软件漏洞源代码的语义标注技术研究

摘要

近年来随着信息技术的发展，软件技术也得到了飞速的发展，软件的数量和规模都在不断的扩张。相应的软件中存在的漏洞也越来越多，据美国统计平均一千行到一千五百行代码中，人类编程人员就会在其中留下一个软件安全漏洞。与软件技术的飞速发展相反，软件漏洞的检测技术已处于瓶颈期，时至今日依然用传统的静态、动态或动静结合的检测方法。传统的漏洞检测技术已经跟不上软件技术的发展。
　　伴随着软件数量的增多，被挖掘出来的软件漏洞数量也越来越多，目前世界上信息产业发达的国家都建有自己的漏洞数据库，某些企业和组织也建有自己单独的漏洞数据。这些漏洞数据库大多都遵循CVE标准相互兼容，如此以来就产生了很大的漏洞数据。那么如何合理利用现有的漏洞数据，为漏洞的检测提供新的方法越来越是需要面对的一个问题。结合当前的大数据技术，对漏洞数据进行分析挖掘是利用这些漏洞数据的方式之一。但是当前的漏洞数据以非结构化的方式存在于漏洞数据库中，不利于计算机的直接处理，因此本文对这些漏洞数据进行预处理使其能被计算机直接处理。为以后基于大数据技术的漏洞模式挖掘提供支撑。
　　本文利用语义标注技术对漏洞数据进行预处理。语义标注技术在图像语义、语义Web等领域已经得到大量的研究，也得到了一定的研究成果，但是在漏洞源码领域尚未发现相关的研究。语义Web利用语义标注技术将非结构化的Web文档转化成结构化的RDF文档，结构化的文档方便计算机对其直接处理，在结合本体技术就能实现计算机对Web文档的理解功能。大数据处理技术也要求数据具有一定的结构。因此对漏洞源码的语义标注就是要将纯文本的源码文件转化成结构化的源码文件，在本文中将其转化为XML格式的文件。在进行标注时本文主要做了以下工作:
　　(1)待标注实体的识别。对漏洞源码的标注首先要找到待标注的对象，本文对漏洞数据库中的漏洞源码信息进行了详细的研究，首先确定了待标注信息的组成，漏洞信息由两部分组成，一部分是漏洞描述信息，另一部是漏洞源码本身。确定了待标注的信息范围，接下来识别待标注信息中的待标注对象。其中最为关键的是对漏洞源码信息中实体的识别，本文以抽象语法树为依据对漏洞源码中的实体信息进行识别。
　　(2)标签设计。对于所识别的每一个实体，依据实体类别设计相应的标签。本文对漏洞源码的编程语言进行详细的研究，对程序中的每一种元素进行归类表示，每一类元素制定相应的标签，并确定标签的子标签，属性等信息。
　　(3)语义体现。在语义Web中语义信息主要由现有的本体体现，图像的语义标注中语义就是图像的类别。在本文中以标签的意义作为漏洞源码语义标注的语义体现。
　　最后为了验证本标注方法的有效性，进行实验，在本文所提出的标注方法的基础上进行漏洞的模式挖掘，实验结果显示所挖掘出的漏洞模式与原漏洞模式一致，证明本标注方案具有一定的可行性。

目录

摘要

1．1 研究背景

1．2 国内外研究现状

1．3 本文的研究内容及目的

1．3．1 本文的研究内容

1．3．2 本文的研究目的

1．4 本文的章节安排

2 相关理论与技术

2．1 结构化表示方法理论

2．1．1 结构化表示方法提出的背景

2．1．2 现有源代码表示方法的不足

2．1．3 结构化表示方法的研究现状

2．1．4 经典的结构化表示方法

2．1．5 几种表示方法的对比

2．2 XML技术

2．2．1 标记语言及其历史

2．2．2 XML及其基本特征

2．2．3 DTD和XML Schema

2．2．4 XML应用程序接口DOM和SAX

2．3 抽象语法树(Abstract Syntax Tree，AST)

2．3．1 抽象语法树简介

2．3．2 PHP-Parser简介

2．4 本章小结

3 软件安全漏洞源码的语义标注思路

3．1 抽象语法树的特点

3．2 PHP语言元素标签的设计方案

3．3 漏洞数据库中漏洞数据的标签设计方案

3．4 总体标注方案

3．5 本章小结

4 软件安全漏洞源码的语义标注结果

4．1 对漏洞描述信息的标注

4．2 对漏洞源码的标记

4．3 建立XML Schema文档

4．4 本章小结

5 标注方法有效性验证

5．1 SQL注入漏洞的漏洞模式

5．2 关系型数据库构建

5．3 本章小结

6 结论与展望

6．1 研究结论

6．2 展望

参考文献

攻读硕士学位期间发表的论文

致谢

声明