fehlern in Webanwendungen automatisiert zu erkennen. Dazu werden wir statische Codeanalyse einsetzen. Dabei ist ein wichtiges Ziel, die Analyse so zu gestalten, dass sie für große, weit verbreitete Anwendungen funktioniert. Das heißt, das System muss Programme verarbeiten können, die viele tausend Zeilen Code haben. Auch muss die Anzahl der falschen Warnungen gering sein. Schlussendlich wollen wir auch logische Programmierfehler entdecken. Unsere geplante Analyseplattform unterstützt eine Reihe von Modulen, die verschiedene Fehlerklassen abdecken. Diese werden in einer einheitlichen Oberfläche zusammengefasst und erlauben es dem Anwender, schnell und effizient Schwachstellen in Webanwendungen zu finden.

People

Project leader

Sub project leader

Project personnel

Institute

Auftrag/Kooperation

  • SEC Consult Unternehmensberatung GmbH

Förderungmittel

  • FFG - Österr. Forschungsförderungs- gesellschaft mbH (National) Österreichische Forschungsförderungsgesellschaft mbH (FFG)

Research focus

  • Distributed and Parallel Systems: 35%
  • Computer Engineering: 15%
  • Business Informatics: 10%
  • Computational Intelligence: 40%

Keywords

GermanEnglish
SicherheitSafety
Web ApplicationsWeb Applicaitons

Publications