软件脆弱性分类法研究

软件脆弱性是系统安全受到各种威胁的根本原因,对软件脆弱性进行科学、合理、有实用价值的分类是研究软件脆弱性的基础。分析了软件脆弱性的本质,说明了分类法的基本原理,并重点分析了各种典型的软件脆弱性分类法的不足,提出了一种新的多维的软件脆弱性分类法的设计思路。     

软件脆弱性分类属性研究

针对软件脆弱性分类中分类属性的选择问题,给出软件脆弱性的基本概念,讨论分类研究的目标及属性选取的基本原则。通过对5种典型分类属性的比较和总结,归纳分类属性的类别,提出一个新的分类思路。根据目前分类研究中存在的问题,给出相应的改进措施及未来的发展方向。     

基于Unix/Linux系统的软件脆弱性分类法

对目前的软件脆弱性分类方法进行了分析,说明了软件脆弱性的研究现状,提出了引入原因、所在部件、影响、修复、验证、检测和攻击等描述软件脆弱性的关键属性,针对Unix/Linux操作系统,提出了基于软件脆弱性所在部件和引入原因的二维度的脆弱性分类法,对分类法属性的选择进行了说明,详细描述了分类方法,并对设计脆弱性进行了重点说明.     

计算机系统脆弱性评估研究

在计算机安全领域,特别是网络安全领域,对计算机系统进行脆弱性评估十分重要,其最终目的就是要指导系统管理员在“提供服务”和“保证安全”这两者之间找到平衡。脆弱性评估方法的发展经历了从手动评估到自动评估的阶段,现在正在由局部评估向整体评估发展,由基于规则的评估方法向基于模型的评估方法发展,由单机评估向分布式评估发展。该文阐述了脆弱性评估所要解决的问题,介绍了目前在计算机系统脆弱性评估领域的主要方法以及今后的发展方向。     

软件脆弱性分类方法研究

分析了在分类标准、分类规则、框架结构以及分类视角等方面具有特色的软件脆弱性分类方法;在此基础上,提炼出脆弱性分类的要素,并对经典的分类法进行多角度的比较分析,总结出每个分类法的特点和主要问题,讨论了现今脆弱性分类研究的关键问题和发展趋势。     

基于代码属性图和Bi-GRU的软件脆弱性检测方法

现在软件规模越来越庞大和复杂,脆弱性形式也更趋向多样化,传统的脆弱性检测方法存在人工参与度高、对未知脆弱性检测能力弱的缺点,已无法满足对多样化脆弱性的检测要求.为了提高对未知脆弱性的检测效果,大量机器学习方法被应用到软件脆弱性检测领域．由于现有方法在代码表征过程中存在着较高的语法和语义信息的损失,导致误报率和漏报率较高.针对这一问题,提出了一种基于代码属性图和Bi-GRU的软件脆弱性检测方法.该方法通过从函数的代码属性图中提取出抽象语法树序列、控制流图序列作为函数表征的表征方式,减少代码表征过程中的信息的损失,并通过选取Bi-GRU来构建特征提取模型,提高对脆弱性代码的特征提取能力.实验结果表明,与以抽象语法树为表征方式的方法相比,该方法最大可提高35%的精确率和22%的召回率,可改善面向多个软件源代码混合的真实数据集的脆弱性检测效果,有效降低误报率和漏报率.     

软件脆弱性影响模式研究初步

软件脆弱性是威胁系统安全的根本原因,当软件脆弱性被利用时,会造成各种危害系统安全的影响。本文说明了软件脆弱性的本质,分析了与脆弱性造成影响相关的典型软件脆弱性分类性,提出了基于脆弱性造成的直接和间接影响、受脆弱性影响的对象、实施影响的方法等方面的脆弱性影响模式框架。     

软件脆弱性分析

Software vulnerability is the root reason that cause computer system security problem. It's a new researchtopic to analyze vulnerability based on the essence of software vulnerability. This paper analyzes the main definitions and taxonomies of vulnerability,studies vulnerability database and tools for vulnerability analysis and detection, and gives the details about what caused the most common vnlnerabilities in the LINUX/UNIX operating systems.     

软件脆弱性影响分析模型

软件脆弱性的本质是利用该脆弱性可以影响系统的安全。每个软件脆弱性对系统安全造成的影响及其危害程度是不同的。基于此,在研究软件脆弱性影响相关分类存在的问题的基础上,分析脆弱性的直接影响和最终影响及其关系,指出确定软件脆弱性直接影响的原则,设计出基于影响广度和深度的脆弱性直接影响的分析模型。分析系统级、用户级和文件级的脆弱性直接影响模式,并给出模型在大规模特定域网主动防御系统中的相关设计与实现。     

网络脆弱性研究

首先介绍了实时分析网络脆弱性的一种框架，它能够被用于实时发现攻击点(或网络的脆弱性)，描述网络在攻击情况下的状况。为了证明其有效性，对该方法在DDoS上的应用结果进行了分析。     

软件漏洞起因的分类研究

软件漏洞是发生安全事件的根源，当软件漏洞被利用时，会造成严重的后果。对CERT或者SANS公布的漏洞进行的分析表明：许多漏洞都归因于软件开发人员反复地犯同一类错误。该文对软件漏洞的起因进行分类，应用领域包括：开发人员的使用指南（以避免犯共性的错误），软件工程专业学生的教学素材，以及软件测试人员或审计人员的“项目核查清单”。     

基于Windows的软件安全典型漏洞利用策略探索与实践

随着全球信息化的迅猛发展,计算机软件已成为世界经济、科技、军事和社会发展的重要引擎。信息安全的核心在于其所依附的操作系统的安全机制以及软件本身存在的漏洞。软件漏洞本身无法构成攻击,软件漏洞利用使得把漏洞转化为攻击变为可能。文章立足于Windows操作系统,主要分析了一些常用软件的典型漏洞原理以及常见的利用方法,比较了不同利用方法在不同环境下的性能优劣,并简单分析了Windows的安全机制对软件的防护作用以及对软件漏洞利用的阻碍作用。文章着重对几种典型漏洞进行了软件漏洞利用的探索和实践,并使用当前流行的对安全机制的绕过方法分析了Windows几种安全机制的脆弱性。     

基于PHP安全漏洞的Web攻击防范研究

文章以PHP语言为例对跨站脚本漏洞、文件上传漏洞的常见攻击进行了较为详细的分析并给出了相应的防范措施,以此为基础,总结出了Web应用程序安全漏洞产生的一般原因和开发安全Web应用的一些建议。     

基于eBPF的内核堆漏洞动态缓解机制

内核堆漏洞是目前操作系统安全的主要威胁之一, 用户层攻击者通过触发漏洞能够泄露或修改内核敏感信息, 破坏内核控制流, 甚至获取root权限. 但是由于漏洞的数量和复杂性剧增, 从漏洞首次被报告到开发者给出修复补丁(patch)往往需要较长时间, 而内核现阶段采用的缓解机制均能被稳定绕过. 为此提出一种基于eBPF的内核堆漏洞动态缓解框架, 用于在修复时间窗口中降低内核安全风险. 动态缓解框架采取数据对象空间随机化策略, 在每次分配时为漏洞报告中涉及的数据对象分配随机地址, 并充分利用eBPF的动态、安全特性将空间随机化对象在运行时注入内核, 使得攻击者无法准确放置攻击负载, 堆漏洞几乎无法被利用. 评估40个真实内核堆漏洞, 并收集12个绕过现有缓解机制的攻击程序进行进一步分析和实验, 证实动态缓解框架提供充足的安全性. 性能测试表明, 即使在严苛情况下, 大量分配的4类数据对象仅对系统造成约1%的性能损耗和可以忽略不计的内存损耗, 同时增加保护对象的数量几乎不引入额外性能损耗. 所提机制对比相关工作适用范围更广, 安全性更强, 而且无需安全专家发布的漏洞补丁, 可以根据漏洞报告生成缓解程序, 具备广阔应用前景.     

PHP常见安全漏洞攻防研究

文章总结了PHP脚本中广泛存在的代码注入漏洞及代码执行漏洞,并对其进行了分析.同时,在此基础上提出了预防这些漏洞的方案.最后,针对利用PHP开发安全的Web应用程序给出了一定的建议.     

基于逆向工程的软件漏洞挖掘技术

软件漏洞挖掘是网络攻防技术的重要组成部分。首先介绍了逆向工程技术的起源、作用和基于逆向工程的软件漏洞挖掘技术的研究路线;然后描述了四种基于逆向工程的软件漏洞挖掘技术的原理、特性、适用范围和优缺点;最后给出一个实例,示范如何基于逆向工程技术挖掘helpctr程序中存在的缓冲区溢出软件漏洞。     

SSL协议安全缺陷分析

近年来,随着对Internet上传输数据保密性的需要,安全套接字层(SSL)被广泛地使用。SSL协议基于公开密钥技术,提供了一种保护客户端/服务器通信安全的机制。但是,SSL协议仍存在一些安全缺陷,对使用SSL协议的通信带来安全隐患。文中简要介绍了SSL 3.0协议的内容,重点讨论了SSL 3.0协议的安全缺陷并针对缺陷提出了相应的改进方法,为协议的实现提供了参考。     

软件加密技术及其脆弱性研究

本文概述了常用的软件加密技术的发展现状,并深入分析和研究了常用的一些软件加密技术的脆弱性。并对软件的安全加密措施提出了一些建议。     

计算机网络安全漏洞问题解析

随着计算机网络技术在我国迅速普及,计算机网络安全的重要性也日益凸显。在计算机网络的应用中,计算机网络安全漏洞的存在,使得计算机网络存在着很多安全隐患。因此,研究计算机网络安全漏洞问题具有十分重要的现实意义。本文以计算机网络安全为切入点,在概述计算机网络安全漏洞的基础上,重点探讨了防范计算机网络安全漏洞的策略,旨在说明计算机网络安全的重要性,以期为防范计算机网络安全漏洞提供参考。