多维深度导向的Java Web模糊测试方法

随着Java Web的广泛应用,其安全问题日益突出。模糊测试作为一种有效的漏洞挖掘方法,目前已经被用于Java漏洞的检测。然而,由于Java Web应用代码规模庞大、业务逻辑复杂,现有的漏洞挖掘工具在模糊测试中存在随机性高、代码检测深度低的问题,导致漏洞挖掘的准确率较低。因此,文章提出基于多维深度导向的Java Web模糊测试方法。该方法使用Jimple作为待测Java Web应用字节码的三地址码中间表示,并生成代码对应的函数间调用图和函数内控制流图,在此基础上分析每个基本块的多维深度。同时,根据多维深度和模糊测试执行时间优化模糊测试指导策略,设计相应的输入结构解析策略、能量分配策略和变异算法调度策略,提升模糊测试的准确性。实验结果表明,相较于现有的模糊测试工具Peach和Kelinci,该方法能够在性能消耗较低的情况下取得更好的漏洞检测效果。

基于机器学习的模糊测试研究综述

模糊测试是当今比较流行的漏洞挖掘技术之一。传统的模糊测试往往需要大量人工参与,测试周期较长且测试效果依赖于专家经验。近年来,机器学习应用广泛,这为软件安全测试技术注入了新活力。一些研究工作使用机器学习技术对模糊测试过程进行优化和改进,弥补了传统模糊测试技术的诸多缺陷。文章对基于机器学习的模糊测试技术进行了全面分析。首先,总结了常见的漏洞挖掘方法、模糊测试过程与分类以及传统模糊测试技术的不足;然后,从模糊测试的测试用例生成、变异、筛选和调度等角度入手,着重介绍了机器学习方法在模糊测试技术中的应用研究,并结合机器学习和模糊测试实现其他功能的研究工作;最后,基于现有的工作分析总结了目前研究的局限性和面临的挑战,并对该领域未来的发展方向进行了展望。

机器学习在x86二进制反汇编中的应用研究综述

二进制反汇编技术是二进制漏洞检测、控制流完整性和代码相似度检测的核心。传统反汇编技术高度依赖于预先定义的启发式规则和专家知识,在函数识别、变量类型识别、控制流生成等任务中应用效果不够好。机器学习在序列和图数据结构处理上的发展为二进制分析注入了新活力,弥补了传统二进制逆向技术的缺陷,推动了二进制分析研究工作。文章从机器学习在x86二进制反汇编中的应用入手,对函数识别、函数指纹复原、数据流生成等任务的相关工作进行调研分析,首先总结反汇编的传统技术及难点;然后提炼在x86二进制反汇编中应用机器学习的一般工作模式,包括二进制特征提取、特征向量化、模型训练及评估,并依据特征包含的信息和嵌入方式分别对特征提取和向量化过程的方法进行分类,同时依据具体工作总结机器学习模型训练中的重要技术;最后基于研究现状总结已有工作的局限性和面临的挑战,阐述未来可能的研究方向。