期刊文献+

PHP程序污点型漏洞静态检测方法 被引量:9

Static detection method for tainted-style vulnerabilities of PHP application
下载PDF
导出
摘要 针对基于PHP语言开发的Web应用程序产生的污点型漏洞,提出一种静态代码分析检测的方法。提出的生成控制流图的算法,基于PHP内置函数解析PHP程序,生成抽象解析树,进而生成控制流图;对内置特征、入口点和敏感点进行建模,精确分析数据流;提出基于有效路径的污点分析方法,提高了分析的准确性,实现了基于变量回溯的路径遍历算法。实现了该方法的原型系统,并对两个广泛使用的PHP应用程序进行测试,发现了6个未公开漏洞和11个已公开漏洞,证明了该系统具有较强的漏洞检测能力。 This paper proposes a method based on static code analysis to detect vulnerabilities for PHP tainted-style vulnerability caused by Web Apps. Firstly, the paper provides the control flow graph generating algorithm. By employing the PHP built-in function, it analyzes the PHP program to construct the abstract parse tree, and then it generates the control flow graph. Secondly, it models the built-in features, the entry point and the sensitive point, and presents the data flow analysis approach. Then, it proposes the effective paths analysis approach based on taint analysis to improve the accuracy of the analysis and gives the variable backtracking algorithm. Finally, the paper implements the prototype of the approach,and tests on two widely used PHP applications and finds 6 undisclosed vulnerabilities and 11 disclosed vulnerabilities.
出处 《计算机工程与应用》 CSCD 北大核心 2018年第1期64-69,共6页 Computer Engineering and Applications
基金 国家高技术研究发展计划(863)(No.2012AA012902)
关键词 抽象解析树 控制流图 污点型漏洞 路径遍历 污点分析 abstract parse tree Control Flow Graph(CFG) tainted-style vulnerability path traversal taint analysis
  • 相关文献

参考文献4

二级参考文献99

  • 1陈火旺,王戟,董威.高可信软件工程技术[J].电子学报,2003,31(z1):1933-1938. 被引量:115
  • 2张振国,王晓霞.基于数据流分析的程序变量识别方法(Ⅱ)[J].陕西科技大学学报(自然科学版),2005,23(1):61-63. 被引量:1
  • 3汪小飞,赵克佳,田祖伟.数据流分析的关键技术研究[J].计算机科学,2005,32(12):91-93. 被引量:10
  • 4刘晓锋,吴亚娟,李明东,曾宪华.基于格的数据流分析框架研究[J].计算机工程与应用,2006,42(21):48-51. 被引量:1
  • 5CooperKD,TorczonL.编译器工程[M].冯速,译.北京:机械工业出版社,2006.
  • 6FISCHERCN,LEBLANCRJ.编译器构造:C语言描述[M].郑启龙,姚震,译.北京:机械工业出版社,2005:393-430.
  • 7SCOTTML.程序设计语言:实践之路[M].裘宗燕,译.北京:电子工业出版社,2005:733-774.
  • 8FRASERCW,HANSONDR.可变目标C编译器:设计与实现[M].王挺,黄春,译.北京:电子工业出版社,2005:167-194.
  • 9KILDALL G A. A unified approach to global program optimization [ C ]//Conference Record of the ACM Symposium on Principles of Programming Languages. New York : ACM, 1973 : 194 - 206.
  • 10AHOAV,LAMMs,SETHIR,等.编译原理[M].2版.赵建华,郑滔,戴新宇,译.北京:机械工业出版社,2010:395-403.

共引文献84

同被引文献92

引证文献9

二级引证文献18

相关作者

内容加载中请稍等...

相关机构

内容加载中请稍等...

相关主题

内容加载中请稍等...

浏览历史

内容加载中请稍等...
;
使用帮助 返回顶部