昨日，微软安全响应中心（MSRC）团队在官网更新文章，就近日提出的最新计划，即未来将使用 Rust 作为 C、C++ 以及其他编程语言的替代方案以改善应用程序的安全性的计划，从空间内存安全、时间内存安全、数据竞争等方面进行了进一步的深入补充。首席安全技术经理 Gavin Thomas 表示，开发人员的核心工作不是担心安全性，而是做好功能开发，首先需要启用一种“不会引入内存漏洞隐患”的开发语言。显然，这一次的主角是 Rust。 1过去 12 年，约 70% 的微软补丁针对内存漏洞 如今，内存漏洞已成为黑客攻击的主要对象。据微软最新调查数据显示，在过去 12 年里，约 70% 的微软补丁都是针对内存漏洞的。
自 2004 年以来，微软安全响应中心 (MSRC) 已经对每一个报告的微软安全漏洞进行了分类。从所有的分类中，人们得出了一个令人惊讶的事实：正如 Matt Miller 今年在 BlueHat IL 的演讲中所讨论的那样，大多数修复的漏洞和分配的 CVE 都是由开发人员无意中将内存损坏错误插入到其 C 和 C++ 的代码中造成的。这两种存在内存漏洞风险的编程语言允许开发人员在代码被执行的地方对内存地址进行细粒度控制。开发人员内存管理代码中的一个错误可能导致大量内存漏洞，攻击者便可利用这些错误造成具有危险性和侵入性的后果，比如远程代码执行 (RCE) 和权限升级漏洞（EoP）。
数据来源：微软安全响应中心网站
近年来，随着微软增加其代码库并在代码中使用更多的开源软件，这一问题并没有得以解决，反而变得更糟，而微软也并不是唯一一个暴露出内存漏洞的企业。
在官网发布的最新文章中，微软安全响应中心（MSRC）团队就如何解决内存安全问题进行了如下分析，
为了解决内存安全问题，需要采取几种不同的方式。C++ 中的“现代”构造（例如 span）能够在一定程度上预防某些内存安全问题。此外，我们应尽可能使用其它现代 C++ 功能（例如智能指针）。然而，现代 C++ 仍然不具备全面的内存安全与数据争用机制。更重要的是，如果程序员不加以运用，这些功能本身将毫无意义；而且这些功能在规模较大，且较为模糊的代码库可能也无法奏效。再...
点击查看剩余70%
{{collectdata}}
网友评论0