[發(fā)明專利]一種開(kāi)源軟件漏洞分析方法、裝置和存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 201810415008.2
• 申請(qǐng)日: 2018-05-03
• 公開(kāi)（公告）號(hào): CN108763928B
• 公開(kāi)（公告）日: 2020-10-02
• 發(fā)明（設(shè)計(jì)）人: 王博;崔寶江;吳倩;楊俊;張家旺;林星辰;宋緒言
• 申請(qǐng)（專利權(quán)）人: 北京郵電大學(xué)
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F21/57
• 代理公司: 北京超凡志成知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11371
• 代理人: 蘇勝

1.一種開(kāi)源軟件漏洞分析方法，其特征在于，所述方法包括：

獲取待測(cè)軟件中的開(kāi)源代碼；

將所述開(kāi)源代碼的源文件集與漏洞庫(kù)中的源碼型漏洞進(jìn)行同源性比對(duì)檢測(cè)；

輸出比對(duì)檢測(cè)結(jié)果；

其中，所述漏洞庫(kù)中包括所述源碼型漏洞和庫(kù)類型漏洞；將所述開(kāi)源代碼的源文件集與漏洞庫(kù)中的源碼型漏洞進(jìn)行同源性比對(duì)檢測(cè)之前，還包括：

將所述開(kāi)源代碼預(yù)處理為所述源文件集和庫(kù)文件集；

所述方法還包括：

將所述開(kāi)源代碼中的所述源文件集與所述漏洞庫(kù)中的源碼型漏洞進(jìn)行同源性比對(duì)檢測(cè)；

將所述開(kāi)源代碼中的所述庫(kù)文件集與所述漏洞庫(kù)中的庫(kù)類型漏洞進(jìn)行組件引用檢測(cè)；

所述輸出比對(duì)檢測(cè)結(jié)果，包括：

輸出同源性比對(duì)檢測(cè)結(jié)果和組件引用檢測(cè)結(jié)果；

其中，所述組件引用檢測(cè)包括：判斷所述庫(kù)文件集中含有所述庫(kù)類型漏洞的庫(kù)文件是否被使用；

其中，將所述開(kāi)源代碼中的所述庫(kù)文件集與所述漏洞庫(kù)中的庫(kù)類型漏洞進(jìn)行組件引用檢測(cè)包括：

判斷所述庫(kù)文件集中與所述庫(kù)類型漏洞相匹配的庫(kù)文件是否被導(dǎo)入，若所述庫(kù)文件集中與所述庫(kù)類型漏洞相匹配的庫(kù)文件被導(dǎo)入，則提取所述與所述庫(kù)類型漏洞相匹配的庫(kù)文件；

判斷所述提取的與所述庫(kù)類型漏洞相匹配的庫(kù)文件是否被加載，若所述提取的與所述庫(kù)類型漏洞相匹配的庫(kù)文件被加載，則判斷所述被加載的庫(kù)文件中與所述庫(kù)類型漏洞相匹配的函數(shù)是否被調(diào)用，若所述庫(kù)文件中與所述庫(kù)類型漏洞相匹配的函數(shù)被調(diào)用，則確定所述庫(kù)文件集存在所述庫(kù)類型漏洞。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，將所述開(kāi)源代碼預(yù)處理為所述源文件集和庫(kù)文件集，包括：

提取所述開(kāi)源代碼中的至少一個(gè)源文件、至少一個(gè)庫(kù)文件和至少一個(gè)配置文件；

將所述至少一個(gè)源文件組成源文件集；

將所述至少一個(gè)庫(kù)文件和所述至少一個(gè)配置文件組成庫(kù)文件集。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，將所述至少一個(gè)庫(kù)文件和所述至少一個(gè)配置文件組成庫(kù)文件集包括：

通過(guò)所述配置文件，獲取第三方包；

將所述第三方包和所述庫(kù)文件組成庫(kù)文件集。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述同源性比對(duì)檢測(cè)包括：

若將所述源文件集與所述源碼型漏洞進(jìn)行文本比對(duì)后，未發(fā)現(xiàn)所述源碼型漏洞，則將所述源文件集與所述源碼型漏洞進(jìn)行Token標(biāo)識(shí)比對(duì)，若發(fā)現(xiàn)所述源碼型漏洞，則將所述源文件集進(jìn)行二次分析；

若將所述源文件集與所述源碼型漏洞進(jìn)行Token標(biāo)識(shí)比對(duì)后，未發(fā)現(xiàn)所述源碼型漏洞，則將所述源文件集與所述源碼型漏洞進(jìn)行語(yǔ)法樹比對(duì)，若發(fā)現(xiàn)所述源碼型漏洞，則將所述源文件集進(jìn)行二次分析；

若將所述源文件集與所述源碼型漏洞進(jìn)行語(yǔ)法樹比對(duì)后，未發(fā)現(xiàn)所述源碼型漏洞，則確定所述源文件集不存在所述源碼型漏洞，若發(fā)現(xiàn)所述源碼型漏洞，則將所述源文件集進(jìn)行二次分析。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述二次分析包括：

判斷所述源文件集是否滿足所述源碼型漏洞的觸發(fā)條件，當(dāng)滿足所述源碼型漏洞的觸發(fā)條件時(shí)，確定所述源文件集存在所述源碼型漏洞。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述輸出比對(duì)檢測(cè)結(jié)果，包括：

在畫面一側(cè)顯示所述開(kāi)源代碼，并標(biāo)記所述開(kāi)源代碼中含有所述源碼型漏洞的片段和所述庫(kù)類型漏洞的片段，在畫面另一側(cè)顯示所述含有所述源碼型漏洞的片段和所述庫(kù)類型漏洞的片段具體包含的所述漏洞庫(kù)中的漏洞。