一种关于PHP源代码安全漏洞的静态检测方法  

A Static Source Code Detection Method for Security Vulnerabilities in PHP

作　　者：时志伟[1] 赵亮[2] 

机构地区：[1]中国信息安全测评中心,北京100085 [2]北京启明星辰信息安全技术有限公司,北京100193

出　　处：《信息安全与通信保密》2011年第11期80-82,共3页Information Security and Communications Privacy

摘　　要：PHP脚本语言是一种当前比较流行的服务端脚本语言,多用来开发Web应用程序。文中介绍了一种针对PHP的静态缺陷分析方法,能有效检测出PHP中常见安全缺陷,如SQL注入、XSS等,文中给出了对当前比较流行的几个开源PHP工程的检测结果,其中大部分缺陷是可以远程利用的。PHP,as a general-purpose server-side script language,originally designed for web development,is now widely employed to produce dynamic web pages. A new static source code analysis approach is described,which could effectively detect the security vulnerabilities in PHP. Finally,some results of vulnerability detection in four open source projects are also given in this paper,and most of these vulnerabilities could be remotely exploited.

关 键 词：静态检测 控制流图 数据流分析 检测规则 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]