空军工程大学学报

作者：王瑞鹏，张旻，黄晖，沈毅

单位：国防科技大学电子对抗学院，合肥，230037\

关键词：格式化字符串漏洞;漏洞验证;符号执行;漏洞自动验证

基金：国家重点研发计划重点专项项目（2017YFB0802905）

格式化字符串漏洞是一种常见的危害较大的软件漏洞。现有格式化字符串漏洞自动验证系统未充分考虑参数存储位置位于栈以外空间的情况，造成对该部分漏洞可利用性的误判。针对该问题，论文设计实现了一种基于符号执行的格式化字符串漏洞自动验证方法，首先根据参数符号信息检测当前格式化字符串函数漏洞，然后分别构建参数存储于不同内存空间情况下的漏洞验证符号约束，最后利用约束求解自动得到漏洞验证代码，实现了格式化字符串漏洞的自动验证。在Linux系统下对不同类型测试程序进行了实验，验证了方法的有效性。

来源：2021年第3期

《空军工程大学学报》期刊编辑部

查看空军工程大学学报杂志2021年第3期