数值稳定性相关漏洞隐患的自动化检测方法

摘要：

安全漏洞检测,是保障软件安全性的重要手段.随着互联网的发展,黑客的攻击手段日趋多样化,且攻击技术不断翻新,使软件安全受到了新的威胁.描述了当前软件中实际存在的一种新类型的安全漏洞隐患,称为数值稳定性相关的安全漏洞隐患.由于黑客可以利用该类漏洞绕过现有的防护措施,且已有的数值稳定性分析方法很难检测到该类漏洞的存在,因而这一新类型的漏洞隐患十分危险.面对这一挑战,首先从数值稳定性引起软件行为改变的角度定义了数值稳定性相关的安全漏洞隐患,并给出了对应的自动化检测方法.该方法基于动静态相结合的程序分析与符号执行技术,通过数值变量符号式提取、静态攻击流程分析以及高精度动态攻击验证这3个步骤来检测和分析软件中可能存在的数值稳定性相关安全漏洞.在业界多个著名开源软件上进行了实例研究,实验结果表明:该方法能够有效检测到实际软件中真实存在的数值稳定性相关漏洞隐患.

关键词：漏洞检测、数值稳定性、程序分析、软件安全

所属期刊栏目：29

分类号：TP311(计算技术、计算机技术)

资助基金：国家自然科学基金61772260,61402222,61373013;国家重点基础研究发展计划9732014CB340700;江苏省产学研前瞻项目BY2015069-03National Natural Science Foundation of China61772260,61402222,61373013;National Program on Key Basic Research Project of China 9732014CB340700;Prospective Project of Jiangsu Province on Industry-University-ResearchBY2015069-03

在线出版日期：2018-06-19（万方平台首次上网日期，不代表论文的发表时间）

页数：共14页

页码：1230-1243