日韩精品高清自在线,国产女人18毛片水真多1,欧美成人区,国产毛片片精品天天看视频,a毛片在线免费观看,午夜国产理论,国产成人一区免费观看,91网址在线播放
网站首页
教育杂志
CSSCI期刊 北大期刊 CSCD期刊 统计源期刊 知网收录期刊 维普收录期刊 万方收录期刊 SCI期刊(美)
医学杂志
CSSCI期刊 北大期刊 CSCD期刊 统计源期刊 知网收录期刊 维普收录期刊 万方收录期刊 SCI期刊(美)
经济杂志
CSSCI期刊 北大期刊 CSCD期刊 统计源期刊 知网收录期刊 维普收录期刊 万方收录期刊 SCI期刊(美)
金融杂志
CSSCI期刊 北大期刊 CSCD期刊 统计源期刊 知网收录期刊 维普收录期刊 万方收录期刊 SCI期刊(美)
管理杂志
CSSCI期刊 北大期刊 CSCD期刊 统计源期刊 知网收录期刊 维普收录期刊 万方收录期刊 SCI期刊(美)
科技杂志
CSSCI期刊 北大期刊 CSCD期刊 统计源期刊 知网收录期刊 维普收录期刊 万方收录期刊 SCI期刊(美)
工业杂志
CSSCI期刊 北大期刊 CSCD期刊 统计源期刊 知网收录期刊 维普收录期刊 万方收录期刊 SCI期刊(美)
SCI杂志
中科院1区 中科院2区 中科院3区 中科院4区
全部期刊
公務員期刊網 論文中心 正文

計算機漏洞檢測分析

前言:想要寫出一篇引人入勝的文章?我們特意為您整理了計算機漏洞檢測分析范文,希望能給你帶來靈感和參考,敬請閱讀。

計算機漏洞檢測分析

1漏洞的定義與特點

可以將漏洞定義為存在于一個系統內的弱點或缺陷,這些弱點或缺陷導致系統對某一特定的威脅攻擊或危險事件具有敏感性,或具有進行攻擊威脅的可能性[1]。軟件漏洞產生通常是由于在軟件的設計和實現中由于開發人員有意或無意的失誤造成是系統潛在的不安全性。漏洞可以劃分為功能性邏輯漏洞和安全性邏輯漏洞。功能性邏輯漏洞是指影響軟件的正常功能,例如執行結果錯誤、執行流程錯誤等。安全性邏輯漏洞是指通常情況下不影響軟件的正常功能,但如果漏洞被攻擊者成功利用后,有可能造成軟件運行錯誤甚至執行惡意代碼,例如緩沖區溢出漏洞、網站中的跨站腳本漏洞(XSS)、SQL注入漏洞等[2]。

漏洞具有以下特點:1)編程過程中出現邏輯錯誤是很普遍的現象,這些錯誤絕大多數都是由于疏忽造成的;2)數據處理(例如對變量賦值)比數值計算更容易出現邏輯錯誤,過小和過大的程序模塊都比中等程序模塊更容易出現錯誤;3)漏洞和具體的系統環境密切相關。在不同種類的軟、硬件設備中,同種設備的不同版本之間,由不同設備構成的不同系統之間,以及同種系統在不同的設置條件下,都會存在各自不同的安全漏洞問題;4)漏洞問題與時間緊密相關。隨著時間的推移,舊的漏洞會不斷得到修補或糾正,新的漏洞會不斷出現,因而漏洞問題會長期存在[3]。

2漏洞研究技術分類

根據研究對象的不同,漏洞挖掘技術可以分為基于源代碼的漏洞挖掘技術、基于目標代碼的漏洞挖掘技術和混合漏洞挖掘技術三大類。基于源代碼的漏洞挖掘又稱為靜態檢測,是通過對源代碼的分析,找到軟件中存在的漏洞。基于目標代碼的漏洞挖掘又稱為動態檢測,首先將要分析的目標程序進行反匯編,得到匯編代碼;然后對匯編代碼進行分析,來判斷是否存在漏洞。混合漏洞挖掘技術是結合靜態檢測和動態檢測的優點,對目標程序進行漏洞挖掘。

2.1靜態檢測技術

靜態檢測技術可以通過手工或源代碼分析工具輔助完成,主要針對源代碼結構、跳轉條件、邊界條件、調用函數等進行分析,查找目標代碼中的不安全因素。例如,可以檢查源代碼中的Printf之類函數,檢查是否對其使用條件進行了限定,是否對邊界條件進行了檢查。由于現代軟件源代碼數量龐大,不可能完全對其進行人工審計。靜態分析技術具有以下特點[4]:首先,通過工具對源代碼進行掃描,靜態檢測技術效率高,分析速度快;其次,靜態檢測技術可以通過設置不同的測試條件實現對代碼的全面掃描;再次,靜態檢測技術可以在一些開源項目或在項目開發階段進行挖掘,及時修復系統中存在的漏洞。但這種方法必須獲得源代碼,并且需對目標代碼進行分析、編譯等。另一方面靜態檢測技術是通過對源代碼依據一定規則分析來實現,因此要建立源代碼的特征庫和規則庫。隨著漏洞數量的增加,特征庫也隨之不斷擴大,繼而帶來檢測效率不斷降低。由于靜態檢測技術是依據特征庫來進行分析判斷,因此存在誤報和漏報的情況。文獻[5]中,將靜態檢測技術分為詞法分析、規則檢查和類型推導。詞法分析技術最早出現于BMAT技術中,這種方法只對語法進行檢查,判斷詞法中是否存在漏洞,如果存在則根據知識庫進行進一步判斷。規則檢查通過檢查程序編制規則來判斷程序是否存在漏洞,如C語言中是否對變量進行了初始化。規則檢查將這些規則以特定語法描述,然后再將程序行為進行比對檢測。類型推導通過推導程序中變量和函數類型,來判斷變量和函數的訪問是否符合類型規則。基于類型推導的靜態分析方法適用于控制流無關分析,但對于控制流相關的特性則需要引入類型限定詞和子類型[6]的概念來擴展源語言的類型系統,使得新類型系統在源語言的數據類型上加以擴展并表示出類型之間的關系。針對現有漏洞靜態檢測方法中存在的誤報率和漏報率較高問題,文獻[7]提出了一種基于數據安全狀態跟蹤和檢查的安全漏洞靜態檢測方法。該方法擴展了漏洞狀態模型的狀態空間,設定多個安全屬性,通過安全屬性描述安全狀態。同時,對漏洞狀態機中進行合法性校驗,識別誤報的可能性。通過建立非可信數據識別系統中的漏報情況。

2.2動態檢測技術

由于在實際檢測過程中,除開源軟件以外,很難獲得被測系統的源代碼信息,因此限制了靜態檢測技術的應用。動態檢測技術是通過構造非標準輸入數據,調試運行軟件系統,根據系統功能或數據流向,檢查運行結果的異常,以判斷被測軟件系統是否存在漏洞。動態檢測技術通常以輸入接口或者運行環境為入手點,檢測系統中存在的漏洞。雖然動態檢測技術具有準確率高的優點,但是其效率卻十分低下,因為各種軟件系統本身的功能和流程有所不同,所以不能像靜態檢測技術那樣進行統一的掃描,而應該針對軟件系統的功能進行動態檢測,這樣就勢必造成了效率的降低[4]。并且動態檢測只能確定漏洞可能存在的范圍,需進行進一步的跟蹤和分析,通過經驗才能確定安全漏洞的類型和利用,因此難以應用到大型軟件當中。文獻[8]提出了一種動態與靜態技術相結合的二進制漏洞挖掘方法。該方法通過對二進制文件反編譯,得到偽源代碼,然后設計了虛擬執行環境VM。然后,通過VM,考察指令執行狀態,跟蹤寄存器的變化,解決了指針別名的問題。通過記錄VM中虛擬內存每條指令訪存地址,最后統計計算出每條訪存指令實際訪問的變量地址,解決了變量精確識別的問題。文獻[9]提出利用全系統模擬器作為動態執行環境,通過追蹤輸入數據處理路徑檢測溢出漏洞。該方面面向可執行代碼,通過構建全系統模擬器來進行漏洞檢測,將可執行代碼動態轉換成形式統一、便于分析追蹤的元指令表示形式。為解決動態檢測代碼覆蓋率的問題,該方法制定了溢出漏洞的判定規則,歸納溢出形成條件,并結合系統狀態回退完成多路徑漏洞搜索,提高了檢測的覆蓋率。

2.3混合檢測技術

由于靜態檢測技術需要目標程序源代碼,并具有檢測規模大、誤報率高的缺陷,而動態檢測技術又存在覆蓋率低、效率低的缺陷。因此,近幾年,混合檢測技術發展迅速,它有效的結合了靜態檢測和動態檢測的優點,避免了靜態檢測和動態檢測的缺點,有效地提高了檢測效率和準確率。混合檢測技術表現為與動態檢測技術相似的形式,然而測試者根據程序的先驗知識,在測試過程中有針對性的設計測試用例。這種測試可以直接針對數據流中感興趣的邊界情況進行測試,從而比動態檢測更高效。目前,混合檢測技術主要通過自動化的漏洞挖掘器即Fuzzing檢測技術實現。漏洞挖掘器首先分析目標軟件的運行環境、功能和接口等,構造畸形數據,生成測試用例。然后,通過接口傳遞測試用例,運行程序。最后,使用監控程序監視程序運行,如果程序運行出現異常則記錄程序運行環境和輸入數據進一步對異常信息進行分析。不同漏洞挖掘器由于挖掘對象的不同,其結構、挖掘方法都有很大的不同。目前主要有文件類型漏洞挖掘器、FTP漏洞挖掘器、Web漏洞挖掘器、操作系統漏洞挖掘器等。根據挖掘器構造測試用例方式的不同,Fuzzing技術可以分為兩類[4],DumbFuzzing和IntelligentFuzzing。DumbFuzzing檢測技術類似于黑盒測試完全根據隨機的輸入去發現問題。這種方法實現簡單,容易快速的觸發漏洞的錯誤位置。由于沒有針對性,因此其效率低下。IntelligentFuzzing檢測技術通過研究目標軟件的協議、輸入、文件格式等方面內容,有針對性的構造測試用例,能夠提高自動化檢測的效率,因此這種方法能夠更加有效的進行軟件安全漏洞挖掘。

3結束語

因為不同漏洞研究技術針對的研究目標不同,所以具有不同的優缺點。靜態檢測技術具有分析速度快,覆蓋全面的特點,但其誤報率卻很高;而動態檢測技術準確率高,但其不能覆蓋程序的各個流程,具有較大的隨機性;混合檢測技術避免了上述兩種方法的缺點,但由于目前檢測技術的局限性,仍有很多工作需要完成:1)后門及訪問控制缺陷檢測困難。由于后門及訪問控制缺陷不會引起程序異常,并在邏輯上很難區分,所以常規漏洞檢測方法難以發現后門及邏輯上的缺陷;2)檢測過程難以全部自動化。目前,Fuzzing技術需要根據經驗創建測試用例,并且自動化的檢測結果需要根據經驗進行進一步分析,以確定漏洞是否存在以及如何利用。

免责声明

本站为第三方开放式学习交流平台,所有内容均为用户上传,仅供参考,不代表本站立场。若内容不实请联系在线客服删除,服务时间:8:00~21:00。

AI写作,高效原创

在线指导,快速准确,满意为止

立即体验
文秘服务 AI帮写作 润色服务 投稿咨询
国产欧美一区二区精品久久久| 亚洲精品乱码久久久久红杏| 美女扒开尿口让男人桶| 91久久精品国产一区二区免费| 国产精品亚洲综合色区丝瓜 | 色综合久久中文综合网| 后入内射欧美99二区视频| 成人一级黄色毛片| 亚洲精品v日韩精品| 亚洲综合色无码| 久久亚洲AV成人一二三区| 国产高清在线观看av片麻豆| 亚洲AV成人一区国产精品| 国产美女精品一区二区| 亚洲中文字幕麻豆一区| 精品久久无码中文字幕| 国产午夜视频在线观看| 亚洲无人区码一码二码三码区别| 国产午夜精品一区二区三区四区| 丰满岳乱妇久久久| av中文字幕在线资源网| 国产综合视频一区二区三区| 欧美人在线一区二区三区| 亚欧乱色熟女一区二区三区| 国产精品爱久久久久久久| 女同av在线观看网站| 午夜无码国产理论在线| 日本久久久免费高清| 亚洲无码毛片免费视频在线观看| 久激情内射婷内射蜜桃人妖| 乱淫av一区二区三区| 97久久精品亚洲中文字幕无码| 国产羞涩免费视频在线观看| 美女张开腿黄网站免费| 国产黄在线免费观看| 国产精品成人无码a 无码| 中文字幕亚洲无线码| 午夜性刺激免费在线| 好男人社区www在线观看| 尤物无码一区| 亚洲AV无码久久久久调教|