软件安全监测论文.docxVIP

目录一、软件安全漏洞3（一）、软件安全漏洞的概述3（二）、容易被忽略的五种软件安全漏洞31、Zlib32、LibTiff开源软件库33、Net-SNMP34、JBoss应用服务器45、Geronimo 2.04二、计算机软件安全漏洞的检测4（一）四种常用的计算机软件安全检测技术41.基于应用的检测技术。42.基于主机的检测技术。43.基于目标的漏洞检测技术。54. 基于网络的检测技术5三、计算机软件安全的检测5（一）形式化安全测试。5（二）基于模型的安全功能测试。6（三）语法测试。6（四）基于故障注入的安全性测试。6（五）模糊测试6（六）基于属性的测试。6四、计算机软件安全检测的目的7五、参考文献7软件安全漏洞（一）、软件安全漏洞的概述软件漏洞指软件设计实现过程中被引入的、在数据访问或行为逻辑等方面的缺陷，它可能被攻击者利用从而程序行为违背一定的安全策略。（二）、容易被忽略的五种软件安全漏洞1、Zlib Zlib是一个用于数据压缩的软件库。Zlib 1.2和以后版本的软件能够让远程攻击者引起拒绝服务攻击。这个攻击旨在使用一个不完整的代码解释一个长度大于1的代码，从而引起缓存溢出漏洞。2、LibTiff开源软件库这个库是用于读写TIFF 标签图像文件格式 格式文件的。前的LibTiff 库包含一个命令行工具，可在Linux和Unix系统中操作TIFF图像文件，许多Linux发布版软件中都有这个工具。3、Net-SNMP这个安全漏洞存在于Net-SNMP或者应用SNMP 简单网络管理协议 协议的程序中。1.0、2c和3.0版本的Net-SNMP协议都存在安全漏洞。当以“master agentx”模式运行Net-SNMP的时候，这个软件能够让远程攻击者通过引起一个特定的TCP连接中断实施拒绝服务攻击，造成系统崩溃。中断TCP连接可产生一个不正确的变量。4、JBoss应用服务器JBoss应用.0.5版的“DeploymentFileRepository”类中有一个目录遍历安全漏洞”。这家公司12月7日的报告做出的结论称，这个安全漏洞允许远程身份识别的用户读取或者修改任意文件并且可能执行任意代码。5、Geronimo 2.0这个Apache的应用服务器软件在其登录模块中存在一个安全漏洞，让远程攻击者能够绕过身份识别要求，部署一个替代的恶意软件代码模块，并且获得访问这个服务器应用程序的管理员权限。Palamida报告称，这个访问权限是通过使用Geronimo部署模块中的命令行发送一个空白的用户名和口令获得的。一个空白的用户名和口令应该引起Geronimo 2.0中的“FailedLoginException”访问控制模块做出反应，但是，它却没有反应。计算机软件安全漏洞的检测软件安全检查技术通常采用两种策略，第一种是被动式策略，第二种是主动式策略。所谓被动式策略就是基于主机之上，对系统中不合适的设置、脆弱的口令以及其他与安全规则抵触的对象进行检查;而主动式策略是基于网络的，它通过执行一些脚本文件模拟对系统进行攻击的行为并记录系统的反应，从而发现其中的漏洞。利用被动式策略的扫描称为系统安全扫描，利用主动式的策略扫描称为网络安全扫描。（一）四种常用的计算机软件安全检测技术1.基于应用的检测技术。它采用被动的、非破坏性的办法检查应用软件包的设置，发现安全漏洞。 2.基于主机的检测技术。它采用被动的、非破坏性的办法对系统进行检测。通常，它涉及到系统的内核、文件的属性、操作系统的补丁等。这种技术还包括口令解密、把一些简单的口令剔除。因此，这种技术可以非常准确地定位系统的问题，发现系统的漏洞。它的缺点是与平台相关，升级复杂。 3.基于目标的漏洞检测技术。它采用被动的、非破坏性的办法检查系统属性和文件属性，如数据库、注册号等。通过消息文摘算法，对文件的加密数进行检验。这种技术的实现是运行在一个闭环上，不断地处理文件、系统目标、系统目标属性，然后产生检验数，把这些检验数同原来的检验数相比较。一旦发现改变就通知管理员。 4. 基于网络的检测技术。它采用积极的、非破坏性的办法来检验系统是否有可能被攻击崩溃。它利用了一系列的脚本模拟对系统进行攻击的行为，然后对结果进行分析。它还针对已知的网络漏洞进行检验。网络检测技术常被用来进行穿透实验和安全审记。这种技术可以发现一系列平台的漏洞，也容易安装。但是，它可能会影响网络的性能。计算机软件安全的检测形式化安全测试。该安全检测方法是确立软件的数学模型，通过形式规格说明语言的支持提供形式化的规格说明。比较常用的形式规格语言有基于模型的语言、基于有限状态的语言及基于行为的语言。有定理证明与模型检测两种形式化安全检测的方法。（二）基于模型的安全功能测试。该方法是对计算机软件的行为与结构通过建模的方式生成测试模型，以测试模