《表4 测试集对照实验结果Table 4 Test set controlled experiment result》

  提示：宽带有限、当前游客访问压缩模式

本系列图表出处文件名：随高清版一同展现

《基于符号执行的注入类安全漏洞的分析技术》

1. 获取 高清版本忘记账户？点击这里登录

1. 下载图表忘记账户？点击这里登录

评价安全漏洞分析系统的优劣一般基于两项标准:False Positive（误报率）和False Negative（漏报率）。本研究目前主要针对Java EE项目，因此测试集选择开源或可以获得源码的Java EE应用。本研究将OWASP BWAP（OWASP broken web applications project）30个源代码项目中含注入类漏洞的Web应用的逻辑抽取出来，用Java EE重新实现，形成测试集。测试项目集中存在可能的注入类安全漏洞有13处，其中5处是安全的，7处存在攻击向量，1处不存在攻击向量，但存在可用性安全漏洞，7个安全漏洞中有1个是二阶注入漏洞。用于对比测试的分析工具选择知名的安全代码静态分析商业工具HP Fortify。HP Fortify在国内电子金融、电子政务系统以及安全评测机构中广泛部署，用于对比的HP Fortify内核版本号为5.15.0.0060。评测结果如表4所示。