论文研究 面向Python的信息流控制模型及其实现.pdf

动态污点分析是检测Web应用程序漏洞、提高Web服务安全性的一种常用方法,但现有方法大多缺乏完善的信息流策略和模型,对信息流的控制也较为粗糙。提出了一个面向Python的信息流控制模型PIFC,将Python程序中的对象抽象为实体;通过控制方法调用所涉及实体间的信息交互来实施语言级的信息流控制;引入实体的降密及净化能力来防止污点积累。利用Python的装饰器和动态分发机制等高级特性,设计并实现了一个轻量、易用、简洁的Python库LPIFC,以支持模型的污点存储及信息流控制,避免了传统方式中修改解释器的缺陷。测试结果表明,LPIFC很好地满足了Web应用的安全需求,且引入的额外性能开销较小。