cqsaaa第4章-基于缺陷模式的軟件測(cè)試-資料下載頁(yè)
2025-07-24 09:21本頁(yè)面
【正文】 d Data) 定義：程序從外部獲取數(shù)據(jù)時(shí)，這些數(shù)據(jù)可能含有具有欺騙性或者是不想要的垃圾數(shù)據(jù)，如果在使用這些數(shù)據(jù)前不進(jìn)行合法性檢查則將威脅到程序的安全，造成一個(gè) tainted data缺陷。 tainted data可能會(huì)導(dǎo)致程序不按原計(jì)劃執(zhí)行，也有可能直接或間接地導(dǎo)致緩沖區(qū)溢出缺陷。 被污染的數(shù)據(jù)模式主要有兩種類型：使用的數(shù)據(jù)來(lái)自外部的全局變量和使用的數(shù)據(jù)來(lái)自輸入函數(shù)。 安全漏洞模式 3. 競(jìng)爭(zhēng)條件 (Race Condition) 定義 : 如果程序中有兩種不同的 I/O調(diào)用同一文件進(jìn)行操作，而且這兩種調(diào)用是通過(guò)絕對(duì)路徑或相對(duì)路徑引用文件的，那么就易出現(xiàn) Race Condition問(wèn)題。在兩種操作進(jìn)行的間隙，黑客可能改變文件系統(tǒng)，那么將會(huì)導(dǎo)致對(duì)兩個(gè)不同的文件操作而不是同一文件進(jìn)行操作。 這種典型的問(wèn)題發(fā)生在用戶擁有不同的權(quán)限運(yùn)行的程序中 (例如： setuid程序、數(shù)據(jù)庫(kù)和服務(wù)器程序等 )。 安全漏洞模式 4. 風(fēng)險(xiǎn)操作（ Risky Operation） 定義：如果不恰當(dāng)?shù)厥褂昧四承?biāo)準(zhǔn)庫(kù)函數(shù)，可能會(huì)帶來(lái)安全隱患。甚至在某些情況下，某些函數(shù)一經(jīng)被使用 , 就可能會(huì)帶來(lái)安全隱患。 例如像 rand()和 random()這樣的隨機(jī)數(shù)生成函數(shù) ,它們?cè)谏蓚坞S機(jī)值的時(shí)候表現(xiàn)出來(lái)的性能是非常差的 , 如果用它們來(lái)生成默認(rèn)的口令 , 這些口令將很容易被攻擊者猜測(cè)到。 缺陷模式 ? 缺陷模式概述 ? 故障模式 ? 安全漏洞模式 ? 缺陷模式 缺陷模式 低性能模式 : 該模式導(dǎo)致軟件運(yùn)行效率低下，因此建議采用更高效的代碼來(lái)完成同樣的功能。這類模式主要包括使用低效函數(shù) /代碼、使用多余函數(shù)、 Java中顯式垃圾回收、冗余代碼、頭文件中定義的靜態(tài)變量、不必要的文件包含、字符串低效操作和有更簡(jiǎn)單的運(yùn)算可以替代等。 ? 思考： ? 研究軟件缺陷模式有何意義？與黑盒測(cè)試和白盒測(cè)試相比，基于缺陷模式的軟件測(cè)試方法有什么好處？ ? MLF有哪三種形式？ ? 什么是 OBAF？一般何種情況下產(chǎn)生？ ? 在 C++中，使用未初始化的靜態(tài)變量和全局變量是否會(huì)產(chǎn)生 UVF類故障？
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1