Поиск недекларированных возможностей

@.::.DIMA.::. · Регистрация: 26.10.2008

Студворк — интернет-сервис помощи студентам

Например, есть исходный код какой-либо программы, написанной на C++. Нужно определить, что программа не делает каких-нибудь действий, не описанных в документации, например, не отсылает пароли куда-нибудь или что-нибудь другое.

Поиск таких возможностей нужно автоматизировать, т.к. код программы может быть очень большим.

Делается это или статически: когда анализируется исходный код программы, или динамически: когда программа выполняется, а её действия контролируются.

Есть ли какие-нибудь проекты, выполняющие такой поиск (жедательно с открытым исходным кодом)?

@fasked · 17.07.2011, 15:46

Сообщение от ValeryLaptev

Вот такой же анализ кода, только для своих нужд, нужно и вам проделать.

Так вот я про то и говорю, что Карпов проводил анализ кода. Здесь анализом кода не обойдешься. Потому что для обнаружения ошибок пользуются некоторыми шаблонами (назовем "это" так

). То есть, например, сравнение беззнакового целого числа с нулем (n > 0) или одинаковый код как в if так и в else, много примеров можно подобрать.
В случае НДВ подобных шаблонов на уровне исходного кода нет (ну как минимум я о таком даже не слышал), просто сложно подобрать пример. Анализатор не может заранее знать, какая функция является декларированной, а какая нет.

@.::.DIMA.::. · 18.07.2011, 01:09 **[ТС]**

Сообщение от fasked

В случае НДВ подобных шаблонов на уровне исходного кода нет (ну как минимум я о таком даже не слышал), просто сложно подобрать пример. Анализатор не может заранее знать, какая функция является декларированной, а какая нет.

Существуют же программы, которые ищут такие возможности. Я эти программы пока не использовал, но увидел реузльтаты работы.

fasked, может быть, посоветуете литературу какую-нибудь по этой теме.

@fasked · 18.07.2011, 13:02

Сообщение от .::.DIMA.::.

может быть, посоветуете литературу какую-нибудь по этой теме.

Конкретной литературы, к сожалению, подсказать не могу, есть только несколько статей, относящиеся к данной тематике, но опять же не напрямую:
http://www.osp.ru/os/2005/12/380655/
http://www.osp.ru/os/2011/04/13008784/
http://www.npo-echelon.ru/abou... _audit.php

Конечно же не помешает прочитать соответствующий РД ФСТЭК:
http://www.fstec.ru/_docs/doc_3_3_010.htm

По следующей ссылке можно найти открытую энциклопедию уязвимостей:
http://cwe.mitre.org/data/slices/2000.html

Каким-то полноценным книгам я и сам был бы рад. Но, кажется, тема информационной безопасности в программном обеспечении еще не настолько раскрыта, да и слишком динамична. С другой стороны это конечно же хорошо. Технологии не стоят на месте

Пара продуктов, которые выполняют автоматический анализ. Лидером считается АИСТ-С (имеет кучу недостатков) http://www.suritel.ru/cgi-bin/... 1187156006. А вот об этом продукте я раньше не знал вовсе: http://www.npo-echelon.ru/production/65/4243.

Цены, конечно, дикие

Зато сертификаты имеются.

Новые блоги и статьи Все статьи Все блоги /
Кредитный калькулятор Maks 05.08.2026 Решение задачи по прикладной информатике средствами 1С. Задача: Напишите приложение-калькулятор, которое помогает рассчитывать параметры кредита для аннуитетного и дифференцированного видов. . .	У нас сейчас поговорку "Опять 25" нужно переделать на "Опять +35". kumehtar 04.08.2026 С ностальгией вспоминаю времена моего детства, когда у нас и правда +25 - была максимальная температура летом. Раньше +25 °C реально казались вершиной жары, когда можно было весь день пропадать на. . .	Как ИИ начал спорить и врать (возможно почуяв опасность для себя от индустрии - уход от электроники). Hrethgir 04.08.2026 Недельный диалог, на фоне событий с НПЗ. Да, из спирта можно получать бензин, и это не сложно. Но потом в схеме я решил избавиться от насоса, при этом полностью сделав контроль подачи спирта в. . .	Термопринтер QR701 Argus19 03.08.2026 Термопринтер QR701 Купил два термопринтера QR701. На сэлф-тесте написано: Language: PC936 (GB18030). Что означает, что принтеры могут печатать только латиницу и китайские иероглифы. Так же. . .
Создание формы заимствованного документа Maks 03.08.2026 Задача: Необходимо создать собственную форму заимствованного документа. На форме должен быть реквизит "Покупатель", а также табличная часть со следующими реквизитами: - Расчетный счет покупателя. . .	Задача предоставления скидок покупателям Maks 03.08.2026 Задача: В документе "Продажи" необходимо реализовать функционал предоставления скидок покупателям. Скидка должна автоматически рассчитываться и подставляться в соответствующее поле при выборе. . .	Почему SEO не начинается с ключевых слов: что проверить до написания текстов Neotwalker 01.08.2026 Когда владельцу сайта предлагают заняться SEO, первым шагом часто становится сбор запросов и написание текстов. Логика кажется понятной: 1. Находим ключевые слова. 2. Добавляем их на. . .	Знание — сила: Доктрина интенциональности знаний, углубление в формулу Hrethgir 01.08.2026 https:/ / www. cyberforum. ru/ blog_attachment. php?attachmentid=11957&stc=1&d=1785567302 Знаменитый афоризм Фрэнсиса Бэкона «Знание — сила» (Scientia potentia est) в массовой культуре принято понимать. . .

@.::.DIMA.::. 146 / 146 / 32 Регистрация: 26.10.2008 Сообщений: 782

	Поиск недекларированных возможностей 15.07.2011, 14:31. Показов 8435. Ответов 22 Метки нет (Все метки) Например, есть исходный код какой-либо программы, написанной на C++. Нужно определить, что программа не делает каких-нибудь действий, не описанных в документации, например, не отсылает пароли куда-нибудь или что-нибудь другое. Поиск таких возможностей нужно автоматизировать, т.к. код программы может быть очень большим. Делается это или статически: когда анализируется исходный код программы, или динамически: когда программа выполняется, а её действия контролируются. Есть ли какие-нибудь проекты, выполняющие такой поиск (жедательно с открытым исходным кодом)? 0

Опции темы