[發明專利]漏洞檢測方法、裝置及電子設備

有效

• 申請號: 202110661626.7
• 申請日: 2021-06-15
• 公開（公告）號: CN113392404B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 高星宇;張園超;余鋒
• 申請（專利權）人: 浙江網商銀行股份有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F9/448
• 代理公司: 北京國昊天誠知識產權代理有限公司 11315
• 代理人: 許振新

1.一種漏洞檢測方法，包括：

對目標系統中的多個應用的調用鏈進行風險打標，以得到多個應用的調用鏈對應的風險標簽，所述風險標簽用于指示是否攜帶污點源或污點匯聚點，所述調用鏈用于指示所述應用內的函數之間的調用關系，所述應用內的函數包括所述應用的開放接口函數和引用接口函數中的至少一種；

基于第一應用的調用鏈中的引用接口函數和所述第一應用的調用鏈對應的風險標簽，確定所述第一應用的引用接口函數與所述風險標簽之間的第二對應關系；

基于所述多個應用的開放接口函數與引用接口函數之間的第一對應關系和所述第二對應關系，對第二應用的開放接口和引用接口進行風險打標，以得到第二應用的開放接口、引用接口以及所述風險標簽之間的第三對應關系，其中，所述第一應用和所述第二應用分別為所述多個應用中不同的應用；

基于所述第三對應關系，從所述第一應用的調用鏈和所述第二應用的調用鏈中，確定相關聯的第一調用鏈和第二調用鏈，所述第一調用鏈攜帶有污點源，所述第二調用鏈攜帶有污點匯聚點，所述第一調用鏈和所述第二調用鏈分別屬于不同的應用；

基于所述相關聯的第一調用鏈和第二調用鏈，確定所述目標系統存在的安全漏洞。

2.如權利要求1所述的方法，其特征在于，所述基于所述第三對應關系，從所述第一應用的調用鏈和所述第二應用的調用鏈中，確定關聯的第一調用鏈和第二調用鏈，包括：

從所述第一應用的調用鏈中，選取攜帶有污點源的調用鏈作為第一調用鏈；

基于所述第三對應關系，確定所述第二應用的攜帶有污點源的開放接口函數，作為第一目標接口函數；

從所述第二應用的攜帶有污點匯聚點的調用鏈中選取包含所述第一目標接口函數的調用鏈，確定為與所述第一調用鏈關聯的第二調用鏈。

3.如權利要求1所述的方法，其特征在于，所述基于所述第三對應關系，從所述第一應用的調用鏈和所述第二應用的調用鏈中，確定關聯的第一調用鏈和第二調用鏈，包括：

從所述第一應用的調用鏈中，選取攜帶有污點匯聚點的調用鏈作為第二調用鏈；

基于所述第三對應關系，確定所述第二應用的攜帶有污點匯聚點的開放接口函數，作為第二目標接口函數；

從所述第二應用的攜帶有污點源的調用鏈中選取包含所述第二目標接口函數的調用鏈，作為與所述第二調用鏈關聯的第一調用鏈。

4.如權利要求1所述的方法，其特征在于，所述對目標系統中的多個應用的調用鏈進行風險打標，以得到多個應用的調用鏈對應的風險標簽，包括：

依次對所述多個應用中單個應用的調用鏈進行風險打標，以得到所述單個應用的調用鏈對應的風險標簽；

所述基于所述第一對應關系和所述第二對應關系，對第二應用的開放接口和引用接口進行風險打標，包括：

基于所述第一對應關系，生成信息傳遞表，所述信息傳遞表用于指示所述多個應用各自的開放接口函數、引用接口函數以及所述風險標簽之間的對應關系；

基于所述第二對應關系，更新所述信息傳遞表，其中，所述第一應用為打標順序位于所述第二應用之前的應用；

所述基于所述第三對應關系，從所述第一應用的調用鏈和所述第二應用的調用鏈中，確定關聯的第一調用鏈和第二調用鏈，包括：

基于所述信息傳遞表，從所述第一應用的調用鏈和所述第二應用的調用鏈中，確定關聯的第一調用鏈和第二調用鏈。

5.如權利要求1所述的方法，在對目標系統中的多個應用的調用鏈進行風險打標之后，所述方法還包括：

如果所述多個應用中的單個應用的調用鏈同時攜帶污點源和污點匯聚點，則確定所述單個應用的調用鏈存在安全漏洞。

6.如權利要求1所述的方法，所述對目標系統中多個應用的調用鏈進行風險打標，包括：

對所述多個應用的源代碼進行靜態掃描，以得到所述多個應用的調用鏈；

對所述多個應用的調用鏈進行污點分析，以確定所述多個應用的調用鏈對應的風險標簽。