Group of Software Security In Progress

GoSSIP @ LoCCS.Shanghai Jiao Tong University

Iodine: Fast Dynamic Taint Tracking Using Rollback-free Optimistic Hybrid Analysis

作者:Subarno Banerjee, David Devecsery † , Peter M. Chen and Satish Narayanasamy

单位:University of Michigan Georgia Institute of Technology

出处:IEEE S&P 2019

资料:Paper


1. Abstract & Introduction

DIFT技术也称为动态污点分析 (Dynamic Taint Analysis) ,可以作为一个安全方案实施,但是实际并没有投入使用,原因就是过高的性能开销。DIFT效率低的原因是需要监控每一个指令,从而监控污点的传播。

本文中,作者提出了一个新的针对DIFT (Dynamic Information-flow Tracking) 的优化方法,叫做Iodine。这个新的技术基于OHA (Optimistic Hybrid Analysis)来减小DIFT的开销,同时不需要回滚(开销就小了)。

本文中作者主要和三种DIFT技术进行了对比: 1. 最原始的DIFT 2. 结合了保守静态分析的DIFT 3. 基于OHA的DIFT(指的就是结合了预测静态分析的DIFT)

作者的关键思路是限制预测静态分析 (Predicted Static Analysis) ,只删掉那些被证明是可以安全删除的monitor (即Safe Elision,作者后面还说明了Noop Elision即为Safe Elision),从而减少运行时的monitor,在保证性能的同时又保证稳定性,具体的预测静态分析采用的是预测前向污点分析以及传统的后向污点污点。这种思路下,程序事先运行时即使违背了预先假设的Invariant(预先的一些认为会成立的假设),也能正常执行。

The Rise of Certificate Transparency and Its Implications on the Internet Ecosystem

作者:Quirin Scheitle, Oliver Gasser, Theodor Nolte, Johanna Amann, Lexi Brent, Georg Carle, Ralph Holz, Thomas C. Schmidt, Matthias Wählisch

单位: TUM, HAW Hamburg, ICSI/Corelight/LBNL, The University of Sydney, FU Berlin

原文:link

出处:ACM IMC


Introduction

证书公开日志通过公开记录那些CA已经颁发证书,可以为互联网的域名拥有者提供监控自己证书发布情况的平台,意在及时发现恶意的证书颁发行为。

在2018年四月份,Chrome要求所有新颁布的证书都需要记录在证书公开日志中,随着证书公开日志的逐渐普及,一些问题也逐渐显现出来。本篇文章意在研究CT的普及情况,以及其公开透明性所可能产生的负面影响。

MicroWalk: A Framework for Finding Side Channels in Binaries

作者:Jan Wichelmann, Ahmad Moghimi, Thomas Eisenbarth, and Berk Sunar

单位:Universität zu Lübeck, Worcester Polytechnic Institute

链接:https://arxiv.org/pdf/1808.05575.pdf

会议:ACSAC ’18


1.摘要

研究背景:攻击者可能通过微架构(cache等)侧信道方式获取密钥,因此能够非人工检测出此类侧信道方式是有意义的。 1. 分析对象:选择software binaries,而不是source code的原因在于 binary运行时存在的信息泄露问题 在source code中观察不到。一些商业密码软件没有公布源码。 2. 分析方向:基于memory和control-flow的side-channel。
3. 分析方法:基于Dynamic Binary Instrumentation以及Mutual Information Analysis

Understanding Open Ports in Android Applications: Discovery, Diagnosis, and Security Assessment

作者:Daoyuan Wu, Debin Gao, Rocky K. C. Chang, En He, Eric K. T. Cheng, and Robert H. Deng

单位:Singapore Management University, The Hong Kong Polytechnic University, China Electronic Technology Cyber Security Co., Ltd

出处:NDSS 2019

资料:原文


Abstract

众所周知,服务器是通过开放TCP / UDP端口来提供服务的,这些开放的网络端口也同样存在于许多Android应用程序中。在本文中,作者是针对这些应用程序提出了第一个开放式分析pipeline,包括 discovery, diagnosis和security assessment,系统地了解Android应用程序中的Open Ports及其潜在威胁。最后发现有15.3%的Android应用程序中开放了网络端口,远高于之前分析的6.8%,其中有61.8%的Open Ports应用程序完全来自于应用中的SDK,Open Ports的应用有20.7%存在使用不安全的API的情况。

A Measurement Study on Linux Container Security: Attacks and Countermeasures

作者: Xin Lin, Lingguang Lei, Yuewu Wang, Jiwu Jing, Kun Sun, Quan Zhou

单位: University of Chinese Academy of Sciences

出处: ACSAC’18

原文: https://dl.acm.org/citation.cfm?id=3274720


近年来,随着docker逐渐被大众认可,越来越多的人开始担忧容器的安全性。本文作者通过测试了88个Exploit-db上的漏洞,尤其是针对内核漏洞的提权攻击,系统的评估了docker在默认配置下的安全特性,发现56.82%的漏洞在容器下仍然能被成功利用,并进一步分析了容器的安全特性对内核提权漏洞的影响。

CRCount: Pointer Invalidation With Reference Counting to Mitigate Use-after-free in Legacy C/C++

作者:Jangseop Shin∗, Donghyun Kwon∗, Jiwon Seo∗, Yeongpil Cho†‡ and Yunheung Paek∗

单位:Seoul National University

会议:NDSS 2019

原文:https://www.ndss-symposium.org/wp-content/uploads/2019/02/ndss2019_05A-4_Shin_paper.pdf


本文提出了一个基于引用计数的内存管理系统CRCount来缓解C语言或者老式C++代码中存在的use-after-free漏洞

On Reliability of Patch Correctness Assessment

作者:Xuan-Bach D. Le, Lingfeng Bao, David Lo, Xin Xia, Shanping Li, Corina Pasareanu

单位:Carnegie Mellon University, Zhejiang University City College, Singapore Management University, Monash University, Zhejiang University, NASA Ames Research Center

出处:ICSE ‘19

原文:https://xin-xia.github.io/publication/icse192.pdf


Abstract

当前最先进的自动化软件修复技术(ASR:automatic software repair)均极度依赖于不完备的软件规格说明书或者测试集来生成补丁,这就有可能导致ASR工具生成的补丁是错误并且难以通用的。因此,研究人员通常会采用自动化标注(automated annotation)或者作者标注(author annotation)这两种方式来评估ASR工具生成补丁的正确性。然而,由于自动化标注难以确认补丁的实际正确性,作者标注又太过于主观,如何恰当的评估众多现有ASR技术的有效性已成为了一个亟待解决的难题。

本文评估了自动化标注与作者标注这两种补丁正确性评估方式的可靠性。作者首先随机选取了现有ASR工具生成的189个补丁,并招募了35个专业开发者作为独立标注者对这些补丁的正确性进行了评估,构造出一组正确性标签作为黄金组(gold set)。作者接着通过度量评分者间信度(inter-rater reliability)这一指标,证明了该黄金组是符合常规标准的高质量基准数据集。随后,作者将自动化标注与作者标注生成的标签与黄金组进行了比较,以评估这两种补丁正确性评估方式的可靠性。

Why Does Your Data Leak? Uncovering the Data Leakage in Cloud From Mobile Apps

作者:Chaoshun Zuo, Zhiqiang Lin, Yinqian Zhang

单位:The Ohio State University

出处:S&P 2019

原文链接:http://web.cse.ohio-state.edu/~lin.3021/file/SP19.pdf


概述

越来越多的应用使用云服务商提供的APIs(Cloud APIs)实现数据存储、数据分析、消息推送等功能。然而,App存储在云端的数据经常出现泄露现象。在文章中,作者从App中错误地使用云端APIs这一角度出发,设计了并实现了LeakScope这一工具,对Google Play上160万个App进行自动化的分析,希望在App中发现因为误用云端API所导致的云端数据泄露漏洞。最终,作者发现使用Amazon、Google和Microsoft云服务的15098个App都存在此种类型的问题,并且已与相关App开发者联系,对问题进行修复。

Measuring the Facebook Advertising Ecosystem

作者: Athanasios Andreou, Marcio Silva, Fabrício Benevenuto, Oana Goga, Patrick Loiseau

单位:Northeastern University, Federal University of Minas Gerais 等

会议:NDSS 2019

链接:https://hal.archives-ouvertes.fr/hal-01959145/document


1.简介

Facebook广告平台在过去几年中一直受到许多争议,涉及侵犯隐私,缺乏透明度等问题。用户为何会收到这些广告,用户的哪些信息被提供给了广告商,隐私信息是否有泄露的风险,推送给用户的广告的可信度如何等等,对于这些问题Facebook平台并未透露具体情况。
研究结果表明,成为广告商没有门槛;一部分广告商的类别是潜在敏感的,比如新闻政治,健康和宗教;大量的广告商采用的定位目标人群策略是不透明的或(对于用户的隐私来说)具有威胁性的。
总而言之,本文的主要工作是为了强调平台需要更好的机制来审核社交媒体中的广告和广告商。

CodeAlchemist: Semantics-Aware Code Generation to Find Vulnerabilities in JavaScript Engines

作者:HyungSeok Han,DongHyeon Oh,Sang Kil Cha

单位:kaist

出处:NDSS 2019

原文:[https://www.ndss-symposium.org/wp-content/uploads/2019/02/ndss201905A-5_Han_paper.pdf](https://www.ndss-symposium.org/wp-content/uploads/2019/02/ndss201905A-5_Han_paper.pdf)


1.背景

Javascript引擎已经成为现代浏览器为网站提供动态和可交互性的核心部分。截止2018年7月,大约有94.9%的网站(链接)使用javascript。JS的流行令浏览器的JS引擎成为了一个热门的攻击目标。目前,已经存在大量很多针对JS引擎漏洞的fuzzer。例如LangFuzz,jsfunfuzz,skyfire,TreeFuzz。这些工具都存在着一个共同的缺点:生成的语法正确的测试用例大多数在语义上都是有错误的。