检索结果-内蒙古大学图书馆

信息网络安全 2025年第1期25卷 1-12页

作者：王鹃张勃显张志杰谢海宁付金涛王洋武汉大学国家网络安全学院武汉430072 空天信息安全与可信计算教育部重点实验室武汉430072 山东浪潮科学研究院有限公司济南250013

随着反序列化技术在java Web应用开发中的广泛应用,针对java反序列化机制的攻击也日益增多,已严重威胁java Web应用的安全性。当前主流的黑名单防范机制无法有效防御未知的反序列化漏洞利用,而现有的java反序列化漏洞挖掘工具大多依赖... 详细信息

随着反序列化技术在java Web应用开发中的广泛应用,针对java反序列化机制的攻击也日益增多,已严重威胁java Web应用的安全性。当前主流的黑名单防范机制无法有效防御未知的反序列化漏洞利用,而现有的java反序列化漏洞挖掘工具大多依赖静态分析方法,检测精确度较低。文章提出一种基于模糊测试的java反序列化漏洞挖掘工具DSM-Fuzz,该工具首先通过对字节码进行双向追踪污点分析,提取所有可能与反序列化相关的函数调用链。然后,利用基于TrustRank算法的函数权值分配策略,评估函数与反序列化调用链的关联性,并根据相关性权值对模糊测试种子分配能量。为进一步优化测试用例的语法结构和语义特征,文章设计并实现了一种基于反序列化特征的种子变异算法。该算法利用反序列化的java对象内部特征优化种子变异过程,并引导模糊测试策略对反序列化漏洞调用链进行路径突破。实验结果表明,DSM-Fuzz在漏洞相关代码覆盖量方面较其他工具提高了约90%。此外,该工具还在多个主流java库中成功检测出50%的已知反序列化漏洞,检测精确度显著优于其他漏洞检测工具。因此,DSM-Fuzz可有效辅助java反序列化漏洞的检测和防护。

关键词： java反序列化漏洞模糊测试污点分析漏洞挖掘程序调用图

来源：评论

学校读者我要写书评

暂无评论

java反序列化漏洞挖掘与攻击检测方法研究

Java反序列化漏洞挖掘与攻击检测方法研究

引用

作者：巫俊杰北京邮电大学

学位级别：硕士

随着软件技术的发展,软件复杂度逐渐增加,但由于开发人员的疏忽,使得软件可能存在一些安全漏洞,攻击者通过利用这些漏洞,可以造成用户隐私数据泄露、服务器崩溃等恶劣影响。由于java语言在编程语言中的重要地位,加之java反序列化漏洞所... 详细信息

随着软件技术的发展,软件复杂度逐渐增加,但由于开发人员的疏忽,使得软件可能存在一些安全漏洞,攻击者通过利用这些漏洞,可以造成用户隐私数据泄露、服务器崩溃等恶劣影响。由于java语言在编程语言中的重要地位,加之java反序列化漏洞所带来的严重影响,因此本文对java反序列化漏洞挖掘与攻击检测方法进行研究。由于反序列化漏洞挖掘需要挖掘相关调用链,本文首先对java反序列化漏洞调用链挖掘算法进行研究,针对调用链挖掘工具Gadget Inspector存在的三点不足:未考虑分支语句对后续语句的影响、缺乏对实例变量取值的分析、在透传方法调用图中使用单向搜索算法造成调用链遗漏,本文对其进行算法优化。优化后的算法首先对程序进行基于控制流图的流敏感数据流分析,获取程序的透传方法调用图,然后在透传方法调用图中从魔术方法和危险方法两个方向进行调用链挖掘;除此以外,本文对反序列化漏洞攻击检测进行研究,针对现有的程序运行时自我保护技术（Runtime application self-protection,RASP）中使用黑名单进行反序列化漏洞攻击检测易被绕过的问题,提出了动静结合的反序列化漏洞攻击检测方法。该方法首先使用调用链挖掘算法,获得程序的透传方法调用图,然后将透传方法调用图和RASP技术相结合,判断程序运行时是否执行了一条反序列化漏洞调用链,从而进行攻击检测。在此基础上,本文构建了调用链挖掘工具DEGadget和反序列化漏洞攻击检测工具DERASP,并对这两个工具分别进行了测试。根据测试结果显示,DEGadget的误报率明显低于Gadget Inspector,并且能够发现更多的有效调用链。DERASP可以在不同测试环境中进行反序列化漏洞攻击检测,并且能够检测出不同测试用例所造成的攻击行为,相比百度开源工具OpenRasp,DERASP能更准确的识别出反序列化漏洞攻击。

关键词： java反序列化漏洞调用链攻击检测 RASP技术

来源：评论

学校读者我要写书评

暂无评论

java反序列化漏洞静态分析与动态验证研究与实现

Java反序列化漏洞静态分析与动态验证研究与实现

引用

作者：郑鹏南京邮电大学

学位级别：硕士

随着互联网应用的兴起,java的类库越来越多,导致反序列化漏洞的类型和数量都急剧上升。java反序列化漏洞中存在利用链,攻击者通常将其与任意命令漏洞结合控制服务器。人工检测反序列化链需要花费大量的精力,需要依赖代码审计人员的专业... 详细信息

随着互联网应用的兴起,java的类库越来越多,导致反序列化漏洞的类型和数量都急剧上升。java反序列化漏洞中存在利用链,攻击者通常将其与任意命令漏洞结合控制服务器。人工检测反序列化链需要花费大量的精力,需要依赖代码审计人员的专业知识。文章基于污点分析提出一种静态检测和动态验证的方法,实现调用链检测工具Taint Gadget。本文的主要研究内容如下:(1)静态检测方法通过解析字节码收集条件语句信息、传参信息和调用信息进行污点标记,生成过程间传播控制流图,在此基础上筛选出入口函数和危险函数。基于反序列化漏洞的传播特征,结合符号执行技术扩展过程间传播控制流图,定义污点传播规则,对污染传播的显示流路径和隐式流路径进行约束,记录传播过程中调用链的类和敏感变量。(2)针对当前的动态方法无法获取传播类具体信息的问题,本文的动态验证方法首先基于静态分析的约束求解结果,使用反射方法构造反序列化链的测试用例,然后在程序启动前对类加载进行拦截,针对反序列链路的动态传播特征,使用动态插桩进行字节码增强,最后利用动态监控方法观察反序列化调用链的传播过程,筛选出符合动态传播特征的反序列化链。(3)设计并实现反序列化链传播工具Taint Gadget,工具的实现基于ASM,Neo4j和Z3等框架,工具包括静态传播实现模块和动态传播实现模块。基于ysoserial数据集和近两年XStream框架爆出的反序列化漏洞,从静态分析对比、动态分析对比和时效性对比三方面进行实验,Taint Gadget的静态命中率是78.9%,平均静态运行时间78.7s,动态检出率是90.6%,平均动态运行时间21.2s。实验表明Taint Gadget相比于其他的现有反序列化漏洞检测工具,静态和动态命中率更高,整体的时间效率更高,时效性更强。

关键词：污点分析 java反序列化漏洞静态分析动态验证

来源：评论

学校读者我要写书评

暂无评论

基于混合分析的java反序列化漏洞检测方法

引用

计算机工程 2023年第12期49卷 136-145页

作者：郑鹏沙乐天南京邮电大学计算机学院、软件学院、网络空间安全学院南京210003

随着java的类库越来越多,反序列化漏洞的类型和数量都急剧上升。java反序列化漏洞中存在利用链,攻击者通常将其与任意命令漏洞结合控制服务器。人工检测反序列化链需要花费大量的精力,且依赖代码审计人员的专业知识。基于符号执行和污... 详细信息

随着java的类库越来越多,反序列化漏洞的类型和数量都急剧上升。java反序列化漏洞中存在利用链,攻击者通常将其与任意命令漏洞结合控制服务器。人工检测反序列化链需要花费大量的精力,且依赖代码审计人员的专业知识。基于符号执行和污点分析提出一种自动检测方法,实现调用链检测工具Taint Gadget。通过解析字节码收集继承信息、传参信息和调用信息进行污点标记,筛选出入口函数和危险函数以生成控制流图。基于反序列化漏洞的传播特征并结合符号执行技术扩展控制流图,定义污点传播规则,对污染传播的显示流路径和隐式流路径进行约束,记录传播过程中调用链的类和敏感变量,通过动态的方法还原污染路径并进行验证。方法的实现基于ASM、Neo4j、Z3等工具,包括污点标记模块、污点传播模块和污点验证模块。在ysoserial数据集上的实验结果表明,Taint Gadget的静态命中率和运行时间分别为70.3%和78.4 s,动态命中率和运行时间分别为90.6%和20.8 s,相对T-Gadget Inspector和Gadget Inspector有效提高了静态和动态命中率,缩短了动态运行时间。

关键词：污点分析 java反序列化漏洞静态分析动态验证符号执行约束构建

来源：评论

学校读者我要写书评

暂无评论

java反序列化漏洞探析及其修复方法研究

引用

湖北电力 2016年第11期40卷 47-50页

作者：徐江珮王捷蔡攸敏刘畅国网湖北省电力公司电力科学研究院湖北武汉430077

为避免利用java反序列化漏洞影响企业核心业务、产生重大信息安全事件,详细介绍了java反序列化漏洞的背景、原理、漏洞利用方法及工具,通过一个具体实例给出利用该漏洞进行服务器主机系统提权的详细步骤,并提出了多种漏洞修复方法。

关键词： java反序列化漏洞漏洞利用信息安全

来源：评论

学校读者我要写书评

暂无评论

面向java反序列化漏洞调用链搜索方法的研究

面向Java反序列化漏洞调用链搜索方法的研究

引用

作者：胡凯翔电子科技大学

学位级别：硕士

随着分布式服务的普及,在频繁使用反序列化技术的场景中,应用程序开发过程的错误和程序各类型方法之间的依赖关系容易导致不可信的数据传入到程序中被执行造成危害。本文针对java技术栈中反序列化漏洞分析与调用链搜索存在的“静态分析... 详细信息

随着分布式服务的普及,在频繁使用反序列化技术的场景中,应用程序开发过程的错误和程序各类型方法之间的依赖关系容易导致不可信的数据传入到程序中被执行造成危害。本文针对java技术栈中反序列化漏洞分析与调用链搜索存在的“静态分析不完备,缺失对java反射与动态代理分析”、“动静态混合分析低效”等问题,导致调用链搜索结果失准且效率低下,提出一种基于静态污点分析和定向模糊测试的调用链验证及搜索方法,并实现了自动化搜索java反序列化漏洞调用链工具Gadget Searcher。与目前流行的同类工具对比,实验证明Gadget Searcher能更精确、高效地找出调用链。本文研究工作主要有以下三个部分: (1)针对“静态分析不完备,缺失对java反射与动态代理分析”问题,提出一种改进的基于静态污点分析的调用链搜索方法,增加对java动态特性的建模分析,提高了静态分析准确率。 (2)针对“动静态混合分析低效”问题,提出基于定向模糊测试的调用链验证及搜索方法,提高了动静态混合分析的准确率和效率。在静态分析结果基础上,以得到的调用图及图中的潜在调用链作为导向,生成结构化测试用例,对潜在调用链进行验证的同时搜索新调用链。 (3)根据上述提出的方法,实现java反序列化漏洞调用链挖掘工具Gadget Searcher。静态分析模块基于Soot框架、Neo4j数据库等实现,参考蚁群算法实现种子动态能量调控,基于JQF+Quick Check生成结构化测试用例,利用ASM加java Agent技术实现字节码插桩。实验数据集来自ysoserial、marshalsec和最近披露的反序列化相关CVE,经实验分析与验证,静态污点分析搜索结果准确率能达到62.2%,比起工程上使用广泛的Gadget Inspector系列工具,其准确率只有10%到35%,已有大幅提升;加入模糊测试后,限制运行时间15min时准确率能达到76.5%,结合动态测试后准确率进一步提高;且在同样运行时间内,Gadget Saearcher比同类动静态混合分析工具能搜索到更多可利用调用链。综上所述,表明Gadget Searcher的调用链检测结果准确率与搜索效率均更高。

关键词： java反序列化漏洞静态污点分析定向模糊测试

来源：评论

学校读者我要写书评

暂无评论

基于函数调用链的java反序列化漏洞检测技术研究

基于函数调用链的Java反序列化漏洞检测技术研究

引用

作者：冯薪澄中国科学院大学

学位级别：硕士

近些年来，越来越多的javaWeb应用组件爆出严重的java反序列化漏洞，该类漏洞已经是近些年来安全研究领域的热点之一。这类漏洞难以通过人工审计的方式进行有效地检测，并且每次爆发都影响众多行业的关键业务。为此，针对java反序列化... 详细信息

近些年来，越来越多的javaWeb应用组件爆出严重的java反序列化漏洞，该类漏洞已经是近些年来安全研究领域的热点之一。这类漏洞难以通过人工审计的方式进行有效地检测，并且每次爆发都影响众多行业的关键业务。为此，针对java反序列化漏洞进行有效的检测是至关重要的，这将大大降低企业面临的安全风险。　　本文针对java反序列化漏洞原理进行了深入的研究，提出此类漏洞存在的本原因是组件间潜藏的敏感函数调用链没有得到有效地检出。同时梳理了静态和动态两种程序分析技术的研究进展，提出面向java语言的代码属性图构建技术。同时，设计并实现了基于静态分析的敏感函数调用链的自动化挖掘，在javaWeb应用运行时结合动态插桩技术进行函数调用链的实时捕获，通过函数调用链模式匹配的方式，针对java反序列化漏洞进行了有效地检测。　　本文的主要研究工作包括以下内容:　　1)提出面向java语言的代码属性图构建技术，代码属性图可细分为语义节点图、别名函数图以及有效函数调用图。本文提出了基于上下文敏感的剪枝算法用于剔除无关函数调用，大大提高了后续漏洞的检测效率。　　2)设计并实现了基于静态分析的敏感函数调用链自动化挖掘。通过梳理现有java安全领域的研究进展，汇总相关函数构成三种规则库，提出基于污点推导的启发式搜索算法用于自动化挖掘敏感函数调用链。　　3)结合java动态插桩技术，实现了基于函数调用链的java反序列化漏洞的动态检测。通过捕获应用程序中的函数调用链与自动化挖掘结果进行模式匹配，实现在动态层面上对java反序列化漏洞的检测。　　4)本框架进行了四类实验。根据实验设计，共检测出67条敏感函数调用链，其中24条为未公开的敏感函数调用链(已获得漏洞编号CVE-2021-43297)。实验结果证明了本文提出的检测方法具有较高的可用性。

关键词： java反序列化漏洞代码属性图动态插桩函数调用链安全性分析

来源：评论

学校读者我要写书评

暂无评论

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

请选择保存的检索档案：

请选择收藏分类：

通借通还

建议与咨询 留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

分类表

所选分类

限定检索结果

文献类型

馆藏范围

日期分布

学科分类号

主题

机构

作者

语言

请选择保存的检索档案： 新增检索档案 确定 取消

请选择收藏分类： 新增自定义分类 确定 取消

通借通还

建议与咨询留下您的常用邮箱和电话号码，以便我们向您反馈解决方案和替代方法

请选择保存的检索档案：

请选择收藏分类：