《一种采用接口错误注入的构件安全性测试方法》.pdfVIP

小 型 微 型 计 算 机 系 统 2010年6月 第6期 JournalofChineseComputerSystems V01．31 No．6 2010 一 种采用接 口错误注入的构件安全性测试方法 陈锦富 ，卢炎生 ，谢晓东 (江苏大学计算机科学与通信工程学院，江苏镇江212013) (华中科技大学计算机科学与技术学院，湖北武汉430074) E—mail：cjfnet@126．corn 摘 要：构件特别是第三方构件的安全性是影响构件技术发展的重要因素．当前甚少将构件安全性问题作为一个专门的课题 来研究，也没有确实可行的方法和技术用来检测构件安全漏洞．构件的安全性问题仍然没有得到较好的解决．提 出一种基于接 口错误注入的构件安全性测试方法．方法首先给出构件脆弱性错误注入算子、断言规则库及其脆弱因子，然后基于错误注入算 子和断言规则库给出一种构件安全测试算法．算法根据错误注入算子有针对性地产生测试用例并执行测试，动态监测机制能实 时监测构件运行状态及异常信息．算法根据断言规则库、脆弱性因子及异常信息给出构件安全异常报告及构件安全等级．最后 在一集成测试平台中实现了该方法，同时做 了大量实验，并和FUZZ法进行了对比分析．实验结果表明所提 出的测试方法可操 作性强，且对构件脆弱性具有较好的检测效果． 关键 词：构件测试；构件安全；接口错误注入 ；错误注入算子；安全评估 中图分类号：TP311 文献标识码：A 文 章 编 号：1000—1220(2010)O6·1090-07 ComponentSecurityTestingApproachbyUsingInterfaceFaultInjcetion CHlZN Jin—fu ’，LU Yah—sheng ，XIE Xiao·dong (SchoolofCompu~rScienceandTelecommunicationEngineering，JiangsuUniversity，Zhenfiang212013，China) (SchoolofComputerScienceandTechnology，HuazhongUniversityofScienceand Technology，Wuhan430074，China) Abstract：n esecurityofcomponentsblockthedevelopmentofcomponenttechnology．Currently，componentsecuritytestingisrale- lyresearchedasaspecialsubject，andhterearenotsomefeasibleapproachesortechnologiesindetectingcomponentsecurityvulnera- bilities．Problemswiht htecomponentsecurityhavenotyetbeensolved．A testingapproachofcomponentsecuriyt Was proposed basde oninterfacefaultinjection．1]hefaulti~ectionoperatorsofcomponentvulnerabiliyt．predicationrulesnadvulnerabiliyt factor werefirstlypresentednadthenatestingalgorihtmofcomponentsecuritywasproposdebasdeont~aultinjectionoperatorsnadpredica。 tionrules．Thealgorithm generatestest-casesaccordingtofaultinjectionoperators．Thetestingprocessandexceptionalinformation couldbemonitoredandrceordde bydynamicmonitoringmechanism afterurnningtestedcomponent．1]hetestingrepo rtnadcompo nent sceuritylevelcouldbeobtainde bytestingalgorithm．Lastly，somee