以Color Petri-Net 偵測C 程式原始碼的緩衝區溢位

Abstract

在電子商務日益流行而安全性又先天不 足的網際網路環境中，軟體的安全問題日益受 到重視，其中又以用C 語言撰寫的軟體安全問 題最嚴重。這是因為C 語言的標準函式沒有自 動檢查變數的宣告界限，容易造成緩衝區溢位 (Buffer Overflow)問題。為解決緩衝區溢位的 問題，本論文提供一個方便的檢驗方法來檢查 C 語言的原始程式碼是否有潛在的緩衝區溢 位問題存在。我們採用具有正規理論基礎的 Color-Petri Net 方法，並使用Design/CPN 工具 來模擬C 程式原始碼中字串處理的情形。和其 他檢查原始碼緩衝區溢位問題的方法比較，我 們的方法具有可處理程式動態流程(Dynamic Flow)的優點。論文中我們將介紹此方法的分 析流程、方法，並以實例說明此方法的用法並 且將結果和Rats 方法比較，證明我們的方法 在偵測精確度方面的確較後者為佳。