字串限制式在行動應用程式安全檢測的應用

Abstract

根據OWASP統計，近年來注入式攻擊(injection attack)，在網頁程式和行動應用程式都是排名前十的攻擊方式。這類攻擊的原理，是攻擊者利用程式對於各種輸入來源沒有詳盡過濾的漏洞，藉機輸入程式原先設計外的可執行程式字串。執行這樣的字串，有可能造成各式各樣的損失。輕則遺失資料或系統損毀，重者甚至會泄露極重要的個人隱私資料。字串限制式的解答技術，針對這樣的攻擊，可以有效率地找出潛在的漏洞並加以防治。我們相信是個很有潛力的新興方法。本文將對這個主題進行一個介紹性的探討。