CN103339635B - 确定计算机软件应用对于特权升级攻击的脆弱性 - Google Patents

Abstract

确定计算机软件应用对于特权升级攻击的脆弱性，诸如，在这种情况下，指令分类器被配置为用于识别计算机软件应用的指令的候选访问受限区域，并且，静态分析器被配置为静态地分析候选访问受限区域，以确定是否存在控制向候选访问受限区域中的执行流动的条件指令，执行静态分析，以确定条件指令是否依赖于计算机软件应用内的数据源，并且在缺少条件指令或数据源中的任一者时，将候选访问受限区域指定为对于特权升级攻击是脆弱的。

Description

确定计算机软件应用对于特权升级攻击的脆弱性

技术领域

本发明一般涉及计算机软件安全和分析。

背景技术

特权升级（PE）攻击指的是一种类型的基于计算机的攻击，在这种攻击中，攻击者尝试利用不适当或者不存在的控制，以取得对计算机软件应用的只打算被具有特权的有效的用户访问或者打算被甚至没有特权的有效用户访问但要对于攻击者禁入的资源。在计算机软件应用的开发过程中，检查计算机软件应用以确定它们对于PE攻击是否是脆弱的将会是有利的。

发明内容

在本发明的一个方面中，提供一种用于确定计算机软件应用对于特权升级攻击的脆弱性的方法，该方法包括：识别计算机软件应用的指令的候选访问受限区域；静态地分析候选访问受限区域，以确定是否存在控制向候选访问受限区域中的执行流动的条件指令；执行静态分析，以确定条件指令是否依赖于计算机软件应用内的数据源；和在缺少条件指令或数据源中的任一者时，将候选访问受限区域指定为对于特权升级攻击是脆弱的。还提供体现本发明的系统和计算机程序产品。

附图说明

结合附图阅读以下的详细描述，可以更彻底地理解和领会本发明，在这些附图中，

图1是根据本发明的实施例的用于确定计算机软件应用对于特权升级攻击的脆弱性的系统的概念图；

图2是根据本发明的实施例的图1的系统的动作的示例性方法的流程图；

图3是根据本发明的实施例的计算机软件应用的例子；以及

图4是根据本发明的实施例的计算系统的示例性硬件实现的框图。

具体实施方式

现在，在一个或更多个实施例的背景下描述本发明，但是，描述是为了总体解释本发明，而不应被解释为将本发明限于表示的实施例。应当理解，本领域技术人员可以想到各种修改，这些修改虽然在这里没有被特别表示，但仍处于本发明的真实精神和范围内。

本领域技术人员可以理解，本发明的各方面可体现为系统、方法或计算机程序产品。因此，本发明的方面可采取在这里可一般称为“电路”、“模块”或“系统”的完全硬件实施例、完全软件实施例（包括固件、驻留软件、微代码等）或者组合软件和硬件方面的实施例。并且，本发明的各方面可采取以一个或更多个计算机可读介质体现的具有在其上面体现的计算机可读程序代码的计算机程序产品的形式。

可以利用一个或更多个计算机可读介质的任意组合。计算机可读介质可以是计算机可读信号介质或计算机可读存储介质。计算机可读存储介质可例如是但不限于电子、磁、光学、电磁、红外或半导体系统、装置或器件或者以上的任意适当的组合。计算机可读存储介质的更特定的例子（非穷举的列表）包括以下：具有一个或更多个导线的电气连接、便携式计算机盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦除可编程只读存储器（EPROM或快擦写存储器）、光纤、便携式紧致盘只读存储器（CD-ROM）、光学数据存储装置、磁数据存储装置或以上的任意适当的组合。在本文的上下文中，计算机可读存储介质可以是可包含或者存储供指令执行系统、装置或器件使用或者与其关联的程序的任何可触知介质。

计算机可读信号介质可包含具有体现于其中的计算机可读程序代码的传播数据信号，例如，该数据信号处于基带中或者是载波的一部分。这种传播信号可采取包括但不限于电磁、光学或它们的任意适当的组合的各种形式中的任一种。计算机可读信号介质可以是不是计算机可读存储介质但可传送、传播或传输供指令执行系统、装置或器件使用或者与其关联的程序的任何计算机可读介质。

可通过使用包括但不限于无线、有线、光纤电缆、RF等或以上的任意适当的组合的任意适当的介质传送在计算机可读介质上体现的程序代码。

可通过包括诸如Java、Smalltalk或C++等的面向对象的编程语言和诸如“C”编程语言或类似的编程语言的常规的过程编程语言的一个或更多个编程语言的任意组合书写用于实施本发明的各方面的动作的计算机程序代码。可完全在用户的计算机上、部分地用户的计算机上、作为独立软件包、部分地用户计算机上并且部分在远程计算机或者完全在远程计算机或服务器上执行程序代码。在后一种方案中，远程计算机可通过包括局域网络（LAN）或广域网络（WAN）的任意类型的网络与用户的计算机连接，或者，可与外部计算机连接（例如，通过使用因特网服务提供器的因特网）。

以下，参照根据本发明的实施例的方法、装置（系统）和计算机程序产品的流程图和/或框图描述本发明的各方面。应当理解，可通过计算机程序指令实现流程图和/或框图的各块以及流程图和/或框图的块的组合。这些计算机程序指令可被提供给通用计算机、特殊用途计算机或者其它的可编程数据处理装置的处理器，以产生机器，使得通过计算机或其它可编程数据处理装置的处理器执行的指令时，创建用于实现在流程图和/或框图块中规定的功能/作用的手段。

这些计算机程序指令也可存储于计算机可读介质中，这些计算机程序指令可指导计算机、其它可编程数据处理装置或其它设备以特定的方式起作用，使得存储于计算机可读介质中的指令产生包括实现在流程图和/或框图块中规定的功能/作用的指令的制造物品。

计算机程序指令也可被加载到计算机、其它可编程数据处理装置或其它设备上，以导致在计算机、其它可编程装置或其它设备上执行的一系列的动作步骤以产生计算机实现的过程，使得在计算机或其它可编程装置上执行的指令提供用于实现在流程图和/或框图块中规定的功能/作用的处理。

现在参照图1，图1是根据本发明的实施例的用于确定计算机软件应用对于特权升级攻击的脆弱性的系统的概念图。在图1的系统中，指令分类器100被配置为用于根据用于将指令识别为访问受限指令的预定准则识别计算机软件应用的指令的候选访问受限区域。这种准则可例如包含掌握对于文件系统或数据库的访问的指令。可根据常规的技术手动完成这一点，诸如，在这种情况下，用户手动扫描计算机软件应用的源代码以识别访问受限指令，并且通过数据条目界面将所识别的候选的位置键入到指令分类器100中，由此，指令分类器100优选在候选位置102的数据存储中存储候选位置。

另外，或者，作为替代方案，指令分类器100被配置为控制黑箱测试器104，以执行计算机软件应用的差分黑箱测试，从而通过使用诸如可在商业上从International Business Machines Corporation^TMArmonk,NY得到的AppScan SE^TM的黑箱测试软件识别应用的候选访问受限区域。在该方案中，黑箱测试器104作为被授权访问应用的受限区域的用户模拟与应用的交互作用，诸如当用户作为“管理员”登录到应用时。黑箱测试器104还作为不被授权访问应用的受限区域的用户模拟与应用的交互作用，诸如当用户作为普通的用户登录到应用中时。然后通过指令分类器100比较两个黑箱测试的结果，以识别暴露于授权的用户但没有暴露给普通用户的那些数据条目界面。通过使用常规的技术，指令分类器100使所识别的数据条目界面与所识别的数据条目界面下面的应用源代码或字节代码指令相关，由此，这些相关的指令被指令分类器100指定为优选存储于候选位置102中的候选访问受限区域。

另外，或者，作为替代方案，指令分类器100被配置为通过根据使用安全敏感动作和/或与这些动作有关的域特定知识的预定规范的常规技术来静态分析应用指令识别计算机软件应用的候选访问受限区域。例如，可以预定写入应用的编程语言的应用编程接口（API）的列表，这里，已知API掌握对于文件系统、数据库和其它敏感区域的访问，假定只有被特别授权访问使用这些API的应用的那些部分的用户能够这样做。访问这些API的应用的区域被指令分类器100指定为优选存储于候选位置102中的候选访问受限区域。

静态分析器106被配置为静态分析候选访问受限区域，以确定是否存在是否控制向候选访问受限区域的执行流动的条件指令。如果没有发现这种条件指令，那么，假定在没有条件认证的情况下访问不能被限制，静态分析器106优选将候选访问受限区域指定为PE脆弱的。如果发现这种条件指令，那么静态分析器106优选执行静态分析，以确定条件指令是否信号依赖于应用内的数据源，这里，数据源被定义为将用户输入引入应用中的陈述，诸如Jave^TM服务小程序的“GetParameter”调用。如果条件指令不依赖于数据源，那么，假定如果缺少对于用户输入的访问则不能执行用户的认证，静态分析器106优选将候选访问受限区域指定为PE脆弱的。

在识别针对其存在a）是否控制向候选访问受限区域的执行流动并且b）依赖于数据源的条件指令的候选访问受限区域的情况下，由条件指令执行的测试可被分析以确定该测试是否实际上是有效的认证测试。例如，静态分析器106可执行静态分析以建立被计算机软件应用暴露的哪些数据条目界面导致该测试。然后，对于这些数据条目界面中的每一个，指令分类器100可控制黑箱测试器104以发出目标是数据条目界面的两个请求，一次采取通过被授权访问应用的受限区域的模拟的交互作用的形式，诸如当用户作为“管理员”登录到应用时，而一次采取通过不被授权访问应用的受限区域的模拟的交互作用的形式，诸如当用户作为普通用户登录到应用时。如果只有前次测试成功，那么指令分类器100优选将测试确定为有效的认证测试。另外，或者，作为替代方案，可由指令分类器100向可手动决定测试实际上是否是有效的认证测试的用户呈现测试和/或候选访问受限区域和/或数据源的描述。

如果发现表示进入候选访问受限区域的多个执行流动的多个条件指令，并且，特别是如果不是所有的条件指令在相同的数据源上执行相同的测试，那么该发现可通过指令分类器100对于以后的报告注明为表示较差的编程实际。

诸如通过根据常规的技术计算机硬件和/或在体现于物理可触知、非暂时性计算机可读介质中的计算机软件中实现要素中的任一个，图1所示的要素中的任一个优选通过计算机108被执行或者另外使得可访问到它。通过图1的系统的任何要素收集或产生的数据可通过诸如由计算机108控制的打印机或计算机监视器的计算机控制输出装置根据常规的技术被呈现给用户。

现在参照图2，该图是根据本发明的实施例的图1的系统的动作的示例性方法的流程图。在图2的方法中，根据用于将指令识别为访问受限指令的预定准则识别计算机软件应用的指令的候选访问受限区域（200）。如以上参照图1描述的那样，可通过执行应用的差分黑箱测试和/或者通过静态分析应用指令手动完成这一点。对于各所识别的候选访问受限区域，执行静态分析以确定是否存在是否控制向候选访问受限区域中的执行流动的条件指令（202）。如果没发现这种条件指令（204），那么，假定在没有条件认证的情况下访问不能被限制，候选访问受限区域优选被指定为PE脆弱的（206）。如果发现这种条件指令，那么执行静态分析以确定条件指令是否依赖于数据源（208）。如果条件指令不依赖于数据源（210），那么假定如果缺少对于用户输入的访问则不能执行用户的认证，优选将候选访问受限区域指定为PE脆弱的（206）。在识别针对其存在a）是否控制向候选访问受限区域的执行流动并且b）依赖于数据源的条件指令的候选访问受限区域的情况下，由条件指令执行的测试可被分析以确定测试是否实际上是有效的认证测试（212）。如果发现表示进入候选访问受限区域的多个执行流动路径的多个条件指令，并且，特别是如果不是所有的条件指令在相同的数据源上执行相同的测试，那么该发现对于以后的报告注明为表示较差的编程实际（214）。如以上参照图2的方法描述的那样收集或产生的数据可根据常规的技术通过诸如打印机或计算机监视器的计算机控制输出装置呈现给用户。

可在表示根据本发明的实施例的用于从数据库中删除用户记录的计算机软件应用的示例性指令的图3的上下文中示出图1的系统和图2的方法。图3所示的指令被配置为通过加入检查发起动作的用户是否被识别为“admin”并且提供的密码是否正确的测试来保护不受PE攻击。如果相同的指令缺少这些测试，那么用户去除动作仍通过检查触发用户去除动作的URL是否以“removeUser”结束的测试得到“保护”。但是，该测试不足以确定当前的用户是否被识别为“admin”，由此，指令对于PE攻击是脆弱的。以上描述的黑箱测试能够区分前面的例子中的两种情况。在存在“admin”和密码测试的情况下，仅在模拟的用户作为“admin”登录时，将在黑箱测试过程中调用用于去除用户记录的指令。在不存在“admin”和密码测试的情况下，不管模拟的用户是否作为“admin”登录，都在黑箱测试中去除用户记录，这指示应用对于PE攻击是脆弱的。

现在参照图4，框图400示出根据本发明的实施例的可实现本发明的一个或更多个组件/方法（例如，在图1～3的上下文中描述的组件/方法）的计算系统的示例性硬件实现。

如图所示，可根据通过计算机总线418或替代性的连接布置耦合的处理器410、存储器412、I/O设备414和网络接口416实现用于控制对于至少一个资源的访问的技术。

应当理解，这里使用的术语“处理器”要包括任何处理器件，诸如，例如，包含CPU（中央处理单元）和/或其它处理电路的处理器。还应理解，术语“处理器”可指的是多于一个的处理器件，并且，与处理器件相关联的各种元件可被其它的处理器件共享。

这里使用的术语“存储器”要包括与处理器或CPU相关联的存储器，诸如，例如，RAM、ROM、固定存储器装置（例如，硬盘驱动器）、可去除存储器装置（例如，盘）、快擦写存储器等。这种存储器可被视为计算机可读存储介质。

另外，这里使用的短语“输入/输出设备”或“I/O设备”要包括例如用于将数据键入到处理单元的一个或更多个输入设备（例如，键盘、鼠标、扫描仪等）和/或用于呈现与处理单元相关联的结果的一个或更多个输出设备（例如，扬声器、显示器、打印机等）。

图中的流程图和框图示出根据本发明的各种实施例的系统、方法和计算机程序产品的可能的实现的架构、功能和动作。关于这一点，流程图或框图中的各块可表示包含用于实现规定的逻辑功能的一个或更多个可执行指令的代码的模块、段或部分。还应注意，在一些替代性的实现中，在块中注明的功能可以按图示的次序以外的次序出现。例如，连续表示的两个块事实上可基本上被同时执行，或者，根据包括的功能，有时可以按相反的次序执行块。还应注意，可通过执行特定功能或作用的基于特殊用途硬件的系统或者特殊用途硬件和计算机指令的组合，来实现框图和/或流程图的各块和框图和/或流程图的块的组合。

应当理解，以上描述的要素中的任一个可实现为在计算机可读介质中体现的计算机程序产品，诸如以存储于磁或光学存储介质上或者嵌入计算机硬件内的计算机程序指令的形式，并且可通过计算机（未示出）被执行或者另外可访问它。

虽然可能或者可能没有参照特定的计算机硬件或软件描述这里的方法和装置，但是，可以理解，可很容易地通过使用常规的技术在计算机硬件或软件中实现这里描述的方法和装置。

虽然参照一个或更多个特定的实施例描述了本发明，但是，描述是为了总体解释本发明，而不应被解释为将本发明限于表示的实施例。应当理解，本领域技术人员可以想到各种修改，这些修改虽然在这里没有被特别表示但仍处于本发明的真实精神和范围内。

Claims (16)

1.一种用于确定计算机软件应用对于特权升级攻击的脆弱性的方法，该方法包括：

识别计算机软件应用的指令的候选访问受限区域；

静态地分析所述候选访问受限区域，以确定是否存在控制向所述候选访问受限区域中的执行流动的条件指令；

响应于存在所述条件指令，执行静态分析，以确定所述条件指令是否依赖于用户输入；和

在缺少所述条件指令或用户输入中的任一者时，将所述候选访问受限区域指定为对于特权升级攻击是脆弱的。

2.根据权利要求1的方法，其中，识别计算机软件应用的指令的候选访问受限区域包括：

根据用于将指令中的任一个识别为访问受限指令的预定准则来识别所述候选访问受限区域。

3.根据权利要求1的方法，其中，识别计算机软件应用的指令的候选访问受限区域包括：

接收所述候选访问受限区域在所述计算机软件应用内的手动键入位置。

4.根据权利要求1的方法，其中，识别计算机软件应用的指令的候选访问受限区域包括：

执行所述计算机软件应用的差分黑箱测试以识别所述候选访问受限区域。

5.根据权利要求4的方法，其中，执行所述计算机软件应用的差分黑箱测试以识别所述候选访问受限区域包括：

控制黑箱测试器以作为被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述计算机软件应用的交互作用的第一测试；

控制所述黑箱测试器以作为不被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述计算机软件应用的交互作用的第二测试；

比较两个测试的结果，以识别暴露于授权用户但不暴露于未授权用户的任何数据条目界面；

将所识别的数据条目界面与所识别的数据条目界面下面的计算机软件应用指令相关；和

将相关的指令指定为所述候选访问受限区域。

6.根据权利要求1的方法，其中，识别计算机软件应用的指令的候选访问受限区域包括：

通过使用安全敏感动作的预定规范来静态分析应用指令。

7.根据权利要求1的方法，其中，识别计算机软件应用的指令的候选访问受限区域包括：

通过使用与安全敏感动作有关的域特定知识的预定规范来静态分析应用指令。

8.根据权利要求1的方法，还包括：

对于通过所述计算机软件应用暴露并且导致由所述条件指令执行的认证测试的各数据条目界面，

作为被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述数据条目界面的交互作用的第一测试，

作为不被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述数据条目界面的交互作用的第二测试，并且，

如果只有所述第一测试成功，那么确定所述认证测试是有效的认证测试。

9.根据权利要求1的方法，还包括：

通过计算机控制的输出装置呈现将所述候选访问受限区域指定为对于特权升级攻击是脆弱的。

10.一种用于确定计算机软件应用对于特权升级攻击的脆弱性的系统，该系统包括：

一装置，被配置为识别计算机软件应用的指令的候选访问受限区域；

一装置，被配置为静态地分析所述候选访问受限区域，以确定是否存在控制向所述候选访问受限区域中的执行流动的条件指令；

一装置，被配置为响应与存在所述条件指令，执行静态分析，以确定所述条件指令是否依赖于用户输入；和

一装置，被配置为在缺少所述条件指令或用户输入中的任一者时，将所述候选访问受限区域指定为对于特权升级攻击是脆弱的。

11.根据权利要求10的系统，其中，被配置为识别计算机软件应用的指令的候选访问受限区域的装置进一步被配置为：

根据用于将指令中的任一个识别为访问受限指令的预定准则识别所述候选访问受限区域。

12.根据权利要求10的系统，其中，被配置为识别计算机软件应用的指令的候选访问受限区域的装置进一步被配置为：

控制黑箱测试器以执行所述计算机软件应用的差分黑箱测试以识别所述候选访问受限区域。

13.根据权利要求12的系统，其中，被配置为控制黑箱测试器以执行所述计算机软件应用的差分黑箱测试以识别所述候选访问受限区域的装置进一步被配置为：

控制所述黑箱测试器以作为被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述计算机软件应用的交互作用的第一测试；

控制所述黑箱测试器以作为不被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述计算机软件应用的交互作用的第二测试；

比较两个测试的结果，以识别暴露于授权用户但不暴露于未授权用户的任何数据条目界面；

将所识别的数据条目界面与所识别的数据条目界面下面的计算机软件应用指令相关；和

将相关的指令指定为所述候选访问受限区域。

14.根据权利要求10的系统，其中，被配置为识别计算机软件应用的指令的候选访问受限区域的装置进一步被配置为：

通过使用安全敏感动作的预定规范来静态分析应用指令，从而识别所述计算机软件应用的候选访问受限区域。

15.根据权利要求10的系统，其中，被配置为识别计算机软件应用的指令的候选访问受限区域的装置进一步被配置为：

通过使用与安全敏感动作有关的域特定知识的预定规范来静态分析应用指令，从而识别所述计算机软件应用的候选访问受限区域。

16.根据权利要求10的系统，还包括一装置，被配置为：

对于通过所述计算机软件应用暴露并且导致由所述条件指令执行的认证测试的各数据条目界面，

控制黑箱测试器以作为被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述数据条目界面的交互作用的第一测试，

控制所述黑箱测试器以作为不被授权访问所述计算机软件应用的受限区域的用户执行模拟与所述数据条目界面的交互作用的第二测试，并且，

如果只有所述第一测试成功，那么确定所述认证测试是有效的认证测试。