[發明專利]基于軟件安全缺陷檢測的綜合處理方法及其功能模塊構架

無效

• 申請號: 200910216239.1
• 申請日: 2009-11-18
• 公開（公告）號: CN101706749A
• 公開（公告）日: 2010-05-12
• 發明（設計）人: 王光衛;范明鈺;侯孟書;朱大勇;宮亞峰
• 申請（專利權）人: 電子科技大學
• 主分類號: G06F11/36
• 分類號: G06F11/36;G06F21/22
• 代理公司: 電子科技大學專利中心 51203
• 代理人: 詹福五

1.一種基于軟件安全缺陷檢測的綜合處理方法，包括：

A.待測軟件及檢測標準初始化處理：

A_a.將需要檢測的軟件名稱、選用的常規軟件分析工具、原始數據存儲地址、最終檢 測結果存儲地址，以及各單一安全缺陷檢測標準和綜合處理程序進行初始化設置，并將其 作為初始化數據存入數據庫、以備調用；

A_b.將待測的軟件錄入選用的常規軟件分析工具，經過常規軟件分析工具逐一處理， 獲得待測軟件的初步分析數據，以待檢測用；

B.待測軟件初步分析數據的預處理：從步驟A_b輸入的待測軟件所有初步分析數據中 抽取缺陷特征數據，并逐一錄入原始數據存儲地址，作為待測軟件的分析數據，以備進一 步檢測用；

C.按單一的安全缺陷檢測標準依次檢測及安全缺陷等級評估：將從步驟B所得待測 軟件的分析數據，采用步驟A_a中設定的各單一安全缺陷檢測標準逐一進行檢測，檢測結 束后轉步驟D；各單一安全缺陷檢測步驟是：

C_a.首先按照設定的單一安全缺陷檢測標準分別對由從步驟B所得待測軟件的分析數 據逐一進行對比檢測，每當與單一安全缺陷檢測標準中任意特征參數相符時，則將分析數 據以及觸發單一安全缺陷檢測標準的特征參數，送步驟C_b處理；若均與各單一安全缺陷 檢測標準不符，則為無安全缺陷數據、直接轉步驟D處理；

C_b.安全缺陷等級評估：由步驟C_a輸入的存在單一安全缺陷的分析數據以及觸發單 一安全缺陷檢測標準的特征參數，將與之對應的分析數據中安全缺陷評估等級上加1；然 后返回步驟C_a繼續執行未曾進行的對比檢測以及本步驟的安全缺陷等級評估，直至檢測、 評估完畢：

D.安全缺陷綜合處理：經步驟C檢測后輸入的數據中，若為無安全缺陷的數據紀錄、 則存入數據庫后直接轉步驟E；若為帶安全缺陷的分析數據、則從中提取包括缺陷位置特 征及缺陷函數特征在內的缺陷特征數據進行安全缺陷的綜合處理，處理結束后、直接轉步 驟E；安全缺陷綜合處理的步驟為：

D_a.針對缺陷位置特征進行處理：對步驟C處理后輸入帶安全缺陷的各分析數據，針 對缺陷出現行號進行逐一比對，每當相同的行號出現時、則將相應的安全缺陷等級相加， 并將被分析的軟件名稱、缺陷出現行號、安全缺陷等級作為缺陷的位置特征參數記錄存入 數據庫；

D_b.針對缺陷函數特征進行處理：對經步驟C處理后輸入帶安全缺陷的各分析數據， 針對缺陷特征進行逐一比對，每當存在相同的缺陷特征時、則將相應的安全缺陷等級相加， 并將引起缺陷的函數名、安全缺陷等級作為缺陷的函數特征記錄存入數據庫；

E：檢測結果的存儲和數據丟棄處理：將由步驟D處理后輸入的數據，即：無安全 缺陷或缺陷位置特征及缺陷函數特征逐一存入最終檢測結果存儲地址，即為被測軟件的安 全缺陷檢測結果；并將其它分析數據和待測軟件的原始數據作丟棄處理。

2.按權利要求1所述基于軟件安全缺陷檢測的綜合處理方法，其特征在于所述軟件 單一安全缺陷檢測標準包括：敏感函數檢測標準參數，字符串檢測標準參數，指針檢測標 準參數。

3.按權利要求2所述基于軟件安全缺陷檢測的綜合處理方法，其特征在于所述敏感 函數檢測標準參數為strcpy，fscanf，getwd，strncpy，strcat、strdup，sprintf，sqrt，log。

4.按權利要求2所述基于軟件安全缺陷檢測的綜合處理方法，其特征在于所述字符 串檢測標準參數為“/”、“％”、“/＝”、“％＝”、len，abort，exit，assert，setjmp，longjmp， goto，break，continue，return，switch，for，while，do?while。

5.按權利要求2所述基于軟件安全缺陷檢測的綜合處理方法，其特征在于所述指針 檢測標準參數為malloc，new，HeapAlloc，NULL。