[發明專利]漏洞檢測方法、裝置及電子設備

有效

• 申請號: 202110661626.7
• 申請日: 2021-06-15
• 公開（公告）號: CN113392404B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 高星宇;張園超;余鋒
• 申請（專利權）人: 浙江網商銀行股份有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F9/448
• 代理公司: 北京國昊天誠知識產權代理有限公司 11315
• 代理人: 許振新

本說明書實施例公開了一種漏洞檢測方法、裝置及電子設備。漏洞檢測方法包括：對目標系統中的多個應用的調用鏈進行風險打標，以得到多個應用的調用鏈對應的風險標簽，風險標簽用于指示是否攜帶污點源或污點匯聚點，調用鏈用于指示應用內的函數之間的調用關系，應用內的函數包括應用的開放接口函數和引用接口函數中的至少一種；基于多個應用的調用鏈對應的風險標簽以及多個應用的開放接口函數與引用接口函數之間的第一對應關系，確定相關聯的第一調用鏈和第二調用鏈，第一調用鏈攜帶有污點源，第二調用鏈攜帶有污點匯聚點，第一調用鏈和第二調用鏈分別屬于不同的應用；基于相關聯的第一調用鏈和第二調用鏈，確定目標系統存在的安全漏洞。

技術領域

本文件涉及計算機技術領域，尤其涉及一種漏洞檢測方法、裝置及電子設備。

背景技術

目前的漏洞檢測工具大都使用污點追蹤技術，其通過分析應用內的函數之間的依賴關系來判斷污點標記所有可能的傳播途徑，進而識別出應用內存在的安全漏洞。但是，現有的漏洞檢測工具只能用于單個應用內部的漏洞檢測，無法實現跨應用的污點追蹤，因而會產生一些應用間漏洞的漏報或誤報。

有鑒于此，當前亟需一種能夠準確檢測應用間漏洞的方案。

發明內容

本說明書實施例目的是提供一種漏洞檢測方法、裝置及電子設備，能夠準確檢測應用間漏洞。

為了實現上述目的，本說明書實施例采用下述技術方案：

第一方面，提供一種漏洞檢測方法，包括：

對目標系統中的多個應用的調用鏈進行風險打標，以得到多個應用的調用鏈對應的風險標簽，所述風險標簽用于指示是否攜帶污點源或污點匯聚點，所述調用鏈用于指示所述應用內的函數之間的調用關系，所述應用內的函數包括所述應用的開放接口函數和引用接口函數中的至少一種；

基于所述多個應用的調用鏈對應的風險標簽以及所述多個應用的開放接口函數與引用接口函數之間的第一對應關系，確定相關聯的第一調用鏈和第二調用鏈，所述第一調用鏈攜帶有污點源，所述第二調用鏈攜帶有污點匯聚點，所述第一調用鏈和所述第二調用鏈分別屬于不同的應用；

基于所述相關聯的第一調用鏈和第二調用鏈，確定所述目標系統存在的安全漏洞。

第二方面，提供一種漏洞檢測裝置，包括：

風險分析模塊，對目標系統中的多個應用的調用鏈進行風險打標，以得到多個應用的調用鏈對應的風險標簽，所述風險標簽用于指示是否攜帶污點源或污點匯聚點，所述調用鏈用于指示所述應用內的函數之間的調用關系，所述應用內的函數包括所述應用的開放接口函數和引用接口函數中的至少一種；

第一確定模塊，基于所述多個應用的調用鏈對應的風險標簽以及所述多個應用的開放接口函數與引用接口函數之間的第一對應關系，確定相關聯的第一調用鏈和第二調用鏈，所述第一調用鏈攜帶有污點源，所述第二調用鏈攜帶有污點匯聚點，所述第一調用鏈和所述第二調用鏈分別屬于不同的應用；

第二確定模塊，基于所述相關聯的第一調用鏈和第二調用鏈，確定所述目標系統存在的安全漏洞。

第三方面，提供一種電子設備，包括：

處理器；以及

被安排成存儲計算機可執行指令的存儲器，所述可執行指令在被執行時使所述處理器執行以下操作：

對目標系統中的多個應用的調用鏈進行風險打標，以得到多個應用的調用鏈對應的風險標簽，所述風險標簽用于指示是否攜帶污點源或污點匯聚點，所述調用鏈用于指示所述應用內的函數之間的調用關系，所述應用內的函數包括所述應用的開放接口函數和引用接口函數中的至少一種；