基于漏洞分析的軟件綜合檢測方法研究.pdf

1、隨著信息共享的普及，各種應(yīng)用軟件相繼出現(xiàn)。軟件功能越來越多樣，代碼的控制結(jié)構(gòu)也越來越復雜。隨之而來的安全問題也引起社會各方面的廣泛關(guān)注。為了維護信息系統(tǒng)的安全，高效實用的軟件安全檢測及漏洞分析技術(shù)供不應(yīng)求。越來越多的研究團隊加入到軟件漏洞檢測這一研究項目中，研究重點大多只集中在漏洞檢測的某一方面，并且對軟件漏洞分析技術(shù)的理解也不全面。本文以漏洞分析為基礎(chǔ)，研究綜合性的軟件安全檢測方法。論文的主要研究內(nèi)容如下。
　　首先，在閱讀大量

2、相關(guān)文獻的基礎(chǔ)上，深入研究軟件漏洞的定義及其特點、軟件漏洞的分類與分級，同時從靜態(tài)分析和動態(tài)分析兩方面歸納總結(jié)目前國內(nèi)外關(guān)于軟件安全檢測方法及工具的主要研究成果，為論文進一步研究工作奠定基礎(chǔ)。
　　其次，針對基于源碼的軟件安全檢測，提出逆向跟蹤的符號執(zhí)行方法。該方法首先通過模式匹配技術(shù)收集源碼中所有安全敏感函數(shù)，并以這些安全敏感函數(shù)作為節(jié)點構(gòu)建數(shù)據(jù)流樹，從數(shù)據(jù)流樹中計算并得到可能的執(zhí)行路徑。然后通過輸入符號，執(zhí)行所有產(chǎn)生的執(zhí)行路徑

3、來生成程序約束;根據(jù)預定義的安全需求，計算所有執(zhí)行路徑上的安全約束;給出程序約束生成及安全約束生成算法。最后在生成的程序約束和安全約束基礎(chǔ)上，給出檢測源碼程序中漏洞的方法。
　　再次，針對基于二進制程序的軟件安全檢測，提出基于污點分析的動態(tài)符號執(zhí)行方法。首先給出方法的描述，該方法采用污點分析技術(shù)對程序中的數(shù)據(jù)流進行分析，并快速定位與符號輸入相關(guān)的首條指令。然后，根據(jù)輸入的符號執(zhí)行二進制程序，為了提高符號執(zhí)行階段的速度提出了三種優(yōu)化