《密碼與安全新技術專題》第11周做業

《密碼與安全新技術專題》第11周做業

課程：《密碼與安全新技術專題》

班級： 1892
姓名： 楊晨曦
學號：20189208
上課教師：王志強
上課日期：2019年5月7日

1、本次講座的學習總結

1. 引言

安全漏洞：缺陷、不足、未受權的狀況；
安全漏洞是網絡攻擊和防護的關鍵點；
安全事件的根本緣由在於安全漏洞；
漏洞挖掘：找漏洞
漏洞利用：出發漏洞，攻、證
漏洞防護：修復、提早防護

2. 常見漏洞挖掘技術

• 手工測試
  • 憑經驗檢驗脆弱點
  • 無規律可循 不可大規模
• 補丁對比
  • 文本（男定位，輸出難理解）
  • 彙編指令（易理解，輸出範圍大，難定位）
  • 優勢：發現速度快
  • 缺點：已知漏洞
  • 常見工具：PatchDiff二、bindiff
• 程序分析
  • 包括靜態和動態
  • 不運行程序，掃描代碼
  • 優勢：覆蓋率100%，自動化程度高
  • 缺點：漏報和誤報（RICE,程序分析問題不可斷定）
• 二進制審覈
  • 定義：源代碼不可得，逆向獲取二進制代碼
  • 缺點：逆向致使信息丟失，理解困難，甚至邏輯錯誤
  • 工具：IDA Pro、Ollydbg、UltraEdit、Hex Workshop、WinHex
• 模糊測試
  • 定義：經過向被測目標輸入大量的機型數據並檢測其異常來發現漏洞
  • 關鍵：測試用例構造、自動化
  • 優勢：無需源碼、誤報低、自動化程度高
  • 缺點：覆蓋率低
  • 工具：Peach、Sulley、Autodafe、SPIKE

3. 漏洞挖掘示例

• bash漏洞：遠程在系統上執行任意代碼 危害大、範圍廣。
• 路由器協議漏洞挖掘
  • 系統架構
  • 實驗結果
    （1）向161端口發送大量畸形SNMP get/set 請求報文，畸形的數據包中包含長格式化字符串「%s...」的SNMPv1 GetRequest報文Cisco路由器和華爲路由器的進程Agent出現CPU使用率異常。
    （2）當遠程發送SNMP空數據包時，Cisco路由器和華爲路由器的CPU使用率出現異常，但遠小於100%，發生「輕度拒絕服務」
    （3）當遠程發送一個畸形ASN.1/BER編碼（超長字符串）的SNMP數據包時，wireshark捕獲並解析數據包致使棧溢出、空指針引用並崩潰。
    （4）當向SNMP協議端口遠程發送一個使用「/x」等字符構造的畸形UDP數據包，科來網絡分析系統7.2.1及之前版本均會因邊界檢查不嚴而致使崩潰
• NFC漏洞挖掘
  • 定義：近距離的雙向高頻無線通訊技術；
  • 特色：距離短一次只能和一臺設備鏈接、硬件安全模塊加密、保密性安全性好
  • 目標選擇：NFC手機系統和應用
  • 結果：
    （1）NFC拒絕服務，影響Android4.4如下支持NFC的全部版本。
    （2）打開手電筒，華爲、小米等定製系統設計缺陷，在啓動com.android.systemui的包時致使MIUI系統在觸碰該標籤時自動打開系統手電筒。
    （3）打開藍牙：使用系統版本爲Android4.1.3如下等多個版本的NFC手機觸碰藍牙配對標籤，致使藍牙被自動打開。
    （4）打開WiFi：邏輯漏洞，MIUI系統5.3.0等多個版本，受i觸碰包含WiFi鏈接報文的標籤後，系統WiFi會被自動打開。
    （5）應用程序拒絕服務：報文解析錯誤。
    （6）屏幕亮度漏洞：設計缺陷，NFC手機觸碰標籤能夠將屏幕亮度設置在0-255的任意值，突破亮度限制0-100

2、學習中遇到的問題及解決

• 問題1：邊界檢查是什麼？
• 問題1解決方案：邊界檢查在程序設計中是指在使用某一個變量前，檢查該變量是否處在一個特定範圍以內。最多見的是數組的下標檢查，防止下標超出數組範圍而覆蓋其餘數據。如果邊界檢查未能有效發現錯誤，最多見的結果是程序出現異常並終止運行。

3、本次講座的學習感悟、思考等）

漏洞挖掘是安全圈的一個核心之一，可是隨着各大廠商安全意識的加強，以及各種waf的出現。一些像sql注入，文件上傳，命令執行這些漏洞也不是那麼好挖了。而面對大的廠商，就像各類src，資產豐富，業務龐大。可是漏洞挖掘有不少工具可使用 。

4、漏洞挖掘最新研究現狀

1. Software Vulnerability Analysis and Discovery Using Machine-Learning and Data-Mining Techniques: A Survey

軟件安全漏洞是計算機安全領域的關鍵問題之一。 因爲他們的潛在的高嚴重性影響，在過去幾十年中已經提出了許多不一樣的方法來減輕影響軟件漏洞的損害。 機器學習和數據挖掘技術也屬於其中解決這個問題的方法不少。 在本文中對許多不一樣的內容進行了普遍的回顧適用於利用機器學習和數據挖掘技術的軟件漏洞分析和發現領。 咱們回顧了這個領域的不一樣類別的做品，討論了兩個優勢和缺點，並指出挑戰和該領域的一些未知領域.

2. Do Bugs Foreshadow Vulnerabilities? A Study of the Chromium Project

因爲開發人員面臨着不斷增長的安全軟件壓力，研究人員正在創建一種理解安全敏感的錯誤（即漏洞）。對最小化軟件庫的研究大大增長了咱們的理解經過對bug的實證研究來提升軟件質量。然而，具體的漏洞與漏洞不一樣：它們表明着濫用功能，而不是錯誤或功能不足，一般與傳統的，非安全性錯誤相關聯。在在這項研究中，咱們對Chromium進行了深刻分析項目以經驗檢查錯誤之間的關係和漏洞。咱們在發佈後挖掘了374,686個錯誤和703個錯誤五個Chromium版本的漏洞，跨越六年發展。使用邏輯迴歸分析，咱們檢查瞭如何各類類型的預發佈錯誤（例如穩定性，兼容性，等）與釋放後漏洞相關聯。雖然咱們發現預釋放之間存在統計學上顯着的相關性錯誤和發佈後的漏洞，咱們也發現協議很弱。功能數量，SLOC和數量一般，預發佈安全漏洞更緊密地聯繫在一塊兒發佈後漏洞比咱們的任何非安全漏洞都要多錯誤類別。在另外的分析中，咱們發現了這些文件缺陷密度最高的文件與文件不相交脆弱性密度最高。這些結果代表存在錯誤保證，漏洞是經驗上不一樣的羣體須要針對漏洞進行更多研究.

3. Automatic Detection and Correction of Web Application Vulnerabilities using Data Mining to Predict False Positives

Web應用程序安全性是當今的一個重要問題互聯網。這種狀態的一個主要緣由是許多程序員對安全編碼沒有足夠的瞭解，因此他們留下了漏洞的應用程序。一種方法解決這個問題就是用源代碼靜態分析來查找這些錯誤，但衆所周知這些工具報告許多錯誤積極的努力，糾正應用程序的任務。本文探討了混合方法的使用以較少的誤報檢測漏洞。初步以後使用污點分析標記候選漏洞的步驟，咱們的方法使用數據挖掘來預測假的存在陽性。這種方法在兩種截然相反的方法之間進行權衡：人類對知識進行編碼關於漏洞（用於污點分析）與自動對比得到這些知識（機器學習，數據礦業）。鑑於這種更精確的檢測形式，咱們經過在源代碼中插入修復來進行自動代碼校訂。該方法在WAP工具1中實現而且進行了大量開放的實驗評估源PHP應用程序。

4. Using Social Network Analysis for Mining Collaboration Data in a Defect Tracking System for Risk and Vulnerability Analysis

開源軟件項目的特色是自我或組織和動態，世界各地的志願者主要由自我激勵（而不必定是通常的補償）驅動，爲軟件產品作出貢獻和合做。與近源或專有相反軟件，組織結構和任務分配在開源項目設置中是非結構化的。軟件項目經理執行風險，威脅和漏洞分析，以得到對組織結構的看法下降風險或下降風險。例如，這很重要讓項目經理了解關鍵問題員工，核心團隊，主題專家，分組，領導者和溝通橋樑。軟件存儲庫（如缺陷跟蹤系統，版本控制系統和郵件列表）包含大量有價值的信息，能夠經過挖掘來實際解決有用的軟件工程任務。在本文中，咱們提出了一個礦井缺陷跟蹤系統的系統方法，軟件項目中的威脅和漏洞分析。 從缺陷跟蹤系統中獲取協做網絡並應用社交網絡分析技術進行調查爲風險和脆弱性分析而導出的網絡。咱們對錯誤報告進行實證分析Mozilla Firefox項目的數據並呈現結果咱們的分析。咱們展現了重要的信息關於風險和脆弱性能夠從靜態記錄保存中發現網絡分析技術軟件檔案，如錯誤跟蹤系統。

5. Beyond Heuristics: Learning to Classify Vulnerabilities and Predict Exploits

對現代系統管理的安全要求是巨大的，而且愈來愈嚴重。這些要求中最重要的是，管理員必須監控持續不斷披露的軟件漏洞，這些漏洞可能以某種方式危及其系統。此類漏洞包括緩衝區溢出錯誤，未正確驗證的輸入以及其餘意外的攻擊模式。 2008年，披露了超過7,400個新漏洞 - 每週超過100個漏洞。雖然沒有企業受到全部企業的影響在這些披露中，管理員一般會在他們管理的軟件系統中面臨許多出色的漏洞。能夠經過補丁，從新配置等來解決漏洞問題
解決方法;然而，這些行爲可能會致使停工或不可預見的反作用。所以，系統管理員的一個關鍵問題是優先考慮哪些漏洞。從記錄過去漏洞的可公開獲取的數據庫中，咱們展現瞭如何使用分類器來預測漏洞是否以及什麼時候被利用。做爲輸入，咱們的分類器操做高度的特徵向量，咱們從現有漏洞披露報告中的文本字段，時間戳，交叉引用和其餘條目中提取。與基於專家知識和靜態公式的當前行業標準的heuris tics相比，咱們的分類器更準確地預測了個體漏洞是否以及多久可能被利用。

參考資料

-Software Vulnerability Analysis and Discovery Using Machine-Learning and Data-Mining Techniques: A Survey

• Do Bugs Foreshadow Vulnerabilities? A Study of the Chromium Project
• Automatic Detection and Correction of Web Application Vulnerabilities using Data Mining to Predict False Positives
• Using Social Network Analysis for Mining Collaboration Data in a Defect Tracking System for Risk and Vulnerability Analysis
• Beyond Heuristics: Learning to Classify Vulnerabilities and Predict Exploits