一套系統或程式的漏洞是如何找到的呢

發表時間: 2008-9-16 12:59 作者: upside 來源: AVPClub Security Home

經常都可以在各網站或論壇看到某某系統或程式或網站
被發現漏洞使用某某技術可遠端遙控或作其他工作
一直很好奇是靠一些軟體去分析出來的嗎
如果不靠那些工具是否有其他方式或可以自行寫一套分析軟體

ㄚ一 (2008-9-16 13:09:46)

有些問題只是無聊或是好玩
像SQL代碼注入，這種只要知道原理跟方法
就可以網站一個一個去TRY，而系統漏洞的話大部分都是不經意發現的
例如你可以寫一個JS或VBA程式，測試這些軟體的權限底線在哪裡
有經驗的人很容易就可以TRY出哪邊有問題！

[ 本帖最後由ㄚ一於 2008-9-16 13:10 編輯 ]
卡巴斯基 (2008-9-16 13:47:20)

其實如果是軟件的漏洞,有時用戶只要試用一下就可以找到,不過關鍵是你會不會公報和上報漏洞!
ㄚ一 (2008-9-16 14:04:33)

聞所未聞．．．
難道每個用戶都是黑客等級的程度？
acer1832a (2008-9-16 15:40:41)

基本上這類太明顯的漏洞在內部測試的時候就會被發現了
我倒是沒遇過這麼好找的漏洞(之前國內網路銀行的那個漏洞倒是屬於這一類型的)

要發現漏洞，基本上是要對該程式語言、作業系統及運作原理有所了解
再針對該原理邏輯上的矛盾或是程式設計師未思考到的狀況
一一的去嘗試，說起來並不是一件簡單的事情~
卡巴斯基 (2008-9-16 17:33:06)

不好意思
我把軟件的漏洞看成了軟件的錯誤!