Formalisation et génération d'injections

Eric Alata (1) , Didier Le Botlan (2)

1 LAAS-TSF - Équipe Tolérance aux fautes et Sûreté de Fonctionnement informatique
2 LAAS-VERTICS - Équipe Verification de Systèmes Temporisés Critiques

Certains logiciels informatiques, comme les serveurs Web, peuvent se révéler vulnérables aux injections, qui permettent de détourner une fonctionnalité initialement anodine en exploitant une trop grande permissivité dans l'interprétation des requêtes. Nous nous intéressons dans cet article à la définition formelle des injections, vues comme des éléments d'un langage formel, décrit par une grammaire. Nous décrivons le problème théorique de la caractérisation des injections d'un langage donné, et proposons un algorithme permettant d'énumérer des injections, connaissant le langage cible.

Domaines: Cryptographie et sécurité [cs.CR]

Eric Alata, Didier Le Botlan. Formalisation et génération d'injections. 9ème édition de la conférence Francophone SARSSI, May 2014, Lyon, France. 13p. ⟨hal-01022924⟩