共查询到20条相似文献,搜索用时 93 毫秒
1.
缓冲区溢出漏洞挖掘分析及利用的研究 总被引:1,自引:0,他引:1
当前,软件安全漏洞问题日趋严重,缓冲区溢出漏洞仍然是影响当前网络与分布式系统安全的主要问题之一。对缓冲区溢出漏洞进行挖掘分析以及利用的研究对于系统软件安全有着重要的意义。首先对缓冲区溢出原理以及漏洞挖掘分析与利用技术进行分析总结。然后提出了一种动静态分析相结合的漏洞挖掘分析方法,并采用此方法对微软Office漏洞进行挖掘分析,呈现了一个完整的漏洞挖掘分析过程。最后在理论与技术的基础上,在Windows平台下实现了漏洞挖掘分析系统VulAs,用于辅助漏洞挖掘分析工作,并验证了系统的准确性与有效性。 相似文献
2.
CoSy是ACE公司开发的编译器构架,为了保证CoSy C编译器输入程序的安全性,避免产生编译器缓冲区溢出问题,提出了编译器缓冲区溢出判断模型.根据C源程序编译器缓冲区溢出漏洞的特征,建立了编译器缓冲区溢出判断模型;给出了重建CoSy中间表示CCMIR( Common CoSy Medium-level Intermediate Representation)的方法;最后,给出了CCMIR程序安全性判定算法.实验结果表明,这种模型可以有效地判断输入程序的安全性.因此,通过重建CCMIR模型可以有效地避免CoSy C语言编译器编译过程中的缓冲区溢出同题. 相似文献
3.
4.
5.
6.
已有的检测缓冲区溢出漏洞的方法有静态的也有动态的.静态分析在软件运行前,析其源代码,找出可能存在的漏洞;动态方法在运行时对可能存在漏洞的软件行为进行监视,发现异常后,进行判断,然后做出适当处理.在分析了传统缓冲区溢出方法的基础上,依据缓冲区溢出攻击的发展趋势,针对非控制数据的缓冲区溢出攻击,提出了一种主要针对非控制数据缓冲区溢出攻击的测试方法,使用变量标识来测试是否发生了缓冲区溢出攻击.这种方法综合了静态和动态分析的优点,能够有效地防御缓冲区溢出攻击. 相似文献
7.
8.
9.
10.
提出一种在二进制环境下挖掘缓冲区溢出漏洞的方法。结合动态与静态挖掘技术对二进制环境下的程序作进一步的漏洞查找.静态方法主要对二进制程序中函数栈帧的特征和汇编语句的内在语义关系进行分析,动态模拟方法为程序和函数提供了一个虚拟的运行环境,使程序在运行过程中结合一些静态特性得到该函数缓冲区变量的内存读写语义,最终判定程序中是否有缓冲区溢出。 相似文献
11.
12.
Fuzzing测试是一种基于缺陷注入的自动软件测试技术.近几年来,广泛应用于软件测试、安全漏洞挖掘等领域.Peach 是基于Fuzzing技术实现的跨平台测试框架,具有灵活性、可重用等特点,是Fuzzing测试的代表工具之一.Fuzzing测试要求对测试用例进行优化来提高测试效率,对Peach的样本优化工具minset... 相似文献
13.
XIANG Qiao-lian 《数字社区&智能家居》2008,(7)
Fuzzing测试是一种自动化发掘软件漏洞的方法,本文讨论了文件格式漏洞利用的现状及Fuzzing测试的研究进展,提出了一个文件格式漏洞Fuzzing测试框架,在FileFuzz的基础上实现了一种文件格式Fuzzing测试工具,可以实现对任意文件格式的测试,并可有效地提高测试效率,最后给出了该工具测试的实例。 相似文献
14.
侯德艳 《数字社区&智能家居》2009,(11)
数据库系统的安全检测就是寻找数据库系统中存在的安全隐患,发现系统面临的风险。数据库系统的安全检测从过程到手段每次都可能千差万别,有的可能非常简单,有的可能非常复杂。本文重点介绍了扫描、Fuzzing测试、SQL注入、缓冲区溢出等几种在检测过程中非常重要的安全检测技术。 相似文献
15.
16.
Fuzzing技术是现阶段用于漏洞挖掘的主流技术,目前绝大多数的软件漏洞都是利用该技术发现的。但是Fuzzing技术存在的一个主要问题是其会产生大量的crash样本,如何对这些crash样本进行快速的分析分类,是当前基于Fuzzing技术进行漏洞挖掘工作所面临的主要问题。针对crash可利用性分析的研究,首先,总结了导致程序crash的原因并对其分析技术发展的现状进行了概述;其次,着重分析了当前利用动态污点分析和符号执行等技术进行crash可利用性判定的4种有效分析方法;最后,对比了这4种方法之间的差异,并探讨了crash可利用性分析技术未来的发展方向及趋势。 相似文献
17.
18.
为解决软件生产过程中存在的测试时间过长而导致成本急剧增长的问题,针对基于动静结合的Fuzzing方法中存在的缺陷,提出了基于控制依赖路径覆盖的Fuzzing模型。在该模型中,动态测试目标为静态分析提取的脆弱性语句。设计了一种基于两层相似度的适应度函数来指导遗传算法搜索覆盖控制依赖路径的测试用例,并在该测试用例基础上生成Fuzzing测试用例来验证脆弱性语句中的脆弱性,排除误报的脆弱性语句。该模型将有限的测试资源放在最可能出现漏洞的代码上,从而达到在增强Fuzzing方向性并保持高度自动化的同时提高测试效率的目的。 相似文献
19.
Fuzzing是一种自动化的漏洞挖掘技术。该文介绍了一种基于Fuzzing的漏洞挖掘思路,并将这一漏洞挖掘思路应用在TFTP协议上。设计并实现了一个针对TFTP服务器的fuzzer工具——tftpServerFuzzer,并对现有的从互联网上搜集到的Windows平台下11种TFTP服务器进行了安全测试,发现了8种TFTP服务器的13个安全漏洞,其中未曾公布过的漏洞有7个。该实践结果表明了tftpServerFuzzer的有效性和先进性。 相似文献