Annual Conference of KIPS (한국정보처리학회:학술대회논문집)

  • 2025.05a
  • /
  • Pages.234-236
  • /
  • 2025
  • /
  • 2005-0011(pISSN)
  • /
  • 2671-7298(eISSN)
Korea Information Processing Society (한국정보처리학회)
권호 표지
DOI QR코드

DOI QR Code

A Case Study on Vulnerability Detection in GUI Applications through Testing

GUI 애플리케이션 테스트를 통한 취약점 탐지

  • Suhwan Song (Dept. of Electrical and Computer Engineering, Seoul National University) ;
  • Byoungyoung Lee (Dept. of Electrical and Computer Engineering, Seoul National University)
  • 송수환 (서울대학교 전기정보공학부) ;
  • 이병영 (서울대학교 전기정보공학부)
  • Published : 2025.05.29
Download PDF
⟨ Previous Next ⟩

Abstract

GUI 기반 애플리케이션은 다양한 입력 경로와 복잡한 상태 전이로 인해, 예상치 못한 입력에 대한 취약점이 발생할 가능성이 높다. 본 논문에서는 특별한 자동화 도구 없이, 수동으로 테스트를 수행하여 취약점을 탐지한 사례를 소개한다. 대표적인 오픈소스 이미지 처리 도구인 ImageMagick 을 대상으로 다양한 파일 포맷을 직접 테스트하는 과정에서 힙 오버플로우(Heap Overflow) 취약점을 발견하였다. 이 사례를 통해 수동 테스트의 중요성과 한계, 그리고 향후 GUI 애플리케이션 테스트의 개선 방향을 논의한다.

Keywords

Acknowledgement

이 연구는 2025 년도 산업통상자원부 및 한국산업기술기획평가원(KEIT) 연구비 지원에 의한 연구임(RS-2024-0404139)

References

  1. M. Zalewski, "american fuzzy lop," http://lcamtuf.coredump.cx/afl/, 2015.
  2. N. Stephens, J. Grosen, C. Salls, A. Dutcher, R. Wang, J. Corbetta, Y. Shoshitaishvili, C. Kruegel, and G. Vigna, "Driller: Augmenting fuzzing through selective symbolic execution," in Proceedings of the 2016 Annual Network and Distributed System Security Symposium (NDSS), San Diego, CA, Feb. 2016.
  3. Yun, Insu, et al. "{QSYM}: A practical concolic execution engine tailored for hybrid fuzzing." 27th USENIX Security Symposium (USENIX Security 18). 2018.
  4. Suhwan Song, "global-buffer-overflow at XEditText MagickCore/widget.c:1174", https://github.com/ImageMagick/ImageMagick/issues/7819, 2024
  5. Cristy, "prevent cursor going out of bounds", https://github.com/ImageMagick/ImageMagick/commit/5a7f82219d38d78eb51a9b0095ca63f43af3ec9c, 2024
  6. "ImageMagick", https://github.com/ImageMagick/ImageMagick
  7. Meng, Ruijie, Gregory J. Duck, and Abhik Roychoudhury. "Program environment fuzzing." Proceedings of the 2024 on ACM SIGSAC Conference on Computer and Communications Security, 2024.
  8. Serebryany, Konstantin, et al. "{AddressSanitizer}: A fast address sanity checker." 2012 USENIX annual technical conference (USENIX ATC 12), 2012.