一种基于静态分析技术的源代码安全检测模型.pdfVIP

一种基于静态分析技术的源代码安全检测模型1 粱婕，张淼，徐国爱，杨义先 北京邮电大学网络与交换技术国家重点实验室，北京（100876 ） E-mail ：liangjie_bupt@ 摘 要：本文介绍了当前主流的静态代码分析技术，在分析讨论其优缺点基础上提出了一种 新的静态代码检测模型。该模型结合了当前成熟的静态分析技术，并借鉴了编译器中数据流 和控制流分析的思想，获取上下文关联的数据信息，从而更加准确地分析代码中存在的安全 问题。 关键词：数据流分析，控制流分析，别名分析，静态代码分析，源代码检测 1. 引言 随着社会信息化的不断加深，人们不得不开始面对日益突出的信息安全问题。研究表明， 相当数量的安全问题都是由于软件自身存着的安全漏洞引起的。软件漏洞的产生，一方面可 能是设计人员在架构阶段没有明确用户对安全性方面的需求，在设计上没有考虑安全性，开 发人员使用有风险的库函数或者引用没有经过安全性测试的公共代码；另一方面，开发人员 可能为了测试方便在程序中开后门，或者别有用心的植入恶意代码