【摘要】：為克服模糊測(cè)試方法具有盲目性和覆蓋率不高的缺點(diǎn),緩解當(dāng)前符號(hào)執(zhí)行方法所面臨的空間爆炸問題,該文提出一種基于脆弱點(diǎn)特征導(dǎo)向的軟件安全測(cè)試方法。該方法結(jié)合模糊測(cè)試和符號(hào)執(zhí)行方法的特點(diǎn),針對(duì)緩沖區(qū)溢出,精確分析了具備該脆弱點(diǎn)特征的代碼,并以此為測(cè)試目標(biāo),力圖提高測(cè)試針對(duì)性;通過域收斂路徑遍歷策略生成新測(cè)試數(shù)據(jù)進(jìn)行測(cè)試。實(shí)驗(yàn)數(shù)據(jù)表明:該方法的緩沖區(qū)溢出可疑點(diǎn)識(shí)別率比現(xiàn)有的以經(jīng)驗(yàn)為主的識(shí)別方法至少提高41%,與CUTE符號(hào)執(zhí)行工具相比,較好地緩解了空間爆炸問題,并有效驗(yàn)證了OpenSSL等常用軟件的脆弱點(diǎn)。
[Abstract]:In order to overcome the blindness and low coverage of fuzzy test method and to alleviate the space explosion problem faced by the current symbolic execution method, a new software security test method based on feature orientation of fragile points is proposed in this paper. According to the characteristics of fuzzy test and symbol execution method, the code with the feature of the vulnerable point is analyzed accurately in view of buffer overflow, and it is regarded as the test target to improve the pertinence of the test. New test data are generated by domain convergence path traversal strategy. The experimental data show that the recognition rate of the buffer overflow suspicious points in this method is at least 41% higher than that of the existing empirical methods. Compared with the CUTE symbol execution tool, this method can better alleviate the problem of space explosion. And effectively verify the vulnerability of OpenSSL and other commonly used software.
【作者單位】： 解放軍信息工程大學(xué)數(shù)學(xué)工程與先進(jìn)計(jì)算國(guó)家重點(diǎn)實(shí)驗(yàn)室;中國(guó)信息安全測(cè)評(píng)中心;
【基金】：國(guó)家“八六三”高技術(shù)項(xiàng)目(2012AA012902)
【分類號(hào)】：TP311.53

【相似文獻(xiàn)】

相關(guān)期刊論文 前10條

1 宋吉廣;;開源軟件安全現(xiàn)狀[J];軟件世界;2007年Z1期

2 ;2008中國(guó)軟件安全峰會(huì)在京召開[J];信息網(wǎng)絡(luò)安全;2008年12期

3 ;軟件安全十誡[J];計(jì)算機(jī)與網(wǎng)絡(luò);2012年21期

4 潘博;;淺談?dòng)?jì)算機(jī)軟件安全檢測(cè)方法[J];電腦知識(shí)與技術(shù);2013年13期

5 楊曉東;;海外歸來話軟件安全產(chǎn)品[J];程序員;2004年12期

6 江北書生;;用得放心 常見軟件安全措施大放送[J];電腦愛好者;2007年21期

7 李添;葉少信;余萍;;多方努力共保應(yīng)用軟件安全[J];每周電腦報(bào);2008年37期

8 文偉平;吳興麗;蔣建春;;軟件安全漏洞挖掘的研究思路及發(fā)展趨勢(shì)[J];信息網(wǎng)絡(luò)安全;2009年10期

9 ;2009中國(guó)軟件安全峰會(huì)在京成功舉行[J];數(shù)字通信世界;2009年12期

10 大江東去;;為軟件安全搬家[J];電腦迷;2010年13期

相關(guān)會(huì)議論文 前1條

1 陳云超;馬兆豐;;基于API函數(shù)攔截技術(shù)的跨進(jìn)程攻擊防護(hù)研究[A];2011年通信與信息技術(shù)新進(jìn)展——第八屆中國(guó)通信學(xué)會(huì)學(xué)術(shù)年會(huì)論文集[C];2011年

相關(guān)重要報(bào)紙文章 前6條

1 Kenneth van Wyk　沈建苗 編譯;軟件安全故障的真正根源[N];計(jì)算機(jī)世界;2013年

2 博文;應(yīng)用軟件安全不容忽視[N];計(jì)算機(jī)世界;2007年

3 ; SaaS模式辦公軟件安全問題值得關(guān)注[N];中國(guó)電子報(bào);2009年

4 本報(bào)記者 尹琨;預(yù)裝軟件安全引發(fā)業(yè)界關(guān)注[N];中國(guó)新聞出版報(bào);2013年

5 陜西 西格瑪;給軟件安全搬家[N];電腦報(bào);2006年

6 本報(bào)記者 張偉　記者 戈清平;可信互聯(lián)網(wǎng) 軟件安全開發(fā)成金鑰匙[N];中國(guó)高新技術(shù)產(chǎn)業(yè)導(dǎo)報(bào);2009年

相關(guān)博士學(xué)位論文 前2條

1 馮博;軟件安全開發(fā)關(guān)鍵技術(shù)的研究和實(shí)現(xiàn)[D];北京郵電大學(xué);2010年

2 張秀峰;AOP技術(shù)及其在軟件安全中的應(yīng)用[D];北京郵電大學(xué);2008年

相關(guān)碩士學(xué)位論文 前9條

1 張楠;軟件安全開發(fā)方法消化的影響因素及行為研究[D];大連理工大學(xué);2015年

2 黃奕;基于模糊測(cè)試的軟件安全漏洞發(fā)掘技術(shù)研究[D];中國(guó)科學(xué)技術(shù)大學(xué);2010年

3 翟宇;基于軟件安全契約的AOP監(jiān)控方法[D];吉林大學(xué);2011年

4 王曉飛;軟件安全漏洞發(fā)掘技術(shù)研究[D];國(guó)防科學(xué)技術(shù)大學(xué);2006年

5 管銘;基于程序分析的軟件安全漏洞檢測(cè)技術(shù)研究[D];西北工業(yè)大學(xué);2007年

6 張f[媈;基于Windows平臺(tái)的軟件安全漏洞發(fā)掘技術(shù)研究[D];電子科技大學(xué);2010年

7 嚴(yán)煒;基于iOS平臺(tái)的應(yīng)用軟件安全檢測(cè)關(guān)鍵技術(shù)的研究與實(shí)現(xiàn)[D];北京郵電大學(xué);2014年

8 鄧凡;軟件安全檢查工具前端的設(shè)計(jì)與實(shí)現(xiàn)[D];西安電子科技大學(xué);2009年

9 王越凡;基于源碼分析的軟件安全測(cè)試技術(shù)研究[D];北京郵電大學(xué);2009年

，

本文編號(hào)：2195327