没有一个APP是安全的！PHP、Python等编码语言出现重大漏洞

　　导语：Black Hat Europe 2017安全会议的可谓是满满，这不又有专家发现多种编码语言(Java, Perl, PHP, Python, Ruby)都存在严重漏洞，这意味着使用这些语言所编写的各种应用程序也都存在同样的漏洞。

　　Black Hat Europe 2017安全会议的可谓是满满，这不又有专家发现多种编码语言(Java, Perl, PHP, Python, Ruby)都存在严重漏洞，这意味着使用这些语言所编写的各种应用程序也都存在同样的漏洞。

　　发表该研究的作者是美国安全公司 IOActive 的高级安全顾问Fernando Arnaboldi，他是通过模糊测试找到了目前最流行的5种解释型语言中的漏洞。

　　模糊测试（fuzz testing）是一种安全测试方法，它介于完全的手工测试和完全的自动化测试之间。为什么是介于那两者之间？首先完全的手工测试即是渗透测试，测试人员可以模拟黑客恶意进入系统、查找漏洞，这对测试人员的要求比较高。能力强的测试人员可以发现比较多或者高质量的安全性问题，但是如果测试人员的能力不够，可能就不能找到足够多、大的安全漏洞。

　　虽然模糊测试已经在软件测试领域使用了许多年，不过最近才在安全研究人员的圈子中流行开来，特别是在Google的安全团队和Linux社区中。因为使用模糊测试可以有效地发现崩溃、挂起或内存损坏等问题。一般情况下，我们会认为发生这些问题是因为应用程序的源代码太冗长需要优化，而不会想到是编写代码的语言出现了问题。

　　在Arnaboldi进行的模糊测试中，他为了弄清5种编程语言的结构和运行方式，还专门编写了自己的 XDiFF （Extended Differential Fuzzing Framework，可扩展差异化模糊测试框架）。Arnaboldi首先将每种编程语言都分解为最基本的函数，然后使用XDiFF向每一种语言进行多种类型的输入（即 payload）。

　　东方头条致力于资讯，希望建立合作关系。若有任何不当请联系我们，将会在24小时内删除。邮箱：