[發明專利]一種靜態檢測安卓代碼中的資源回收漏洞的方法和裝置

有效

• 申請號: 201611111681.4
• 申請日: 2016-12-06
• 公開（公告）號: CN108153666B
• 公開（公告）日: 2023-05-26
• 發明（設計）人: 袁偉;劉俊
• 申請（專利權）人: 三六零科技集團有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 北京恒博知識產權代理有限公司 11528
• 代理人: 范勝祥

1.一種靜態檢測安卓代碼中的資源回收漏洞的方法，其中，該方法包括：

讀取待檢測的安卓應用的源代碼到內存中；

檢測所述源代碼中是否包含有創建占用資源的待回收對象的操作指令；

如果有，進一步檢測所述源代碼中是否包含有與所述占用資源的待回收對象對應的資源回收指令；如果沒有對應的資源回收指令，則確定所述源代碼中存在資源回收漏洞；

其中，所述檢測所述源代碼中是否包含有創建占用資源的待回收對象的操作指令包括：

調用所述源代碼的解析器解析所述源代碼，得到所述源代碼的抽象語法樹；

對所述抽象語法樹中的各節點進行分類，將類型相同的節點保存到對應的同一個節點集合中，得到類型不同的多個節點集合；

確定創建占用資源的待回收對象的指令的多個屬性，根據該多個屬性從所述多個節點集合中查找與創建占用資源的待回收對象的指令對應的節點；

檢測該節點下是否包含有創建占用資源的待回收對象的操作指令。

2.如權利要求1所述的方法，其中，所述讀取待檢測的安卓應用的源代碼到內存中包括：

獲取所述源代碼的路徑信息；

根據所述源代碼的路徑信息，以多線程方式讀取該路徑下的所有代碼文件到內存中。

3.如權利要求1所述的方法，其中，所述確定創建占用資源的待回收對象的指令的多個屬性包括：

確定指定內容的分類屬性；所述指定內容為所述創建占用資源的待回收對象的指令；

以及確定所述指定內容的一個或多個其他屬性。

4.如權利要求3所述的方法，其中，所述根據該多個屬性從所述多個節點集合中查找與所述指定內容對應的節點包括：

先根據所述指定內容的分類屬性，確定與該分類屬性對應的一個節點集合；

從所述其他屬性中選擇一個屬性，從所確定的節點集合中查找出與該屬性匹配的節點；

判斷所述一個或多個其他屬性中是否存在未被選擇的屬性，如果存在則從查找的節點中進一步選出與該屬性匹配的節點，直到所述的其他屬性均被選擇過一次。

5.如權利要求1所述的方法，其中，所述創建占用資源的待回收對象的操作指令為：數據庫操作函數。

6.如權利要求1所述的方法，其中，所述創建占用資源的待回收對象的操作指令為：讀/寫數據流函數。

7.如權利要求1所述的方法，其中，所述創建占用資源的待回收對象的操作指令為：數據庫連接函數。

8.如權利要求1所述的方法，其中，所述資源回收指令為：try?catch函數。

9.如權利要求1所述的方法，其中，該方法進一步包括：

如果有對應的資源回收指令，進一步檢測該資源回收指令是否包含在特定語句結構中；如果不包含在特定語句結構中，則確定所述源代碼中存在資源回收漏洞。

10.如權利要求9所述的方法，其中，所述特定語句結構為finally語句結構。

11.一種靜態檢測安卓代碼中的資源回收漏洞的裝置，其中，該裝置包括：

讀取單元，適于讀取待檢測的安卓應用的源代碼到內存中；

檢測單元，適于檢測所述源代碼中是否包含有創建占用資源的待回收對象的操作指令；如果有，進一步檢測所述源代碼中是否包含有與所述占用資源的待回收對象對應的資源回收指令；如果沒有對應的資源回收指令，則確定所述源代碼中存在資源回收漏洞；

其中，所述檢測單元，適于調用所述源代碼的解析器解析所述源代碼，得到所述源代碼的抽象語法樹；對所述抽象語法樹中的各節點進行分類，將類型相同的節點保存到對應的同一個節點集合中，得到類型不同的多個節點集合；確定創建占用資源的待回收對象的指令的多個屬性，根據該多個屬性從所述多個節點集合中查找與創建占用資源的待回收對象的指令對應的節點；檢測該節點下是否包含有創建占用資源的待回收對象的操作指令。