检索结果-内蒙古大学图书馆

作者：徐善彤孙永杰于微王强王博任望 100084 北京市海淀区农大南路1号硅谷亮城2B-71A

本发明公开一种基于值依赖图的源库模式Java安全漏洞检测方法，包括以下步骤：漏洞模式提取、构建Java的值依赖图和实现安全漏洞检测；本发明考虑了Java语言特性，第三方库的特性，结合上下文敏感，对象敏感等技术，提高了值依赖图对程... 详细信息

标准号: CN113722721B

本发明公开一种基于值依赖图的源库模式Java安全漏洞检测方法，包括以下步骤：漏洞模式提取、构建Java的值依赖图和实现安全漏洞检测；本发明考虑了Java语言特性，第三方库的特性，结合上下文敏感，对象敏感等技术，提高了值依赖图对程序表达的能力，具有检测速度快，准确度高的优点，且取决于提取的通用jar包，Source‑Sink模版及Filter模版的完备程度，检测结果的误漏报情况会有区别，开发者及测试者可以利用本发明方法查找被检程序中大部分的Java输入验证类的漏洞。

关键词：依赖图安全漏洞检测模版准确度检测结果漏洞模式输入验证敏感第三方构建漏报源库测试查找漏洞通用检测开发

来源：评论

学校读者我要写书评

暂无评论

基于图计算的源代码漏洞检测技术研究

基于图计算的源代码漏洞检测技术研究

引用

作者：乔齐电子科技大学

学位级别：硕士

近年来,伴随着互联网信息技术的飞速发展以及移动网络的快速发展,软件应用的数量急剧增长。随着软件应用被广泛地使用,一些在软件设计阶段或者开发过程中产生的漏洞很有可能被攻击者利用,从而造成恶劣的影响。作为软件安全的首次审查,... 详细信息

近年来,伴随着互联网信息技术的飞速发展以及移动网络的快速发展,软件应用的数量急剧增长。随着软件应用被广泛地使用,一些在软件设计阶段或者开发过程中产生的漏洞很有可能被攻击者利用,从而造成恶劣的影响。作为软件安全的首次审查,从源代码层面及时修复漏洞可以有效减少软件漏洞带来的损失以及节省后续阶段修复漏洞的成本。目前代码的审计工作离不开人工参与完成,当前主流的检测方法是自动化测试工具结合人工检查共同完成,既减少检测人员的工作量又能提高检测效率,并且基于源代码中间表示的源代码静态检测技术又是研究人员关注的重点。因此,本文对基于图计算的源代码漏洞检测技术的应用进行了研究。首先,构建了源代码的关联属性图模型。本文通过简化代码属性图,使用数据依赖关系替换程序依赖关系,提高了代码抽象图模型的构建效率,并且针对传统的数据流分析方法解决污点型漏洞存在的路径不敏感导致检测精度低的问题,添加了函数调用关系,构建了关联属性图模型。基于此模型实现数据流分析可以实现跨函数调用的数据跟踪,将路径不敏感的数据分析过程转化为图遍历的问题,提高了检测结果的准确率。然后,基于关联属性图提出了对污点型漏洞的检测算法。通过分析典型的污点型漏洞代码,归纳和总结出漏洞的典型特征,并将其特征通过图数据库查询语言进行描述进而得到典型污点型漏洞的图模型。通过将图模型与受检测代码生成的关联属性图作图匹配从而实现了污点型漏洞的检测。实验表明本文提出的检测算法检测效果较好,其中处理缓冲区溢出、空指针引用和除零异常类型时,查全率和查准率的调和平均值分别达到了83.0%,83.0%和95.0%。最后,完成了基于关联属性图的源代码检测系统。通过对源代码进行词法语法和语义分析从而得到关联属性图,并将之导入图数据库Neo4j,结合总结归纳的污点型漏洞的检测图模型通过图匹配完成漏洞的检测工作。

关键词：图计算漏洞检测属性图图匹配漏洞模式

来源：评论

学校读者我要写书评

暂无评论

基于图模型的软件安全漏洞检测技术研究

基于图模型的软件安全漏洞检测技术研究

引用

作者：张莉西安工业大学

学位级别：硕士

随着软件规模的不断增加和复杂性的提高,软件中存在的安全隐患也越来越多,这使得软件容易受到不法分子的攻击。为了有效提高软件的安全性,漏洞检测技术成为了软件安全领域的研究重点。由于图模型具有较强的表征能力,基于图模型的漏洞检... 详细信息

随着软件规模的不断增加和复杂性的提高,软件中存在的安全隐患也越来越多,这使得软件容易受到不法分子的攻击。为了有效提高软件的安全性,漏洞检测技术成为了软件安全领域的研究重点。由于图模型具有较强的表征能力,基于图模型的漏洞检测研究应运而生。然而,现存的图模型在源代码的表征过程中,存在图模型较为单一而导致的源代码表征信息缺失,使漏洞检测的误报率增加的问题。同时由于源代码结构复杂,导致对应图结构信息冗杂,计算负担重。针对上述问题,本文的工作主要分为以下几个方面,具体研究内容如下:(1)针对目前图模型类型单一,仅表示出数据源代码部分特征的问题,本文提出了一种三极性特征图(Triple Polar Characteristic Graph,TPCG),通过对漏洞特征图与补丁特征图的融合,能够展现漏洞的正向特性、反向特性和基础特性。该图借助抽象语法树解析源代码的结构信息,生成实体结构,解析源代码中的语句信息,通过控制依赖、数据依赖、函数调用等6种关系展现节点间的关联,体现特征项之间的复杂关系。TPCG将源代码与补丁代码之间的差异通过图表现出来,能够表征漏洞修改前后的信息特征,有效分析漏洞成因,为基于图模型的漏洞检测技术研究提供良好的基础。(2)由于TPCG包含内容丰富,结构复杂,使计算开销增大,不适合直接进行漏洞检测等问题,本文提出了一种基于Apriori算法的特征子图挖掘方法(Apriori-based Feature Subgraph Mining,AFSM)。与传统子图挖掘算法只考虑频繁项集不同,本算法将频繁度、距离漏洞爆发节点的距离等纳入支持度函数,全面考虑影响子图置信度的因素,确保子图保留信息完备。使用广度优先搜索通过图的关联关系遍历图谱,降低迭代次数,减少计算开销,提高处理图模型的效率。将通过AFSM获取到的子图存入Neo4j图数据库中,为后续基于图模型的漏洞检测技术提供了保障。(3)本文设计了一种基于图模型的模式匹配检测方法(Graph-based Pattern-match Vulnerability Detection,GPVD)。该方法首先需建立模式库,根据从NVD等收集到的真实漏洞数据,生成TPCG,应用AFSM算法生成的特征子图,提取特征子图中的节点和关系信息,根据不同类型漏洞的触发原理和机制不同,从中找出漏洞爆发的图模式,通过Cypher语法生成漏洞查询语句,存入模式库。将待检测代码生成对应代码特征图,通过模式匹配算法,计算待检测图与模式库中模式匹配结果,依据匹配程度达到漏洞检测的效果。通过使用形式化语言,可以清晰地描述和证明软件系统的执行过程,并以图形化的方式建立软件程序模型,从而更好地理解模块之间的关系,有助于更有效地分析和检测软件系统。综合以上研究内容,本文利用所提出的检测方法针对8种不同类型的漏洞展开实验,在包含19740个属性的图数据库中挖掘出3571条模式语句,并利用这些语句构建漏洞模式库。实验结果表明,GPVD在面对C/C++中溢出类漏洞的精确率和准确率分别达到了90.37%和85.93%,并且误报率降低至10%以下,精确率和误报率有了明显提升。

关键词：图挖掘漏洞检测漏洞模式漏洞图谱

来源：评论

学校读者我要写书评

暂无评论

基于攻击路径的Android App漏洞分析技术研究

基于攻击路径的Android App漏洞分析技术研究

引用

作者：杨天琪北京邮电大学

学位级别：硕士

伴随Android系统的发展和Android设备的普及,Android应用程序变的丰富化和多样化。与此同时,Android应用程序漏洞种类越来越多,对用户的安全威胁也日益严峻。目前,在学术界和工业界已经有许多工作用于检测Android应用程序的漏洞。不幸的... 详细信息

伴随Android系统的发展和Android设备的普及,Android应用程序变的丰富化和多样化。与此同时,Android应用程序漏洞种类越来越多,对用户的安全威胁也日益严峻。目前,在学术界和工业界已经有许多工作用于检测Android应用程序的漏洞。不幸的是,大部分现有的Android应用程序漏洞检测工具的检测性能都表现不佳。这些工作有两个主要缺点:一是某些研究仅限于检测某个类型的Android应用程序漏洞,缺乏对Android应用程序风险的综合分析;另一个是大部分工作的检测过程缺少有效的漏洞验证步骤,导致检测结果的误报率高,需要大量的人工验证。为了解决上述问题,首先,本文提出漏洞模式的概念来抽象不同漏洞的特征,例如它们的必要条件和攻击路径,以支持检测多种类型的漏洞。此外,本文提出了一个零误报的漏洞检测框架,该框架结合符号执行和动态二进制插桩技术,能够生成测试用例和触发器来验证检测结果,从而精确地找到漏洞实例。本文基于上述方法实现了一个自动化的Android应用程序漏洞检测系统Witness,该工具目前可以检测12种不同类型的Android应用程序漏洞,并且可以通过扩展漏洞模式的方式支持更多漏洞类型。本文用在不同应用市场下载的5271个Android应用程序对Witness进行了评估,结果表明Witness成功检测到530个漏洞实例,其准确度和漏洞验证信息均优于现有的5款Android应用程序漏洞检测工具。

关键词：漏洞模式 Android应用程序动态二进制插桩符号执行

来源：评论

学校读者我要写书评

暂无评论

基于SGX的数据使用控制安全确保关键技术研究

基于SGX的数据使用控制安全确保关键技术研究

引用

作者：王若愚广州大学

学位级别：硕士

目前在工业互联网、供应链管理、远程医疗等领域通过数据共享方式进行服务协同的需求日益增长。然而在数据跨域共享场景中,数据使用者难以通过传统的访问控制方法,限制数据使用者获得共享数据后的二次非法转发等数据滥用行为。因此,数... 详细信息

目前在工业互联网、供应链管理、远程医疗等领域通过数据共享方式进行服务协同的需求日益增长。然而在数据跨域共享场景中,数据使用者难以通过传统的访问控制方法,限制数据使用者获得共享数据后的二次非法转发等数据滥用行为。因此,数据使用控制等延伸控制方法被提出用以对数据使用者获得数据后的行为进行约束。但恶意的数据使用者仍可通过在内存中监视、篡改代码或数据等手段来规避使用控制措施。为解决该问题,基于Intel SGX可信计算的方法旨在确保使用控制的安全实施。SGX提供的可信硬件原语,可确保机密数据在名为“enclave”的隔离空间中安全计算,并可通过完整性度量来验证enclave程序在加载到隔离空间后未遭篡改。但目前基于SGX的可信计算方案中,存在enclave程序完整性度量不灵活、SGX项目漏洞特征不明确等问题。为此,本文围绕基于SGX的数据使用控制安全确保关键技术展开研究,主要贡献及创新点如下: (1)针对enclave程序完整性度量不灵活,加密数据存取粒度大的问题,本文提出基于SGX属性度量和资源划分的使用控制方法。该方法通过设定enclave属性证书,使e nclave程序能进行灵活度量。通过对数据资源进行最小化划分,为数据细粒度的使用提供基础条件,这使得该方法能够完成高效率、细粒度的加密数据存取。实验表明,该方法使得共享数据不被滥用,同时减少enclave程序度量的时间开销,降低数据使用控制方案中的enclave空间开销以及初始化时间开销。 (2)针对在污点传播数据流分析过程中,SGX项目漏洞特征不明确问题和内存间传播状态难以追踪的问题,本文提出基于SGX漏洞模式与污点传播的安全分析方法。本文首先对现有SGX项目的公开漏洞进行分析,整理并发现了SGX的漏洞模式,随后设计基于增强内存指针传播构建的污点分析方法。该方法增强了Ghidra IR指令集,有助于IR对堆栈变量的表达,使得在污点传播的过程中,IR能更准确的表达变量的传播与覆盖。实验表明,该方法在SGX项目漏洞检测中,有更高的检出率和更低的误报率。 (3)基于以上研究内容,本文实现了面向数据价值共享的数据使用控制系统。该系统中,数据提供者能完成使用控制策略的制定,可与数据使用者进行合约协商,并能管理查看数据使用者对数据的使用情况。数据使用者在进行合约签订之后,可在本地完成数据服务的使用,通过Web接口对enclave进行使用请求,以完成对机密数据的分析任务。当数据使用状态不符合使用规则约束时,enclave会拒绝服务请求。

关键词：使用控制延伸控制可信计算 SGX 静态分析污点传播漏洞模式

来源：评论

学校读者我要写书评

暂无评论

TTCN-3测试在手机支付平台测试中的应用

TTCN-3测试在手机支付平台测试中的应用

引用

作者：唐艳武中国科学技术大学

学位级别：硕士

TTCN-3测试语言作为国际上唯一的测试标准语言，广泛应用于协议一致性测试，互操作性测试等测试领域。使用TTCN-3进行测试需要解决的一个重要问题就是测试适配器和编解码器的开发，它们往往涉及测试开发的大部分工作量。随着测试应用领... 详细信息

TTCN-3测试语言作为国际上唯一的测试标准语言，广泛应用于协议一致性测试，互操作性测试等测试领域。使用TTCN-3进行测试需要解决的一个重要问题就是测试适配器和编解码器的开发，它们往往涉及测试开发的大部分工作量。随着测试应用领域的不断扩展，编解码方式及其需要支持的数据类型也更加多样化，而传统的TTCN-3标准里的TCI数据类型接口，已经不能很好的表达不断扩展的数据类型了。如何设计一个新的编解码器的框架，使其能够方便的扩充新的编解码方式和支持新的类型描述语言，是当前使用TTCN-3测试时迫切需要解决的问题。\n 本文研究了上述问题，设计实现了一套通用编解码器，由中间公共类型和值、编解码实现以及对外接口三个模块组成。通过具有良好可扩展性的中间类型和值模块，通用编解码器不仅能够灵活支持各种数据类型语言，而且它的实现独立于特定的TTCN-3测试平台，实现了真正意义上的通用。目前已经实现了工业界常用的编解码，如BER，PER，XER，TLV+，ISO8583，HTTP等。\n 为了配合使用通用编解码器对Web Services的应用进行测试，本文提出了自己的XML Schema&DTD到TTCN-3语言的转换方案，实现了相应的工具。 \n 借助TTCN-3测试发现被测系统的某个漏洞后，通过分析提取其所在的源代码，生成相应漏洞模式。使用相似漏洞查找算法，进而发现被测系统中存在的其它相似漏洞。本文提出了使用程序依赖图表示漏洞模式以及相应的漏洞模式生成算法，并实现成对应的工具SBF。\n 使用通用编解码器所开发的TTCN-3测试套已经作为一个度量标准，被应用于中国移动手机支付业务(NFC)主要接口的一致性测试及异常性测试，测试中发现大量的漏洞，相对于以往的测试同时缩短了测试所需的时间。提取TTCN-3测试中漏洞模式，运用SBF相似漏洞查找工具新发现了3个漏洞，说明通过TTCN-3测试与静态漏洞查找方法结合的有效性。

关键词： TTCN-3测试通用编解码漏洞模式手机支付平台

来源：评论

学校读者我要写书评

暂无评论

二进制程序漏洞挖掘技术的研究与工具实现

二进制程序漏洞挖掘技术的研究与工具实现

引用

作者：王金锭中国科学技术大学

学位级别：硕士

二进制程序逆向分析和漏洞挖掘一直是软件安全领域研究的首要和关键问题。软件的规模和复杂度越来越高,大大增加了软件漏洞挖掘的难度。开发自动化的程序逆向分析工具用来辅助软件漏洞挖掘已经成为现阶段的研究热点。国内外在该领域的... 详细信息

二进制程序逆向分析和漏洞挖掘一直是软件安全领域研究的首要和关键问题。软件的规模和复杂度越来越高,大大增加了软件漏洞挖掘的难度。开发自动化的程序逆向分析工具用来辅助软件漏洞挖掘已经成为现阶段的研究热点。国内外在该领域的研究处于起步阶段,许多研究仅停留在理论阶段,现有的二进制程序静态分析工具有较大的局限性,且不成体系,一些分析工具需要大量手工操作的干预和安全人员的人为经验。本文提出一种基于统一中间语言分析的二进制程序静态分析漏洞发掘方法,该方法以中间表示语言为基础,在函数控制流图和模块函数调用图的指导下模拟二进制程序执行;通过数据流分析和函数摘要方法,跟踪程序数据流的传播,并采用污点传播技术将数据流的传播抽象解释为污染值的传播,自动地检测程序潜在缺陷点;在模拟执行分析中结合常见漏洞模式形态,有效进行二进制程序的漏洞发掘。基于以上方法,本文在BinNavi平台上实现了二进制程序静态漏洞发掘工具原型“BAT”。动态插桩技术在近年来也开始被用于程序漏洞发掘领域,本文基于Pin插桩平台构建了一个动态污点传播插桩分析框架“DynTool”。 BAT已应用于主流Office软件WPS和Adode DPF软件的测试和漏洞发掘,验证了多个已知漏洞,并在WPS Writer的核心组件***中发现3个0day漏洞。BAT能够有效地用于较大规模软件的漏洞挖掘,实验结果表明对于规模在20,000个函数级别的目标程序,BAT分析单入口的最长时间在20分钟内,分析函数超过6000个,程序调用最大深度超过100层,分析的中间表示指令数超过三百万条。统计得出,单入口分析的平均代码覆盖率超过20%。DynTool也可应用于二进制应用程序的测试,并较准确地定位程序中的可疑缺陷点。综上,本文提出并实现的二进制程序代码分析漏洞挖掘工具可有效地应用于较大规模应用软件的漏洞发掘。

关键词：漏洞挖掘静态分析中间语言污点传播漏洞模式动态插桩

来源：评论

学校读者我要写书评

暂无评论

基于污点分析的二进制程序漏洞检测系统设计与实现

引用

网络安全与数据治理 2023年第11期42卷 1-7页

作者：罗治祥向栖李乐言工业和信息化部电子第五研究所广东广州511370 东北大学软件学院辽宁沈阳110819 智能产品质量评价与可靠性保障技术工业和信息化部重点实验室广东广州511370

针对现阶段二进制程序的静态分析多依赖于人工经验规则导致的低效率问题,以及大多数二进制程序漏洞扫描检测系统性能和可扩展性较低的问题,设计并且实现了一个简易版的基于污点分析的二进制程序漏洞检测系统。与现有的二进制程序漏洞检... 详细信息

针对现阶段二进制程序的静态分析多依赖于人工经验规则导致的低效率问题,以及大多数二进制程序漏洞扫描检测系统性能和可扩展性较低的问题,设计并且实现了一个简易版的基于污点分析的二进制程序漏洞检测系统。与现有的二进制程序漏洞检测系统相比,本文设计的系统改进了Java指针分析中提出的算法,使得分析过程的数据抽象部分和指针分析部分得到了分离,进一步简化了污点分析,提高了分析的性能和可扩展性。此外,将漏洞模式单独抽离出来,能够更加方便地进行漏洞模式的自定义。

关键词：二进制程序静态分析指针分析污点分析漏洞模式

来源：评论

学校读者我要写书评

暂无评论

安卓应用升级的安全性补丁检测方法

安卓应用升级的安全性补丁检测方法

引用

作者：李鹤皓李卷孺谷大武王艺卓 200240 上海市闵行区东川路800号

一种安卓应用升级的安全性补丁检测方法，通过还原升级前后的安卓应用程序结构层次和反汇编代码特征值，在升级前后安卓应用程序之间进行函数匹配，对更新补丁所在函数的所有调用点进行数据流分析，建立更新补丁所在的升级前后的两个版... 详细信息

标准号: CN114090461A

一种安卓应用升级的安全性补丁检测方法，通过还原升级前后的安卓应用程序结构层次和反汇编代码特征值，在升级前后安卓应用程序之间进行函数匹配，对更新补丁所在函数的所有调用点进行数据流分析，建立更新补丁所在的升级前后的两个版本函数的控制流图，在控制流图上提取与可变参数有关的数据依赖和控制依赖并根据依赖关系得到安全性检测结果。本发明能够通过对升级前后版本的安卓应用进行差分分析获得程序分析中存在的安全相关的补丁，达到减少安全审计人员分析的目标和学习新的漏洞模式的目标。大幅度降低安全工作者分析的目标。能够抵御常见程序混淆，且不需要对源代码进行侵入式改变。不需要依赖安全工作者的经验定义安全补丁模式，能够定位到更加复杂的安全性补丁。

关键词：补丁升级控制流图安全性检测结果源代码应用程序结构数据流分析安全补丁安全审计程序分析可变参数漏洞模式人员分析数据依赖依赖关系应用程序反汇编侵入式安全更新调用匹配还原应用混淆分析检测学习

来源：评论

学校读者我要写书评

暂无评论

基于合约状态和日志分析的智能合约测试方法

基于合约状态和日志分析的智能合约测试方法

引用

作者：李志伟 528200 广东省佛山市南海区桂城街南平西路广东夏西国际橡塑城一期5号楼20026

本发明属于智能合约测试领域，尤其是一种基于合约状态和日志分析的智能合约测试方法，针对现有的随着智能合约的发展，已有的预言机无法适配新型的漏洞模式，从而导致过高的假阳性和假阴性的问题，现提出如下方案，其包括以下步骤：A1... 详细信息

标准号: CN117574380A

本发明属于智能合约测试领域，尤其是一种基于合约状态和日志分析的智能合约测试方法，针对现有的随着智能合约的发展，已有的预言机无法适配新型的漏洞模式，从而导致过高的假阳性和假阴性的问题，现提出如下方案，其包括以下步骤：A1：给定智能合约；A2：初始化种子池；A2.1：A1中智能合约已部署到链上，则收集该智能合约的历史交易和状态{(交易T,状态S)}，将其作为测试的种子池；A2.2：A1中智能合约未部署到链上，本发明中，测试能够探索到智能合约更多的运行路径，提高测试的效率，同时设计了不同的漏洞对应的合约的状态、日志和代币余额的不一致的情况作为新型的漏洞预言机，提高了漏洞检测方法的有效性。

关键词：智能测试种子池测试领域合约状态历史交易漏洞检测漏洞模式日志分析运行路径漏洞不一致初始化假阳性假阴性代币日志适配部署交易探索

来源：评论

学校读者我要写书评

暂无评论

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

请选择保存的检索档案：

请选择收藏分类：

通借通还

建议与咨询 留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

时间限定

文献类型

馆藏选择

核心期刊

语言

文献类型

帮助

文字说明：

检索规则说明：

检索范例：

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

请选择保存的检索档案： 新增检索档案 确定 取消

请选择收藏分类： 新增自定义分类 确定 取消

通借通还

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

请选择保存的检索档案：

请选择收藏分类：