[發明專利]一種軟件源代碼安全缺陷分析的方法和裝置

有效

• 申請號: 201110460378.6
• 申請日: 2011-12-31
• 公開（公告）號: CN102750220A
• 公開（公告）日: 2012-10-24
• 發明（設計）人: 吳世忠;郭濤;王眉林;張*;郭恒;童小剛
• 申請（專利權）人: 中國信息安全測評中心
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 宋松

1.一種軟件源代碼安全缺陷分析的方法，其特征在于，包括：

S1.設定源代碼缺陷類型多個缺陷數據組，所述的缺陷數據組包括：缺陷原因數據組、缺陷結果數據組、缺陷表現形式數據組；

S2.調取源代碼并解析缺陷原因、結果、表現形式；

S3.判斷所述的缺陷原因、結果、表現形式是否處于所述的缺陷數據組中，若是，進入步驟S4，若否，進入步驟S31，將所述的缺陷原因和/或結果和/或表現形式加入到所述的缺陷數據組中；

S4.生成所述的源代碼原因、結果、表現形式并顯示。

2.如權利要求1所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷原因包括內因、外因、主客觀原因。

3.如權利要求1所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷原因數據組，具體是：注入缺陷及驗證、應用程序編程接口錯誤、訪問控制及密碼失效、資源共享與競爭、異常處理、不安全源碼質量、邊界處理、配置錯誤、惡意代碼。

4.如權利要求1所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷結果數據組，具體是：緩沖區溢出、整數溢出、命令注入、跨站腳本、拒絕服務、路徑操縱、進程控制、資源注入、配置操縱、SQL注入、內存溢出。

5.如權利要求1所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷表現形式數據組，具體是：格式化字符串、賦值的目標存儲空間不夠、未使用括號保證操作的優先級、嘗試修改常量、引用未初始化的變量。

6.一種軟件源代碼安全缺陷分析的裝置，用于實現權利要求1所述的方法，其特征在于，包括：

缺陷數據組設定單元：設定源代碼缺陷類型多個缺陷數據組，所述的缺陷數據組包括：缺陷原因數據組、缺陷結果數據組、缺陷表現形式數據組；

源代碼缺陷解析單元：與所述的缺陷數據組設定單元相連，用于調取源代碼并解析缺陷原因、結果、表現形式；

源代碼缺陷判斷單元：與所述的源代碼缺陷解析單元相連，用于判斷所述的缺陷原因、結果、表現形式是否處于所述的缺陷數據組中；

源代碼缺陷顯示單元：與所述的源代碼缺陷判斷單元相連，用于生成所述的源代碼原因、結果、表現形式并顯示。

7.如權利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷原因包括內因、外因、主客觀原因。

8.如權利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷原因數據組，具體是：注入缺陷及驗證、應用程序編程接口錯誤、訪問控制及密碼失效、資源共享與競爭、異常處理、不安全源碼質量、邊界處理、配置錯誤、惡意代碼。

9.如權利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷結果數據組，具體是：緩沖區溢出、整數溢出、命令注入、跨站腳本、拒絕服務、路徑操縱、進程控制、資源注入、配置操縱、SQL注入、內存溢出。

10.如權利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷表現形式數據組，具體是：格式化字符串、賦值的目標存儲空間不夠、未使用括號保證操作的優先級、嘗試修改常量、引用未初始化的變量。