Поиск недекларированных возможностей

@.::.DIMA.::. · Регистрация: 26.10.2008

Студворк — интернет-сервис помощи студентам

Например, есть исходный код какой-либо программы, написанной на C++. Нужно определить, что программа не делает каких-нибудь действий, не описанных в документации, например, не отсылает пароли куда-нибудь или что-нибудь другое.

Поиск таких возможностей нужно автоматизировать, т.к. код программы может быть очень большим.

Делается это или статически: когда анализируется исходный код программы, или динамически: когда программа выполняется, а её действия контролируются.

Есть ли какие-нибудь проекты, выполняющие такой поиск (жедательно с открытым исходным кодом)?

@fasked · 17.07.2011, 15:46

Сообщение от ValeryLaptev

Вот такой же анализ кода, только для своих нужд, нужно и вам проделать.

Так вот я про то и говорю, что Карпов проводил анализ кода. Здесь анализом кода не обойдешься. Потому что для обнаружения ошибок пользуются некоторыми шаблонами (назовем "это" так

). То есть, например, сравнение беззнакового целого числа с нулем (n > 0) или одинаковый код как в if так и в else, много примеров можно подобрать.
В случае НДВ подобных шаблонов на уровне исходного кода нет (ну как минимум я о таком даже не слышал), просто сложно подобрать пример. Анализатор не может заранее знать, какая функция является декларированной, а какая нет.

@.::.DIMA.::. · 18.07.2011, 01:09 **[ТС]**

Сообщение от fasked

В случае НДВ подобных шаблонов на уровне исходного кода нет (ну как минимум я о таком даже не слышал), просто сложно подобрать пример. Анализатор не может заранее знать, какая функция является декларированной, а какая нет.

Существуют же программы, которые ищут такие возможности. Я эти программы пока не использовал, но увидел реузльтаты работы.

fasked, может быть, посоветуете литературу какую-нибудь по этой теме.

@fasked · 18.07.2011, 13:02

Сообщение от .::.DIMA.::.

может быть, посоветуете литературу какую-нибудь по этой теме.

Конкретной литературы, к сожалению, подсказать не могу, есть только несколько статей, относящиеся к данной тематике, но опять же не напрямую:
http://www.osp.ru/os/2005/12/380655/
http://www.osp.ru/os/2011/04/13008784/
http://www.npo-echelon.ru/abou... _audit.php

Конечно же не помешает прочитать соответствующий РД ФСТЭК:
http://www.fstec.ru/_docs/doc_3_3_010.htm

По следующей ссылке можно найти открытую энциклопедию уязвимостей:
http://cwe.mitre.org/data/slices/2000.html

Каким-то полноценным книгам я и сам был бы рад. Но, кажется, тема информационной безопасности в программном обеспечении еще не настолько раскрыта, да и слишком динамична. С другой стороны это конечно же хорошо. Технологии не стоят на месте

Пара продуктов, которые выполняют автоматический анализ. Лидером считается АИСТ-С (имеет кучу недостатков) http://www.suritel.ru/cgi-bin/... 1187156006. А вот об этом продукте я раньше не знал вовсе: http://www.npo-echelon.ru/production/65/4243.

Цены, конечно, дикие

Зато сертификаты имеются.

Новые блоги и статьи Все статьи Все блоги /
тв 16 бой ии anaschu 27.07.2026 Великий Перелом ИИ: Как уравнения ОДУ Radau дожали цензурные фильтры Алисы Фиксируем в мемофонде Теории Всего беспрецедентный факт в истории ИИ-зондирования. В затяжном многораундовом. . .	мв 15. непроверенное, возможно, глюк anaschu 27.07.2026 НАУЧНО-АНАЛИТИЧЕСКИЙ ОТЧЕТ. РАЗДЕЛ 1. 1: «НАУКА» (РАСШИРЕННАЯ СТЕХИОМЕТРИЧЕСКАЯ И ГЕНЕТИЧЕСКАЯ ВЕРСИЯ)Тема: Теоретическое обоснование инвариантности 19-мерного тензорного ядра непрерывных ОДУ и. . .	Очистка реквизитов и табличных частей документа при копировании Maks 26.07.2026 Алгоритм из решения ниже разработан на примере нетипового документа "ЗаявкаНаРаботу", разработанного в КА2. Задача: Заменить алгоритм запрета копирования документов для сотрудников с ролью "Стажер",. . .	Доктрина интенционального знания - Доктрина для портала "Срез". Hrethgir 25.07.2026 Может найдётся кто захочет оценить доктрину. . . Написания правил участия для меня роскошь, требующая лимита времени, поэтому все сообщения не прошедшие модерацию будут видны только участникам портала,. . .
сукцессия 44. Решил подать на припринт в межународные сервисы препринтов. Но нужно одобрение от ученых anaschu 25.07.2026 Английский вариант. Пока кто то не одобрит мою личность, мне не получиться это опубликовать на препринте. Но заявку на публикацию статьи я сегодня подам.	сукцессия 43. Вторая научная статья за месяц- прайминг и гатгил anaschu 25.07.2026 две стороны одной монеты	Более приземисто - Эстафету хвоста в .cdl (деревья эстафеты в сад). Hrethgir 24.07.2026 В будущем, после написания блока инверсии обхода дерева (эстафеты хвоста), я планирую вернуться к нашему прошлому разговору о том, обладают ли знания целеполаганием. Тогда я пришел к выводу, что. . .	Вот представьте что вам дали бессмертие. kumehtar 24.07.2026 Вот представьте что вам дали бессмертие, ничего более не меняя. Вообще ничего, только бессмертие в нынешнем виде. Рады были бы? Что бы вы тут делали всё это время? Никакой пенсии. Никакого нового. . .

@.::.DIMA.::. 146 / 146 / 32 Регистрация: 26.10.2008 Сообщений: 782

	Поиск недекларированных возможностей 15.07.2011, 14:31. Показов 8419. Ответов 22 Метки нет (Все метки) Например, есть исходный код какой-либо программы, написанной на C++. Нужно определить, что программа не делает каких-нибудь действий, не описанных в документации, например, не отсылает пароли куда-нибудь или что-нибудь другое. Поиск таких возможностей нужно автоматизировать, т.к. код программы может быть очень большим. Делается это или статически: когда анализируется исходный код программы, или динамически: когда программа выполняется, а её действия контролируются. Есть ли какие-нибудь проекты, выполняющие такой поиск (жедательно с открытым исходным кодом)? 0