基于漏洞分析的軟件綜合檢測方法研究.pdf

1、隨著信息共享的普及，各種應用軟件相繼出現(xiàn)。軟件功能越來越多樣，代碼的控制結構也越來越復雜。隨之而來的安全問題也引起社會各方面的廣泛關注。為了維護信息系統(tǒng)的安全，高效實用的軟件安全檢測及漏洞分析技術供不應求。越來越多的研究團隊加入到軟件漏洞檢測這一研究項目中，研究重點大多只集中在漏洞檢測的某一方面，并且對軟件漏洞分析技術的理解也不全面。本文以漏洞分析為基礎，研究綜合性的軟件安全檢測方法。論文的主要研究內容如下。
　　首先，在閱讀大量

2、相關文獻的基礎上，深入研究軟件漏洞的定義及其特點、軟件漏洞的分類與分級，同時從靜態(tài)分析和動態(tài)分析兩方面歸納總結目前國內外關于軟件安全檢測方法及工具的主要研究成果，為論文進一步研究工作奠定基礎。
　　其次，針對基于源碼的軟件安全檢測，提出逆向跟蹤的符號執(zhí)行方法。該方法首先通過模式匹配技術收集源碼中所有安全敏感函數(shù)，并以這些安全敏感函數(shù)作為節(jié)點構建數(shù)據(jù)流樹，從數(shù)據(jù)流樹中計算并得到可能的執(zhí)行路徑。然后通過輸入符號，執(zhí)行所有產生的執(zhí)行路徑

3、來生成程序約束;根據(jù)預定義的安全需求，計算所有執(zhí)行路徑上的安全約束;給出程序約束生成及安全約束生成算法。最后在生成的程序約束和安全約束基礎上，給出檢測源碼程序中漏洞的方法。
　　再次，針對基于二進制程序的軟件安全檢測，提出基于污點分析的動態(tài)符號執(zhí)行方法。首先給出方法的描述，該方法采用污點分析技術對程序中的數(shù)據(jù)流進行分析，并快速定位與符號輸入相關的首條指令。然后，根據(jù)輸入的符號執(zhí)行二進制程序，為了提高符號執(zhí)行階段的速度提出了三種優(yōu)化