cdn谨防cc_cc谨防平台_免费测试-墨者安全-墨者盾
DDOS防御_CC防护_高防CDN服务器_【墨者安全】—墨者盾墨者盾—你的网站贴身保镖!

QQ:800185041
高防免费接入:400-0797-119

渠道合作:156 2527 6999

主页 > 高防服务器 > cdn谨防cc_cc谨防平台_免费测试

cdn谨防cc_cc谨防平台_免费测试

小墨安全管家 2021-05-04 05:28 高防服务器 89 ℃
DDoS防御
昨天,markcurphey介绍了我们在产品中公布的一具新特性,叫做脆弱想法。我们开辟了易受攻击的想法技术,以便在客户使用代码中存在漏洞的库和组件时向他们提供更准确和详细的信息。到目前为止,我们基本看到,在大多数事情下,当某人使用易受攻击的库时,他们不大概调用易受攻击的想法。所以,那个特性真的有助于减少误报。在本文中,防DDoS,我将解释那个特性是怎么工作的,以使您更好地理解我们是怎么构建它的。脆弱想法技术的一具关键方面是建立和遍历程序的调用图。所以,在我描述易受攻击的想法之前,分析让我们先绕一小段路来理解调用图。调用图程序的调用图捕捉想法之间的调用关系。这是一具有向图,其中每个节点代表一具想法,每个边(m1,m2)表示想法m1调用想法m2。由于递归,调用图大概包含循环。作为一具例子,看看下面的代码片段。CheckHash类中的main想法从位于不同库jbcrypt中的BCrypt类调用三个想法。进口org.mindrot.jbcrypt.BCrypt;公共类CheckHash{publicstaticvoid main(字符串[]参数){候选字符串=参数[0];字符串哈希=BCrypt.hashpw(候选人,B克里普特根萨特(12) );BCrypt.checkpw(候选人,散列);}}关于那个简单的程序,CC防御,假如我们要构造一具调用图,它将如下所示:即使在如此一具简单的例子中,也特别容易看出为实际程序构建调用图的特殊性。请注意,我们在图中只显示了4个节点。BCrypt类中的hashpw、gensalt和checkpw想法能够反过来调用其他想法,但这些想法不能经过分析上面的代码片段来懂。假如要为一具程序建立一具完整的调用图,我们需要分析库代码。此外,在Java如此的面向对象语言中,由于存在动态调度,静态调用图的构造很复杂,同时需要别名分析。作为脆弱想法技术的一部分,我们实现了一种新的基于类层次分析(CHA)和快速类型分析(RTA)的调用图构造算法。我们还实现了一些额外的优化和启示式,以处理间接调用(经过线程)、桥接想法(由于类型擦除)和某些反射事情。构造一具精确的调用图是分析脆弱想法的关键。下一节将解释怎么使用此调用图。易损想法分析脆弱性想法分析分为三个部分。首先,我们对一具漏洞举行分析,找出漏洞的全然缘由,如此就能够找出哪些想法会受到漏洞的阻碍,我们称这些想法为易受攻击的想法。其次,我们对库本身举行分析,以了解库中所有调用脆弱想法的公共想法。最终,当我们扫描使用易受攻击库的项目时,我们检查该项目是否调用了该库的公共易受攻击想法。假如所有这些听起来都特别复杂,CC防御,这么让我们以库中的一具实际漏洞为例来更好地理解它。思量一下CVE-2015-0886,它描述了Java库中的一具漏洞——jbcrypt。关于此漏洞,我们将执行以下操作:找出全然缘由0.3m版本的库易受整数溢出的攻击。修复此咨询题的提交在GitHub上可用。经过修复,我们能够看到crypt_raw想法被修改以防止整数溢出。在0.3m版本中,crypt_raw想法是造成该漏洞的缘由。所以,我们以为crypt_raw是易受攻击的想法。分析库一旦我们有了易受攻击的想法,我们需要分析jbcrypt库本身,看看库中是否还有其他想法调用crypt_raw。在这一部分的分析中,我们构建了库的调用图,并遍历它来计算所有的公共想法,这些想法都有一具调用链(沿着边缘)到节点,用于易受攻击的想法crypt_raw。在那个特定的例子中,由于库很小,您能够查看源代码,并看到crypt_raw只从hashpw调用。如今,我们还需要将hashpw视为一具易受攻击的想法,并查看库中所有调用hashpw的想法等等。我们然后那个过程,直到我们无法将任何新想法添加到易受攻击的想法列表中(直到我们到达一具固定点)。最终,关于那个库,公共易受攻击的想法将包括hashpw和checkpw。分析项目当我们为该漏洞创建工件时,将生成该易受攻击组件的完整易受攻击想法列表。在扫描过程中,当我们检测到项目的依靠关系图中存在易受攻击的组件时,我们将构建该项目的调用图,并检查是否调用了该组件的易受攻击的想法。关于我们的示例程序,main想法调用了易受攻击的想法hashpw和checkpw:所以,我们不仅能够推断程序是否正在使用易受攻击的组件,还能够推断它是否正在调用易受攻击的想法。在更实际的项目中,调用链大概很大,或者大概有多条路径指向易受攻击的想法。在所有事情下,我们提供完整的调用链的完整信息,显示链中的所有想法以及在代码中调用它们的行号:作为开辟人员,在思量怎么修复漏洞时,导致易受攻击想法的调用链很实用。因为我们还分析了库代码,于是您能够看到项目中的完整路径、它怎么调用库代码以及最后来对易受攻击想法的调用。鉴于易受攻击想法的分析取决于识别漏洞全然缘由的能力,SourceClear安全研究团队将分析和注释我们在名目中创建的每个新工件的易受攻击想法信息。到目前为止,DDoS防御,Java目前有易受攻击的想法,但我们基本在努力增加对其他语言的支持,包括Ruby、JavaScript和Python。我们相信易受攻击的想法是消除组件漏洞中的误报并提供开源组件风险的准确图像的关键。

cdn谨防cc_cc谨防平台_免费测试


DDoS防御

当前位置:主页 > 高防服务器 > cdn谨防cc_cc谨防平台_免费测试

标签列表
DDoS防御
网站分类
X
 

QQ客服

400-0797-119