Java中存在的内存漏洞问题与处理

java语言中,其内存管理工作是由一个后台垃圾自动收集器(Garbage collector)完成的,但在java编程中,仍然存在这内存漏洞,内存管理仍旧是要考虑的问题,在本文中,您将了解到什么导致了java的内存漏洞以及这些问题的处理。

基于行为模式的漏洞检测方法

目前基于符号执行的漏洞检测工作仍存在漏洞类型有限和未能精确描述检测到的漏洞类型等问题。首先,通过深入分析常见内存损坏漏洞的形成原因和行为模式,提出了一种通用的基于行为模式的漏洞检测方法,覆盖更多的漏洞类型,并且在检测到漏洞的同时自动确定漏洞类型。最后,设计并实现了一个自动化漏洞检测框架,并通过实验验证了其有效性。研究成果对于提高网络空间安全能力具有一定的意义和价值。

基于抽象内存模型的内存相关漏洞检测方法

针对现有的内存相关漏洞检测方法中存在依赖指针数据流而导致大量误报漏报、缺乏漏洞特征的形式化描述以及漏洞特征描述不全面的问题,提出一种基于抽象内存模型的内存相关漏洞检测方法。对抽象内存模型进行相关定义;基于抽象内存模型,对内存泄露、重复释放内存和读写释放后的内存这三种与内存相关的漏洞类型的特征进行形式化符号表示;基于代码的控制流图,利用可行路径求解算法得到代码的所有可行路径,并对所有可行路径上的抽象内存进行运行时状态判定,从而检测代码是否存在内存相关的漏洞;使用Juliet Test Suite中的CWE401、CWE415、CWE416三个内存相关漏洞的测试数据集对提出的检测方法进行验证,实验结果表明,相比依赖指针数据流的检测方法,该方法在内存相关漏洞检测的误报率和漏报率均降低。

基于内存保护技术的二进制内存破坏型漏洞攻击防护方法研究

新冠疫情在全球的爆发,进一步加速了全球各行业数字化转型的进程.信息化资产价值越来越高,信息安全问题随之而来.漏洞攻击是近年来安全事件频发的根源,漏洞防护能力直接影响了系统的安全,如何在没有补丁的情况下防止漏洞利用成为迫切需求.漏洞利用攻击防护也成为信息安全攻防对抗领域的一个重要研究内容,对二进制漏洞防护方法进行研究,提出了一种新的方法来应对日益增长的漏洞攻击.

国家信息安全漏洞通报

(2020年2月)漏洞态势一、公开漏洞情况根据国家信息安全漏洞库(CNNVD)统计,2020年2月份新增安全漏洞共1246个,从厂商分布来看,Microsoft公司产品的漏洞数量最多,共发布102个;从漏洞类型来看,缓冲区错误类的漏洞占比最大,达到12.04%。本月新增漏洞中,超危漏洞179个、高危漏洞473个、中危漏洞571个、低危漏洞23个,相应修复率分别为73.18%、81.40%、69.70%以及82.61%。合计933个漏洞已有修复补丁发布,本月整体修复率74.88%。

ARM指针认证机制研究综述

内存错误漏洞是以不安全语言编写软件系统中安全性和可靠性问题的主要原因。这些漏洞常被用来将代码执行重定向到攻击者控制的位置。诸如代码复用攻击这样的内存错误漏洞利用的流行促使主要处理器制造商设计基于硬件的防御机制。一个例子是ARMv8.3中引入的指针认证(PAuth)机制。PAuth使用签名密钥和指针上下文信息对指针进行签名,上下文信息是缩小保护范围和开发不同类型安全机制的关键元素。通过使用轻量级分组密码算法QARMA64并将指针认证码(PAC)存储在指针未使用位中,PAuth可以较小的性能和存储开销检查指针的完整性。当前一些研究使用PAuth降低内存安全机制的性能开销,还有一些研究基于PAuth提高控制流完整性的保护精度。虽然PAuth受到越来越多的关注,但它仍然遭受暴力攻击和PAC伪造攻击。因此,很有必要对当前基于PAuth的安全应用进行总结,并分析其存在的问题。本文首先介绍内存错误漏洞利用的相关背景和相应的保护机制。然后,我们详细介绍了PAuth机制的详细信息,包括硬件支持、加密算法和密码密钥管理,及其潜在的安全问题。然后,我们总结了当前基于PAuth的内存安全和控制流完整性的研究,特别是指针上下文的选择方法。最后,基于我们的调查,讨论和展望ARM PAuth未来可能的研究方向。未来的研究方向可能包括以下几个方面:PAuth密钥管理和上下文选择、针对推测攻击的防御,以及PAuth与其他ARM安全机制的结合使用。

软件二进制代码重用技术综述

在当前的计算机系统架构和软件生态环境下,ROP(return-oriented programming)等基于二进制代码重用的攻击技术被广泛用于内存漏洞利用.近年来,网络空间安全形势愈加严峻,学术界、工业界分别从攻击和防护的角度对二进制代码重用技术开展了大量研究.首先介绍了二进制代码重用技术的基础.然后分析了二进制代码重用攻击技术的演变和典型攻击向量.同时,对基于控制流完整性和随机化的防护方法进行了讨论,对工业界最新的二进制代码重用防护机制CET(control-flow enforcement technology)和CFG(control flow guard)进行了剖析.最后讨论了二进制代码重用技术今后的发展方向,包括潜在的攻击面和防御机制增强的思路.

基于字段完整性的内存破坏漏洞检测方法

为了有效地检测二进制程序的内存破坏漏洞,根据数据结构中字段独立性的特征,提出了一种基于字段完整性的漏洞检测方法.利用基于字段格式的动态污点技术记录二进制程序的执行轨迹,由此分析出目标程序中与输入数据相关的数据结构.依据输入数据结构中字段的完整性,比较输入字段与得到的数据结构,得到被内存破坏漏洞破坏的数据结构.通过定位被破坏的数据结构合理地检测内存破坏漏洞.实验表明该方法可以准确有效地检测出内存破坏漏洞.

Java垃圾收集的机制及调优

阐述Java垃圾收集的作用,归纳垃圾收集对Java应用性能的主要负面影响,分析垃圾收集的机制与算法,对垃圾收集提出调优办法。