软件安全1软件安全概念

软件安全1软件安全概念第一页，共40页。目录软件的概念软件安全的概念软件安全的知识体系软件安全与其他相关领域的关系专有名称及定义软件安全工具简介第二页，共40页。软件的概念软件的定义

1983年IEEE为软件下的定义是：计算机程序、方法、规则和相关的文档资料以及在计算机上运行时所需的数据。目前对软件通俗的解释为：

软件=程序+数据+文档资料其中：程序是完成特定功能和满足性能要求的指令序列；数据是程序运行的基础和操作的对象；文档与程序开发、维护和使用有关的图文资料。第三页，共40页。软件安全的概念定义软件安全是指：采取工程的方法使得软件在敌对攻击的情况下仍能够继续正常工作。即采用系统化、规范化、和数量化的方法来指导构建安全的软件。McGraw博士提出了软件安全工程化的三个支柱风险管理：一种贯穿软件开发的生命周期的战略性方法；软件安全切入点：在软件开发生命周期中保障软件安全的一套最佳实际操作方法。这一套最佳实践方法包括：代码审核，体系结构风险分析，渗透测试，基于风险的安全测试，滥用案例，安全需求和安全操作。安全知识第四页，共40页。软件安全的概念软件安全威胁现状威胁P3表1.2对2009年互联网上20个攻击次数最多的恶意程序进行了统计。表1.3对2009年20个最常见的本地感染的威胁进行了统计。第五页，共40页。表1.22009年互联网上20个攻击次数最多的恶意程序序号名称攻击次数百分比1HEUR:Trojan.Script.Iframer985830413.392Trojan-Downloader.JS.Gumblar.x29404483.993not-a-virus:AdWare.Win32.Boran.z28751103.914HEUR:Exploit.Script.Generic25714433.495HEUR:Trojan-Downloader.Script.Generic15122622.056HEUR:Trojan.Win32.Generic13964961.97Worm.VBS.Autorun.hf11312931.548Trojan-Downloader.HTML.IFrame.sz9352311.279HEUR:Exploit.Script.Generic7526901.0210Trojan.JS.Redirector.l7056270.9611Packed.JS.Agent.bd5461840.7412Trojan-Clicker.HTML.Agent.aq3798720.5213HEUR:Trojan-Downloader.Win32.Generic3221660.4414Trojan.JS.Agent.aat2714480.3715Trojan-Downloader.Win32.Small.aacq2651720.3616Trojan-Clicker.HTML.IFrame.ani2246570.3117Trojan-Clicker.JS.Iframe.be2167380.318Trojan-Downloader.JS.Zapchast.m1931300.2719Trojan.JS.Iframe.ez1754010.2420not-a-virus:AdWare.Win32.GamezTar.a1700850.23第六页，共40页。表1.32009年20个最常见的本地感染的威胁序号对象检测出该对象的单个计算机数量1HEUR:Trojan.Win32.Generic30507532Net-Worm.Win32.Kido.ih29240623Virus.Win32.Sality.aa14079764Net-Worm.Win32.Kido.ir11767265UDS:DangerousObject.Multi.Generic6207166Packed.Win32.Black.d5277187Net-Worm.Win32.Kido.iq5181208HEUR:Worm.Win32.Generic5164679Virus.Win32.Virut.ce48885210not-a-virus:AdWare.Win32.Boran.z46610611Virus.Win32.Induc.a45579812HEUR:Trojan-Downloader.Win32.Generic43622913HEUR:Trojan.Win32.StartPage41224514MultiPacked.Multi.Generic37774115Trojan-Downloader.Win32.VB.eql36268516Worm.Win32.FlyStudio.cu36105617Trojan-Dropper.Win32.Flystud.yo35695018Packed.Win32.Black.a33370519Packed.Win32.Klone.bj32066520Trojan.Win32.Chifrax.a296947第七页，共40页。软件安全的概念软件安全威胁现状漏洞软件和操作系统漏洞是最危险的安全问题之一，提供给网络犯罪分支机会来绕开保护机制和攻击受害计算机。

P5表1.4对2009年20个最常见的漏洞进行了统计。表1.5CERT2009年漏洞统计表1.6CERT2009年漏洞发表情况表1.7漏洞数据库中的漏洞比例第八页，共40页。序号ID漏洞漏洞文件和应用程序的数量该数量的百分比（％）漏洞发布日期133632AppleQuickTimeMultipleVulnerabilities16565850535,8722.01.2009235091AppleQuickTimeMultipleVulnerabilities6864533814,8622.05.2009331821AppleQuickTimeMultipleVulnerabilities5814111312,5910.09.2008429293AppleQuickTimeMultipleVulnerabilities383689548,3110.06.2008523655MicrosoftXMLCoreServicesMultipleVulnerabilities89062771,9309.01.2007634012AdobeFlashPlayerMultipleVulnerabilities77289631,6725.02.2009734451SunJavaJDK/JREMultipleVulnerabilities67834141,4726.03.2009829320MicrosoftOutlook"mailto:"URIHandlingVulnerability63369621,3711.03.2008935364MicrosoftExcelMultipleVulnerabilities62902781,3609.06.20091035377MicrosoftOfficeWordTwoVulnerabilities60882071,3209.06.20091134572MicrosoftPowerPointOutlineTextRefAtomParsingVulnerability57046171,2403.04.20091231744MicrosoftOfficeOneNoteURIHandlingVulnerability56525701,2209.09.20081332270AdobeFlashPlayerMultipleSecurityIssuesandVulnerabilities50782211,116.10.20081435948AdobeFlashPlayerMultipleVulnerabilities50732971,123.07.20091530285MicrosoftOfficeWordMultipleVulnerabilities49845821,0809.12.2008表1.42009年15个最常见的漏洞第九页，共40页。表1.5CERT2009年漏洞统计年份登记的漏洞数登记的漏洞数（来源于CERT）1-3季度，200860583102007723635720068064345200559902132004378017020033784191200241293432001243715320001090－1999417－1998262－1997311－1996345－1995171－总计44074第十页，共40页。表1.6CERT2009年漏洞发表情况年份发表的漏洞通知发表的安全技术警告发表的安全警告1-3季度，20081452922200736642312006422393720052852211200434127172003255－2002375－2001326－200047－19993－19988－总计2573159118第十一页，共40页。表1.7漏洞数据库中的漏洞比例分布比例2004200320022001操作系统1245(15%)163(16%)213(16％)248(16%)网络协议堆栈6(1%)6(1%)18(1%)8(1%)非服务器应用程序364(45%)384(38%)267(20%)309(21%)服务器应用程序324(40%)440(44%)771(59%)886(59%)硬件14(2%)27(3%)54(4%)43(3%)通讯协议28(3%)22(2%)2(0%)9(1%)加密模块4(0％)5(0%)0(0%)6(0%)其它5(1%)16(2%)27(2%)5(0%)第十二页，共40页。软件安全的知识体系GaryMcGraw认为软件安全的知识体系可以分为三大类：描述性知识、诊断性知识和历史知识。描述性知识：包括原则、方针、和规则。原则和方针是从方法论的高度进行定义和描述，规则是从代码级角度进行有针对性地抽象和统一。描述性知识类提供了一些建议，旨在说明该做什么和在构建安全的软件时应该避免什么。

第十三页，共40页。软件安全的知识体系诊断性知识：攻击模式、攻击程序和弱点。诊断性知识不仅包括关于实践的描述性陈述，其更重要的目标是帮助操作人员识别和处理导致安全攻击的常见问题。攻击模式采用较抽象的形式来描述常见的攻击程序，这种形式能够应用于跨越多个系统的情形，即在多个系统中均存在的攻击模式，该知识可被安全分析人员所利用，如基于滥用案例的可靠性检测等。攻击程序描述了弱点实例如何被用来对特定系统造成特别的安全危害。弱点知识是对真实系统中出现过并报告的软件弱点的描述历史知识类包括历史风险，在有些情形下也包括弱点的历史数据库。第十四页，共40页。软件安全的知识体系图1.1软件安全的统一知识体系结构第十五页，共40页。图1.5软件工程研究的内容软件安全与其他相关领域的关系16第十六页，共40页。17第十七页，共40页。专有名称及定义P16-18MAC缓冲区溢出字节码反汇编虚拟机DOS18第十八页，共40页。软件安全工具简介反汇编器反汇编器可以将二进制代码作为输入、生成包含整个或部分程序的汇编语言代码的文本文件的程序。汇编语言代码是目标代码简单的文本映射，所以这个转化过程计较简单。反汇编是一个与处理器相关的过程。IDAProHexRay的IDA（InteractiveDisassembler，交互式反汇编器）是一款功能强大的反汇编器。它支持多种不同的处理器架构，包括IA-32、IA-64、AMD64等。IDA还支持不同格式的可执行文件，如PE（PortableExecutable，Windows系统中使用）、ELF（ExecutableandLinkingFormat，在Linux/Unix系统中使用），苹果公司的Mac机的可执行文件、PDA/手持设备/手机中的ARM可执行文件等。第十九页，共40页。典型的IDAPro界面，显示了反汇编代码第二十页，共40页。IDAPro生成的函数流程图第二十一页，共40页。IDA生成的函数交互调用图，展示了程序中内部子例程之间是如何联系的，以及哪些例程调用了哪些API第二十二页，共40页。软件安全工具简介反汇编器W32DasmW32DASM是一个强大的反汇编工具，操作简单，使用方便。其基本功能包括：转到代码开始处（GotoCodeStart），转到程序入口点（GotoProgramEntryPoint），转移到页（GotoPage），转移到代码位置（GotoCodeLocation），执行文本跳转（ExecuteTextJump），执行呼叫（ExecuteTextCall），返回呼叫（ReturnFromLastCall），查看导入函数（Imported），查看导出函数（Exported）。第二十三页，共40页。W32Dasm的主窗口第二十四页，共40页。转到代码头，并查看输入函数第二十五页，共40页。针对.Net二进制代码的反汇编ILDasm可以将MSIL反汇编为使用的源程序语言第二十六页，共40页。软件安全工具简介调试器调试器可以让软件开发人员在程序运行的同时观察程序的运行过程和状态。它的两个基本功能是：设置断点和代码跟踪。分为用户模式和内核模式调试器。用户模式调试器OllyDbgOllyDbg内置了强大的反汇编器，且该反汇编器具有强大的代码分析能力，可以识别循环、switch控制块以及其它主要的代码结构。第二十七页，共40页。OllyDbg的主窗口第二十八页，共40页。软件安全工具简介调试器用户模式调试的是WinDbgWinDbg是Microsoft提供的免费调试器。它的反汇编能力有限，但在操作系统集成性方面，远远超过OllyDbg。WinDbg有强大的扩展性，可以提供大量有关各种内部系统的数据结构信息。第二十九页，共40页。OllyDbg的主窗口第三十页，共40页。WinDbg在用户模式调试LordPE.EXE第三十一页，共40页。内核模式调试器WinDbgSoftICE内核模式调试建议在虚拟机上第