計(jì)算機(jī)軟件中安全漏洞檢測(cè)技術(shù)及其應(yīng)用

摘 要：隨著我國(guó)科學(xué)信息技術(shù)的發(fā)展，網(wǎng)絡(luò)市場(chǎng)不斷的強(qiáng)大起來(lái)，因而，無(wú)論是個(gè)人還是企業(yè)都逐漸將自己的各種活動(dòng)重心轉(zhuǎn)移向網(wǎng)絡(luò)市場(chǎng)，電子商務(wù)儼然成為了傳統(tǒng)行業(yè)的支撐。計(jì)算機(jī)軟件安全對(duì)于現(xiàn)代社會(huì)的發(fā)展越來(lái)越重要，直接關(guān)系到個(gè)人的隱私和利益，關(guān)系到企業(yè)的信息資源的保密性，進(jìn)而也關(guān)系到企業(yè)的長(zhǎng)遠(yuǎn)發(fā)展，因而，家計(jì)算機(jī)軟件中安全漏洞監(jiān)測(cè)技術(shù)的研究和應(yīng)用勢(shì)在必行。本文重要分析了計(jì)算機(jī)軟件中安全漏洞的監(jiān)測(cè)技術(shù)和應(yīng)用。

關(guān)鍵詞：計(jì)算機(jī)軟件；安全漏洞；監(jiān)檢測(cè)技術(shù)

中圖分類號(hào)：TP309

在電子商務(wù)日益發(fā)展，網(wǎng)絡(luò)市場(chǎng)日益擴(kuò)大的背景下，計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞問(wèn)題也隨之而產(chǎn)生，并且給網(wǎng)絡(luò)電子商務(wù)的發(fā)展帶來(lái)了沉重的打擊和嚴(yán)重的影響。為此，加強(qiáng)對(duì)計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞的研究，方法安全漏洞問(wèn)題的產(chǎn)生至關(guān)重要。

1 計(jì)算機(jī)軟件中的安全漏洞

計(jì)算機(jī)安全漏洞又被稱之為計(jì)算機(jī)脆弱性，也就是Computevulnerability。從實(shí)質(zhì)上分析，計(jì)算機(jī)安全漏洞就是系統(tǒng)的一組特性，對(duì)網(wǎng)絡(luò)安全漏洞惡意攻擊的主體或者編寫(xiě)的惡意程序可以通過(guò)計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞這一組系統(tǒng)特性通過(guò)未授權(quán)的方式訪問(wèn)未授權(quán)的資源，不同程度的損害網(wǎng)絡(luò)系統(tǒng)。入侵沒(méi)有授權(quán)的信息，對(duì)于信息擁有主體產(chǎn)生不利影響。

很多計(jì)算機(jī)主體通常會(huì)在自己計(jì)算上進(jìn)行防火墻或者反病毒軟件的安裝一防止或者避免由于計(jì)算機(jī)安全漏洞黑客入侵而對(duì)自己造成的損害。但是，從當(dāng)前的實(shí)際情況而言，這些防火墻技術(shù)或者反病毒軟件都是無(wú)法真正的防止黑客入侵計(jì)算機(jī)網(wǎng)絡(luò)漏洞進(jìn)行惡意攻擊，這是由于很多黑客有著高潮的入侵技術(shù)能力。另外，如果自己在計(jì)算機(jī)中安裝的反病毒軟件或者防火墻在運(yùn)用不當(dāng)或者運(yùn)行不良的情況下也可能會(huì)導(dǎo)致新的計(jì)算機(jī)軟件漏洞產(chǎn)生的風(fēng)險(xiǎn)。也就是說(shuō)，當(dāng)前只以密碼技術(shù)為依靠防止計(jì)算機(jī)安全漏洞是不實(shí)際的，計(jì)算機(jī)安全漏洞不可能只靠密碼技術(shù)來(lái)實(shí)現(xiàn)。

從種類上分析，計(jì)算機(jī)軟件安全漏洞可以進(jìn)行如下分類：

第一類是Geronimo2.0，此種安全漏洞情況下，黑客或者其他計(jì)算機(jī)軟件的攻擊者可以通過(guò)對(duì)計(jì)算機(jī)系統(tǒng)插入惡意代碼在Geronimo2.0這一漏洞中在不需要計(jì)算機(jī)密碼識(shí)別和身份認(rèn)證的情況下就獲得非法訪問(wèn)權(quán)限，進(jìn)攻計(jì)算機(jī)軟件。

第二類則是JBOSS應(yīng)用服務(wù)器。JBOSS服務(wù)器從3.2.4版本到4.0.5版本中均有一個(gè)含有目錄遍歷的安全漏洞。

第三類則是LIBTIFF開(kāi)源軟件庫(kù)，簡(jiǎn)單說(shuō)來(lái)，LIBTIFF開(kāi)源數(shù)據(jù)庫(kù)就是一個(gè)文件，它具備提供讀寫(xiě)標(biāo)簽圖像文件格式的能力。第四類則是Net-SNMP，這類計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞就是在SNMP或者NET中存在的一個(gè)協(xié)議文件。第五類則是ZLIB，事實(shí)上，ZLIB是一個(gè)具備數(shù)據(jù)壓縮功能的軟件庫(kù)，它有一個(gè)不完整的代碼解釋另一個(gè)長(zhǎng)度超過(guò)1的代碼引發(fā)的計(jì)算機(jī)網(wǎng)咯安全漏洞。

2 計(jì)算機(jī)軟件中安全漏洞的檢測(cè)技術(shù)及應(yīng)用

對(duì)于第一部分描述的五類計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞，我們可以通過(guò)動(dòng)態(tài)檢測(cè)和靜態(tài)檢測(cè)技術(shù)兩種方法進(jìn)行檢查與識(shí)別。這一部分則是對(duì)靜態(tài)檢測(cè)技術(shù)和靜態(tài)檢測(cè)技術(shù)進(jìn)行介紹與分析。

2.1 計(jì)算機(jī)安全漏洞的靜態(tài)檢測(cè)技術(shù)

所謂靜態(tài)檢測(cè)技術(shù)是通過(guò)程序分析技術(shù)的應(yīng)用來(lái)對(duì)應(yīng)用程序的二進(jìn)制代碼或者源代碼進(jìn)行檢測(cè)分析的技術(shù)，也就是掃描檢測(cè)被測(cè)試程序源代碼，進(jìn)而實(shí)現(xiàn)對(duì)程序行為的語(yǔ)義和語(yǔ)法理解，將被測(cè)試程序的特征直接分析出來(lái)，最終發(fā)現(xiàn)可能導(dǎo)致錯(cuò)誤的異常。靜態(tài)檢測(cè)技術(shù)最大的優(yōu)點(diǎn)就是在計(jì)算機(jī)不運(yùn)行的情況下進(jìn)行，檢測(cè)方便。

靜態(tài)檢測(cè)方法又可以進(jìn)行如下劃分：

（1）詞法檢測(cè)（Lexical Cheek），作為最早的靜態(tài)檢測(cè)技術(shù)，它只是對(duì)程序中源代碼中存在危險(xiǎn)的C語(yǔ)言的庫(kù)函數(shù)進(jìn)行檢測(cè)，進(jìn)而實(shí)現(xiàn)系統(tǒng)調(diào)用。

（2）程序評(píng)注（Program Annotation）技術(shù)，這種技術(shù)中用戶可以通過(guò)程序評(píng)注信息進(jìn)行計(jì)算機(jī)軟件安全性的分析，尋找到在計(jì)算機(jī)中潛伏的網(wǎng)絡(luò)安全漏洞進(jìn)而轉(zhuǎn)交給專業(yè)的代碼審計(jì)人員進(jìn)行檢測(cè)和排查。

（3）類型推斷（Type Inference）技術(shù)，通過(guò)對(duì)一種新型修飾進(jìn)行使用，進(jìn)而增加安全約束到一些特別的用戶輸入中；另外，靜態(tài)檢測(cè)技術(shù)要有約束結(jié)算期（Constraint Solver）技術(shù)、是元編譯技術(shù)（metacompilationg）以及是編譯語(yǔ)言技術(shù)（languange dialect）等。

2.2 計(jì)算機(jī)安全漏洞的動(dòng)態(tài)檢測(cè)技術(shù)

而動(dòng)態(tài)檢測(cè)技術(shù)則是需要在算計(jì)運(yùn)行的情況下進(jìn)行檢測(cè)，在沒(méi)有進(jìn)行目標(biāo)程序源代碼二進(jìn)制代碼修改的狀態(tài)下，進(jìn)行程序執(zhí)行過(guò)程中的安全漏洞的檢測(cè)。動(dòng)態(tài)檢測(cè)技術(shù)主要是通過(guò)環(huán)境變量、內(nèi)存、堆和棧等運(yùn)行環(huán)境的分析修改來(lái)實(shí)現(xiàn)的。動(dòng)態(tài)檢測(cè)技術(shù)能夠有效的提高程序的保密性，以最終實(shí)現(xiàn)網(wǎng)絡(luò)安全的目的。

計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞動(dòng)態(tài)檢測(cè)技術(shù)方法可以細(xì)分為以下幾種：

（1）非執(zhí)行棧（Non—Executable Stack）技術(shù)，通過(guò)該技術(shù)能夠在黑客向棧中進(jìn)行各種惡意代碼侵入并且產(chǎn)生破壞的時(shí)候，禁止棧執(zhí)行代碼能力，以此禁止行為來(lái)實(shí)現(xiàn)黑客或者其他軟件侵入者的惡意攻擊的有效預(yù)防。

（2）非執(zhí)行堆與數(shù)據(jù)（Non-Executable Heap/data）技術(shù)，這項(xiàng)動(dòng)態(tài)檢測(cè)技術(shù)就是在軟件非正常云新高低時(shí)候通過(guò)阻止執(zhí)行其行為的方法來(lái)阻止內(nèi)存中的惡意代碼。

（3）另外，常用的計(jì)算機(jī)網(wǎng)絡(luò)安全動(dòng)態(tài)檢測(cè)技術(shù)還包括內(nèi)存映射（Memory Mapping）技術(shù)、安全的共享庫(kù)（Safe Shared Libraries）技術(shù)、沙箱（Sandbox）技術(shù)和程序解釋（Program Interpretation）技術(shù)等。

3 結(jié)束語(yǔ)

在計(jì)算機(jī)網(wǎng)路技術(shù)迅猛發(fā)展和電子商務(wù)規(guī)模日益擴(kuò)大的背景下，網(wǎng)絡(luò)已經(jīng)成為了人們生活中最重要的組成部分之一，特別是人們購(gòu)物的平臺(tái)。而與此先不適應(yīng)的是個(gè)人或者企業(yè)在網(wǎng)絡(luò)使用過(guò)程中存在的各種安全漏洞問(wèn)題。近年來(lái)，各種網(wǎng)絡(luò)安全事件頻發(fā)，引起了人們對(duì)網(wǎng)絡(luò)安全特別是信息安全的關(guān)注。我們?cè)谟?jì)算機(jī)使用過(guò)程中經(jīng)常碰到的網(wǎng)絡(luò)安全問(wèn)題基本上都是軟件漏洞而導(dǎo)致的問(wèn)題，因此，加強(qiáng)計(jì)算機(jī)軟件安全漏洞檢測(cè)技術(shù)的研究與創(chuàng)新，從根源發(fā)現(xiàn)網(wǎng)絡(luò)問(wèn)題，進(jìn)而做出有效的應(yīng)對(duì)從事是解決網(wǎng)絡(luò)安全漏洞問(wèn)題的最有效和最直接的方法。

參考文獻(xiàn)：

[1]龔靜.論計(jì)算機(jī)網(wǎng)絡(luò)安全與漏洞掃描技術(shù)[J].株洲工學(xué)院學(xué)報(bào)，2005（04）：169-172.

[2]馬海濤.計(jì)算機(jī)軟件安全漏洞原理及防范方法[J].科協(xié)論壇（下半月），2009（O6）：112-115.

[3]浙江省重點(diǎn)學(xué)科——計(jì)算機(jī)軟件與理論[J].浙江師范大學(xué)學(xué)報(bào)（自然科學(xué)版），2006（04）：140-143.

[4]宋超臣，黃俊強(qiáng)，王大萌.計(jì)算機(jī)安全漏洞檢測(cè)技術(shù)綜述[J].信息網(wǎng)絡(luò)安全，2012.

[5]鐘麗芳.計(jì)算機(jī)軟件中安全漏洞檢測(cè)技術(shù)及其應(yīng)用[J].計(jì)算機(jī)光盤軟件與應(yīng)用，2012.

[6]陳楷.計(jì)算機(jī)軟件中安全漏洞檢測(cè)技術(shù)的應(yīng)用[J].數(shù)字技術(shù)與應(yīng)用，2010（07）.

作者單位：遼寧省農(nóng)業(yè)經(jīng)濟(jì)學(xué)校，遼寧錦州 121001