臺灣博碩士論文加值系統

近年來國際軟體發展，隨著雲端和智慧型手機相關資訊系統管理與應用程式之需求更加蓬勃。有人說掌握了軟體就能掌握全世界，值此21世紀所看到的是對軟體的使用與依賴越來越重。舉凡伺服器、資料中心、網路及網頁應用等，無一不需使用程式碼，遑論如大數據資訊之擷取、屬性分類前置處理、各歸類資料之後續分析處理，以及軟體定義之資料中心、軟體定義網路和軟體定義儲存等，其應用與服務都大幅度推動軟體發展。然軟體之應用安全性係資訊安全領域中較難以克服之困難。

企業為精簡人事與開發成本，普遍喜歡使用能提供自動化處理或分析之系統、應用程式或設備。軟體開發期間或起始階段發現程式碼bugs、漏洞或脆弱性，加以修改調整，就能避免上線後因需更新系統或重新部署，衍生不必要之人力與時間成本的耗費。

本論文所提出之研究架構，希望能分別經由靜態與動態分析，將原始碼資訊及經漏洞修補後，再進行程式間交互比對與整合，以掌握修補漏洞之程式所修補之弱點或漏洞。藉此找出關鍵或必要部分，來強化應用程式使用之安全性與可信賴性，讓企業與終端使用者均能安心使用。目前論文僅完成靜態測試，未來將補足動態測試與整合分析。

In recent years, the development of international software has been booming due to the demand for information system management and applications related to the cloud and smart phones. Some people say that the software can grasp the world. In the 21st century, the use and dependence of software are getting more and more important.

All servers, data centers, Internet and web applications use indispensable codes, not to mention the big data information retrieval, attribute classification pretreatment, the follow-up analysis and processing of the classification data, software-defined data center, software-defined network and software definition storage. Their applications and services greatly promote the software development. However, the application security of software is much more difficult to overcome in the field of information security.

In order to cut down the investment, most of the enterprises use the free software for software security testing. If the software bug, leakage, vulnerabilities, etc. can be fixed at the first time of program developing, some effort of updating after on-line deploying could be saved.

In this thesis, the proposed scheme is implemented based on the process of static and dynamic analysis of the software. Through the comparing of raw source code and the fixed code to comprehend the problem and find out the key points, thus we can enhance the security of software and provide more trusted applications for enterprises and users. Now there is only static test implemented, the dynamic test and integrated analysis will be accomplishing in the future.

致 謝 i
摘 要 ii
Abstract iii
目 錄 iv
圖 目 錄 vi
表 目 錄 viii
第 1 章 緒論 1
　 1.1研究動機與目的 1
　 1.2研究步驟 2
　 1.3研究範圍與限制 2
　 1.4論文架構 3
第 2 章 文獻探討 4
　 2.1軟體安全 4
　　 2.1.1程式碼安全 5
　　 2.1.2應用系統安全 7
　　 2.1.3十大最嚴重的Web應用程式安全風險(OWASP Top 10) 7
　　 2.1.4二十五個最危險的編譯錯誤(CWE/SANS 25) 15
　 2.2國內外相關研究概況 17
　　 2.2.1國內研究概況 17
　　 2.2.2國際研究概況 18
第 3 章 研究方法 20
　 3.1研究方法與原因 20
　 3.2研究執行方法 22
　　 3.2.1研究架構 22
　　 3.2.2靜態分析(Static Analysis) 23
　　 3.2.3動態分析(Dynamic Analysis) 24
　　 3.2.4封包或網傳資訊擷取追蹤 27
　　 3.2.5研究環境之建立 31
第 4 章 實驗結果與分析討論 32
　 4.1實驗結果(OWASP CodeCrawler靜態檢測工具) 32
　 4.2分析討論 38
第5章 結論及未來研究 39
　 5.1結論 39
　 5.2未來研究 39
參考文獻 41

[1] 資策會產業情報研究所，來源自:https://mic.iii.org.tw/IndustryObservations_PressRelease02.aspx?sqno=358 , 2016.
[2] 行政院國家資通安全會報，國家資通訊安全發展方案(102-105)年，來源自:http://www.nicst.ey.gov.tw/News_Content3.aspx?n=F7DE3E86444BC9A8&sms=FB4DC0329B2277CF&s=918F43FED41196D2 , 2017.
[3] OWASP Top10 Web Application Security Risk, Access from: https://www.owasp.org/index.php/Top_10-2017_Top_10.
[4] SANS Top 25 Most Dangerous Software Errors, Access from: https://www.sans.org/top25-software-errors/ , March, 2017.
[5] Microsoft TechNet, Microsoft Security Response Center Security Bulletin Severity Rating System, Retrieved, Access from: http://www.microsoft.com/technet/security/bulletin /rating.mspx , November, 2002.
[6] 微軟安全反應中心安全性公告嚴重性等級系統, 來源自: https://docs.microsoft.com/zh-tw/securityupdates/securitybulletins/securitybulletins
[7] 美國國家標準局(NIST)，來源自: https://www.nist.gov/
[8] 叡揚資訊，來源自: https://www.gss.com.tw/
[9] HP公司Fortify軟體安全中心，來源自: http://www.phitech.com.tw/file/HP/Brochure_FF_SSC.pdf
[10] LucentSky, Access from: https://zh.lucentsky.com/
[11] Checkmarx, Access from: https://www.checkmarx.com/
[12] CodeSonar, Access from: https://www.grammatech.com/products/codesonar
[13] P. Anderson, “Measuring the value of static-analysis tool deployments”, IEEE Security & Privacy, Volume: 10, Issue: 3, pp.40-47, January, 2012.
[14] H. Assal, S. Chiasson, and R. Biddle, “Visual representation of source code vulnerabilities”, 2016 IEEE Symposium on Visualization for Cyber Security, pp.24, November 2016.
[15] H. Zhong and Z. Su, “An empirical study of real bug fixes”, 2015 IEEE/ACM 37th IEEE International Conference, pp. 12-24, May 2015.
[16] 程式碼靜態或動態分析之工具，來源自: http://www.openfoundry.org/tw/resourcecatalog/Security/Source-Code-Audit, 2017.
[17] Team Foundation Server, Access from:https://msdn.microsoft.com/zh-tw/library/ee259690(v=vs.120).aspx