I C S35.080
L77
中华人民共和国国家标准
G B/T34944 2017
蓝牙门禁S o u r c e c o d e v u l n e r a b i l i t y t e s t i n g s p e c i f i c a t i o n f o r J a v a
2017-11-01发布2018-05-01实施
中华人民共和国国家质量监督检验检疫总局
中国国家标准化管理委员会发布
目 次
前言Ⅰ 引言Ⅱ 1 范围1 2 规范性引用文件1 3 术语和定义1 4 缩略语4 5 源代码漏洞测试总则4 5.1 源代码漏洞测试目的4 5.2 源代码漏洞测试过程4 5.3 源代码漏洞测试管理5 5.4 源代码漏洞测试工具7 5.5 源代码漏洞测试文档7
6 源代码漏洞测试内容7
6.1 源代码漏洞分类7 6.2 源代码漏洞说明8 附录A (资料性附录) J a v a 语言源代码漏洞测试案例50 附录B (资料性附录) J a v a 语言源代码漏洞类别与名称56 参考文献58 G B /T 34944 2017
G B/T34944 2017
前言
本标准按照G B/T1.1 2009给出的规则起草㊂
请注意本文件的某些内容可能涉及专利㊂本文件的发布机构不承担识别这些专利的责任㊂
本标准由全国信息技术标准化技术委员会(S A C/T C28)提出并归口㊂
本标准起草单位：珠海南方软件网络评测中心㊁杭州安恒信息技术有限公司㊁厦门理工学院㊁上海端玛计算机科技有限公司㊁中国电子技术标准化研究院㊁东信和平科技股份有限公司㊁远光软件股份有限公司㊁南京大学㊁国家应用软件产品质量监督检验中心㊁珠海中慧微电子有限公司㊁广东省科技基础条件平台中心㊁珠海市软件行业协会㊁南昌金庐软件园软件评测培训有限公司㊁吉林省电子信息产品监督检验研究院㊂
本标准主要起草人：侯建华㊁黄兆森㊁王忠福㊁范渊㊁杨尚沅㊁邓人逖㊁梁建新㊁张旸旸㊁李军㊁李璐㊁王威㊁黄华婕㊁刘早㊁辛士界㊁陈振宇㊁肖枭㊁崔建峰㊁申煜湘㊂
Ⅰ
pvc覆膜胶水G B/T34944 2017
引言
J a v a语言是一种面向对象的㊁运行于J a v a虚拟机之上的高级程序设计语言㊂它广泛应用于各种大型信息系统和智能终端应用软件的开发㊂众所周知，由于各种人为因素影响，每个软件的源代码都难免会存在漏洞，而软件信息泄露㊁数据或代码被恶意篡改等安全事件的发生一般都与源代码漏洞有关㊂为尽量减少J a v a语言源代码中存在的漏洞，有必要制定针对J a v a语言程序的源代码漏洞测试规范㊂源代码漏洞测试可在开发过程的软件编码活动之后实施，也可在运行和维护过程中实施㊂
本标准的漏洞分类与漏洞说明主要参考了M I T R E公司发布的C W E(C o mm o n W e a k n e s sE n u-m e r a t i o n)，同时结合了当前行业主流的自动化静态分析工具在测试实践中发现的典型漏洞来确定并进行说明㊂
注：本标准漏洞参考了C W E2.9版本，示例代码适用于本标准选择的漏洞说明㊂
本标准仅针对自动化静态分析工具支持的关键漏洞进行说明，应用本标准开展源代码漏洞测试时应根据实际需要对漏洞进行裁剪和补充㊂
Ⅱ
G B/T34944 2017
J a v a语言源代码漏洞测试规范
1范围
本标准规定了J a v a语言源代码漏洞测试的测试总则和测试内容㊂
电梯制动器
本标准适用于开发方或第三方机构的测试人员利用自动化静态分析工具开展的J a v a语言源代码漏洞测试活动,J a v a语言的程序设计和编码人员以及源代码漏洞测试工具的设计人员也可参考使用㊂2规范性引用文件
下列文件对于本文件的应用是必不可少的㊂凡是注日期的引用文件，仅注日期的版本适用于本文件㊂凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件㊂
G B/T11457信息技术软件工程术语
G B/T15532 2008计算机软件测试规范
G B/T20158 2006信息技术软件生存周期过程配置管理(I S O/I E CT R15846:1998,I D T) 3术语和定义
G B/T11457界定的以及下列术语和定义适用于本文件㊂
3.1
访问控制a c c e s s c o n t r o l
一种保证数据处理系统的资源只能由被授权主体按授权方式进行访问的手段㊂
[G B/T25069 2010，定义2.2.1.42]
3.2
攻击a t t a c k
在信息系统中，对系统或信息进行破坏㊁泄露㊁更改或使其丧失功能的尝试(包括窃取数据)㊂
[G B/T25069 2010，定义2.2.1.58]
3.3
密码分组链接c i p h e r b l o c k c h a i n i n g
对信息加密时，每一密文块在加密时都依赖于前一密文块的方式㊂
3.4
密文c i p h e r t e x t
利用加密技术，经变换，信息内容被隐藏起来的数据㊂
[G B/T25069 2010，定义2.2.2.105]
3.5束腹带
解密d e c r y p t i o n
将密文转换为明文的处理，即加密对应的逆过程㊂
[G B/T25069 2010，定义2.2.2.69]
探头板3.6
字典式攻击d i c t i o n a r y a t t a c k
用遍历给定口令或密钥列表的方式对密码系统的攻击㊂如，使用存储的特定口令值或密钥值列表,
1
龙芯一体机
豫公网安备41160202000603
站长QQ:729038198
关于我们
投诉建议