基于符号执行的注入类安全漏洞的分析技术

采用符号值作为输入,模拟程序执行,提取执行路径上相应的约束条件,即安全约束、攻击约束以及防御约束,并构成可满足矩阵(SAT)以及不可满足矩阵(UNSAT)两个注入类漏洞安全分析与检测模型,矩阵模型的求解结果可映射为注入类安全漏洞的安全状态。对Web应用注入类漏洞的检测实验表明,与目前安全分析主流工具相比,该分析技术具有降低误报率、漏报率、能自动生成攻击向量等优点。

SQL注入漏洞的防范措施

SQL注入漏洞是软件漏洞中最为常见的一类漏洞,也是信息安全领域的一个研究热点。文章首先以SQL注入和命令注入为例,阐述了注入类程序漏洞的原理、分类和危害,并介绍了注入类漏洞的起始点、爆发点、传递链等概念。然后针对大型复杂系统的特点,给出了防范注入类漏洞缺陷的5个方法,特别是创新性地提出了基于大型复杂系统的数据流校验模型,并分析其优势。最后,对未来研究可能面临的挑战进行了展望。