Finding SQL Injection Vulnerabilities in a C# Source Code

Bc. Michal Klein

Bakalářská práce

Anotace:

SQL Injection Analyzer je statický analyzér zdrojového kódu používajúci Roslyn, ktorý sa zameriava na hľadanie neparametrizovaných dotazov v C# kóde. Prvá kapitola prezentuje SQL injection, frekvenciu útokov, príklady útokov z reálneho sveta a odporúčané praktiky prevencie s dôrazom na statické testovanie bezpečnosti aplikácií (SAST). Druhá kapitola popisuje súčasný stav v odvetví. V nasledovnej kapitole prezentujem návrh a implementáciu môjho vlastného SAST nástroja. SQL Injection Analyzer poskytuje analýzu na úrovni samostatného súboru, projektu, alebo C# solutionu. Vlastná konfigurácia umožňuje prispôsobenie pravidiel pre riešenie propagácie taint premenných. Výsledný výstup programu je HTML a TXT report nameraných diagnostík a report na štandardný výstup v reálnom čase. Unit testy pokrývajú 79% všetkých výrazov zdrojového kódu. Pre každý implementovaný scope analýzy boli vykonané experimenty na dvoch repozitároch.

Abstract:

SQL Injection Analyzer is a Roslyn-based static source code analyzer which focuses on finding non-parametric queries in C# source code. The first chapter presents SQL injection, frequency of attacks, real-world examples of attacks and recommended prevention techniques with an emphasis on static application security testing (SAST). The second chapter describes the current state of the art. Then, the implementation of my own SAST tool is presented. SQL Injection Analyzer provides the analysis within the scope of a single file, project or solution. A configuration of how taint variables propagation should be solved is possible in a configuration file. The final output of the analysis is an HTML and TXT report of acquired diagnostics and a real-time standard output report. Unit Tests cover 79% of all statements. Experiments of scanning two repositories were conducted for each implemented scope of analysis.

Keywords

Roslyn, analyzer, C#, SQL injection, static analysis, taint analysis, interprocedural analysis, abstract syntax tree

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 18. 5. 2023

Obhajoba závěrečné práce

• Obhajoba proběhla 29. 6. 2023
• Vedoucí: prof. RNDr. Jiří Barnat, Ph.D.
• Oponent: doc. Mgr. Jan Obdržálek, PhD.

Masarykova univerzita

Fakulta informatiky

Bakalářský studijní program / obor:
Programování a vývoj aplikací / Programování a vývoj aplikací