Flash应用程序漏洞挖掘要点与利用

点赞:3836 浏览:10184 近期更新时间:2024-03-25 作者:网友分享原创网站原创

【摘 要 】当前,Flash漏洞严重威胁了Web系统,本文重点分析了常见的Flash漏洞,并就Flash漏洞挖掘技术及其利用进行了探讨,以确保Flash在网络应用中更安全、更可靠.

【关 键 词 】Flash漏洞,漏洞挖掘技术,漏洞利用

当前,网络安全已经成为社会各界的关注热点,根据网络安全统计显示,近些年来,网络漏洞的数量呈显著上升趋势,且新漏洞从公布到被利用所需的时间也在日趋缩短,通过分析所发布漏洞信息,能够在极短时间内对这些漏洞进行利用,此外,善于挖掘利用某些还没有公布的漏洞,借以发动攻击或将漏洞资料出售,以达到经济目的.

Flash应用程序漏洞挖掘要点与利用参考属性评定
有关论文范文主题研究: 关于网络安全的论文范文文献 大学生适用: 本科毕业论文、电大论文
相关参考文献下载数量: 23 写作解决问题: 如何怎么撰写
毕业论文开题报告: 文献综述、论文目录 职称论文适用: 杂志投稿、职称评初级
所属大学生专业类别: 如何怎么撰写 论文题目推荐度: 免费选题

随着Flash应用的逐步推广,对Flash漏洞的攻击也迅速增加,并成为当前网络安全不容忽视的重要方面,但有关Flash漏洞分析与研究仍相对滞后,因此,必须加强Flash应用程序漏洞挖掘技术研究,保障Flash应用的安全性.

1.Flash安全漏洞

所谓的“安全漏洞”,主称为系统脆弱性,简称为“漏洞”,是指计算机系统设计及实现软、硬件,协议及安全策略过程中所存在的缺陷.可利用安全漏洞获取系统额外权限,实现其访问权限的提高,导致系统安全性遭到不同程度的破坏.

漏洞针对的是计算机系统的安全性,包括所有可能引发威胁、破坏系统安完整性、保密性、可靠性、可用性等因素.所有系统,无论硬件还是软件,都无可避免地存在各种漏洞,任何系统都不可能实现绝对性的安全.

Flash安全漏洞主要包括如下类型:Flash文件格式漏洞、Flash跨站脚本漏洞、Flash拒绝怎么写作漏洞、Flash欺骗漏洞等.对于Flash文件格式漏洞而言,其十分常见,利用漏洞可以远程构建包括恶意Flash文件的页面,用户一旦对该页面进行访问,将会直接触发漏洞,可对用户进程权限进行非法访问,并在入侵系统中任意执行各种指令.

统计发现,Flash安全漏洞中一半以上属于Flash文件格式缓冲区溢出漏洞,居Flash所有安全漏洞的首位.自2008年以来,安全漏洞数据库中有关Flash安全漏洞的19大严重安全漏洞中,文件格式漏洞共8个,由此可见,Flash文件格式漏洞最为常见,利用该漏洞攻击将引发严重的安全事故.由于Flash文件格式漏洞主要是由于文件格式缓冲区溢出漏洞,因此,下文重点针对该类型漏洞挖掘技术及其利用进行分析.

2.Flash漏洞挖掘技术与利用

简称为Flash缓冲区漏洞,缓冲区为程序运行过程中在系统中申请到的一段连续性的内存,其对给定类型数据进行了保存,缓冲区溢出指的是当系统向缓冲区内进行数据位数填充时超出了缓冲区自身容量,所溢出的数据对合法数据进行了覆盖.

理想状态下,程序检查数据的长度要求不能输入超出缓冲区长度的字符,但多数程序都检测设数据的长度同所储存空间相互匹配,为该漏洞埋下安全隐患.该漏洞十分常见,而且危害极大,通过溢出破坏应用程序的堆栈,导致程序开始执行其他指令,实现攻击目的.

针对该类型漏洞,现有漏洞挖掘技术包括二进制比对、源码审核等技术.

2.1 二进制比对技术

该技术适用于挖掘已知漏洞,因此,也被认为是漏洞分析技术.由于公告中常常不会指明安全漏洞的实际位置及产生原因,因而难以对漏洞加以利用.

但是,漏洞通常具有补丁,因此,可通过对补丁前后二进制文件进行对比,确定漏洞实际位置及产生原因.

该技术对防止攻击十分有效,通过比对补丁,对漏洞代码进行定位,再对数据流进行分析,即可获得利用漏洞的攻击代码.专家或能在短时间内低该漏洞进行挖掘和利用.该技术包括许多方法,最为简单的即二进制字节对比与文件反汇编后文本对比,前者适用于对比若干字节的变化,后者缺乏语义分析,因而适用于少量小文件变化的对比.

这两种方法均不适用于修改较多的文件,对于这种文件,应采用图形比对方法,通过寻找文件中诸如缓冲区大小变化等非结构变化,采用图形化进行直观地显示和对比,但该方法容易影响编译器的优化,且无法自动发现两大文件中的对比起始点.

2.2 源码审核技术

该技术属于静态分析技术的一种,无需对待测试程序进行分析,仅通过扫描该程序源代码,即可分析函数特征及参数,并识别漏洞,生成人性化错误报告,明确错误类型的位置,并提出相应的建议.该技术主要包括词法、数据流及控制流等分析,其中,数据流分析技术常用于编译过程中,其可以从程序代码中对程序语义信息进行收集,并利用代数方法对编译过程的变量定义及使用进行明确.该技术适用于优化编译,验证、测试、调试程序,对编程环境进行串行等,控制流分析技术主要以基本块和控制流图两大实体为基础,词法分析技术不仅包括编译器语法分析,还包括语义和语法分析,通过对代码词法进行分析,从特征库里将感兴趣内容抽取处理,并对上下文进行分析,针对存在问题的位置及时进行报警,该技术实现了自动化检测,且拥有较快的检测速度,但复杂程序属性分析时容易出现误报等情况.

2.3 Flash安全漏洞的利用

最为常见的Flash缓冲区溢出攻击即在字符串中融入代码植入和活动纪录等技术.攻击者在Flash文件中对可供溢出自动变量进行了定位,利用Flash软件对应用程序传递大量的字符串,导致Flash缓冲区溢出,不仅改变了活动纪录,还将代码成功植入,植入代码与缓冲区溢出并非必须在一次动作内实现.攻击者可利用缓冲区进行代码设置,然后,攻击者利用溢出其他缓冲区对程序指针进行转移.此法常用以解决缓冲区较小,无法完全放置代码的情况.若攻击者利用常驻代码而非植入代码,通常都需要利用代码调用参数.

3.结语

总而言之,Flash漏洞挖掘技术是当前网络安全的重要研究课题之一,是网络攻防研究中的重要方面.必须加强Flash漏洞分析及发掘,以确保网络的安全性.