软件安全知识之减少漏洞运用
|
尽管存在良好的技术措施以避免新代码中的漏洞，或者检测现有代码中的漏洞，也必然会有大量的遗留代码。在可预见的未来，漏洞正在积极使用。因此，漏洞预防和检测技术可以辅之以减轻对剩余漏洞的利用的技术。 但是，测试期间使用的监视器（在主题3中讨论）和运行时用于缓解攻击的监视器的性能要求存在重要差异。对于攻击的运行时检测，挑战在于识别可有效检测的属性冲突，这些冲突预期在程序的执行跟踪中保持不变。使用了多种技术： • 堆栈Canary检测调用堆栈上激活记录完整性的违规行为，从而检测一些利用内存管理漏洞修改返回地址的攻击。 • 无执行（NX）数据存储器检测到将程序计数器定向到数据存储器而不是代码存储器的尝试，因此可检测许多直接代码注入攻击。 • 控制流完整性（CFI）是一类技术，用于监视程序的运行时控制流是否符合预期控制流的某些规范，并且因此可以检测到许多代码重用攻击。 检测到攻击时，运行时监视器必须做出适当的反应，通常是终止受到攻击的程序。终止是确保攻击不会造成进一步损害的良好反应，但它当然不能避免会对服务器可用性以及属性设置产生显而易见的负面影响。 分化是一种相关但更细粒度的安全机制，其中软件本身被划分为多个隔间，并且对每个隔间的特权强制执行一些界限。这再次需要一些底层机制来强制执行这些边界。例如，一个部分化的浏览器可以依靠操作系统进程访问控制，通过拒绝其文件系统访问来绑定其渲染引擎的权限。现在，渲染引擎中的软件漏洞利用已得到缓解，即使成功利用此漏洞，攻击者仍被阻止访问文件系统。非常细粒度的分化形式可以通过对象能力系统[22]实现，其中每个应用程序级对象都可以是一个单独的保护域。这种方法允许用户在不同的应用程序级之间进行切换，从而提高性能。 （编辑：银川站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
