[發明專利]漏洞檢測分析方法、裝置及基于此的漏洞驗證方法、系統

有效

• 申請號: 202110496986.6
• 申請日: 2021-05-07
• 公開（公告）號: CN113162945B
• 公開（公告）日: 2021-12-14
• 發明（設計）人: 張濤;寧戈;劉恩炙;張弛
• 申請（專利權）人: 北京安普諾信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/57
• 代理公司: 北京萬象新悅知識產權代理有限公司 11360
• 代理人: 賈曉玲

1.一種漏洞檢測分析方法，其特征在于，該方法包括：

對于任一類型的漏洞，獲取或接收所述類型漏洞的攻擊測試報文的有效報文內容和目標程序響應該攻擊測試的有效實時響應數據；

根據所述攻擊測試報文有效報文內容和所述有效實時響應數據，分析、判斷目標程序中是否潛藏所述類型的漏洞；其中，所述的分析、判斷目標程序中是否潛藏所述類型漏洞的過程，具體包括：根據所述攻擊測試報文有效報文內容和所述有效實時響應數據，分析在受到所述攻擊測試報文攻擊時目標程序中對應所述類型漏洞的關鍵函數是否異常執行而據此判斷目標程序中是否潛藏所述類型的漏洞；

其中，所述攻擊測試報文的有效報文內容，應包括能夠利用所述類型漏洞進行攻擊的有效載荷參數內容；所述有效實時響應數據，包括目標程序響應和處理所述攻擊測試報文過程中的運行上下文；所述的運行上下文，包括：至少一組的該攻擊測試的數據流執行到關鍵函數時獲取的有效運行時數據，及其對應的關鍵函數信息；所述關鍵函數信息，是指獲取所述有效運行時數據時對應的關鍵函數的信息；

對于任一關鍵函數，判定關鍵函數是否異常執行的過程，包括：D1：判斷所述攻擊測試報文的有效報文內容中，是否包括全部的所述有效載荷參數內容；若是，則繼而，D2：根據所述攻擊測試報文中的有效載荷參數內容，判斷該關鍵函數對應的所述有效運行時數據中是否包括經無害化處理的攻擊測試報文有效載荷參數內容；若否，則判定該關鍵函數異常執行；

或，包括：D1：判斷所述攻擊測試報文的有效報文內容中，是否包括全部的所述有效載荷參數內容；若是，則繼而，D2：根據所述攻擊測試報文中的有效載荷參數內容，判斷該關鍵函數對應的所述有效運行時數據中是否包括經無害化處理的攻擊測試報文有效載荷參數內容；以及，D3：判斷所述有效運行時數據中是否包括相應的請求參數值；若D2為否且D3為是，則判定該關鍵函數異常執行。

2.根據權利要求1所述的方法，其特征在于，

所述的運行上下文，包括：多組的該攻擊測試的數據流執行到關鍵函數時獲取的有效運行時數據，及其對應的關鍵函數信息；

所述的各組有效運行時數據及其對應的關鍵函數信息，獲取自所述類型漏洞對應的多個不同關鍵函數，和/或同一關鍵函數的不同位點；

當所述關鍵函數包括多個位點時，所述關鍵函數信息，包括：獲取所述有效運行時數據的所述關鍵函數的位點信息。

3.根據權利要求2所述的方法，其特征在于，

根據其中的任意一組有效運行時數據及其對應的關鍵函數信息，獨立地分析、判斷目標程序中是否潛藏所述類型漏洞；

或，

根據其中的有效運行時數據及其對應的關鍵函數信息的組合，綜合分析、判斷目標程序中是否潛藏所述類型漏洞。

4.根據權利要求1所述的方法，其特征在于，

所述有效實時響應數據中，包括將反饋的對應所述攻擊測試報文的響應報文內容；所述的響應報文內容，用于輔助分析、判斷目標程序中是否潛藏所述類型的漏洞。

5.根據權利要求1或4任一所述的方法，其特征在于，

所述的有效實時響應數據，和/或，攻擊測試報文有效報文內容，是通過對目標程序的相應位點插樁探針獲取的。

6.根據權利要求5所述的方法，其特征在于，

所述的插樁探針，包括：采用運行時插樁的方式插樁探針；

和/或，

所述的插樁探針，是根據插樁點位置、對獲取所述有效報文內容或有效實時響應數據的需要的不同而差異化設計的。

7.根據權利要求1或4任一所述的方法，其特征在于，

所述的有效實時響應數據，包括：函數調用棧信息；

所述的函數調用棧信息，和/或，響應報文內容，用于輔助分析、定位所述類型漏洞。