[發明專利]一種網絡安全漏洞的檢測方法及裝置

有效

• 申請號: 201410108152.3
• 申請日: 2014-03-21
• 公開（公告）號: CN104933368B
• 公開（公告）日: 2018-05-22
• 發明（設計）人: 王金錠;李杰;譚曉光;王岳
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王仲凱

1.一種網絡安全漏洞的檢測方法，其特征在于，包括：

解析應用程序安裝包，獲取所述應用程序的源代碼；

根據預存儲在漏洞代碼庫中的漏洞代碼的行數，將所述應用程序的源代碼與預存儲的每段所述漏洞代碼進行逐一比對，所述漏洞代碼包括滿足預設漏洞規則的代碼；

根據比對結果判斷所述應用程序的源代碼中是否存在與任一所述漏洞代碼匹配的代碼段；

若所述應用程序的源代碼中存在與任一所述漏洞代碼匹配的代碼段，則確定所述應用程序存在網絡安全漏洞；

其中，所述根據預存儲在漏洞代碼庫中的漏洞代碼的行數，將所述應用程序的源代碼與預存儲的每段所述漏洞代碼進行逐一比對包括：

獲取所述漏洞代碼庫中當前比對的所述漏洞代碼的行數a，所述a為大于或等于1的整數；

將所述應用程序的源代碼的每一行及其該行之后的連續a-1行與所述當前比對的所述漏洞代碼進行逐行比對。

2.如權利要求1所述的方法，其特征在于，所述預設漏洞規則包括：

自定義的用于進行數字證書校驗的接口。

3.如權利要求1所述的方法，其特征在于，所述預設漏洞規則包括：

在用于進行主機域名校驗的接口中設置不安全校驗的參數選項。

4.如權利要求1所述的方法，其特征在于，所述預設漏洞規則包括：

在用于進行主機域名校驗的接口中定義無法對主機域名進行嚴格校驗的類。

5.如權利要求1所述的方法，其特征在于，所述方法還包括：

輸出所述與任一所述漏洞代碼匹配的代碼段，以及輸出該代碼段在所述應用程序的源代碼中的位置。

6.如權利要求1所述的方法，其特征在于，所述方法還包括：

刪除所述解析應用程序安裝包時產生的臨時文件。

7.如權利要求1所述的方法，其特征在于，所述解析應用程序安裝包，獲取所述應用程序的源代碼包括：

解壓縮所述應用程序的安裝包，獲取到其中的可執行文件；

將所述可執行文件轉換為Java歸檔文件；

解壓縮所述Java歸檔文件，得到Java類文件的集合；

批量反編譯所述Java類文件的集合，得到Java源文件的集合。

8.一種網絡安全漏洞的檢測裝置，其特征在于，包括：

獲取單元，用于解析應用程序安裝包，獲取所述應用程序的源代碼；

匹配單元，用于根據預存儲在漏洞代碼庫中的漏洞代碼的行數，將所述應用程序的源代碼與預存儲的每段所述漏洞代碼進行逐一比對，所述漏洞代碼包括滿足預設漏洞規則的代碼；

判斷單元，用于根據比對結果判斷所述應用程序的源代碼中是否存在與任一所述漏洞代碼匹配的代碼段；

確定單元，用于若所述應用程序的源代碼中存在與任一所述漏洞代碼匹配的代碼段，則確定所述應用程序存在網絡安全漏洞；

其中，所述匹配單元包括：

獲取子單元，用于獲取所述漏洞代碼庫中當前比對的所述漏洞代碼的行數a，所述a為大于或等于1的整數；

比對子單元，用于將所述應用程序的源代碼的每一行及其該行之后的連續a-1行與所述當前比對的所述漏洞代碼進行逐行比對。

9.如權利要求8所述的裝置，其特征在于，所述預設漏洞規則包括：

自定義的用于進行數字證書校驗的接口。

10.如權利要求8所述的裝置，其特征在于，所述預設漏洞規則包括：

在用于進行主機域名校驗的接口中設置不安全校驗的參數選項。

11.如權利要求8所述的裝置，其特征在于，所述預設漏洞規則包括：

在用于進行主機域名校驗的接口中定義無法對主機域名進行嚴格校驗的類。