劉偉塔　李文濤

摘 要 隨著現(xiàn)代化科學(xué)技術(shù)的不斷發(fā)展，電子商務(wù)當(dāng)前己經(jīng)成為企業(yè)市場的主要支撐點。計算機(jī)軟件的發(fā)展日趨強(qiáng)大，軟件中的安全缺陷與漏洞也在不斷增多，隨著使用范圍的擴(kuò)大，軟件的安全性問題也越來越多，軟件的安全則試保證了計算機(jī)和軟件的安全性，降低了計算機(jī)的風(fēng)險，并且對計算機(jī)軟件中的風(fēng)險進(jìn)行有效的避免與更正。本文就計算機(jī)軟件安全漏洞檢測方面進(jìn)行了分析。

關(guān)鍵詞 計算機(jī)軟件 安全漏洞 檢測

中圖分類號：TP311.5 文獻(xiàn)標(biāo)識碼：A

1 計算機(jī)軟件所面臨的威脅

1.1 非法復(fù)制

計算機(jī)軟件是一項知識密集的產(chǎn)品，需要投入大量的人力物力進(jìn)行開發(fā)，所付出的開發(fā)成本通常是硬件價值的好幾倍，甚至好幾百倍。然而，計算機(jī)軟件卻是及其容易復(fù)制的產(chǎn)品，給產(chǎn)品產(chǎn)權(quán)造成了嚴(yán)重的威脅。近年來，全球每年非法盜用軟件版權(quán)損失超過140億美元，且損失量逐年提升，尤其是在我國這樣經(jīng)濟(jì)發(fā)展迅速但是軟件管理落后的巨型市場中，非法復(fù)制所帶來的稅收、法律等諸多問題造成了嚴(yán)重的社會影響。

1.2 軟件質(zhì)量問題

由于一些原因，軟件開發(fā)中都有不可避免的問題和缺陷，通常將軟件質(zhì)量的缺陷稱為漏洞，這些漏洞對計算機(jī)軟件的安全系統(tǒng)有著嚴(yán)重的威脅。近年來，由軟件漏洞引起的安全事件逐步增加，一些致力于找各種軟件漏洞的高手通常都能發(fā)現(xiàn)軟件的安全漏洞問題，從而利用這些漏洞對計算機(jī)用戶進(jìn)行攻擊，給用戶造成了不便。

1.3 軟件跟蹤

計算機(jī)軟件一旦開發(fā)出來，總有人對軟件進(jìn)行動態(tài)破譯，利用各種程序調(diào)試工具對軟件程序進(jìn)行跟蹤、竊取軟件源碼，以及取消加密功能等。當(dāng)前軟件跟蹤技術(shù)通過利用系統(tǒng)所提供的單步中斷和斷電中斷的功能實現(xiàn)，可將其分為動態(tài)跟蹤和靜態(tài)跟蹤兩種。

2 計算機(jī)軟件的安全漏洞

計算機(jī)安全漏洞是系統(tǒng)的特性，攻擊者或攻擊程序利用這種脆弱的特性，通過己授權(quán)的方式來獲取未授權(quán)的訪問，從而對系統(tǒng)造成一定損害，即使現(xiàn)在大多人在計算機(jī)中安裝了反病毒軟件或防火墻，但是對于防止計算機(jī)軟件安全漏洞的破壞沒有多大的用處，甚至有更多的問題出現(xiàn)。

在目前看來，有五大安全漏洞容易被人們忽略，即Geronimo、JBOSS應(yīng)用服務(wù)器、LIBTIFF開源軟件庫、NET-SNMP和ZLIB 。Geronimo2.0這個安全漏洞是讓遠(yuǎn)程非法侵入者繞過身份識別，通過插入惡意軟件代碼來獲取訪問權(quán)限；JBOSS服務(wù)器3.2.4至4.0.5的版本中，有個目錄遍歷的安全漏洞；LIBTIFF開源軟件庫是讀寫標(biāo)簽圖像文件格式的文件；NET-SNMP的安全漏洞存在于NET或SNMP中的協(xié)議文件里；ZLIB是數(shù)據(jù)壓縮軟件庫，由于庫中存在的代碼解釋一個長度大于1，從而導(dǎo)致安全漏洞。

3 計算機(jī)軟件安全漏洞檢測技術(shù)

對于計算機(jī)軟件安全漏洞必須采取一定的檢測技術(shù)來加以預(yù)防，主要有靜態(tài)檢測技術(shù)和動態(tài)監(jiān)檢測技術(shù)兩種方法。

3.1 計算機(jī)軟件安全漏洞靜態(tài)檢測技術(shù)

靜態(tài)檢測技術(shù)主要是通過對程序的分析，通過應(yīng)用程序的二進(jìn)制代碼進(jìn)行分析的技術(shù)方法。當(dāng)然，完全檢測的方法基本上是不存在的，即時可以檢測到大量漏洞，也不會完全找到，也許從中存在許多誤報。靜態(tài)檢測技術(shù)最大的優(yōu)點就是軟件不需要運行，檢測十分方便，不過需要專業(yè)人員核對、整理，并進(jìn)行分析和處理。計算機(jī)軟件安全漏洞的靜態(tài)檢測方式主要有元編譯技術(shù)、變異語技術(shù)、詞法檢測技術(shù)、程序評注技術(shù)、約束解算器技術(shù)和類型推斷技術(shù)。

3.1.1 元編譯技術(shù)

元編譯技術(shù)是一種利用編譯器的簡單技術(shù)，其誤報率低，而且對于語言特性的擴(kuò)展不會更新。元編譯技術(shù)是將程序的安全屬性當(dāng)做輕量級編譯器擴(kuò)展，根據(jù)其建立模型執(zhí)行。利用這類技術(shù)可以自動對所有檢驗的代碼安全性進(jìn)行推測和判斷，從而對相應(yīng)擴(kuò)展進(jìn)行編寫。

3.1.2 變異語技術(shù)

變異語技術(shù)是通過對指針?biāo)阈g(shù)運算、不安全的類型轉(zhuǎn)換、goto的無規(guī)律跳轉(zhuǎn)、setjmp與longjmp等不安全的操作進(jìn)行限制，一般采用C或C++的安全程序變異技術(shù)。衡量靜態(tài)檢測的標(biāo)準(zhǔn)包括漏報率及誤報率，靜態(tài)檢測對軟件的源代碼及二進(jìn)制代碼進(jìn)行檢測，所以利用靜態(tài)檢測的錯誤越多，編寫的程序就越可靠。

3.1.3 詞法檢測技術(shù)

詞法檢測技術(shù)較為簡單，只是對源代碼中不安全C庫函數(shù)和系統(tǒng)進(jìn)行調(diào)用，容易產(chǎn)生大量誤報，其主要是對函數(shù)名進(jìn)行辨別，沒有兼容性困難。

3.1.4 程序評注技術(shù)

程序評注技術(shù)在兼容性上沒有任何問題，它是以注釋的形式表現(xiàn)，不會給代碼增加新的語言。利用評注信息來做靜態(tài)分析，并從中找出漏洞隱患。

3.1.5 約束解算器技術(shù)

約束解算器技術(shù)對源程序無需做任何評價，但是會產(chǎn)生大量誤報，從而需要工作人員進(jìn)行核算分析。該技術(shù)是利用約束對目標(biāo)程序特定屬性直接建立模型，之后采用靜態(tài)分析進(jìn)行解算約束。

3.2 動態(tài)檢測技術(shù)

動態(tài)檢測技術(shù)主要是通過對修改運行環(huán)境進(jìn)行分析來提高程序的保密性，是在不修改目標(biāo)程序的源代碼或二進(jìn)制代碼的前提下，對執(zhí)行程序進(jìn)行漏洞檢測，從而達(dá)到軟件安全的目的。動態(tài)檢測技術(shù)可以分為：非執(zhí)行堆與數(shù)據(jù)技術(shù)、非執(zhí)行棧技術(shù)、內(nèi)存映射技術(shù)、安全共享庫技術(shù)、沙箱技術(shù)和程序解釋技術(shù)。

3.2.1 非執(zhí)行堆與數(shù)據(jù)技術(shù)

該技術(shù)是在軟件運行不正常的情況下采取禁止執(zhí)行行為，從而檢測阻止內(nèi)存中的惡意代碼，但是，對于檢測預(yù)防和修改函數(shù)指針及函數(shù)參數(shù)沒有辦法做到，其兼容性相對較低。

3.2.2 內(nèi)存映射技術(shù)

該技術(shù)通過對映射代碼頁的使用，讓入侵者難以通過NULL結(jié)尾字符串到達(dá)低端內(nèi)存區(qū)域，同時，由于將代碼頁映射到隨機(jī)的地址，給入侵者帶來了很大困難。此項技術(shù)需要對操作系統(tǒng)內(nèi)核進(jìn)行修改，無法檢測和阻止新代碼的攻擊。

3.2.3 安全共享庫技術(shù)

該技術(shù)是以動態(tài)鏈接技術(shù)為依據(jù)，通過對不安全函數(shù)的檢測和攔截，來達(dá)到阻止其調(diào)用的目的。安全共享庫技術(shù)不會造成兼容問題，但是對于本地變量、代碼段數(shù)據(jù)和數(shù)據(jù)段溢出的攻擊無法實施防護(hù)。

3.2.4 沙箱技術(shù)

沙箱技術(shù)是通過對進(jìn)程訪問資源的限制來達(dá)到對某種攻擊行為的預(yù)防目的，將資源訪問策略設(shè)定在應(yīng)用程序中，策略的安全不需要對操作系統(tǒng)內(nèi)核及應(yīng)用程序作任何改變。沙箱技術(shù)主要在系統(tǒng)調(diào)用中應(yīng)用，具有全而性，而且沒有兼容問題。

4 計算機(jī)軟件安全漏洞的防治方法

4.1 防止競爭條件漏洞

對于競爭條件漏洞的防治方式要將產(chǎn)生競爭的代碼實行原子化操作。代碼是執(zhí)行的最小單位，在執(zhí)行程序操作的時候，不會有任何干擾來阻止其執(zhí)行。原子化的體現(xiàn)就是采用鎖定的方式，通過防范TOCTOU問題，做到避免直接對使用的文件名系統(tǒng)進(jìn)行調(diào)用，從而需要將使用文件句柄或者文件進(jìn)行描述。

4.2 防止緩沖區(qū)溢出漏洞

通過對程序中危險函數(shù)的嚴(yán)格檢查來防止緩沖區(qū)溢出，使用安全版本來替換不安全版本，比如使用strncat來對strcat進(jìn)行替換等等。

4.3 防止隨機(jī)數(shù)漏洞

對隨機(jī)數(shù)漏洞的防范必須要使用較好的隨機(jī)數(shù)發(fā)生器，好的隨機(jī)數(shù)發(fā)生器自身就帶有密碼算法，從而為隨機(jī)數(shù)流提供了安全，即使受到攻擊，對全部算法的細(xì)節(jié)有所了解，也無法得到生成的數(shù)據(jù)流。

4.4 格式化字符串的漏洞防范

通過嚴(yán)密的防范，在代碼中直接使用格式常量，不給攻擊者留下任何構(gòu)造格式串的機(jī)會。通常不定參數(shù)個數(shù)函數(shù)會產(chǎn)生格式化字符串漏洞函數(shù)，必須在使用這些函數(shù)之前，確保其參數(shù)及個數(shù)是均衡對應(yīng)的。此外，通過在Windows下使用窗口輸入輸出數(shù)據(jù)也可以降低該漏洞所造成的安全威脅。

5 結(jié)束語

綜上所述，計算機(jī)安全漏洞是計算機(jī)信息系統(tǒng)遭到破壞的根本源頭，通過采取計算機(jī)軟件動態(tài)檢測技術(shù)和靜態(tài)檢測技術(shù)來檢測并防止攻擊者入侵，從而有效保障電子信息的安全。