路徑限制式管理優化Web程式安全測試效能

10.29428/9789860544169.201801.0052

蘇翌帆；呂翰霖；葉肇鈞；黃世昆

Web程式測試 ； 路徑限制式 ； 擬真執行 ； 符號執行 ； 軟體測試

NCS 2017 全國計算機會議

2017（2018 / 01 / 01）

278 - 283

繁體中文

隨著軟體系統日益龐大，從最上層可能由PHP 撰寫的應用程式、經過底層C 與C++與作業系統的溝通介面，組成元件複雜，難以藉由人工的方式進行軟體測試，因此需要自動化的機制協助。其中符號執行（Symbolic execution）是最近廣為運用的自動化測試方法，也逐漸受大眾所重視。我們開發網頁安全測試系統，為了改善效能問題，獨立蒐集處理路徑限制式，利用單一擬真路徑執行 (Single Path Concolic Execution)的方式，於原系統外進行路徑限制式的管理。我們整合Python 語言與KLEE 內部元件Kleaver solver，避免重複執行符號執行、減少解路徑限制式花費的時間。透過此法來達到彈性化產生 Web 測試攻擊代碼的脅迫限制式 (Payload Constraint)。同時導入限制式衝突檢測法，選擇適當的路徑限制式，減少測試Web 程式的時間；當限制式產生衝突情況時，可找出衝突的限制式，或結合原單一擬真路徑執行所產生的路徑，以優化攻擊與解決路徑限制式的時間。