摘 要：如今，計(jì)算機(jī)信息網(wǎng)絡(luò)已經(jīng)在各個領(lǐng)域得到了廣泛應(yīng)用，并逐步改變著人們的工作、學(xué)習(xí)和生活方式。因此，在我們應(yīng)用計(jì)算機(jī)軟件系統(tǒng)過程中，確保計(jì)算機(jī)軟件的安全至關(guān)重要，由此而出現(xiàn)的安全漏洞檢測技術(shù)越來越被人們所重視。本文分析了計(jì)算機(jī)軟件安全漏洞檢測技術(shù)中的靜態(tài)檢測技術(shù)和動態(tài)檢測技術(shù)，并就安全漏洞檢測技術(shù)的應(yīng)用進(jìn)行了探究，旨在保證計(jì)算機(jī)軟件的應(yīng)用安全。

關(guān)鍵詞：計(jì)算機(jī)軟件；安全漏洞檢測技術(shù)；應(yīng)用

中圖分類號：TP393.08

隨著信息時代的發(fā)展，使得計(jì)算機(jī)軟件正發(fā)揮著越來越重要的作用，各類源代碼也隨之迅速增加。部分黑客開始針對計(jì)算機(jī)軟件系統(tǒng)中的源代碼漏洞進(jìn)行攻擊，竊取數(shù)據(jù)信息或者破壞系統(tǒng)，給計(jì)算機(jī)用戶帶來嚴(yán)重?fù)p害。有數(shù)據(jù)統(tǒng)計(jì)表明，目前的計(jì)算機(jī)軟件漏洞問題越來越明顯，而針對軟件的攻擊也呈現(xiàn)利益化傾向。因此，必須不斷加強(qiáng)計(jì)算機(jī)軟件的安全漏洞檢測技術(shù)，才能確保計(jì)算機(jī)軟件的穩(wěn)定運(yùn)行。

1 計(jì)算機(jī)軟件安全漏洞檢測技術(shù)

1.1 靜態(tài)檢測技術(shù)

初始的計(jì)算機(jī)軟件安全漏洞靜態(tài)檢測即為靜態(tài)分析，然而因其檢驗(yàn)方式大都停留表面狀態(tài)，所以近年有所創(chuàng)新拓展。其逐漸發(fā)展為靜態(tài)分析和程序檢驗(yàn)兩項(xiàng)內(nèi)容。靜態(tài)分析主要是對系統(tǒng)程序的源代碼進(jìn)行掃描，再從語義語法等各個角度開展認(rèn)真解析工作，并且分析需要檢測系統(tǒng)程序的自身特性情況，由此查找系統(tǒng)安全漏洞。程序檢驗(yàn)則主要是面向抽象系統(tǒng)里的程序源代碼進(jìn)行檢驗(yàn)。重點(diǎn)檢測軟件系統(tǒng)程序能否與計(jì)算機(jī)需求相匹配，尤其是安全情況，再判斷和檢驗(yàn)是否存在安全漏洞問題。

針對靜態(tài)檢測而言，更為關(guān)注軟件系統(tǒng)程序之內(nèi)部特性情況，其檢測特點(diǎn)與漏洞特點(diǎn)具有直接關(guān)聯(lián)。安全漏洞的劃分方法有多種，漏洞可以分為諸多細(xì)小組成部分，但漏洞類別上的共同點(diǎn)很少。因此為將漏洞更好地區(qū)分，可分為安全性和內(nèi)存性兩種漏洞。其中安全性漏洞主要看是否存在數(shù)據(jù)流誤差與錯誤，通常因錯誤內(nèi)存形態(tài)和情況決定；而內(nèi)存性漏洞主要看類別和數(shù)據(jù)是否準(zhǔn)確。因此進(jìn)行空間建模是最有效的檢測手段。此外，因靜態(tài)檢測技術(shù)特性區(qū)別較大，漏洞解讀和處理時也存在區(qū)別，所以通常只能檢驗(yàn)特定漏洞。

（1）靜態(tài)分析。靜態(tài)分析主要是對系統(tǒng)程序的源代碼進(jìn)行掃描，并且找出關(guān)鍵句和語法，通過解讀其含義對程序行為開展分析，之后嚴(yán)格根據(jù)漏洞特性和系統(tǒng)安全標(biāo)準(zhǔn)完成檢測工作。首先是分析關(guān)鍵句和語法，該方法早期就已用作靜態(tài)分析，但早其僅檢查語法方面。把系統(tǒng)程序劃分為片段，同時將這些片段與“疑問數(shù)據(jù)庫”開展對比分析，如發(fā)現(xiàn)存在漏洞或者存有疑問，則進(jìn)行啟發(fā)式評估和判定工作。由此可見，其雖然能夠檢測其中的漏洞，然而畢竟檢測數(shù)量有限，并且檢測出的漏洞大都早已知道，還存在漏報(bào)問題；其次，根據(jù)相關(guān)標(biāo)準(zhǔn)開展嚴(yán)格檢測。一般而言系統(tǒng)程序能夠穩(wěn)定運(yùn)行即是安全標(biāo)準(zhǔn)?？赏ㄟ^規(guī)則處理檢測方法，針對該標(biāo)準(zhǔn)進(jìn)行語法模式的描述，之后經(jīng)由規(guī)則處理器接收轉(zhuǎn)變?yōu)閮?nèi)部表述形式，從而全面檢測系統(tǒng)程序運(yùn)行情況。

（2）程序檢驗(yàn)。程序檢驗(yàn)主要是通過抽象軟件系統(tǒng)程序來得到形式化的程序和模型，之后進(jìn)行形式化檢測，再通過科學(xué)檢驗(yàn)方法檢測軟件系統(tǒng)漏洞情況。首先，檢驗(yàn)?zāi)Ｐ?。主要是對系統(tǒng)程序有向圖和狀態(tài)機(jī)等建立抽象模型，并且檢測系統(tǒng)的特征。通常而言有符號化檢驗(yàn)和模型自動轉(zhuǎn)化檢驗(yàn)兩種方法。符號化檢驗(yàn)主要將抽象模型變?yōu)檎Z法樹來開展公式描述，再判斷公式與需求是否相符；而模型自動轉(zhuǎn)化主要把程序變?yōu)榈葍r自動機(jī)，再把兩個自動機(jī)進(jìn)行補(bǔ)充替換為新的自動機(jī)，最終已判定系統(tǒng)變?yōu)榭扇菁{的語言形式。模型檢驗(yàn)通常先列舉現(xiàn)實(shí)可能存在的情況，而軟件系統(tǒng)的復(fù)雜性決定了不能全部建模，所以只能針對部分屬性和程序開展抽象建模。然而近年來新模型檢測技術(shù)有所發(fā)展，其通過內(nèi)存建模來檢驗(yàn)過去的時序漏洞，再通過定理證明檢測漏洞，相對而言嚴(yán)密性更強(qiáng)。針對靜態(tài)檢測而言，只能檢驗(yàn)現(xiàn)有漏洞類別，因?yàn)闆]有漏洞描述標(biāo)準(zhǔn)，無法判定和描述未知漏洞。而對現(xiàn)有漏洞也沒有全面覆蓋的有效方法，因此靜態(tài)檢測在性能上缺陷較大，而要想提高其檢測質(zhì)量所以資金投放也較大。

1.2 動態(tài)檢測技術(shù)

（1）內(nèi)存映射。大部分攻擊者都會利用“NULL結(jié)尾字符串開展內(nèi)存覆蓋來完成攻擊操作。通過代碼頁映射技術(shù)能夠增加內(nèi)存覆蓋的難度，無法輕松跳轉(zhuǎn)到內(nèi)存區(qū)進(jìn)行操作。換個角度分析，由于代碼頁隨機(jī)內(nèi)存映射，某種程度上也減少了通過猜測地址開展頁面攻擊的情況。

（2）非執(zhí)行棧。如今出現(xiàn)了許多棧攻擊軟件問題，其根本原因是系統(tǒng)里棧的能寫及執(zhí)行方面存在問題。棧里包括內(nèi)部變量和數(shù)組變量，所以攻擊者可以隨意在棧里寫入惡意代碼，再想方設(shè)法執(zhí)行代碼。因此如果把棧轉(zhuǎn)變?yōu)闊o法執(zhí)行代碼形式即可有效預(yù)防攻擊。

（3）安全共享庫。許多軟件安全漏洞都是因共享庫不安全導(dǎo)致。通過應(yīng)用安全共享庫可以有效預(yù)防人為攻擊。這里的安全共享庫主要指采取動態(tài)鏈接在程序運(yùn)行時攔截不安全的函數(shù)，同時檢測這些函數(shù)。通常在windows和UNIX操作系統(tǒng)中應(yīng)用較廣。

（4）沙箱方法。主要指通過限制程序進(jìn)行資源訪問來預(yù)防惡意攻擊行為，如C語言里的調(diào)動函數(shù)，軟件當(dāng)中實(shí)際上并沒有調(diào)動函數(shù)存在，當(dāng)發(fā)覺軟件運(yùn)行中存在類似調(diào)動函數(shù)時，表明其已經(jīng)遭受到了攻擊。因此，使用沙箱的方法可以在被攻擊前限定其惡意攻擊行為，即使受到攻擊也不會造成損害。

2 計(jì)算機(jī)軟件安全漏洞檢測技術(shù)的應(yīng)用

2.1 防止競爭性漏洞

針對由于競爭條件出現(xiàn)的漏洞，預(yù)防時應(yīng)當(dāng)將競爭形成的編碼使用原子化操作方法。作為執(zhí)行單位里最小的編碼，程序運(yùn)行不會出現(xiàn)任何干擾問題。而所謂原子化操作主要是先鎖定，通過預(yù)防某種特定狀態(tài)改變所形成之問題，從而間接調(diào)用應(yīng)用文件名的系統(tǒng)，從而描述所用文件或者句柄。

2.2 防止緩沖區(qū)漏洞

針對緩沖區(qū)漏洞溢出問題，預(yù)防時可通過檢查軟件程序里的危險(xiǎn)函數(shù)來實(shí)現(xiàn)，應(yīng)用安全軟件版本取代可能存在安全問題的版本。如把原版本externchar*strcat使用externchar*strncat來取代。

2.3 防止隨機(jī)性漏洞

針對隨機(jī)漏洞問題，預(yù)防時可通過使用性能良好的隨機(jī)發(fā)生設(shè)備來實(shí)現(xiàn)。由于設(shè)備自帶有密碼算法，能夠確保隨機(jī)數(shù)流安全，即使遇到軟件攻擊情況，掌握算法細(xì)節(jié)，也無法得到相應(yīng)的數(shù)據(jù)流。

2.4 防止字符串漏洞

針對字符串漏洞，預(yù)防時可在數(shù)碼里直接使用格式常量，從而使攻擊者無法創(chuàng)建任何格式串。通常個數(shù)函數(shù)如果不定參數(shù)，均存在字符串漏洞問題，因此應(yīng)用該類函數(shù)要確保各個參數(shù)個數(shù)和均衡性能達(dá)標(biāo)。此外也可通過Windows操作系統(tǒng)下屬的窗口完成數(shù)據(jù)輸出任務(wù)，從而降低漏洞威脅。

3 結(jié)束語

總之，目前情況下，計(jì)算機(jī)軟件安全漏洞檢測技術(shù)正逐步發(fā)展為檢測計(jì)算機(jī)通信及系統(tǒng)安全的重要方法，而編寫軟件程序消除安全漏洞已成為保證計(jì)算機(jī)軟件安全的重要措施。因此，相關(guān)人員必須繼續(xù)努力，不斷加強(qiáng)計(jì)算機(jī)軟件的安全漏洞檢測技術(shù)，從而確保計(jì)算機(jī)軟件的穩(wěn)定運(yùn)行。

參考文獻(xiàn)：

[1]齊燕.淺談計(jì)算機(jī)軟件中安全漏洞檢測技術(shù)的應(yīng)用[J].信息與電腦（理論版），2010（10）.

[2]李永華，竇春鐵.談計(jì)算機(jī)安全漏洞動態(tài)檢測的原理方法與實(shí)踐[J].數(shù)字技術(shù)與應(yīng)用，2010（03）.

[3]薛磊磊.談計(jì)算機(jī)安全漏洞動態(tài)檢測的原理方法與實(shí)踐[J].科技促進(jìn)發(fā)展（應(yīng)用版），2010（10）.

[4]宋超臣，黃俊強(qiáng)，王大萌.計(jì)算機(jī)安全漏洞檢測技術(shù)綜述[J].信息網(wǎng)絡(luò)安全，2012（01）.

作者簡介：高妍（1980.08-），女，碩士，講師，研究方向：計(jì)算機(jī)應(yīng)用。

作者單位：遼寧建筑職業(yè)學(xué)院，遼寧遼陽 111000