检索结果-维普期刊中文期刊服务平台

基于模糊测试的Java反序列化漏洞挖掘被引量：1: 1; 作者王鹃张勃显 +3 位作者张志杰谢海宁付金涛王洋《信息网络安全》北大核心 2025年第1期1-12,共12页; 随着反序列化技术在Java Web应用开发中的广泛应用,针对Java反序列化机制的攻击也日益增多,已严重威胁Java Web应用的安全性。当前主流的黑名单防范机制无法有效防御未知的反序列化漏洞利用,而现有的Java反序列化漏洞挖掘工具大多依赖... 展开更多; 关键词 java反序列化漏洞模糊测试污点分析漏洞挖掘程序调用图; 在线阅读下载PDF 职称材料

基于混合分析的Java反序列化漏洞检测方法被引量：5: 2; 作者郑鹏沙乐天《计算机工程》 CAS CSCD 北大核心 2023年第12期136-145,共10页; 随着Java的类库越来越多,反序列化漏洞的类型和数量都急剧上升。Java反序列化漏洞中存在利用链,攻击者通常将其与任意命令漏洞结合控制服务器。人工检测反序列化链需要花费大量的精力,且依赖代码审计人员的专业知识。基于符号执行和污... 展开更多; 关键词污点分析 java反序列化漏洞静态分析动态验证符号执行约束构建; 在线阅读下载PDF 职称材料

基于字节码搜索的Java反序列化漏洞调用链挖掘方法被引量：8: 3; 作者杜笑宇叶何文伟平《信息网络安全》 CSCD 北大核心 2020年第7期19-29,共11页; 反序列化漏洞是近年来应用安全研究的热点之一。随着Java类库的功能不断更新和扩展,反序列化漏洞的潜在范围更加广泛。手工进行反序列化漏洞挖掘需要大量的时间和人力对调用链进行筛查和构造。文章介绍了Java反序列化漏洞的原理、常见... 展开更多; 关键词反序列化漏洞调用链 java漏洞挖掘; 在线阅读下载PDF 职称材料

针对未知PHP反序列化漏洞利用的检测拦截系统研究被引量：3: 4; 作者陈震杭王张宜 +1 位作者彭国军夏志坚《信息网络安全》 CSCD 北大核心 2018年第4期47-55,共9页; 针对大部分Web应用在反序列化漏洞防护措施上存在不足,只能在漏洞公开后实行应急措施,无法应对未公开的漏洞攻击的问题,文章通过对PHP反序列化机制的研究,将PHP的敏感函数调用栈作为研究出发点,以Web应用正常运行时的函数调用栈作为判... 展开更多; 关键词 PHP反序列化漏洞函数调用栈安全防护; 在线阅读下载PDF 职称材料

基于攻击特征的Apache Shiro反序列化攻击检测模型被引量：3: 5; 作者冯美琪韩杰李建欣《信息安全研究》 2022年第7期656-665,共10页; Apache Shiro框架作为广泛应用的安全框架,提供身份验证、授权、密码和会话管理等功能,但其反序列化漏洞易导致任意代码执行等问题,而现有检测方法存在误报较多的问题,因此提出了一种基于攻击特征的Apache Shiro反序列化漏洞攻击检测模... 展开更多; 关键词攻击特征反序列化漏洞检测 Apache Shiro 安全事件处置; 在线阅读下载PDF 职称材料

题名基于模糊测试的Java反序列化漏洞挖掘被引量：1: 1; 作者王鹃张勃显张志杰谢海宁付金涛王洋; 机构武汉大学国家网络安全学院空天信息安全与可信计算教育部重点实验室山东浪潮科学研究院有限公司; 出处《信息网络安全》北大核心 2025年第1期1-12,共12页; 基金国家自然科学基金[61872430]。; 文摘随着反序列化技术在Java Web应用开发中的广泛应用,针对Java反序列化机制的攻击也日益增多,已严重威胁Java Web应用的安全性。当前主流的黑名单防范机制无法有效防御未知的反序列化漏洞利用,而现有的Java反序列化漏洞挖掘工具大多依赖静态分析方法,检测精确度较低。文章提出一种基于模糊测试的Java反序列化漏洞挖掘工具DSM-Fuzz,该工具首先通过对字节码进行双向追踪污点分析,提取所有可能与反序列化相关的函数调用链。然后,利用基于TrustRank算法的函数权值分配策略,评估函数与反序列化调用链的关联性,并根据相关性权值对模糊测试种子分配能量。为进一步优化测试用例的语法结构和语义特征,文章设计并实现了一种基于反序列化特征的种子变异算法。该算法利用反序列化的Java对象内部特征优化种子变异过程,并引导模糊测试策略对反序列化漏洞调用链进行路径突破。实验结果表明,DSM-Fuzz在漏洞相关代码覆盖量方面较其他工具提高了约90%。此外,该工具还在多个主流Java库中成功检测出50%的已知反序列化漏洞,检测精确度显著优于其他漏洞检测工具。因此,DSM-Fuzz可有效辅助Java反序列化漏洞的检测和防护。; 关键词 java反序列化漏洞模糊测试污点分析漏洞挖掘程序调用图; Keywords java deserialization vulnerability fuzzing taint analysis vulnerability mining program call graph; 分类号 TP309 [自动化与计算机技术—计算机系统结构]; 在线阅读下载PDF 职称材料

题名基于混合分析的Java反序列化漏洞检测方法被引量：5: 2; 作者郑鹏沙乐天; 机构南京邮电大学计算机学院、软件学院、网络空间安全学院; 出处《计算机工程》 CAS CSCD 北大核心 2023年第12期136-145,共10页; 基金国家自然科学基金面上项目(62072253)。; 文摘随着Java的类库越来越多,反序列化漏洞的类型和数量都急剧上升。Java反序列化漏洞中存在利用链,攻击者通常将其与任意命令漏洞结合控制服务器。人工检测反序列化链需要花费大量的精力,且依赖代码审计人员的专业知识。基于符号执行和污点分析提出一种自动检测方法,实现调用链检测工具Taint Gadget。通过解析字节码收集继承信息、传参信息和调用信息进行污点标记,筛选出入口函数和危险函数以生成控制流图。基于反序列化漏洞的传播特征并结合符号执行技术扩展控制流图,定义污点传播规则,对污染传播的显示流路径和隐式流路径进行约束,记录传播过程中调用链的类和敏感变量,通过动态的方法还原污染路径并进行验证。方法的实现基于ASM、Neo4j、Z3等工具,包括污点标记模块、污点传播模块和污点验证模块。在ysoserial数据集上的实验结果表明,Taint Gadget的静态命中率和运行时间分别为70.3%和78.4 s,动态命中率和运行时间分别为90.6%和20.8 s,相对T-Gadget Inspector和Gadget Inspector有效提高了静态和动态命中率,缩短了动态运行时间。; 关键词污点分析 java反序列化漏洞静态分析动态验证符号执行约束构建; Keywords taint analysis java deserialization vulnerability static analysis dynamic verification symbolic execution constraint construction; 分类号 TP309 [自动化与计算机技术—计算机系统结构]; 在线阅读下载PDF 职称材料

题名基于字节码搜索的Java反序列化漏洞调用链挖掘方法被引量：8: 3; 作者杜笑宇叶何文伟平; 机构北京大学软件与微电子学院; 出处《信息网络安全》 CSCD 北大核心 2020年第7期19-29,共11页; 基金国家自然科学基金[61872011]。; 文摘反序列化漏洞是近年来应用安全研究的热点之一。随着Java类库的功能不断更新和扩展,反序列化漏洞的潜在范围更加广泛。手工进行反序列化漏洞挖掘需要大量的时间和人力对调用链进行筛查和构造。文章介绍了Java反序列化漏洞的原理、常见场景和反序列化漏洞调用链的构造方法,并结合常见的漏洞挖掘方法,提出一种调用链挖掘方法,同时将该方法实现为调用链挖掘工具Zero Gadget。文章方法采用污点分析与符号执行技术生成从反序列化漏洞入口点到危险函数的调用树,利用深度优先搜索算法搜索调用树并生成相关调用链。文章选取常见的Java基础库进行调用链挖掘效果的测试。实验结果表明,文章方法可成功挖掘潜在调用链并具有较高的准确率,对于反序列化漏洞调用链的自动化挖掘有着积极的意义。; 关键词反序列化漏洞调用链 java漏洞挖掘; Keywords deserialization vulnerability gadget chain java vulnerability discovery; 分类号 TP309 [自动化与计算机技术—计算机系统结构]; 在线阅读下载PDF 职称材料

题名针对未知PHP反序列化漏洞利用的检测拦截系统研究被引量：3: 4; 作者陈震杭王张宜彭国军夏志坚; 机构空天信息安全与可信计算教育部重点实验室武汉大学国家网络安全学院百度科技有限公司; 出处《信息网络安全》 CSCD 北大核心 2018年第4期47-55,共9页; 基金国家自然科学基金[61332019 61202387 +2 种基金 61373168] NSFC-通用技术基础研究联合基金[U1636107]; 文摘针对大部分Web应用在反序列化漏洞防护措施上存在不足,只能在漏洞公开后实行应急措施,无法应对未公开的漏洞攻击的问题,文章通过对PHP反序列化机制的研究,将PHP的敏感函数调用栈作为研究出发点,以Web应用正常运行时的函数调用栈作为判定依据,实现了一个基于敏感函数调用栈的未知反序列化漏洞动态检测与拦截系统。通过对4个PHPWeb应用的6个反序列化漏洞的实验测试可知,该系统可成功拦截当前所有PHP反序列化漏洞攻击,并能够提取或回溯漏洞攻击所构造的POP攻击链,实现零误报。系统平均性能消耗为3.67%。; 关键词 PHP反序列化漏洞函数调用栈安全防护; Keywords PHP object injection function call stack security protection; 分类号 TP309 [自动化与计算机技术—计算机系统结构]; 在线阅读下载PDF 职称材料

题名基于攻击特征的Apache Shiro反序列化攻击检测模型被引量：3: 5; 作者冯美琪韩杰李建欣; 机构中国民航信息网络股份有限公司运行中心北京航天万源科技有限公司; 出处《信息安全研究》 2022年第7期656-665,共10页; 基金民航安全能力建设基金项目(PESA2020100,PESA2021009)。; 文摘 Apache Shiro框架作为广泛应用的安全框架,提供身份验证、授权、密码和会话管理等功能,但其反序列化漏洞易导致任意代码执行等问题,而现有检测方法存在误报较多的问题,因此提出了一种基于攻击特征的Apache Shiro反序列化漏洞攻击检测模型.通过分析正常情况及漏洞利用情况下网络包特征,归纳总结出4个攻击特征,并基于此构建模型检测Apache Shiro反序列化漏洞攻击,同时判断攻击是否疑似成功并流转至人工确认及处置环节.实验结果表明,该方法不但能检测Apache Shiro反序列化漏洞攻击,而且能够进一步确定攻击是否疑似成功,提高安全事件处置效率.与现有方法相比,该方法能够有效降低误报率,从而降低误处置率,减少对正常业务的影响.; 关键词攻击特征反序列化漏洞检测 Apache Shiro 安全事件处置; Keywords attack characteristic deserialization vulnerability detection Apache Shiro security event handling; 分类号 TP309 [自动化与计算机技术—计算机系统结构]; 在线阅读下载PDF 职称材料

	题名	作者	出处	发文年	被引量	操作
1	基于模糊测试的Java反序列化漏洞挖掘	王鹃张勃显张志杰谢海宁付金涛王洋	《信息网络安全》北大核心	2025	1	在线阅读下载PDF 职称材料
2	基于混合分析的Java反序列化漏洞检测方法	郑鹏沙乐天	《计算机工程》 CAS CSCD 北大核心	2023	5	在线阅读下载PDF 职称材料
3	基于字节码搜索的Java反序列化漏洞调用链挖掘方法	杜笑宇叶何文伟平	《信息网络安全》 CSCD 北大核心	2020	8	在线阅读下载PDF 职称材料
4	针对未知PHP反序列化漏洞利用的检测拦截系统研究	陈震杭王张宜彭国军夏志坚	《信息网络安全》 CSCD 北大核心	2018	3	在线阅读下载PDF 职称材料
5	基于攻击特征的Apache Shiro反序列化攻击检测模型	冯美琪韩杰李建欣	《信息安全研究》	2022	3	在线阅读下载PDF 职称材料