检索结果-内蒙古大学图书馆

信息安全研究 2022年第6期8卷 595-604页

作者：高庆陈静许平张世琨北京大学软件工程国家工程研究中心北京100871 北京北大软件工程股份有限公司北京100080 中国电子科技集团公司第三十研究所成都610041

随着工业化和信息化的深度融合,针对工业互联网的安全事件频发,越来越多的攻击者把攻击目标锁定在国家关键基础设施上.近年来,嵌入式软件的规模及复杂程度急剧增大,尤其在国防、轨道交通、汽车、民航以及工业控制等领域的用户对嵌入式... 详细信息

随着工业化和信息化的深度融合,针对工业互联网的安全事件频发,越来越多的攻击者把攻击目标锁定在国家关键基础设施上.近年来,嵌入式软件的规模及复杂程度急剧增大,尤其在国防、轨道交通、汽车、民航以及工业控制等领域的用户对嵌入式软件质量要求更加严格,要求嵌入式软件更加安全.在收集和分析嵌入式软件安全编码标准的基础上,对嵌入式软件安全漏洞模式进行梳理,提出国内首套比较全面的嵌入式软件开发安全漏洞模式清单,包括嵌入式特有的安全漏洞模式、导致嵌入式系统崩溃或者拒绝服务等严重后果的漏洞模式以及其他缺陷模式.最后,针对这些安全漏洞模式简要介绍了使用这些安全漏洞模式如何保障嵌入式软件安全的静态分析技术,从而在软件开发过程的源头发现安全问题并得到及时解决,确保证工业软件的安全.

关键词：工业互联网嵌入式软件安全编码标准静态分析漏洞模式

来源：评论

学校读者我要写书评

暂无评论

用于半监督漏洞模式修订的方法、系统及存储介质

用于半监督漏洞模式修订的方法、系统及存储介质

引用

作者：索纳尔·马哈詹穆库尔·R·普拉萨德日本神奈川县

公开了一种用于半监督漏洞模式修订的方法、系统及存储介质。操作可以包括从一个或更多个网站获得多个帖子，每个帖子包括源代码的包含对应错误的相应有漏洞片段。操作还可以包括从多个帖子生成多个漏洞模式，其中，每个相应漏洞模式与... 详细信息

标准号: CN115221526A

公开了一种用于半监督漏洞模式修订的方法、系统及存储介质。操作可以包括从一个或更多个网站获得多个帖子，每个帖子包括源代码的包含对应错误的相应有漏洞片段。操作还可以包括从多个帖子生成多个漏洞模式，其中，每个相应漏洞模式与相应有漏洞片段对应并且指示对应漏洞场景，对应漏洞场景导致与相应漏洞模式对应的相应有漏洞片段的对应错误。操作还可以包括针对相应漏洞模式确定相似性，以及基于相似性确定来选择多个漏洞模式中的第一漏洞模式以供修订。此外，操作可以包括获得作为第一漏洞模式的修订版本的经修订漏洞模式。

关键词：漏洞模式漏洞帖子修订源代码相似性确定场景存储介质多个网站半监督

来源：评论

学校读者我要写书评

暂无评论

Android平台软件漏洞模式的自动化构建方法

Android平台软件漏洞模式的自动化构建方法

引用

作者：梁洪亮陈奕修谢卓思 100085 北京市海淀区上地东路1号院1号楼4层401-A020

一种Android平台软件漏洞模式的自动化构建方法，其包括如下步骤：步骤1)针对Android平台上的软件漏洞，定义漏洞模式模版VP，VP＝(C，A，EF，TF，CF，TCT，TT)；步骤2)对于一种漏洞v，收集其先验知识，例如漏洞所在的组件，该组件与漏... 详细信息

标准号: CN111859387A

一种Android平台软件漏洞模式的自动化构建方法，其包括如下步骤：步骤1)针对Android平台上的软件漏洞，定义漏洞模式模版VP，VP＝(C，A，EF，TF，CF，TCT，TT)；步骤2)对于一种漏洞v，收集其先验知识，例如漏洞所在的组件，该组件与漏洞相关的属性，相关函数等；步骤3)结合前一步收集的先验知识、CVE漏洞描述和Android应用开发者文档，使用自然语言处理技术抽取与漏洞模式相关的特征数据，进而构建漏洞模式VPv。本发明为Android平台软件漏洞提供了一种通用的漏洞模式定义和自动化的构建方式，实现了对多种漏洞信息的全面描述，具有良好的可扩展性，支持对后续新漏洞的模式定义和检测。

关键词：漏洞模式漏洞构建软件漏洞先验知识自然语言处理技术自动化软件漏洞模式可扩展性漏洞信息特征数据相关函数通用的模版文档抽取检测

来源：评论

学校读者我要写书评

暂无评论

基于漏洞模式的软件漏洞挖掘技术研究

基于漏洞模式的软件漏洞挖掘技术研究

引用

作者：倪昀泽北京邮电大学

学位级别：硕士

随着信息技术、计算机和互联网的不断发展,信息和网络安全方面的问题日益受到关注,相关的研究和技术也日渐受到重视。软件是信息系统和网络的基础,软件漏洞被利用进行网络攻击是造成信息与网络安全的主要威胁之一,软件漏洞攻防也是网络... 详细信息

随着信息技术、计算机和互联网的不断发展,信息和网络安全方面的问题日益受到关注,相关的研究和技术也日渐受到重视。软件是信息系统和网络的基础,软件漏洞被利用进行网络攻击是造成信息与网络安全的主要威胁之一,软件漏洞攻防也是网络攻防对抗中的重要环节,软件漏洞的挖掘在信息安全技术中处于十分重要的地位。本文以软件的洞挖掘及相关技术研究为目标。研究了目前主流的可执行程序文件结构,反汇编分析技术以及软件静态分析算法。本文作者在总结前人研究的基础上,分析各类漏洞实例进并行总结归类,提出了基于YAML语言的漏洞模式描述方法,相比之前已有的XML语言等描述方法,数据结构更加自然,易于漏洞分析研究人员理解漏洞模式,同时,在计算机处理方面,YAML也具有结构简单、解析成本低等优点。在漏洞模式的基础上,本文作者提出了一种面向模式检测的二进制程序漏洞模式建模方法,将漏洞模式相关内容提升为面向模式检测的漏洞模式建模,用于检测软件中存在的漏洞。并解决了两方面的问题:一、如何从二进制程序漏洞模式描述建立面向模式检测的模型。二、如何将缺陷函数调用、缓冲区溢出、整数溢出三类漏洞转换为本文的检测模型。最后,针对不同的环境与软件,本文将漏洞挖掘的理论方法进行了三个方面的实际转换研究工作:(1)缺陷函数漏洞检测研究设计了缺陷函数调用的漏洞检测模型框架。主要实现了漏洞特征匹配链,漏洞会话管理模块等核心模块,并研究了在不同编译环境下函数参数匹配算法。(2)Android内核驱动漏洞挖掘研究研究了 Android内核设备驱动的攻击界面,提出并实现了一套Android内核驱动漏洞挖掘fuzzing框架。通过实验测试,该工具有较好的挖掘效率及稳定的crash复现能力,本文作者利用该Fuzzing程序,发现了驱动设备程序Oday漏洞。(3)浏览器漏洞挖掘研究针对浏览器常见的UAF内存破坏漏洞,提出基于浏览器UAF漏洞的漏洞挖掘方法,实现了基于分布式节点的漏洞挖掘工具。发现多处漏洞,将一处IE浏览器高危可利用漏洞提交给微软官方,并获得致谢及漏洞CVE编号CVE-2015-6154。

关键词：软件漏洞漏洞模式 Fuzzing

来源：评论

学校读者我要写书评

暂无评论

基于SGX的数据使用控制安全确保关键技术研究

基于SGX的数据使用控制安全确保关键技术研究

引用

作者：王若愚广州大学

学位级别：硕士

目前在工业互联网、供应链管理、远程医疗等领域通过数据共享方式进行服务协同的需求日益增长。然而在数据跨域共享场景中,数据使用者难以通过传统的访问控制方法,限制数据使用者获得共享数据后的二次非法转发等数据滥用行为。因此,数... 详细信息

目前在工业互联网、供应链管理、远程医疗等领域通过数据共享方式进行服务协同的需求日益增长。然而在数据跨域共享场景中,数据使用者难以通过传统的访问控制方法,限制数据使用者获得共享数据后的二次非法转发等数据滥用行为。因此,数据使用控制等延伸控制方法被提出用以对数据使用者获得数据后的行为进行约束。但恶意的数据使用者仍可通过在内存中监视、篡改代码或数据等手段来规避使用控制措施。为解决该问题,基于Intel SGX可信计算的方法旨在确保使用控制的安全实施。SGX提供的可信硬件原语,可确保机密数据在名为“enclave”的隔离空间中安全计算,并可通过完整性度量来验证enclave程序在加载到隔离空间后未遭篡改。但目前基于SGX的可信计算方案中,存在enclave程序完整性度量不灵活、SGX项目漏洞特征不明确等问题。为此,本文围绕基于SGX的数据使用控制安全确保关键技术展开研究,主要贡献及创新点如下: (1)针对enclave程序完整性度量不灵活,加密数据存取粒度大的问题,本文提出基于SGX属性度量和资源划分的使用控制方法。该方法通过设定enclave属性证书,使e nclave程序能进行灵活度量。通过对数据资源进行最小化划分,为数据细粒度的使用提供基础条件,这使得该方法能够完成高效率、细粒度的加密数据存取。实验表明,该方法使得共享数据不被滥用,同时减少enclave程序度量的时间开销,降低数据使用控制方案中的enclave空间开销以及初始化时间开销。 (2)针对在污点传播数据流分析过程中,SGX项目漏洞特征不明确问题和内存间传播状态难以追踪的问题,本文提出基于SGX漏洞模式与污点传播的安全分析方法。本文首先对现有SGX项目的公开漏洞进行分析,整理并发现了SGX的漏洞模式,随后设计基于增强内存指针传播构建的污点分析方法。该方法增强了Ghidra IR指令集,有助于IR对堆栈变量的表达,使得在污点传播的过程中,IR能更准确的表达变量的传播与覆盖。实验表明,该方法在SGX项目漏洞检测中,有更高的检出率和更低的误报率。 (3)基于以上研究内容,本文实现了面向数据价值共享的数据使用控制系统。该系统中,数据提供者能完成使用控制策略的制定,可与数据使用者进行合约协商,并能管理查看数据使用者对数据的使用情况。数据使用者在进行合约签订之后,可在本地完成数据服务的使用,通过Web接口对enclave进行使用请求,以完成对机密数据的分析任务。当数据使用状态不符合使用规则约束时,enclave会拒绝服务请求。

关键词：使用控制延伸控制可信计算 SGX 静态分析污点传播漏洞模式

来源：评论

学校读者我要写书评

暂无评论

基于污点分析的二进制程序漏洞检测系统设计与实现

引用

网络安全与数据治理 2023年第11期42卷 1-7页

作者：罗治祥向栖李乐言工业和信息化部电子第五研究所广东广州511370 东北大学软件学院辽宁沈阳110819 智能产品质量评价与可靠性保障技术工业和信息化部重点实验室广东广州511370

针对现阶段二进制程序的静态分析多依赖于人工经验规则导致的低效率问题,以及大多数二进制程序漏洞扫描检测系统性能和可扩展性较低的问题,设计并且实现了一个简易版的基于污点分析的二进制程序漏洞检测系统。与现有的二进制程序漏洞检... 详细信息

针对现阶段二进制程序的静态分析多依赖于人工经验规则导致的低效率问题,以及大多数二进制程序漏洞扫描检测系统性能和可扩展性较低的问题,设计并且实现了一个简易版的基于污点分析的二进制程序漏洞检测系统。与现有的二进制程序漏洞检测系统相比,本文设计的系统改进了Java指针分析中提出的算法,使得分析过程的数据抽象部分和指针分析部分得到了分离,进一步简化了污点分析,提高了分析的性能和可扩展性。此外,将漏洞模式单独抽离出来,能够更加方便地进行漏洞模式的自定义。

关键词：二进制程序静态分析指针分析污点分析漏洞模式

来源：评论

学校读者我要写书评

暂无评论

基于图模型的软件安全漏洞检测技术研究

基于图模型的软件安全漏洞检测技术研究

引用

作者：张莉西安工业大学

学位级别：硕士

随着软件规模的不断增加和复杂性的提高,软件中存在的安全隐患也越来越多,这使得软件容易受到不法分子的攻击。为了有效提高软件的安全性,漏洞检测技术成为了软件安全领域的研究重点。由于图模型具有较强的表征能力,基于图模型的漏洞检... 详细信息

随着软件规模的不断增加和复杂性的提高,软件中存在的安全隐患也越来越多,这使得软件容易受到不法分子的攻击。为了有效提高软件的安全性,漏洞检测技术成为了软件安全领域的研究重点。由于图模型具有较强的表征能力,基于图模型的漏洞检测研究应运而生。然而,现存的图模型在源代码的表征过程中,存在图模型较为单一而导致的源代码表征信息缺失,使漏洞检测的误报率增加的问题。同时由于源代码结构复杂,导致对应图结构信息冗杂,计算负担重。针对上述问题,本文的工作主要分为以下几个方面,具体研究内容如下:(1)针对目前图模型类型单一,仅表示出数据源代码部分特征的问题,本文提出了一种三极性特征图(Triple Polar Characteristic Graph,TPCG),通过对漏洞特征图与补丁特征图的融合,能够展现漏洞的正向特性、反向特性和基础特性。该图借助抽象语法树解析源代码的结构信息,生成实体结构,解析源代码中的语句信息,通过控制依赖、数据依赖、函数调用等6种关系展现节点间的关联,体现特征项之间的复杂关系。TPCG将源代码与补丁代码之间的差异通过图表现出来,能够表征漏洞修改前后的信息特征,有效分析漏洞成因,为基于图模型的漏洞检测技术研究提供良好的基础。(2)由于TPCG包含内容丰富,结构复杂,使计算开销增大,不适合直接进行漏洞检测等问题,本文提出了一种基于Apriori算法的特征子图挖掘方法(Apriori-based Feature Subgraph Mining,AFSM)。与传统子图挖掘算法只考虑频繁项集不同,本算法将频繁度、距离漏洞爆发节点的距离等纳入支持度函数,全面考虑影响子图置信度的因素,确保子图保留信息完备。使用广度优先搜索通过图的关联关系遍历图谱,降低迭代次数,减少计算开销,提高处理图模型的效率。将通过AFSM获取到的子图存入Neo4j图数据库中,为后续基于图模型的漏洞检测技术提供了保障。(3)本文设计了一种基于图模型的模式匹配检测方法(Graph-based Pattern-match Vulnerability Detection,GPVD)。该方法首先需建立模式库,根据从NVD等收集到的真实漏洞数据,生成TPCG,应用AFSM算法生成的特征子图,提取特征子图中的节点和关系信息,根据不同类型漏洞的触发原理和机制不同,从中找出漏洞爆发的图模式,通过Cypher语法生成漏洞查询语句,存入模式库。将待检测代码生成对应代码特征图,通过模式匹配算法,计算待检测图与模式库中模式匹配结果,依据匹配程度达到漏洞检测的效果。通过使用形式化语言,可以清晰地描述和证明软件系统的执行过程,并以图形化的方式建立软件程序模型,从而更好地理解模块之间的关系,有助于更有效地分析和检测软件系统。综合以上研究内容,本文利用所提出的检测方法针对8种不同类型的漏洞展开实验,在包含19740个属性的图数据库中挖掘出3571条模式语句,并利用这些语句构建漏洞模式库。实验结果表明,GPVD在面对C/C++中溢出类漏洞的精确率和准确率分别达到了90.37%和85.93%,并且误报率降低至10%以下,精确率和误报率有了明显提升。

关键词：图挖掘漏洞检测漏洞模式漏洞图谱

来源：评论

学校读者我要写书评

暂无评论

一种基于值依赖图的源库模式Java安全漏洞检测方法

一种基于值依赖图的源库模式Java安全漏洞检测方法

引用

作者：徐善彤孙永杰于微王强王博任望 100084 北京市海淀区农大南路1号硅谷亮城2B-71A

本发明公开一种基于值依赖图的源库模式Java安全漏洞检测方法，包括以下步骤：漏洞模式提取、构建Java的值依赖图和实现安全漏洞检测；本发明考虑了Java语言特性，第三方库的特性，结合上下文敏感，对象敏感等技术，提高了值依赖图对程... 详细信息

标准号: CN113722721B

本发明公开一种基于值依赖图的源库模式Java安全漏洞检测方法，包括以下步骤：漏洞模式提取、构建Java的值依赖图和实现安全漏洞检测；本发明考虑了Java语言特性，第三方库的特性，结合上下文敏感，对象敏感等技术，提高了值依赖图对程序表达的能力，具有检测速度快，准确度高的优点，且取决于提取的通用jar包，Source‑Sink模版及Filter模版的完备程度，检测结果的误漏报情况会有区别，开发者及测试者可以利用本发明方法查找被检程序中大部分的Java输入验证类的漏洞。

关键词：依赖图安全漏洞检测模版准确度检测结果漏洞模式输入验证敏感第三方构建漏报源库测试查找漏洞通用检测开发

来源：评论

学校读者我要写书评

暂无评论

基于图计算的源代码漏洞检测技术研究

基于图计算的源代码漏洞检测技术研究

引用

作者：乔齐电子科技大学

学位级别：硕士

近年来,伴随着互联网信息技术的飞速发展以及移动网络的快速发展,软件应用的数量急剧增长。随着软件应用被广泛地使用,一些在软件设计阶段或者开发过程中产生的漏洞很有可能被攻击者利用,从而造成恶劣的影响。作为软件安全的首次审查,... 详细信息

近年来,伴随着互联网信息技术的飞速发展以及移动网络的快速发展,软件应用的数量急剧增长。随着软件应用被广泛地使用,一些在软件设计阶段或者开发过程中产生的漏洞很有可能被攻击者利用,从而造成恶劣的影响。作为软件安全的首次审查,从源代码层面及时修复漏洞可以有效减少软件漏洞带来的损失以及节省后续阶段修复漏洞的成本。目前代码的审计工作离不开人工参与完成,当前主流的检测方法是自动化测试工具结合人工检查共同完成,既减少检测人员的工作量又能提高检测效率,并且基于源代码中间表示的源代码静态检测技术又是研究人员关注的重点。因此,本文对基于图计算的源代码漏洞检测技术的应用进行了研究。首先,构建了源代码的关联属性图模型。本文通过简化代码属性图,使用数据依赖关系替换程序依赖关系,提高了代码抽象图模型的构建效率,并且针对传统的数据流分析方法解决污点型漏洞存在的路径不敏感导致检测精度低的问题,添加了函数调用关系,构建了关联属性图模型。基于此模型实现数据流分析可以实现跨函数调用的数据跟踪,将路径不敏感的数据分析过程转化为图遍历的问题,提高了检测结果的准确率。然后,基于关联属性图提出了对污点型漏洞的检测算法。通过分析典型的污点型漏洞代码,归纳和总结出漏洞的典型特征,并将其特征通过图数据库查询语言进行描述进而得到典型污点型漏洞的图模型。通过将图模型与受检测代码生成的关联属性图作图匹配从而实现了污点型漏洞的检测。实验表明本文提出的检测算法检测效果较好,其中处理缓冲区溢出、空指针引用和除零异常类型时,查全率和查准率的调和平均值分别达到了83.0%,83.0%和95.0%。最后,完成了基于关联属性图的源代码检测系统。通过对源代码进行词法语法和语义分析从而得到关联属性图,并将之导入图数据库Neo4j,结合总结归纳的污点型漏洞的检测图模型通过图匹配完成漏洞的检测工作。

关键词：图计算漏洞检测属性图图匹配漏洞模式

来源：评论

学校读者我要写书评

暂无评论

基于合约状态和日志分析的智能合约测试方法

基于合约状态和日志分析的智能合约测试方法

引用

作者：李志伟 528200 广东省佛山市南海区桂城街南平西路广东夏西国际橡塑城一期5号楼20026

本发明属于智能合约测试领域，尤其是一种基于合约状态和日志分析的智能合约测试方法，针对现有的随着智能合约的发展，已有的预言机无法适配新型的漏洞模式，从而导致过高的假阳性和假阴性的问题，现提出如下方案，其包括以下步骤：A1... 详细信息

标准号: CN117574380A

本发明属于智能合约测试领域，尤其是一种基于合约状态和日志分析的智能合约测试方法，针对现有的随着智能合约的发展，已有的预言机无法适配新型的漏洞模式，从而导致过高的假阳性和假阴性的问题，现提出如下方案，其包括以下步骤：A1：给定智能合约；A2：初始化种子池；A2.1：A1中智能合约已部署到链上，则收集该智能合约的历史交易和状态{(交易T,状态S)}，将其作为测试的种子池；A2.2：A1中智能合约未部署到链上，本发明中，测试能够探索到智能合约更多的运行路径，提高测试的效率，同时设计了不同的漏洞对应的合约的状态、日志和代币余额的不一致的情况作为新型的漏洞预言机，提高了漏洞检测方法的有效性。

关键词：智能测试种子池测试领域合约状态历史交易漏洞检测漏洞模式日志分析运行路径漏洞不一致初始化假阳性假阴性代币日志适配部署交易探索

来源：评论

学校读者我要写书评

暂无评论

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

请选择保存的检索档案：

请选择收藏分类：

通借通还

建议与咨询 留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

请选择保存的检索档案： 新增检索档案 确定 取消

请选择收藏分类： 新增自定义分类 确定 取消

通借通还

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

请选择保存的检索档案：

请选择收藏分类：