[發明專利]漏洞檢測方法和裝置

有效

• 申請號: 201510794315.2
• 申請日: 2015-11-17
• 公開（公告）號: CN106709335B
• 公開（公告）日: 2020-12-04
• 發明（設計）人: 陳晉福
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京展翅星辰知識產權代理有限公司 11693
• 代理人: 王文生

1.一種漏洞檢測方法，其特征在于，包括：

將待檢測文件放入與該待檢測文件的實際執行環境隔離的獨立空間中執行；

收集所述待檢測文件在所述獨立空間中執行的函數序列；

從所述函數序列中判斷是否存在與特定漏洞所關聯的全部函數屬性相匹配的函數集合，所述函數屬性指示特定漏洞在具有特定函數、排除特定函數、以及具有按特定順序的特定函數方面的屬性；

如果存在與特定漏洞所關聯的全部函數屬性相匹配的函數集合，則檢測出所述待檢測文件中存在漏洞；

在將所述待檢測文件放入與該待檢測文件的實際執行環境隔離的獨立空間中執行的步驟之前，所述方法還包括：

接收特定漏洞的多個樣本函數集合；

為所述多個樣本集合中的每個樣本函數集合，確定所包含的函數及函數的執行順序；

根據確定的各樣本函數集合各自所包含的函數及函數的執行順序，確定所述多個樣本函數集合共同具有的函數、共同排除的函數、以及具有特定執行順序的函數，作為所述與特定漏洞所關聯的全部函數屬性。

2.根據權利要求1所述的漏洞檢測方法，其特征在于，所述獨立空間包括沙箱和/或虛擬機。

3.根據權利要求1所述的漏洞檢測方法，其特征在于，所述收集所述待檢測文件在所述獨立空間中執行的函數序列的步驟包括：

確定所述待檢測文件在所述獨立空間中執行時順序執行到的待檢測文件中的函數；

將確定的函數按執行順序串聯成函數序列。

4.根據權利要求1所述的漏洞檢測方法，其特征在于，所述方法在收集所述待檢測文件在所述獨立空間中執行的函數序列的步驟之后還包括：在收集的函數序列中進一步確定與特定漏洞相關的函數序列，

所述從所述函數序列中判斷是否存在與特定漏洞所關聯的全部函數屬性相匹配的函數集合的步驟進一步包括：從確定的與特定漏洞相關的函數序列中判斷是否存在與特定漏洞所關聯的全部函數屬性相匹配的函數集合。

5.根據權利要求4所述的漏洞檢測方法，其特征在于，所述在收集的函數序列中進一步確定與特定漏洞相關的函數序列的步驟包括：

從收集的函數序列中查找第一特定函數，其中所述第一特定函數與特定漏洞所關聯的起始函數相同；

如果查找到所述第一特定函數，在收集的函數序列中第一特定函數之后查找第二特定函數，其中所述第二特定函數與特定漏洞所關聯的結束函數相同。

6.根據權利要求1所述的漏洞檢測方法，其特征在于，所述特定漏洞所關聯的全部函數屬性包括以下中的至少一項：

特定漏洞必須包含的函數；

特定漏洞必須排除的函數；

特定漏洞可能包含、但如果包含必須在特定函數之前包含的函數；

特定漏洞可能包含、但如果包含必須在特定函數之后包含的函數。

7.根據權利要求1所述的漏洞檢測方法，其特征在于，所述方法還包括：如果不存在與特定漏洞所關聯的全部函數屬性相匹配的函數集合，則檢測出所述待檢測文件中不存在所述特定漏洞。

8.根據權利要求1所述的漏洞檢測方法，其特征在于，所述確定所述多個樣本函數集合共同具有的函數、共同排除的函數、以及具有特定執行順序的函數的步驟包括：

根據確定的各樣本函數集合各自所包含的函數，確定所述多個樣本函數集合共同具有的函數，作為與特定漏洞所關聯的函數屬性；

根據確定的各樣本函數集合各自所包含的函數，確定所述多個樣本函數集合共同排除的函數，作為與特定漏洞所關聯的函數屬性；

根據確定的各樣本函數集合各自所包含的函數的執行順序，確定所述多個樣本函數中一旦包含則一定在特定函數之前包含的函數，作為與特定漏洞所關聯的函數屬性；

根據確定的各樣本函數集合各自所包含的函數的執行順序，確定所述多個樣本函數中一旦包含則一定在特定函數之后包含的函數，作為與特定漏洞所關聯的函數屬性。

9.根據權利要求1所述的漏洞檢測方法，其特征在于，所述待檢測文件是軟件的全部或部分。