Програмна реалізація процесу відстеження поширення по програмі неперевірених зовнішніх даних : бакалаврська робота

Abstract

Кваліфікаційна робота викладена на 42 сторінках основного тексту і 56 сторінках загального тексту, містить 3 розділи, 13 рисунків, 1 таблицю, 2 додатка, 28 використаних джерел. Метою виконання роботи є проєктування, програмна реалізація та тестування статичного аналізатору Java-коду з використанням техніки taint-аналізу для відстеження поширення по програмі неперевірених зовнішніх даних. Об’єктом дослідження є процес статичного аналізу текстів програм на мовах високого рівня, який дозволяє відстежувати поширення неперевірених зовнішніх даних за програмою для виявлення потенційних безпекових загроз. Предметом дослідження є техніки taint-аналізу текстів програм для пошуку потенційно підозрілих змінних, які може бути змінені зовнішнім користувачем. У кваліфікаційній роботі розроблено плагін для віртуальної машини UnitTestBot та генератора коду IntelliJ IDEA, необхідний для підтримки taint-аналізу відстеження зовнішніх даних. Виконана розробка алгоритмів символьного виконання для пошуку SQL-ін'єкції. Виконана розробка модулю формування звітів про знайдені помилки. Виконано тестування та оцінка якості програмної реалізації. Розроблений застосунок може використовуватись розробниками для пошуку у власних програмах критичних секцій.

The qualification work consists of 42 pages of main text and 56 pages of total text, contains 3 chapters, 13 figures, 1 table, 2 appendixes and references to 28 sources. The purpose of the work is the design, software implementation and testing of a static Java code analyzer using the taint analysis technique to track the spread of unverified external data through the program. The object of the research is the process of static analysis of program texts in high-level languages, which allows tracking the spread of unverified external data within the program to detect potential security threats. The subject of the research is the techniques of taint analysis of program texts to search for potentially suspicious variables that may be altered by an external user. In the qualification work, a plugin for the UnitTestBot virtual machine and the IntelliJ IDEA code generator has been developed to support taint analysis for tracking external data. Development of symbolic execution algorithms for searching for SQL injection has been performed. A module for generating reports on found errors has been developed. Testing and evaluation of the quality of software implementation have been carried out. The developed application can be used by developers to search for critical sections in their own programs.