[發(fā)明專利]基于IAST的Node.js數(shù)據(jù)流跟蹤方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110045803.9
• 申請(qǐng)日: 2021-01-13
• 公開(kāi)（公告）號(hào): CN112883379B
• 公開(kāi)（公告）日: 2023-04-25
• 發(fā)明（設(shè)計(jì)）人: 徐年生;萬(wàn)振華;王頡;董燕;李華
• 申請(qǐng)（專利權(quán)）人: 深圳開(kāi)源互聯(lián)網(wǎng)安全技術(shù)有限公司
• 主分類號(hào): G06F21/57
• 分類號(hào): G06F21/57
• 代理公司: 廣州三環(huán)專利商標(biāo)代理有限公司 44202
• 代理人: 張艷美;劉光明

1.一種基于IAST的Node.js數(shù)據(jù)流跟蹤方法，Node.js數(shù)據(jù)在IAST中依次經(jīng)歷輸入階段、傳播階段、安全編碼階段及輸出階段，其特征在于，所述Node.js數(shù)據(jù)流跟蹤方法包括以下步驟：

(1)在輸入階段，獲取http請(qǐng)求參數(shù)，將所述參數(shù)的類型轉(zhuǎn)換成引用類型，添加自定義stack屬性，并將stack初始化為空數(shù)組；

(2)在傳播階段，判斷所述參數(shù)的類型是否為引用類型且具有自定義stack屬性，若是，則在所述空數(shù)組追加當(dāng)前傳播階段的堆棧信息，若否，則舍棄當(dāng)前傳播階段的堆棧信息；

(3)在安全編碼階段，將所述參數(shù)由引用類型轉(zhuǎn)換成基本類型；

(4)在輸出階段，判斷所述參數(shù)是否為引用類型且具有自定義stack屬性，若是，判定被測(cè)應(yīng)用程序?yàn)榇嬖谕{，并取出所有數(shù)組中的堆棧信息。

2.如權(quán)利要求1所述的基于IAST的Node.js數(shù)據(jù)流跟蹤方法，其特征在于，步驟(4)中，判斷所述參數(shù)是否為引用類型且具有自定義stack屬性時(shí)，若判斷結(jié)果為否，則判定被測(cè)應(yīng)用程序?yàn)椴淮嬖谕{，不執(zhí)行任何操作。

3.一種基于IAST的Node.js數(shù)據(jù)流跟蹤系統(tǒng)，Node.js數(shù)據(jù)在IAST中依次經(jīng)歷輸入階段、傳播階段、安全編碼階段及輸出階段，其特征在于，所述Node.js數(shù)據(jù)流跟蹤系統(tǒng)包括：

第一處理模塊，用于在輸入階段獲取http請(qǐng)求參數(shù)，并將所述參數(shù)的類型轉(zhuǎn)換成引用類型，以及添加自定義stack屬性，并將stack初始化為空數(shù)組；

第二處理模塊，用于在傳播階段判斷所述參數(shù)的類型是否為引用類型且具有自定義stack屬性，若是，則在所述空數(shù)組追加當(dāng)前傳播階段的堆棧信息，若否，則舍棄當(dāng)前傳播階段的堆棧信息；

第三處理模塊，用于在安全編碼階段將所述參數(shù)由引用類型轉(zhuǎn)換成基本類型；以及

第四處理模塊，用于在輸出階段判斷所述參數(shù)是否為引用類型且具有自定義stack屬性，若是，判定被測(cè)應(yīng)用程序?yàn)榇嬖谕{，并取出所有數(shù)組中的堆棧信息。

4.如權(quán)利要求3所述的基于IAST的Node.js數(shù)據(jù)流跟蹤系統(tǒng)，其特征在于，所述第四處理模塊判斷所述參數(shù)是否為引用類型且具有自定義stack屬性時(shí)，若判斷結(jié)果為否，則判定被測(cè)應(yīng)用程序?yàn)椴淮嬖谕{，不執(zhí)行任何操作。

5.一種基于IAST的Node.js數(shù)據(jù)流跟蹤裝置，其特征在于，包括：

處理器、存儲(chǔ)器以及存儲(chǔ)在所述存儲(chǔ)器中且被配置為由所述處理器執(zhí)行的計(jì)算機(jī)程序，所述處理器執(zhí)行所述計(jì)算機(jī)程序時(shí)，執(zhí)行如權(quán)利要求1至2任一項(xiàng)所述的基于IAST的Node.js數(shù)據(jù)流跟蹤方法。

6.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有計(jì)算機(jī)程序，所述計(jì)算機(jī)程序可被處理器執(zhí)行以完成如權(quán)利要求1至2任一項(xiàng)所述的基于IAST的Node.js數(shù)據(jù)流跟蹤方法。