2009-11-25 软件源代码安全检测 - 打印

2009-11-25 软件源代码安全检测 - 打印

软件安全实验室2009年11月24日

中国信息安全测评中心

23:28:50

2009-11-25 软件源代码安全检测 - 打印

一．．软件安全二．源码缺陷三．缺陷检测四．总结

2

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

11.

软件安全性介绍

病毒、蠕虫、黑客、后门、网站被黑

22.

软件漏洞

缓冲区溢出、SQL注出、跨站脚本后门

3.软件安全性防御措施

3

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();-1080-0-1778-1080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

4

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

VictorA.VyssotskyVictor A. Vyssotsky

Multics成员

Unix: spell, diff, sort, join, graph, speakUnix:mathlibrary，cryptprogramUnix: math library

MllDMalcolm Douglas McIlroylMIl

Robert “Bob” H. Morris

5

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

1982

elk cloner病毒

it will get on all your disks

it will infiltrate your chips

yes it’s cloner!it will stick to you like glue

it will modify ram toosend in the cloner!

6

Rich Skrenta

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

1988年11月2日下午5 5点-11月3日清晨5点

6200台采用Unix操作系统的SUN工作站和VAX小型机瘫痪或半瘫痪，造成Inter netInternet不能正常运行不计其数的数据和资料毁于这一夜之间。造成一场损失近亿美元的空前大劫难！

7

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

Robert T. Morris Jr.

8

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

1979

北美空中防务指挥系统

1983

五角大楼

1994年12月25日

美国圣迭戈超级计算机中心

1995年2月

被送上了法庭

2001年1月

监视性释放

9

KiMiikKevin Mitnick

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();80-0-1778-1080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

10

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

2、软件漏洞–缓冲区溢出设定密码 1234567

……

输入密码

buffer显示错误与设定密码比较

buffer b ff密码存入缓冲区

……返回地址……比较结果是否为0

显示正确

演示：缓冲区溢出.avi11

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();.83-774-0-1768-774.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

12

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();080-0-1565-1080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

演示：13

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();.83-782-0-1776-782.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

14

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();iw=1080-0-1778-1080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

15

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();1080-0-1778-1080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

演示：16

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

Multics

MULTiplexedInformation and Computing System：多路信息计算系统

UNiplexedInformationandComputing ComputingSystem

后来做了一下改动，称为UNIX。1969年到1970

UNICS

UNIX

17

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();src="-88-png_6_0_0_0_0_0_0_1263_892.83-1080-0-2380-1080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

Ken Thompson

18

Dennis M. Ritchie

中国信息安全测评中心

2009-11-25 软件源代码安全检测 - 打印

gg336x280();_892.83-1080-0-1590-1080.jpg" alt="2009-11-25 软件源代码安全检测 - 打印" />

机密性(Confidentiality)

完整性(Integrity)

可用性(Availability)

19

中国信息安全测评中心

本文来源：https://www.bwwdw.com/article/r4gi.html