隨著社會的發(fā)展，黑客的技術水平越來越高，而在軟件方面,漏洞屬于一個不可避免的問題，這會導致黑客有機可趁,使數據信息受到破壞。

　　《電腦知識與技術》Computer Knowledge and Technology(月刊)創(chuàng)刊于1994年，是經國家批準的旬刊雜志，是一本面向計算機全行業(yè)的綜合性學術刊物。創(chuàng)刊以來，一直本著普及電腦知識、推廣電腦技術、交流經驗技巧、促進電腦應用的辦刊宗旨，注重雜志質量。如今，雜志發(fā)行面已覆蓋全國31個省、市、自治區(qū)，逐步形成了融知識性、實用性、欣賞性、服務性于一體的辦刊風格，并因其清純樸實的文風，簡明實用的內容，以及精心細致的服務被社會各界讀者譽名為“一本看得懂、學得會、用得上”的好雜志。

　　1 引言

　　在任何軟件運行的過程中,都會根據安全策略進行一個安全域假定,也就是說這一域內所有的操作都是可控且安全的,但是如果違反了安全策略或者超出了這一安全域,軟件運行則會變?yōu)槲粗�且不可控�?而安全域在切換為非安全域的過程中,其觸發(fā)點就是漏洞。在這種背景下,如何更快地發(fā)現軟件安全漏洞,并做好修復工作,是保證數據信息安全的一個有效手段。

　　2 軟件安全漏洞挖掘技術概述

　　2.1 漏洞概念

　　通俗點說,漏洞就是指由于安全域設計不合理所形成的軟件及系統破壞。正是由于這種漏洞的存在,使得計算機在未授權的情況下會被攻擊者訪問或破壞。一般來說,漏洞多數是被動的、靜態(tài)的、可觸發(fā)的。

　　如果根據產生漏洞的原因來分類,則漏洞可以分為:輸入驗證錯誤、邊界條件錯誤、緩沖區(qū)溢出錯誤、訪問驗證錯誤、意外條件錯誤、配置錯誤、競爭條件錯誤等其他錯誤。之所以出現漏洞,從根本上說是因為安全機制實現的過程中出現了一些非正常問題,比如軟件編程出錯、安全機制規(guī)劃不完善。由于信息系統中存在潛在錯誤這一問題是不可避免的,因此漏洞在信息系統中也是必然存在的。

　　2.2 漏洞挖掘技術

　　在通過漏洞攻擊的過程中,主要可以分為三個步驟:漏洞挖掘、漏洞分析以及漏洞利用,由此可見漏洞挖掘屬于后兩個步驟的基礎及前提,對網絡攻防有著非常重要的意義。所謂漏洞挖掘,主要是找尋漏洞,詳細點說就是該領域專業(yè)人士使用各種綜合應用工具以及技術盡最大可能找出軟件中存在的潛在漏洞,要想做好這一工作并不容易,這對于個人經驗有很大的依賴性。在實際的工作中,根據不同的分析對象,漏洞挖掘技術又可以分為基于源代碼漏洞挖掘技術以及基于目標代碼漏洞挖掘技術。

　　對于基于源碼漏洞挖掘技術來說,獲得源代碼是我們工作的前提。一般針對一些開源項目,對其公布的源代碼進行分析就能夠獲得漏洞,比如在Limix系統中,漏洞挖掘所采用的技術就是使用的這一技術。具體來說,在應用這一技術的過程中,我們還通過源代碼審核技術,掃描軟件源代碼,并對一些不安全的內存操作以及安全函數使用進行語義檢查,進而挖掘出其中存在的漏洞。其中,靜態(tài)分析技術屬于一種比較典型的機遇源代碼漏洞挖掘技術。

　　但是在實際的工作中,由于很多商業(yè)軟件源代碼的獲取比較困難,所以基于源代碼漏洞挖掘技術往往難以起到應有的作用,在這種情況下,我們則可以使用基于目標代碼漏洞挖掘技術。這一技術是依靠分析目標碼來實現的,其過程往往涉及到指令系統、編譯器以及文件格式等很多方面,所以難度比較大。具體的步驟是先反匯編需要分析的二進制目標代碼,在獲取匯編代碼之后再對其切面,也就是將一些關聯密切而且有意義的代碼匯聚在一起,使其復雜性降低,最后利用分析功能模塊對其是否存在漏洞進行判斷。

　　3 當前漏洞挖掘技術分析

　　當前漏洞挖掘技術主要包括已知漏洞檢測以及位置漏洞補救這兩種,其中前者主要的作用在于發(fā)現系統中可能存在但是還沒有被發(fā)現的漏洞,在這方面主要又包括靜態(tài)分析、動態(tài)檢測、安全掃描以及手工分析這幾種技術。其中,手工分析要求比較高,不僅需要安全分析人員對軟件漏洞原理有充分的了解,還要對軟件結構及功能有比較深入的認識,而且即使?jié)M足了這兩點要求,其依然會耗費很多的精力和時間,基于此,以下將主要對靜態(tài)分析以及動態(tài)檢測進行分析。

　　3.1 靜態(tài)分析

　　這種漏洞檢測技術不需要對程序進行運行,而且在沒有輸入的條件下就可以發(fā)現程序中存在的安全漏洞,因此在程序編寫階段,通過靜態(tài)漏洞挖掘技術就可以發(fā)現其中存在的問題,并在開發(fā)早期就消滅掉漏洞。不過人們在運用靜態(tài)分析的過程中,往往會出現誤報。這一技術從本質上說是建立程序的一個狀態(tài)模型,然后對程序如何完成狀態(tài)轉換進行分析,但是一個程序的狀態(tài)空間是很大的,因此難以對所有的狀態(tài)同時進行考慮,針對這種情況,對狀態(tài)空間進行抽象是必不可免的,這就導致了程序部分信息的丟失。而我們?yōu)榱颂嵘�分析結果的正確性,則會損失一部分分析精度,一般來說,近似假設地方越多,則精度的損失也會越大,而誤報也越容易發(fā)生。實際的工作中,分析工具可能會使用一些不穩(wěn)妥的分析策略,這也會導致出現一些安全漏洞,為日后的軟件運行埋下隱患。

　　3.2 動態(tài)檢測

　　所謂動態(tài)檢測,主要是在程序動態(tài)運行的時候對軟件中存在的漏洞進行檢測,這不僅要求被測試目標編譯為可執(zhí)行程序,而且在檢測的過程中還要提供相應的輸入。具體來說,動態(tài)檢測技術主要是利用操作系統所提供的雕飾接口以及資源監(jiān)視接口,來獲得目標程序運行過程中所需的運行數據及運行狀態(tài)。在當前的動態(tài)檢測技術中,比較常用的有數據流分析法以及環(huán)境錯誤注入法。

　　這里首先分析環(huán)境錯誤注入法,它主要是故意將人為錯誤注入到軟件運行環(huán)境中,然后利用程序的反應進行驗證。一般情況下,編程的過程中程序員總是會假定其程序能夠正常地運行于環(huán)境中,如果這種假定成立,那么其程序自然會正確的運行。不過由于程序運行的環(huán)境并不是獨立的,而是會受到很多主體的影響,比如一些惡意用戶之類的,這會使程序員假定出現錯誤,也正因為此,環(huán)境中的錯誤會給程序造成多大地的影響,是判斷程序健壯性的一個重要標準,而環(huán)境錯誤注入法正是對軟件系統可靠性及容錯性進行判斷的有效方法。

　　至于數據流分析法,它在實現檢測的時候需要數據流、執(zhí)行流等信息,主要的原理是對各種參數、序列以及返回值等進行跟蹤,然后經過對比分析,對系統是否存在安全漏洞進行判斷。

　　3.3 動態(tài)檢測以及靜態(tài)分析的對比

　　客觀來說,靜態(tài)分析以及動態(tài)檢測都是我們經常使用的檢測方法,其中,靜態(tài)分析由于在運行過程中的數據比較缺乏,因此難以實現動態(tài)測試細粒度的安全評估,無法對所有的安全漏洞都進行確定,所以存在很多不足之處,不過其優(yōu)勢在于比較容易在開發(fā)過程中集成。至于動態(tài)檢測,雖然其可信性以及精確性非常高,但是對于源代碼的需求也非常高,而且不能夠對漏洞及漏洞原因進行準確的定位,加之不容易保證代碼覆蓋率,因此它也存在一定的不足。通過表1我們可以比較系統的對二者進行對比。

　　4 軟件安全漏洞挖掘流程分析

　　通過上文的分析我們可以看出,每種檢測方法都是存在缺陷的,我們要想真正地做好漏洞挖掘工作,就必須要在漏洞挖掘的不同環(huán)節(jié)使用不同的檢測方法,并根據具體的情況采取相應的策略及方法,這樣才能將各種方法的優(yōu)勢發(fā)揮出來,并彌補其存在的不足。一般來說,漏洞挖掘的流程可以分為幾個環(huán)節(jié)。

　　首先,初始化,這主要是將軟件類型分類,將開源和非開源軟件所使用的靜態(tài)分析方法確定下來。

　　其次,反匯編,這主要是載入需要分析的程序,然后通過反匯編操作,實現對二進制代碼的反匯編,并確定代碼中哪些屬于可執(zhí)行指令以及哪些屬于數據。

　　第三,過程抽象,能夠識別可執(zhí)行指令之后,可以把其分為表示函數或者過程的組。

　　第四,特征模式掃描,對于開軟軟件,我們通過編譯技術在編譯期間或者代碼掃描期間確定一些信息,根據這些信息檢查漏洞模型。至于非開源軟件的靜態(tài)分析,則可以通過之下而上的分析方法對調用二進制文件的庫函數等進行檢查,得到漏洞驗證代碼。

　　第五,驗證漏洞特性,這主要是比較漏洞特征庫以及疑似漏洞驗證代碼,并對其中是否含有惡意行為進行判斷,得到檢測報告。

　　第六,注入錯誤環(huán)境,對需要注入的錯誤環(huán)境數據進行構造,并利用其干擾程序運行。

　　第七,動態(tài)檢測,系統自動地對程序所有函數序列以及特定函數序列進行分析,并對可能存在的漏洞數目進行估算,得到檢測報告。

　　第八,檢測評估,根據所得報告信息,確認它們共同提出的疑似漏洞,并對其他疑似漏洞進行下一步分析。

　　最后,進入下一輪靜態(tài)及動態(tài)檢測環(huán)節(jié)。

　　5 軟件安全漏洞挖掘技術的發(fā)展方向

　　首先,測試平臺的可擴展性以及通用性將越來越強,這是因為伴隨著測試對象的增多,一個可擴展性及通用性比較強的平臺對這一技術的發(fā)展有非常重要的提升效果。具體來說,這種平臺要具備以下幾個方面的特點:首先,能夠產生多種格式并最好是有效的畸形測試數據;具有可定制以及獨立的數據產生變異功能;具有可操作跟蹤調試功能;能夠對多模塊之間的自動化運行進行很好的協調。

　　其次,以fuzzing測試技術為例,由于在fuzzing測試過程中,很大一部分時間都用在輸入數據格式、程序狀態(tài)轉換的人工分析上。因此提高知識獲取自動化程度對于提升測試效率非常有利,是未來的發(fā)展方向。

　　第三,多維測試用例生成技術。當前很多測試用例生成技術都是一維的,這容易使很多安全漏洞不能夠被有效地檢測出來。而如果使用多為測試用例生成技術雖然會拓寬其測試范圍,但也容易導致狀態(tài)爆炸問題,因此,多維測試用例生成技術的研究是未來的一個重點。同樣,智能測試用例生成技術也是未來的一個重點。

　　第四,測試效果評估技術,當前的很多測試使用代碼覆蓋率對測試效果進行評估,這存在著很大的不合理性。因此未來測試效果將從程序狀態(tài)的覆蓋率、測試數據的有效性以及輸入邊界測試的充分性等多個方面對測試效果進行評估。

　　6 結束語

　　軟件安全漏洞挖掘技術的研究是一個很寬泛的研究,本文限于篇幅,很多地方難以涉及并深入。因此,在我們的日常工作中應加強這方面的探索和研究,只有不斷提升我們的技術水平,才能真正為信息數據的安全起到保障作用。