聂森
- 作品数：4 被引量：7H指数：1
- 供职机构：上海交通大学电子信息与电气工程学院信息安全工程学院更多>>
- 发文基金：国家自然科学基金上海市重大科技攻关项目更多>>
- 相关领域：自动化与计算机技术更多>>
- 面向COTS软件的智能漏洞挖掘技术研究
- 现代化社会，计算机与日常工作生活密不可分。然而伴随着社会的快速发展，计算机的安全问题日趋严重，一个威胁计算机安全的重要因素就是软件中存在漏洞。
COTS即Commercial-Off-the-Shelf，COTS软...
- 聂森
- 关键词：软件测试漏洞挖掘
- 文献传递
- 一种改进的智能Fuzzing平台设计方案被引量：1
- 2013年
- 随着软件安全问题的日趋严重,智能Fuzzing技术被广泛应用于漏洞挖掘、软件安全领域。基于符号执行和污点分析技术的各种智能Fuzzing平台相继诞生。该文首先以漏洞安全问题以及软件测试方法学为背景,介绍了智能Fuzzing技术中用到的理论,包括符号执行、污点分析等;然后介绍了现有成型智能Fuzzing平台,包括SAGE、KLEE、BitBlaze等,并且提出它们现存的主要问题;最后通过总结智能Fuzzing平台的可改进之处,提出了一种更有效的智能Fuzzing平台的设计方案,该方案基于全系统的符号执行技术,利用云计算平台进行调度,可以有效应用于商业级软件的Fuzzing工作。
- 聂森李骁王轶骏薛质
- 关键词：漏洞挖掘污点分析
- 基于S2E的Use-After-Free漏洞检测方案被引量：6
- 2016年
- Use-After-Free漏洞是由程序试图操作悬垂指针引起的。该类型漏洞近年来在针对浏览器客户端的攻击中变得愈发流行。提出一种针对Use-After-Free漏洞的检测算法,并据此实现检测方案UAFChecker。UAFChecker基于开源的多路径软件分析平台S2E,它通过挂钩关键的堆内存操作函数监控指针的生成,使用反汇编引擎BeaEngine在汇编层上跟踪指针的传播,通过收集和分析指针信息来检测漏洞。实验结果表明,配合Fuzzing技术UAFChecker成功定位和分析出IE8浏览器中存在的多个未被公开的Use-After-Free漏洞。
- 冯震聂森王轶骏薛质
- 关键词：漏洞检测
- 面向JRENative漏洞的寄存器符号化监测
- 2014年
- Java语言是最为流行的编程语言之一,拥有非常大的用户群,其安全问题十分重要,其中JRE Native漏洞逐渐成为研究热门。本项研究基于符号执行技术提出一种寄存器符号化监测方法,选取符号执行平台S2E作为漏洞挖掘工具,并且实现了针对JRE Native漏洞挖掘的辅助插件SymJava和SymRegMonitor,基于OpenJDK和Oracle JRE逆向代码进行源代码白盒审计并构建了用于进行漏洞挖掘的Java测试用例,最后对36个调用Java Native API的Java测试用例进行测试,发现了6个JRE Native安全隐患,其中2个可被攻击者恶意利用。
- 李骁聂森赵彤彤宦飞
- 关键词：漏洞挖掘
