安全漏洞檢測(cè)技術(shù)在計(jì)算機(jī)軟件中的應(yīng)用

李云

摘 要：隨著信息技術(shù)的不斷發(fā)展，計(jì)算機(jī)技術(shù)不斷更新，對(duì)計(jì)算機(jī)軟件的安全性也有了更高的要求，目前計(jì)算機(jī)軟件普遍面臨著安全問(wèn)題，要求計(jì)算機(jī)軟件中安全漏洞檢測(cè)技術(shù)不斷提高，以滿足計(jì)算機(jī)行業(yè)的應(yīng)用。文章通過(guò)對(duì)計(jì)算機(jī)軟件安全漏洞進(jìn)行詳細(xì)分析，提出幾點(diǎn)計(jì)算機(jī)軟件中安全漏洞檢測(cè)技術(shù)使用策略，以此為相關(guān)從業(yè)人員提高理論參考，以提高我國(guó)計(jì)算機(jī)軟件的穩(wěn)定性與安全性。

關(guān)鍵詞：計(jì)算機(jī)軟件;安全漏洞;檢測(cè)技術(shù)

近年來(lái)，我國(guó)計(jì)算機(jī)領(lǐng)域與電子商務(wù)飛速發(fā)展，計(jì)算機(jī)軟件安全問(wèn)題日益得到人們的關(guān)注，網(wǎng)絡(luò)環(huán)境的安全性對(duì)于人們?nèi)粘＿M(jìn)行網(wǎng)購(gòu)造成了很大的影響，更為惡劣的還有網(wǎng)絡(luò)詐騙行為，對(duì)人們的日常生活和個(gè)人財(cái)產(chǎn)造成了巨大的損失。因此，加強(qiáng)對(duì)計(jì)算機(jī)軟件安全漏洞檢測(cè)技術(shù)的研究，（促進(jìn)軟件安全問(wèn)題的）及時(shí)修正計(jì)算機(jī)軟件中存在的問(wèn)題能夠避免許多安全事件的產(chǎn)生，對(duì)于我國(guó)電子商務(wù)的發(fā)展具有十分重要的意義。

1?計(jì)算機(jī)軟件安全漏洞概述

所謂計(jì)算機(jī)軟件安全漏洞指的是程序員在進(jìn)行軟件編寫過(guò)程中自身存在的缺陷，這些缺陷為計(jì)算機(jī)黑客提供了有機(jī)可乘，對(duì)用戶的計(jì)算機(jī)造成惡意損害。在一般情況下，計(jì)算機(jī)用戶會(huì)采用殺毒軟件或者防火墻進(jìn)行計(jì)算機(jī)系統(tǒng)的維護(hù)，雖然這些軟件一定程度上對(duì)計(jì)算機(jī)起到了保護(hù)作用，但是依然有一定的不足之處，無(wú)法解決根本的安全漏洞問(wèn)題。其弊端是一旦殺毒軟件或者防火墻在運(yùn)行過(guò)程中出現(xiàn)任何問(wèn)題，那么計(jì)算機(jī)軟件的安全性便難以得到保障，一些不法分子會(huì)利用計(jì)算機(jī)漏洞進(jìn)行用戶信息數(shù)據(jù)的獲取和惡意篡改，極大威脅著用戶的計(jì)算機(jī)安全。常見的計(jì)算機(jī)安全漏洞有以下幾種：（1）軟件的編制過(guò)程以及最終的編制結(jié)果一定程度上與程序員的工作經(jīng)驗(yàn)以及業(yè)務(wù)技術(shù)水平有一定關(guān)系，一旦出現(xiàn)技術(shù)性錯(cuò)誤那么就會(huì)直接造成軟件安全漏洞的出現(xiàn)。（2）計(jì)算機(jī)軟件在實(shí)際的運(yùn)行過(guò)程中由于自身運(yùn)算出現(xiàn)問(wèn)題導(dǎo)致運(yùn)算錯(cuò)誤或者是在進(jìn)行數(shù)據(jù)處理時(shí)出現(xiàn)錯(cuò)誤而造成安全漏洞。（3）由于計(jì)算機(jī)硬件與所配置的軟件版本有一定差別造成的安全漏洞。（4）由于計(jì)算機(jī)長(zhǎng)期運(yùn)行自身產(chǎn)生出的新的安全漏洞問(wèn)題沒(méi)有進(jìn)行及時(shí)修復(fù)造成的一系列安全問(wèn)題。

2?計(jì)算機(jī)軟件安全漏洞靜態(tài)檢測(cè)技術(shù)

所謂靜態(tài)檢測(cè)，指的是首先對(duì)全部的計(jì)算機(jī)系統(tǒng)的代碼進(jìn)行仔細(xì)分析，從計(jì)算機(jī)系統(tǒng)內(nèi)部來(lái)尋找安全漏洞出現(xiàn)的原因，這種安全漏洞的檢測(cè)方式對(duì)于計(jì)算機(jī)系統(tǒng)中存在的深度漏洞問(wèn)題能夠有效發(fā)覺，從而能夠及時(shí)對(duì)其進(jìn)行修復(fù)，保障計(jì)算機(jī)軟件的安全、穩(wěn)定運(yùn)行。就目前技術(shù)而言，靜態(tài)檢測(cè)技術(shù)主要有以下幾種方式：

2.1? 模型檢測(cè)

模型檢測(cè)是一種自動(dòng)驗(yàn)證技術(shù)，早在1981年由Clarke，Emerson等提出，其技術(shù)理論是對(duì)有限狀態(tài)系統(tǒng)行為的邏輯性質(zhì)進(jìn)行針對(duì)性的自動(dòng)驗(yàn)證，并通過(guò)建模對(duì)軟件里面的片段進(jìn)行比較，減少由于計(jì)算機(jī)軟件自身問(wèn)題所引發(fā)的安全漏洞，從而保障計(jì)算機(jī)軟件的穩(wěn)定運(yùn)行。

2.2? 規(guī)則檢測(cè)

計(jì)算機(jī)程序本身存在著一定的編程規(guī)則，其安全規(guī)則就是對(duì)程序安全性的描述，這些規(guī)則具有一定的通用性，因此也存在一定的漏洞。例如，軟件在root權(quán)限下無(wú)法對(duì)exec進(jìn)行調(diào)用。規(guī)則檢測(cè)是將這些規(guī)則用特定的語(yǔ)法進(jìn)行描述，并最終被處理器所接收轉(zhuǎn)化，轉(zhuǎn)換成分析器可以接受的一種內(nèi)部表示，然后將程序行為進(jìn)行比較和檢測(cè)。

2.3? 定理證明

定理證明是通過(guò)不同的方式對(duì)軟件中的抽象公式進(jìn)行多方面的驗(yàn)證，為定理證明的技術(shù)性提供保障，與其他檢測(cè)技術(shù)相比，定理證明更為嚴(yán)格。定理證明主要是通過(guò)構(gòu)造圖像使公式中的條件與圖像中的各個(gè)節(jié)點(diǎn)相對(duì)應(yīng)，同時(shí)對(duì)其中的不等式進(jìn)行檢測(cè)，若等式不成立則不滿足條件。定理證明具有一定的復(fù)雜性，在實(shí)際操作中難以廣泛運(yùn)用。

2.4? 詞法分析

詞法分析是對(duì)許多不同的程序進(jìn)行語(yǔ)法的檢測(cè)，首先對(duì)不同的程序進(jìn)行分割，整個(gè)程序經(jīng)過(guò)分割變?yōu)槎绦〉钠?，再?duì)這些片段進(jìn)行一一分析，使之與有問(wèn)題的程序數(shù)據(jù)庫(kù)來(lái)對(duì)比，這種檢測(cè)方法本身存在一定的局限性，僅僅對(duì)固定的漏洞代碼能夠有效檢測(cè)，因此，在最早的漏洞檢測(cè)時(shí)詞法分析被廣泛利用，隨著計(jì)算機(jī)技術(shù)的不斷提升和新漏洞的出現(xiàn)，近些年來(lái)已逐漸不再使用這種方法。

3? ? 計(jì)算機(jī)安全漏洞動(dòng)態(tài)檢測(cè)技術(shù)

動(dòng)態(tài)檢測(cè)技術(shù)與靜態(tài)檢測(cè)技術(shù)相比，其操作起來(lái)相對(duì)方便快捷，但是對(duì)于計(jì)算機(jī)安全漏洞邏輯方面的問(wèn)題難以全部發(fā)現(xiàn)，對(duì)于隱蔽性比較強(qiáng)的安全漏洞難以發(fā)現(xiàn)。動(dòng)態(tài)檢測(cè)技術(shù)主要有以下幾方面：

3.1? 非執(zhí)行棧技術(shù)

近些年來(lái)，基于棧對(duì)計(jì)算機(jī)軟件進(jìn)行攻擊的事件不斷發(fā)生，因此，通過(guò)阻礙棧的正常工作，阻撓相關(guān)代碼的執(zhí)行工作，以此阻止黑客對(duì)于棧的攻擊。但是，這種方法需要對(duì)操作系統(tǒng)層進(jìn)行修改和相關(guān)設(shè)置，會(huì)對(duì)計(jì)算機(jī)帶來(lái)一定的風(fēng)險(xiǎn)，在進(jìn)行操作時(shí)，稍有不慎就極易造成其他問(wèn)題，對(duì)于計(jì)算機(jī)軟件系統(tǒng)的安全性在其他方面依然會(huì)造成影響，特別是在一些程序中既有棧溢出漏洞同時(shí)又有堆溢出漏洞的情況，十分容易出現(xiàn)問(wèn)題。

3.2? 非執(zhí)行堆與數(shù)據(jù)技術(shù)

堆是計(jì)算機(jī)中的特殊的數(shù)據(jù)結(jié)構(gòu)，可以將其看作一顆完全二叉樹的數(shù)組對(duì)象。在計(jì)算機(jī)進(jìn)行執(zhí)行程序時(shí)，如果堆和數(shù)據(jù)段都不能執(zhí)行代碼，那么一些惡意代碼的執(zhí)行也同樣會(huì)遭到阻止，以此實(shí)現(xiàn)對(duì)計(jì)算機(jī)軟件的保護(hù)功能。非執(zhí)行堆與數(shù)據(jù)技術(shù)和前面的非執(zhí)行棧技術(shù)進(jìn)行結(jié)合可以起到全面的保護(hù)作業(yè)，可以徹底阻止惡意代碼被執(zhí)行的集合。不同的是，非執(zhí)行堆技術(shù)需要對(duì)計(jì)算機(jī)內(nèi)核進(jìn)行大量的修改，在實(shí)際操作上更加復(fù)雜，但是大量實(shí)踐證明該技術(shù)是可行的，近些年來(lái)也得到了廣泛應(yīng)用，其不足之處是對(duì)于惡意改寫的函數(shù)參數(shù)和函數(shù)指針的攻擊行為無(wú)法檢測(cè)和阻止。

3.3? 內(nèi)存映射技術(shù)

所謂內(nèi)存映射技術(shù)，指的是在進(jìn)行映射時(shí)將代碼頁(yè)映射到隨機(jī)地址上，進(jìn)而對(duì)黑客基于內(nèi)存中地址跳轉(zhuǎn)的攻擊行為進(jìn)行有效阻止。這種技術(shù)需要對(duì)計(jì)算機(jī)系統(tǒng)內(nèi)核進(jìn)行全面修改。內(nèi)存映射技術(shù)的缺點(diǎn)是由于低端內(nèi)存有大小的限制，難以實(shí)現(xiàn)所有代碼頁(yè)都能夠映射到，并且對(duì)注入的新代碼和執(zhí)行行為攻擊無(wú)法檢測(cè)和防范。

3.4? 安全共享庫(kù)技術(shù)

C語(yǔ)言和C++這兩種常見的計(jì)算機(jī)語(yǔ)言，在實(shí)際的編寫過(guò)程中，不少函數(shù)都存在安全漏洞問(wèn)題，理論上來(lái)說(shuō)，安全共享庫(kù)技術(shù)能夠?qū)跇?biāo)準(zhǔn)庫(kù)函數(shù)的攻擊行為進(jìn)行檢測(cè)和防范，但是安全共享庫(kù)技術(shù)無(wú)法阻止基于非標(biāo)準(zhǔn)的庫(kù)函數(shù)的攻擊，對(duì)于本地變量的安全無(wú)法保護(hù)。安全共享庫(kù)技術(shù)的優(yōu)勢(shì)是能夠在標(biāo)準(zhǔn)函數(shù)庫(kù)下運(yùn)行的程序在此技術(shù)下也可以保持良好運(yùn)行，目前，這項(xiàng)技術(shù)被廣泛應(yīng)有與Windows操作系統(tǒng)以及UNIX操作系統(tǒng)中。

3.5? 沙箱技術(shù)

沙箱技術(shù)可以限制訪問(wèn)來(lái)阻止黑客的攻擊，通過(guò)嚴(yán)格的定義策略來(lái)進(jìn)行對(duì)計(jì)算機(jī)軟件的保護(hù)，使其免于遭受黑客攻擊。但是沙箱技術(shù)無(wú)法阻止黑客對(duì)于本地變量的修改和攻擊，沙箱技術(shù)不會(huì)引發(fā)兼容性問(wèn)題，但是過(guò)于嚴(yán)格的安全策略會(huì)對(duì)正常的程序行為進(jìn)行限制，造成程序無(wú)法正常運(yùn)行[1]。

3.6? 程序解釋技術(shù)

與前面所提到的幾點(diǎn)技術(shù)不同，程序解釋技術(shù)無(wú)需對(duì)計(jì)算機(jī)進(jìn)行任何修改，僅僅是對(duì)應(yīng)用程序設(shè)置一個(gè)新的啟動(dòng)代碼即可，通過(guò)新的代碼動(dòng)用動(dòng)態(tài)優(yōu)化的程序解釋框架。程序解釋技術(shù)的優(yōu)勢(shì)是只要對(duì)安全策略進(jìn)行嚴(yán)格定義就可以對(duì)攻擊或者修改函數(shù)的行為進(jìn)行全面檢測(cè)和防范。

4?計(jì)算機(jī)軟件安全漏洞防范措施

隨著全球一體化進(jìn)程的加快，計(jì)算機(jī)技術(shù)被廣泛應(yīng)用于各個(gè)領(lǐng)域，在計(jì)算機(jī)軟件的發(fā)展過(guò)程中，由于安全漏洞問(wèn)題的存在使得計(jì)算機(jī)的安全性存在極大的隱患，對(duì)計(jì)算機(jī)技術(shù)的發(fā)展也有很大的制約作用。在實(shí)際的計(jì)算機(jī)運(yùn)行中，軟件安全問(wèn)題分為計(jì)算機(jī)軟件自身漏洞問(wèn)題和來(lái)自外界黑客惡意攻擊造成的損害，因此，需要從多方面做好計(jì)算機(jī)軟件安全漏洞防范措施[2]。

首先，在計(jì)算機(jī)軟件的使用過(guò)程中確保安全正常使用，對(duì)程序中有可能存在的危險(xiǎn)函數(shù)進(jìn)行檢查，防范緩沖區(qū)的漏洞問(wèn)題，當(dāng)計(jì)算機(jī)緩沖區(qū)出現(xiàn)漏洞問(wèn)題說(shuō)明檢測(cè)系統(tǒng)無(wú)法進(jìn)行軟件漏洞檢測(cè)，需要技術(shù)人員升級(jí)軟件版本，同時(shí)注意對(duì)于軟件的下載和安裝需要選擇正版軟件，通過(guò)合法渠道進(jìn)行獲取，避免使用盜版或者非法軟件，以免帶來(lái)安全問(wèn)題。

其次，避免競(jìng)爭(zhēng)機(jī)制安全漏洞，由于計(jì)算機(jī)中存在著大量的軟件，不同的軟件直接不可避免的會(huì)造成一定的競(jìng)爭(zhēng)，一定程度上會(huì)對(duì)計(jì)算機(jī)系統(tǒng)造成破壞，因此，需要確保使用文件句柄和文字對(duì)計(jì)算機(jī)軟件進(jìn)行安全性的描述。

最后，注意格式化漏洞的防范，這也是計(jì)算機(jī)軟件安全漏洞中常見的漏洞，一旦出現(xiàn)會(huì)造成計(jì)算機(jī)內(nèi)部資料的丟失，并且無(wú)法進(jìn)行修復(fù)和找回，因此，需要在源代碼中進(jìn)行使用格式常量，以此減少格式串遺漏造成的安全漏洞問(wèn)題。

總之，計(jì)算機(jī)軟件的實(shí)際運(yùn)行中，防范緩沖區(qū)的漏洞十分必要，同時(shí)需要防范格式化字符串漏洞，還需要防范隨機(jī)數(shù)據(jù)漏洞，以此確保計(jì)算機(jī)軟件安全漏洞的全面檢測(cè)，維護(hù)計(jì)算機(jī)安全運(yùn)行[3]。

5 結(jié)語(yǔ)

綜上所述，計(jì)算機(jī)技術(shù)的不斷發(fā)展使得計(jì)算機(jī)軟件的應(yīng)用日益廣泛，關(guān)于計(jì)算機(jī)軟件安全問(wèn)題越來(lái)越受人們的重視。計(jì)算機(jī)軟件安全漏洞問(wèn)題需要專業(yè)技術(shù)人員進(jìn)行探索和分析，加強(qiáng)相關(guān)研究，切實(shí)提高軟件自身安全性，減少黑客攻擊或者非法侵入，以保障計(jì)算機(jī)安全穩(wěn)定運(yùn)行，促進(jìn)計(jì)算機(jī)技術(shù)在眾多領(lǐng)域的不斷應(yīng)用與發(fā)展。

[參考文獻(xiàn)]

[1]陳婧.計(jì)算機(jī)軟件中安全漏洞檢測(cè)技術(shù)研究[J].電子技術(shù)與軟件工程，2020（13）：250-252.

[2]孫雷.計(jì)算機(jī)軟件安全漏洞檢測(cè)技術(shù)的應(yīng)用[J].電子技術(shù)與軟件工程，2020（9）：246-247.

[3]曹盛男.安全漏洞檢測(cè)技術(shù)在計(jì)算機(jī)軟件中的應(yīng)用[J].黑龍江科學(xué)，2020（8）：80-81.

（編輯 王永超）