SavedAdd your journal

Journals / Uluslararası Bilgi Güvenliği Mühendisliği Dergisi / 2022 / Cilt: 8 - Sayı: 1

SQLi ve XSS Saldırı Tespitinde Kullanılan Yeni Bir Özellik Çıkarma Yöntemi

Mehmet Serhan ERÇİN
Esra YOLAÇAN
Pages
1–11
Publication Date
2022-09-06
DOI
—
🏛️Bibliographic metadata and full text access for this article are provided via DergiPark.
DergiPark Record ↗
✨

AI Summary & Key Takeaways

AI Insight
⚡ TL;DR(Too Long; Didn't Read)

Bu çalışma ile ulaşılan bulgular şu şekilde sıralanabilir: 1) Bazı saldırı vektörlerinin, görünürde farklı bile olsa ön işlem sonrasında aslında aynı karakteristikte olabildiği, 2) Kelimelerin sembolize edilmesinin saldırı vektörünün özelliğinin daha net görülmesini sağladığı, 3) Kelimelerin öklitsel uzaklıklarının hesaplanarak özniteliklerin çıkarılması başarıyı arttırdığı görülmüştür.

📌 3 Key Takeaways

🎯
Objective & Hypothesis:Web sayfalarına erişmek için kullanılan adres satırı veya web sayfalarında ve uygulamalarında bulunan formlar gibi kullanıcıdan girdi alabildiğimiz, dolayısıyla kullanıcının niyetini anlamak için ona sınırsız bir imkân tanıdığımız alanlar, güvenlik riski bakımından her dönemde ilk sıralarda kendine yer bulmaktadır.
📊
Key Findings & Data:Bu çalışmada, literatürde tespit edilen bu belirsizliğin azaltılması için Yanlış-Alarm seviyelerini düşürmek ve doğru tespit oranını artırmak hedeflenmiştir.
💡
Conclusion & Impact:Bu çalışma ile ulaşılan bulgular şu şekilde sıralanabilir: 1) Bazı saldırı vektörlerinin, görünürde farklı bile olsa ön işlem sonrasında aslında aynı karakteristikte olabildiği, 2) Kelimelerin sembolize edilmesinin saldırı vektörünün özelliğinin daha net görülmesini sağladığı, 3) Kelimelerin öklitsel uzaklıklarının hesaplanarak özniteliklerin çıkarılması başarıyı arttırdığı görülmüştür.
🔬Design:Review & Systematic Survey
📍Scope:2021 · 13157 adet
⚙️Variables:SQL Enjeksiyonu · Siteler Arası Betik (XSS) · Derin Öğrenme

Özet

Web sayfalarına erişmek için kullanılan adres satırı veya web sayfalarında ve uygulamalarında bulunan formlar gibi kullanıcıdan girdi alabildiğimiz, dolayısıyla kullanıcının niyetini anlamak için ona sınırsız bir imkân tanıdığımız alanlar, güvenlik riski bakımından her dönemde ilk sıralarda kendine yer bulmaktadır. Bu alanlara yapılan saldırıların tespiti için literatürde statik, dinamik ve hibrit olmak üzere çeşitli yaklaşımlar kullanılmaktadır. Ancak bu yöntemlerin Yanlış Alarm durumları için ne yapılacağını belirlemediği ve bu durumlarda tamamen işlevsiz kaldığı görülmektedir. Bu çalışmada, literatürde tespit edilen bu belirsizliğin azaltılması için Yanlış-Alarm seviyelerini düşürmek ve doğru tespit oranını artırmak hedeflenmiştir. Çalışma kapsamında, 5 Mayıs 2021 tarihi itibariyle güncel 13157 adet SQLi ve XSS tipi zararlı, 10000 adet normal HTTP İsteği kullanılmıştır. HTTP isteklerinin tamamı aynı web sunucudan alınmış, normal isteklerle zararlı isteklerin birbirine yakın olduğu gözlenmiştir. Bu çalışmada, veri ön işleme aşamalarında veriyi kelimelerle ifade etme ve sayısallaştırma işlemleri birlikte kullanılarak yeni bir yaklaşım sunulmuştur. Sınıflandırma için LSTM, MLP, CNN, GNB, SVM, KNN, DT, RF algoritmaları kullanılmış ve sonuçlar doğruluk, hassasiyet, özgüllük ve F1-skoru metrikleri ile değerlendirilmiştir. Bu çalışma ile ulaşılan bulgular şu şekilde sıralanabilir: 1) Bazı saldırı vektörlerinin, görünürde farklı bile olsa ön işlem sonrasında aslında aynı karakteristikte olabildiği, 2) Kelimelerin sembolize edilmesinin saldırı vektörünün özelliğinin daha net görülmesini sağladığı, 3) Kelimelerin öklitsel uzaklıklarının hesaplanarak özniteliklerin çıkarılması başarıyı arttırdığı görülmüştür.

🔖

Cite This Article

ERÇİN, M. S., YOLAÇAN, E. (2022). SQLi ve XSS Saldırı Tespitinde Kullanılan Yeni Bir Özellik Çıkarma Yöntemi. Uluslararası Bilgi Güvenliği Mühendisliği Dergisi, Cilt: 8 - Sayı: 1, 1–11. https://ajindex.com/articles/815267

📄 Full Text PDF Viewer

📄

PDF görüntüleyici hazırlanıyor...

References (1)

  1. “Owasp, 2021”, Erişim: 5-12-2021, Mevcut: https://owasp.org/www-project-top-ten/ [2] Acunetix, “Acunetix web application vulnerability report 2016,” Tech. Rep., 2016. [Online]. Mevcut: https://www.acunetix.com/ acunetix-web-application-vulnerability-report- 2016/ [3] Jemal, I., Cheikhrouhou, O., Hamam, H., & Mahfoudhi, A. (2020). Sql injection attack detection and prevention techniques using machine learning. International Journal of Applied Engineering Research, 15(6), 569-580. [4] Alwan, Z. S., & Younis, M. F. (2017). Detection and prevention of sql injection attack: A survey. International Journal of Computer Science and Mobile Computing, 6(8), 5-17. [5] Gogoi, B., Ahmed, T., & Saikia, H. K. (2021). Detection of XSS Attacks in Web Applications: A Machine Learning Approach. International Journal of Innovative Research in Computer Science & Technology (IJIRCST) ISSN, 2347- 5552. [6] Abaimov, S., & Bianchi, G. (2019). Coddle: Code-injection detection with deep learning. IEEE Access, 7, 128617-128627.J. Clerk Maxwell, A Treatise on Electricity and Magnetism, 3rd ed., vol. 2. Oxford: Clarendon, 1892, pp.68–73. [7] Singh, J. P. (2016). Analysis of SQL injection detection techniques. arXiv preprint arXiv:1605.02796. [8] Gupta, S., & Gupta, B. B. (2017). Cross-Site Scripting (XSS) attacks and defense mechanisms: classification and state-of-the-art. International Journal of System Assurance Engineering and Management, 8(1), 512-530. [9] Moosa, A. (2010). Artificial neural network based web application firewall for SQL injection. International Journal of Computer and Information Engineering, 4(4), 610-619. [10] Makiou, A., Begriche, Y., & Serhrouchni, A. (2014, November). Improving Web Application Firewalls to detect advanced SQL injection attacks. In 2014 10th International Conference on Information Assurance and Security (pp. 35-40). IEEE. [11] Sheykhkanloo, N. M. (2015, September). SQL- IDS: evaluation of SQLi attack detection and classification based on machine learning techniques. In Proceedings of the 8th International Conference on Security of Information and Networks (pp. 258-266). [12] Sheykhkanloo, N. M. (2017). A learning-based neural network model for the detection and classification of SQL injection attacks. International Journal of Cyber Warfare and Terrorism (IJCWT), 7(2), 16-41. [13] Verbruggen, R., & Heskes, T. (2014). Creating firewall rules with machine learning techniques. Nijmegen Netherlands: Kerckhoffs institute Nijmegen, 9-27. [14] Kar