《密碼與安全新技術專題》第11周作業

課程：《密碼與安全新技術專題》

班級： 1892
姓名： 楊晨曦
學號：20189208
上課教師：王志強
上課日期：2019年5月7日

一、本次講座的學習總結

1. 引言

安全漏洞：缺陷、不足、未授權的情況；
安全漏洞是網絡攻擊和防御的關鍵點；
安全事件的根本原因在于安全漏洞；
漏洞挖掘：找漏洞
漏洞利用：出發漏洞，攻、證
漏洞防御：修復、提前防御

2. 常見漏洞挖掘技術

• 手工測試
  • 憑經驗檢驗脆弱點
  • 無規律可循 不可大規模
• 補丁對比
  • 文本（男定位，輸出難理解）
  • 匯編指令（易理解，輸出范圍大，難定位）
  • 優點：發現速度快
  • 缺點：已知漏洞
  • 常見工具：PatchDiff2、bindiff
• 程序分析
  • 包括靜態和動態
  • 不運行程序，掃描代碼
  • 優點：覆蓋率100%，自動化程度高
  • 缺點：漏報和誤報（RICE,程序分析問題不可判定）
• 二進制審核
  • 定義：源代碼不可得，逆向獲取二進制代碼
  • 缺點：逆向導致信息丟失，理解困難，甚至邏輯錯誤
  • 工具：IDA Pro、Ollydbg、UltraEdit、Hex Workshop、WinHex
• 模糊測試
  • 定義：通過向被測目標輸入大量的機型數據并檢測其異常來發現漏洞
  • 關鍵：測試用例構造、自動化
  • 優點：無需源碼、誤報低、自動化程度高
  • 缺點：覆蓋率低
  • 工具：Peach、Sulley、Autodafe、SPIKE

3. 漏洞挖掘示例

• bash漏洞：遠程在系統上執行任意代碼 危害大、范圍廣。
• 路由器協議漏洞挖掘
  • 系統架構
  • 實驗結果
    （1）向161端口發送大量畸形SNMP get/set 請求報文，畸形的數據包中包含長格式化字符串“%s...”的SNMPv1 GetRequest報文Cisco路由器和華為路由器的進程Agent出現CPU使用率異常。
    （2）當遠程發送SNMP空數據包時，Cisco路由器和華為路由器的CPU使用率出現異常，但遠小于100%，發生“輕度拒絕服務”
    （3）當遠程發送一個畸形ASN.1/BER編碼（超長字符串）的SNMP數據包時，wireshark捕獲并解析數據包導致棧溢出、空指針引用并崩潰。
    （4）當向SNMP協議端口遠程發送一個使用“/x”等字符構造的畸形UDP數據包，科來網絡分析系統7.2.1及以前版本均會因邊界檢查不嚴而導致崩潰
• NFC漏洞挖掘
  • 定義：近距離的雙向高頻無線通信技術；
  • 特點：距離短一次只能和一臺設備連接、硬件安全模塊加密、保密性安全性好
  • 目標選擇：NFC手機系統和應用
  • 結果：
    （1）NFC拒絕服務，影響Android4.4以下支持NFC的所有版本。
    （2）打開手電筒，華為、小米等定制系統設計缺陷，在啟動com.android.systemui的包時導致MIUI系統在觸碰該標簽時自動打開系統手電筒。
    （3）打開藍牙：使用系統版本為Android4.1.3以下等多個版本的NFC手機觸碰藍牙配對標簽，導致藍牙被自動打開。
    （4）打開WiFi：邏輯漏洞，MIUI系統5.3.0等多個版本，受i觸碰包含WiFi連接報文的標簽后，系統WiFi會被自動打開。
    （5）應用程序拒絕服務：報文解析錯誤。
    （6）屏幕亮度漏洞：設計缺陷，NFC手機觸碰標簽可以將屏幕亮度設置在0-255的任意值，突破亮度限制0-100

二、學習中遇到的問題及解決

• 問題1：邊界檢查是什么？
• 問題1解決方案：邊界檢查在程序設計中是指在使用某一個變量前，檢查該變量是否處在一個特定范圍之內。最常見的是數組的下標檢查，防止下標超出數組范圍而覆蓋其他數據。若是邊界檢查未能有效發現錯誤，最常見的結果是程序出現異常并終止運行。

三、本次講座的學習感悟、思考等）

漏洞挖掘是安全圈的一個核心之一，但是隨著各大廠商安全意識的增強，以及各類waf的出現。一些像sql注入，文件上傳，命令執行這些漏洞也不是那么好挖了。而面對大的廠商，就像各種src，資產豐富，業務龐大。但是漏洞挖掘有很多工具可以使用 。

四、漏洞挖掘最新研究現狀

1. Software Vulnerability Analysis and Discovery Using Machine-Learning and Data-Mining Techniques: A Survey

軟件安全漏洞是計算機安全領域的關鍵問題之一。 由于他們的潛在的高嚴重性影響，在過去幾十年中已經提出了許多不同的方法來減輕影響軟件漏洞的損害。 機器學習和數據挖掘技術也屬于其中解決這個問題的方法很多。 在本文中對許多不同的內容進行了廣泛的回顧適用于利用機器學習和數據挖掘技術的軟件漏洞分析和發現領。 我們回顧了這個領域的不同類別的作品，討論了兩個優點和缺點，并指出挑戰和該領域的一些未知領域.

2. Do Bugs Foreshadow Vulnerabilities? A Study of the Chromium Project

由于開發人員面臨著不斷增加的安全軟件壓力，研究人員正在建立一種理解安全敏感的錯誤（即漏洞）。對最小化軟件庫的研究大大增加了我們的理解通過對bug的實證研究來提高軟件質量。然而，具體的漏洞與漏洞不同：它們代表著濫用功能，而不是錯誤或功能不足，通常與傳統的，非安全性錯誤相關聯。在在這項研究中，我們對Chromium進行了深入分析項目以經驗檢查錯誤之間的關系和漏洞。我們在發布后挖掘了374,686個錯誤和703個錯誤五個Chromium版本的漏洞，跨越六年發展。使用邏輯回歸分析，我們檢查了如何各種類型的預發布錯誤（例如穩定性，兼容性，等）與釋放后漏洞相關聯。雖然我們發現預釋放之間存在統計學上顯著的相關性錯誤和發布后的漏洞，我們也發現協議很弱。功能數量，SLOC和數量通常，預發布安全漏洞更緊密地聯系在一起發布后漏洞比我們的任何非安全漏洞都要多錯誤類別。在另外的分析中，我們發現了這些文件缺陷密度最高的文件與文件不相交脆弱性密度最高。這些結果表明存在錯誤保證，漏洞是經驗上不同的群體需要針對漏洞進行更多研究.

3. Automatic Detection and Correction of Web Application Vulnerabilities using Data Mining to Predict False Positives

Web應用程序安全性是當今的一個重要問題互聯網。這種狀態的一個主要原因是許多程序員對安全編碼沒有足夠的了解，所以他們留下了漏洞的應用程序。一種方法解決這個問題就是用源代碼靜態分析來查找這些錯誤，但眾所周知這些工具報告許多錯誤積極的努力，糾正應用程序的任務。本文探討了混合方法的使用以較少的誤報檢測漏洞。初步之后使用污點分析標記候選漏洞的步驟，我們的方法使用數據挖掘來預測假的存在陽性。這種方法在兩種截然相反的方法之間進行權衡：人類對知識進行編碼關于漏洞（用于污點分析）與自動對比獲得這些知識（機器學習，數據礦業）。鑒于這種更精確的檢測形式，我們通過在源代碼中插入修復來進行自動代碼校正。該方法在WAP工具1中實現并且進行了大量開放的實驗評估源PHP應用程序。

4. Using Social Network Analysis for Mining Collaboration Data in a Defect Tracking System for Risk and Vulnerability Analysis

開源軟件項目的特點是自我或組織和動態，世界各地的志愿者主要由自我激勵（而不一定是一般的補償）驅動，為軟件產品做出貢獻和合作。與近源或專有相反軟件，組織結構和任務分配在開源項目設置中是非結構化的。軟件項目經理執行風險，威脅和漏洞分析，以獲得對組織結構的見解降低風險或降低風險。例如，這很重要讓項目經理了解關鍵問題員工，核心團隊，主題專家，分組，領導者和溝通橋梁。軟件存儲庫（如缺陷跟蹤系統，版本控制系統和郵件列表）包含大量有價值的信息，可以通過挖掘來實際解決有用的軟件工程任務。在本文中，我們提出了一個礦井缺陷跟蹤系統的系統方法，軟件項目中的威脅和漏洞分析。 從缺陷跟蹤系統中獲取協作網絡并應用社交網絡分析技術進行調查為風險和脆弱性分析而導出的網絡。我們對錯誤報告進行實證分析Mozilla Firefox項目的數據并呈現結果我們的分析。我們展示了重要的信息關于風險和脆弱性可以從靜態記錄保存中發現網絡分析技術軟件檔案，如錯誤跟蹤系統。

5. Beyond Heuristics: Learning to Classify Vulnerabilities and Predict Exploits

對現代系統管理的安全要求是巨大的，并且越來越嚴重。這些要求中最重要的是，管理員必須監控持續不斷披露的軟件漏洞，這些漏洞可能以某種方式危及其系統。此類漏洞包括緩沖區溢出錯誤，未正確驗證的輸入以及其他意外的攻擊模式。 2008年，披露了超過7,400個新漏洞 - 每周超過100個漏洞。雖然沒有企業受到所有企業的影響在這些披露中，管理員通常會在他們管理的軟件系統中面臨許多出色的漏洞。可以通過補丁，重新配置等來解決漏洞問題
解決方法;然而，這些行為可能會導致停工或不可預見的副作用。因此，系統管理員的一個關鍵問題是優先考慮哪些漏洞。從記錄過去漏洞的可公開獲取的數據庫中，我們展示了如何使用分類器來預測漏洞是否以及何時被利用。作為輸入，我們的分類器操作高度的特征向量，我們從現有漏洞披露報告中的文本字段，時間戳，交叉引用和其他條目中提取。與基于專家知識和靜態公式的當前行業標準的heuris tics相比，我們的分類器更準確地預測了個體漏洞是否以及多久可能被利用。

參考資料

-Software Vulnerability Analysis and Discovery Using Machine-Learning and Data-Mining Techniques: A Survey

• Do Bugs Foreshadow Vulnerabilities? A Study of the Chromium Project
• Automatic Detection and Correction of Web Application Vulnerabilities using Data Mining to Predict False Positives
• Using Social Network Analysis for Mining Collaboration Data in a Defect Tracking System for Risk and Vulnerability Analysis
• Beyond Heuristics: Learning to Classify Vulnerabilities and Predict Exploits

轉載于:https://www.cnblogs.com/Ychancy/p/10909164.html

總結

以上是生活随笔為你收集整理的《密码与安全新技术专题》第11周作业的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。