搜索

[1193] 2019-01-10_开源软件源代码安全缺陷分析报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2019-01-10_开源软件源代码安全缺陷分析报告 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 原 创   C N C E R T 软 件 安 全   C N C E R T 风 险 评 估   2 0 1 9 - 0 1 - 1 0 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 开 源 软 件 源 代 码 安 全 缺 陷 分 析 报 告 — — 物 联 网 软 件 专 题 物 联 网 软 件 专 题 1 、 概 述 、 概 述 随 着 软 件 技 术 飞 速 发 展 ， 开 源 软 件 已 在 全 球 范 围 内 得 到 了 广 泛 应 用 。 数 据 显 示 ， 9 9 % 的 组 织 在 其 I T 系 统 中 使 用 了 开 源 软 件 。 开 源 软 件 的 代 码 一 旦 存 在 安 全 问 题 ， 必 将 造 成 广 泛 、 严 重 的 影 响 。 为 了 解 开 源 软 件 的 安 全 情 况 ， C N C E R T 持 续 对 广 泛 使 用 的 知 名 开 源 软 件 进 行 源 代 码 安 全 缺 陷 分 析 ， 并 发 布 季 度 安 全 缺 陷 分 析 报 告 。 自 2 0 0 5 年 国 际 电 信 联 盟 （ I T U ） 正 式 提 出 “ 物 联 网 （ I o T ） ” 这 一 概 念 以 来 ， 物 联 网 在 全 球 范 围 内 迅 速 获 得 认 可 。 随 着 物 联 网 技 术 的 发 展 创 新 ， 大 量 智 能 家 居 和 可 穿 戴 设 备 进 入 了 人 们 的 生 活 ， “ 万 物 互 联 ” 成 为 全 球 网 络 未 来 发 展 的 重 要 方 向 。 根 据 G a r t n e r 报 告 预 测 ， 2 0 2 0 年 全 球 物 联 网 设 备 数 量 将 高 达 2 6 0 亿 个 。 然 而 ， 由 于 安 全 标 准 滞 后 ， 以 及 智 能 设 备 制 造 商 缺 乏 安 全 意 识 和 投 入 ， 物 联 网 已 经 埋 下 极 大 隐 患 ， 为 个 人 隐 私 、 企 业 信 息 安 全 甚 至 国 家 关 键 基 础 设 施 带 来 严 重 的 安 全 威 胁 。 本 期 报 告 选 取 全 球 2 0 款 知 名 物 联 网 软 件 进 行 源 代 码 安 全 缺 陷 分 析 ， 结 合 缺 陷 分 析 工 具 和 人 工 审 计 的 结 果 ， 评 估 项 目 的 安 全 性 。 从 测 评 结 果 来 看 ， 与 往 期 其 他 领 域 开 源 软 件 相 比 ， 物 联 网 类 软 件 的 安 全 缺 陷 较 多 ， 潜 在 的 安 全 问 题 不 容 忽 视 。 同 时 ， 技 术 人 员 随 机 抽 取 安 全 缺 陷 进 行 人 工 利 用 ， 发 现 存 在 能 够 被 证 实 的 安 全 漏 洞 ， 通 过 漏 洞 能 够 获 取 物 联 网 云 端 服 务 器 权 限 ， 一 旦 该 漏 洞 被 黑 客 利 用 ， 则 存 在 物 联 网 设 备 被 远 程 操 纵 的 安 全 风 险 。 2 、 被 测 开 源 软 件 、 被 测 开 源 软 件 综 合 考 虑 用 户 数 量 、 受 关 注 程 度 以 及 更 新 频 率 等 情 况 ， 选 取 了 2 0 款 具 有 代 表 性 的 物 联 网 类 开 源 软 件 。 表 1 列 出 了 本 次 被 测 的 开 源 物 联 网 软 件 项 目 的 概 况 ， 项 目 按 照 G i t h u b 上 S t a r 的 数 量 降 序 排 列 。 本 次 检 测 的 软 件 涵 盖 了 C 、 C + + 、 J a v a 、 J a v a S c r i p t （ J S ） 等 编 程 语 言 。 这 些 开 源 软 件 项 目 都 是 国 际 知 名 的 ， 拥 有 广 泛 用 户 的 软 件 项 目 ， 其 中 不 乏 由 知 名 软 件 公 司 开 发 的 软 件 。 由 于 这 些 软 件 大 多 具 有 巨 大 的 用 户 群 体 ， 软 件 中 的 安 全 缺 陷 很 可 能 会 造 成 严 重 的 后 果 。 表 1   被 测 开 源 软 件 项 目 概 览 项 目 名 称 项 目 名 称 版 本 号 版 本 号 主 要 编 程 语 主 要 编 程 语 言 言 功 能 说 明 功 能 说 明 代 码 行 数 代 码 行 数 G i t h u b   s t a r 数 数 S e r v e r l e s s m a s t e r J S 使 用 无 服 务 器 架 构 构 建 W e b 、 移 动 、 物 联 网 应 用 的 框 架 2 0 , 1 5 0 2 6 , 1 2 4 N o d e - R E D m a s t e r J S 用 于 连 接 物 联 网 的 可 视 化 工 具 1 0 0 , 8 4 0 6 , 4 4 7 J e r r y S c r i p t V 1 . 0 C 用 于 物 联 网 的 超 轻 量 级 J a v a S c r i p t 引 擎 9 7 , 5 5 9 3 , 2 2 3 A r d u i n o J s o n V 5 . 1 3 . 4 C + + 物 联 网 的 J S O N 库 2 7 , 5 8 3 3 , 0 7 8 P O C O V 1 . 9 . 0 C + + 支 持 桌 面 、 服 务 器 、 移 动 、 物 联 网 、 嵌 入 式 系 统 上 的 联 网 应 用 开 发 的 跨 平 台 的 C + + 函 数 库 5 2 6 , 7 2 1 2 , 9 2 9 C r a t e D B m a s t e r J a v a 一 个 分 布 式 S Q L 数 据 库 ， 可 以 轻 松 实 时 存 储 和 分 析 大 量 机 器 数 据 3 1 4 , 9 8 4 2 , 1 3 1 T h i n g s B o a r d m a s t e r J a v a 一 个 用 于 数 据 收 集 、 处 理 、 可 视 化 和 设 备 管 理 的 物 联 网 平 台 1 1 2 , 7 0 4 1 , 9 8 7 R I O T 2 0 1 8 . 1 0 版 C 支 持 常 见 物 联 网 设 备 的 实 时 、 多 线 程 的 操 作 系 统 1 , 3 4 1 , 5 3 9 1 , 9 7 9 B l y n k   L i b r a r y V 0 . 5 . 4 C + + 嵌 入 式 硬 件 的 B l y n k 库 。 B l y n k 是 一 个 物 联 网 应 用 平 台 ， 旨 在 简 化 物 联 网 的 移 动 或 者 W e b 应 用 构 建 。 1 7 , 2 0 6 1 , 8 3 1 I o T . j s m a s t e r J S 使 用 J a v a S c r i p t 的 物 联 网 平 台 4 2 , 9 1 0 1 , 8 2 6 O p e n T h r e a d V 2 . 0 . 0 C + + O p e n T h r e a d 是 T h r e a d 网 络 协 议 的 开 源 实 现 6 6 1 , 6 9 6 1 , 7 1 3 B l y n k   S e r v e r V 0 . 3 9 . 6 J a v a 基 于 N e t t y 的 J a v a   S e r v e r ， 主 要 用 于 在 B l y n k 移 动 应 用 和 嵌 入 式 设 备 之 间 传 递 消 息 。 7 5 , 5 5 5 1 , 0 9 7 K a a m a s t e r J a v a 开 源 中 间 件 平 台 ， 用 于 构 建 、 管 理 和 集 成 联 网 的 产 品 和 设 备 4 6 1 , 5 1 1 9 8 4 M y S e n s o r s V 2 . 3 . 0 C + + 专 注 于 提 供 智 能 居 家 和 物 联 网 的 D I Y 服 务 1 7 , 7 8 8 8 7 1 S m a r t H o m e m a s t e r J a v a 智 能 家 居 的 灵 活 框 架 8 0 1 , 0 5 3 7 4 5 O p e n I o T d e v e l o p J a v a 物 联 网 中 间 件 的 基 础 架 构 ， 用 于 支 撑 联 网 设 备 的 数 据 采 集 、 流 量 清 洗 、 事 件 处 理 算 法 的 灵 活 配 置 和 部 署 2 6 9 , 3 8 7 3 6 9
F r e e d o m o t i c V 5 . 6 . 0 J a v a 开 放 物 联 网 框 架 2 5 9 , 7 0 8 2 5 8 L i n k   K i t   S D K V 2 . 3 . 0 C 阿 里 云 物 联 网 套 件 5 6 , 3 8 4 2 5 7 S i t e W h e r e m a s t e r J a v a 一 个 面 向 物 联 网 的 工 业 级 开 源 应 用 支 持 平 台 2 1 6 , 7 9 6 2 3 5 I o t X m p p m a s t e r J a v a 基 于 X M P P 的 安 卓 客 户 端 ， 实 现 与 物 联 网 节 点 的 交 互 1 3 0 , 6 0 7 1 1 8 3 、 测 试 内 容 、 测 试 内 容 3 . 1 、 安 全 缺 陷 种 类 、 安 全 缺 陷 种 类 本 次 测 试 涵 盖 各 类 常 见 安 全 缺 陷 。 根 据 缺 陷 形 成 的 原 因 、 被 利 用 的 可 能 性 、 造 成 的 危 害 程 度 和 解 决 的 难 度 等 因 素 进 行 综 合 考 虑 ， 可 以 将 常 见 的 安 全 缺 陷 分 为 八 类 ： 1 、 、 输 入 验 证 输 入 验 证 输 入 验 证 与 表 示 问 题 通 常 是 由 特 殊 字 符 、 编 码 和 数 字 表 示 所 引 起 的 ， 这 类 问 题 的 发 生 是 由 于 对 输 入 的 信 任 所 造 成 的 。 这 些 问 题 包 括 ： 缓 冲 区 溢 出 、 跨 站 脚 本 、 S Q L 注 入 、 命 令 注 入 等 。 2 、 、 A P I 使 用 使 用 A P I 是 调 用 者 与 被 调 用 者 之 间 的 一 个 约 定 ， 大 多 数 的 A P I 误 用 是 由 于 调 用 者 没 有 理 解 约 定 的 目 的 所 造 成 的 。 当 使 用 A P I 不 当 时 ， 也 会 引 发 安 全 问 题 。 3 、 安 全 特 性 、 安 全 特 性 该 类 别 主 要 包 含 认 证 、 访 问 控 制 、 机 密 性 、 密 码 使 用 和 特 权 管 理 等 方 面 的 缺 陷 。 4 、 并 行 计 算 、 并 行 计 算 线 程 和 进 程 之 间 的 交 互 及 执 行 任 务 的 时 间 顺 序 往 往 由 共 享 的 状 态 决 定 ， 如 信 号 量 、 变 量 、 文 件 系 统 等 。 与 分 布 式 计 算 相 关 的 缺 陷 包 括 竞 态 条 件 、 阻 塞 误 用 等 。 5 、 错 误 和 异 常 处 理 、 错 误 和 异 常 处 理 这 类 缺 陷 与 错 误 和 异 常 处 理 有 关 ， 最 常 见 的 一 种 缺 陷 是 没 有 恰 当 的 处 理 错 误 （ 或 者 没 有 处 理 错 误 ） 从 而 导 致 程 序 运 行 意 外 终 止 ， 另 一 种 缺 陷 是 产 生 的 错 误 给 潜 在 的 攻 击 者 提 供 了 过 多 信 息 。 6 、 代 码 质 量 、 代 码 质 量 低 劣 的 代 码 质 量 会 导 致 不 可 预 测 的 行 为 。 对 于 攻 击 者 而 言 ， 低 劣 的 代 码 使 他 们 可 以 以 意 想 不 到 的 方 式 威 胁 系 统 。 常 见 的 该 类 别 缺 陷 包 括 死 代 码 、 空 指 针 解 引 用 、 资 源 泄 漏 等 。 7 、 封 装 和 隐 藏 、 封 装 和 隐 藏 合 理 的 封 装 意 味 着 区 分 校 验 过 和 未 经 检 验 的 数 据 ， 区 分 不 同 用 户 的 数 据 ， 或 区 分 用 户 能 看 到 和 不 能 看 到 的 数 据 等 。 常 见 的 缺 陷 包 括 隐 藏 域 、 信 息 泄 漏 、 跨 站 请 求 伪 造 等 。 8 、 代 码 运 行 环 境 、 代 码 运 行 环 境 该 类 缺 陷 是 源 代 码 之 外 的 问 题 ， 例 如 运 行 环 境 配 置 问 题 、 敏 感 信 息 管 理 问 题 等 ， 它 们 对 产 品 的 安 全 仍 然 是 至 关 重 要 的 。 前 七 类 缺 陷 与 源 代 码 中 的 安 全 缺 陷 相 关 ， 它 们 可 以 成 为 恶 意 攻 击 的 目 标 ， 一 旦 被 利 用 会 造 成 信 息 泄 露 、 权 限 提 升 、 命 令 执 行 等 严 重 后 果 。 最 后 一 类 缺 陷 描 述 实 际 代 码 之 外 的 安 全 问 题 ， 它 们 容 易 造 成 软 件 的 运 行 异 常 、 数 据 丢 失 等 严 重 问 题 。
3 . 2 、 安 全 缺 陷 级 别 、 安 全 缺 陷 级 别 我 们 将 源 代 码 的 安 全 问 题 分 为 三 种 级 别 ： 高 危 （ H i g h ） 、 中 等 （ M e d i u m ） 和 低 （ L o w ） 。 衡 量 级 别 的 标 准 包 括 两 个 维 度 ， 置 信 程 度 （ c o n f i d e n c e ） 和 严 重 程 度 （ s e v e r i t y ） 。 置 信 程 度 是 指 发 现 的 问 题 是 否 准 确 的 可 能 性 ， 比 如 将 每 个 s t r c p y ( ) 调 用 都 标 记 成 缓 冲 区 溢 出 缺 陷 的 可 信 程 度 很 低 。 严 重 程 度 是 指 假 设 测 试 技 术 真 实 可 信 的 情 况 下 检 出 问 题 的 严 重 性 ， 比 如 缓 冲 区 溢 出 （ b u f f e r   o v e r f l o w ） 通 常 是 比 空 指 针 引 用 （ n u l l   p o i n t e r   d e r e f e r e n c e ） 更 严 重 的 安 全 问 题 。 将 这 两 个 因 素 综 合 起 来 可 以 准 确 的 为 安 全 问 题 划 分 级 别 ， 如 图 1 所 示 。 图 1   缺 陷 级 别 与 严 重 程 度 、 置 信 程 度 的 关 系 4 、 开 源 物 联 网 软 件 项 目 的 安 全 缺 陷 情 况 、 开 源 物 联 网 软 件 项 目 的 安 全 缺 陷 情 况 本 部 分 首 先 展 示 从 被 测 项 目 中 检 出 安 全 缺 陷 的 数 量 ， 由 此 对 被 测 项 目 的 安 全 性 进 行 大 致 的 评 估 。 然 后 进 一 步 讨 论 被 测 项 目 中 安 全 缺 陷 的 分 布 情 况 ， 了 解 项 目 中 出 现 较 多 的 、 容 易 被 忽 略 的 安 全 问 题 。 4 . 1 、 安 全 缺 陷 情 况 概 览 、 安 全 缺 陷 情 况 概 览 本 部 分 展 示 被 测 项 目 查 出 缺 陷 的 数 量 ， 由 此 对 被 测 项 目 的 安 全 性 进 行 大 致 的 评 估 。 图 2 分 别 展 示 了 项 目 不 同 级 别 缺 陷 的 数 量 ， 并 按 照 高 危 缺 陷 数 量 对 项 目 进 行 了 排 序 ， 图 中 用 蓝 色 折 线 图 展 示 了 每 千 行 代 码 包 含 缺 陷 数 ， 红 色 折 线 图 为 项 目 在 G i t h u b 上 的 s t a r 的 数 量 。
图 2   开 源 软 件 项 目 缺 陷 情 况 从 中 可 以 看 出 ， 本 次 选 取 的 物 联 网 类 开 源 软 件 都 存 在 不 同 程 度 的 安 全 问 题 。 本 次 检 测 从 这 些 项 目 中 总 计 发 现 高 危 缺 陷 6 6 7 个 ， 中 危 缺 陷 3 7 0 2 个 。 缺 陷 数 量 排 名 靠 前 的 项 目 处 于 极 易 被 攻 击 者 利 用 的 状 态 ， 实 际 使 用 者 需 通 过 安 装 补 丁 或 者 更 新 版 本 的 方 式 进 行 修 复 和 升 级 。 在 所 有 被 测 软 件 中 ， 物 联 网 应 用 平 台 B l y n k 的 函 数 库 B l y n k   L i b r a r y 的 安 全 性 最 高 （ 无 高 危 缺 陷 ， 有 3 个 中 危 缺 陷 ） 。 物 联 网 应 用 框 架 S e r v e r l e s s 、 物 联 网 开 发 J S 平 台 I o T . j s 、 物 联 网 实 时 操 作 系 统 R I O T 的 缺 陷 总 数 较 少 ， 总 体 安 全 性 较 高 。 物 联 网 中 间 件 基 础 架 构 平 台 O p e n I o T 在 本 次 被 测 的 2 0 款 软 件 里 高 危 缺 陷 居 多 ， 包 含 3 7 0 个 高 危 缺 陷 和 6 6 9 个 中 危 缺 陷 。 其 中 ， 包 括 5 5 6 个 输 入 验 证 类 缺 陷 ， 其 中 2 8 3 个 缺 陷 为 跨 站 脚 本 问 题 （ 高 危 ） ， 3 4 4 处 资 源 未 释 放 问 题 （ 中 危 ） ， 提 示 该 项 目 应 加 强 对 安 全 缺 陷 的 管 理 ， 特 别 是 加 强 对 来 自 信 任 边 界 之 外 的 用 户 输 入 的 过 滤 和 验 证 ； 同 时 ， 应 进 一 步 提 升 代 码 质 量 ， 避 免 攻 击 者 利 用 资 源 泄 露 的 问 题 发 起 拒 绝 服 务 攻 击 。 中 高 危 缺 陷 总 数 最 多 的 是 联 网 应 用 开 发 函 数 库 P O C O ， 包 含 1 个 高 危 缺 陷 ， 和 1 3 8 0 个 中 危 缺 陷 。 其 中 ， 项 目 被 检 测 出 7 4 8 处 “ 将 比 特 位 数 不 同 的 操 作 数 进 行 位 运 算 ” 、 3 0 0 处 “ 使 用 了 不 安 全 的 内 存 拷 贝 函 数 ” 、 2 3 4 处 “ 在 对 字 符 类 型 比 较 时 未 明 确 其 符 号 属 性 ” 问 题 。 这 些 问 题 会 降 低 程 序 的 稳 定 性 和 可 移 植 性 ， 可 能 会 导 致 程 序 发 生 非 预 期 的 行 为 ， 同 时 也 增 加 了 安 全 隐 患 。 建 议 项 目 的 开 发 者 提 升 安 全 意 识 ， 可 在 开 发 过 程 中 使 用 代 码 缺 陷 扫 描 工 具 提 升 代 码 质 量 和 安 全 性 。 考 虑 到 项 目 的 绝 对 缺 陷 数 量 可 能 与 项 目 大 小 相 关 ， 因 此 本 报 告 计 算 了 每 千 行 缺 陷 数 ， 用 该 数 据 反 映 缺 陷 在 项 目 中 的 分 布 密 度 。 根 据 该 数 据 ， 物 联 网 实 时 操 作 系 统 R I O T 每 千 行 缺 陷 数 仅 为 0 . 0 0 2 ， 平 均 每 1 0 万 行 代 码 出 现 1 个 以 下 的 中 高 危 缺 陷 ， 为 本 次 被 测 软 件 中 安 全 缺 陷 密 度 最 低 的 被 测 项 目 。 此 外 ， 代 码 安 全 缺 陷 密 度 较 低 的 项 目 有 物 联 网 应 用 框 架 S e r v e r l e s s 、 物 联 网 开 发 J S 平 台 I o T . j s ， 这 些 项 目 平 均 每 一 万 行 代 码 出 现 1 个 以 下 的 中 高 危 缺 陷 。 安 全 缺 陷 分 布 密 度 相 对 较 高 的 项 目 是 物 联 网 D I Y 工 具 M y S e n s o r s （ 6 . 9 7 ） 、 物 联 网 中 间 件 基 础 架 构 平 台 O p e n I o T （ 3 . 7 9 ） 、 物 联 网 的 J S 引 擎 J e r r y S c r i p t （ 3 . 5 3 ） ， 这 些 项 目 平 均 每 一 千 行 代 码 中 就 会 出 现 数 个 中 高 危 缺 陷 。 4 . 2 、 高 危 安 全 缺 陷 分 布 情 况 、 高 危 安 全 缺 陷 分 布 情 况 本 部 分 对 高 危 缺 陷 的 分 布 情 况 进 行 分 析 说 明 。 图 3 展 示 了 被 测 项 目 高 危 缺 陷 大 类 的 分 布 情 况 。 数 据 表 明 ， 绝 大 多 数 缺 陷 为 “ 输 入 验 证 ” 类 缺 陷 ， 该 类 缺 陷 主 要 是 由 于 对 用 户 输 入 未 做 充 分 验 证 导 致 的 ， 易 造 成 缓 冲 区 溢 出 、 路 径 遍 历 、 跨 站 脚 本 及 各 类 注 入 缺 陷 ， 一 旦 攻 击 者 构 造 恶 意 输 入 ， 可 能 造 成 任 意 命 令 执 行 、 任 意 文 件 读 取 等 严 重 安 全 问 题 。
图 3   被 测 项 目 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 大 类 划 分 ） 图 4 进 一 步 展 示 了 被 测 项 目 中 各 种 具 体 的 高 危 安 全 缺 陷 的 分 布 情 况 。 为 方 便 展 示 ， 将 出 现 不 超 过 1 0 次 的 缺 陷 统 一 归 入 “ 其 他 ” ， 主 要 包 括 越 界 访 问 （ 9 个 ） 、 硬 编 码 密 码 （ 6 个 ） 等 问 题 。 在 被 测 的 2 0 个 项 目 中 ， 出 现 较 多 的 几 类 具 体 缺 陷 依 次 是 跨 站 脚 本 （ 4 8 8 个 ） 、 路 径 遍 历 （ 7 6 个 ） 和 S Q L 注 入 （ 5 3 个 ） 。 由 于 本 期 被 测 软 件 主 要 为 物 联 网 应 用 开 发 框 架 ， 提 供 物 联 网 服 务 器 端 服 务 ， 这 些 缺 陷 将 极 大 的 提 升 服 务 器 被 攻 击 者 获 取 控 制 权 的 风 险 ， 从 而 导 致 物 联 网 设 备 被 恶 意 操 控 、 用 户 个 人 隐 私 泄 露 的 风 险 。
图 4   被 测 项 目 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 具 体 缺 陷 划 分 ） 4 . 3 、 安 全 缺 陷 总 体 分 布 情 况 、 安 全 缺 陷 总 体 分 布 情 况 上 文 针 对 被 测 项 目 中 的 高 危 缺 陷 的 检 出 情 况 对 项 目 的 安 全 状 况 进 行 了 分 析 。 通 常 来 说 ， 与 高 危 缺 陷 相 比 ， 中 危 缺 陷 在 实 际 运 行 环 境 中 的 危 害 相 对 较 小 ， 但 仍 不 容 忽 视 ， 且 能 在 一 定 程 度 上 反 映 出 项 目 的 代 码 质 量 、 开 发 人 员 对 代 码 安 全 问 题 的 重 视 程 度 等 。 为 了 更 全 面 的 了 解 被 测 项 目 的 安 全 状 况 ， 本 节 进 一 步 展 示 包 括 中 危 缺 陷 在 内 的 安 全 缺 陷 的 总 体 分 布 情 况 。 图 5 展 示 了 被 测 项 目 中 安 全 缺 陷 大 类 的 分 布 情 况 。 与 高 危 级 别 的 缺 陷 分 布 情 况 相 比 ， 代 码 质 量 类 、 A P I 使 用 类 缺 陷 占 比 大 幅 提 升 。 项 目 中 存 在 大 量 的 “ 不 当 的 位 运 算 ” 、 “ 不 当 的 字 符 比 较 ” 、 “ 资 源 未 释 放 ” 、 “ 使 用 不 安 全 的 函 数 ” 等 问 题 ， 集 中 反 映 出 开 发 者 的 不 良 编 程 习 惯 。 与 输 入 验 证 类 问 题 相 比 ， 这 类 问 题 被 攻 击 者 利 用 的 门 槛 相 对 较 高 ， 但 一 旦 被 利 用 ， 仍 然 会 发 生 拒 绝 服 务 、 执 行 任 意 命 令 等 严 重 风 险 。
图 5   被 测 项 目 中 的 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 大 类 划 分 ） 表 2 进 一 步 展 示 了 被 测 项 目 中 的 各 种 具 体 的 中 高 危 安 全 缺 陷 的 分 布 情 况 。 由 于 本 次 被 检 测 出 的 缺 陷 数 量 较 大 ， 共 出 现 了 8 5 种 中 高 危 缺 陷 ， 为 方 便 阅 读 ， 仅 在 表 中 列 出 出 现 5 0 次 以 上 的 缺 陷 种 类 。 表 2   被 测 项 目 中 的 中 高 危 安 全 缺 陷 的 分 布 情 况 （ 按 具 体 安 全 缺 陷 种 类 划 分 ） 中 高 危 缺 陷 种 类 中 高 危 缺 陷 种 类 出 现 频 次 出 现 频 次 将 比 特 位 数 不 同 的 操 作 数 进 行 位 运 算 1 , 0 7 6 跨 站 脚 本 5 7 1 资 源 未 释 放 5 6 2 不 安 全 的 内 存 拷 贝 函 数 3 5 2 不 当 的 字 符 类 型 比 较 2 5 6 空 指 针 解 引 用 1 5 7 不 安 全 的 字 符 串 处 理 函 数 1 3 2 路 径 遍 历 9 8 S Q L 注 入 9 7 S e r v l e t 的 线 程 安 全 问 题 9 0 X M L 外 部 实 体 注 入 9 0 隐 私 泄 漏 6 3 不 当 的 格 式 化 字 符 串 6 2 硬 编 码 密 码 5 3 未 经 检 查 的 循 环 条 件 5 2 5 、 本 年 度 项 目 安 全 横 向 对 比 、 本 年 度 项 目 安 全 横 向 对 比 本 部 分 将 本 期 被 测 的 物 联 网 类 软 件 项 目 与 本 年 度 往 期 被 测 的 人 工 智 能 类 、 开 发 框 架 类 软 件 从 平 均 每 千 行 缺 陷 数 的 角 度 进 行 了 横 向 对 比 。
图 6   2 0 1 8 年 度 不 同 领 域 被 测 软 件 每 千 行 缺 陷 数 对 比 如 图 6 所 示 ， 物 联 网 类 的 软 件 安 全 缺 陷 密 度 较 高 ， 从 某 种 程 度 上 反 应 出 智 能 设 备 制 造 商 的 安 全 意 识 相 对 薄 弱 ， 提 示 物 联 网 类 开 发 者 应 加 强 对 代 码 安 全 性 的 重 视 ， 并 切 实 采 取 手 段 提 升 软 件 安 全 性 。 6 、 缺 陷 验 证 情 况 、 缺 陷 验 证 情 况 对 于 本 次 检 测 出 的 安 全 缺 陷 ， 报 告 编 制 组 随 机 抽 取 缺 陷 进 行 人 工 利 用 ， 发 现 存 在 能 够 被 证 实 的 安 全 漏 洞 ， 本 部 分 以 B l y n k   S e r v e r 路 径 遍 历 漏 洞 为 例 进 行 说 明 。 B l y n k   S e r v e r 是 物 联 网 服 务 器 端 组 件 ， 主 要 用 于 在 B l y n k 移 动 应 用 和 嵌 入 式 设 备 之 间 传 递 消 息 。
图 7   B l y n k   S e r v e r （ 版 本 0 . 3 9 . 6 ） 路 径 遍 历 漏 洞 获 取 文 件 截 图 图 7 展 示 了 存 在 问 题 的 代 码 片 段 ， 代 码 直 接 读 取 用 户 输 入 的 U R I （ 1 8 8 行 ） ， 未 做 任 何 验 证 和 过 滤 就 直 接 进 行 文 件 读 取 （ 2 1 0 行 ） ， 使 得 用 户 可 通 过 “ . . / ” 实 现 对 服 务 器 文 件 系 统 的 路 径 遍 历 ， 从 而 可 以 获 取 任 意 文 件 内 容 。 例 如 ， 如 图 8 所 示 ， 通 过 U R L “ / s t a t i c / j s / . . / . . / . . / . . / . . / . . / . . / . . / e t c / p a s s w d ” 即 可 获 得 系 统 账 户 文 件 等 敏 感 内 容 。 由 于 B l y n k   S e r v e r 主 要 用 于 在 移 动 应 用 与 物 联 网 设 备 的 微 控 制 面 板 之 间 传 递 消 息 ， 因 此 一 旦 攻 击 者 获 取 了 服 务 器 权 限 ， 将 能 够 截 获 所 有 来 自 物 联 网 设 备 的 消 息 ， 从 而 导 致 物 联 网 设 备 所 有 者 的 个 人 隐 私 泄 露 问 题 ； 此 外 ， 攻 击 者 也 能 够 通 过 篡 改 、 操 控 发 送 至 物 联 网 设 备 的 指 令 ， 实 现 对 物 联 网 设 备 的 远 程 操 控 。 该 漏 洞 得 到 了 B l y n k   S e r v e r 开 发 者 确 认 ， 并 获 得 了 C V E 确 认 （ C V E - 2 0 1 8 - 1 7 7 8 5 ） ， 该 漏 洞 在 0 . 3 9 . 1 3 及 之 后 的 版 本 中 得 到 修 复 。 建 议 软 件 的 使 用 者 尽 快 更 新 到 最 新 版 本 ， 以 避 免 不 必 要 的 安 全 风 险 。
图 8   B l y n k   S e r v e r （ 版 本 0 . 3 9 . 6 ） 路 径 遍 历 漏 洞 获 取 文 件 截 图 7 、 关 于 本 报 告 的 说 明 、 关 于 本 报 告 的 说 明 一 、 本 报 告 仅 从 代 码 角 度 进 行 缺 陷 分 析 。 本 报 告 中 统 计 的 缺 陷 是 指 由 于 代 码 编 写 不 规 范 导 致 的 有 可 能 被 攻 击 者 利 用 的 安 全 隐 患 。 在 实 际 系 统 中 ， 由 于 软 件 实 际 部 署 环 境 、 安 全 设 备 等 的 限 制 ， 部 分 缺 陷 可 能 无 法 通 过 渗 透 测 试 得 到 验 证 。 二 、 本 报 告 中 的 缺 陷 仅 适 用 于 表 1 中 列 出 的 特 定 软 件 版 本 。 当 软 件 版 本 有 任 何 更 新 、 修 改 和 优 化 时 ， 本 报 告 不 再 适 用 。 感 谢 代 码 卫 士 团 队 支 持
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理