[發(fā)明專利]代碼安全缺陷分析方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請?zhí)枺?/td>: 202210352890.7
• 申請日: 2022-04-06
• 公開（公告）號: CN114780391A
• 公開（公告）日: 2022-07-22
• 發(fā)明（設(shè)計(jì)）人: 章磊;孫宇;黃永剛;韓建;張宇;齊向東;吳云坤
• 申請（專利權(quán)）人: 奇安信科技集團(tuán)股份有限公司;奇安信網(wǎng)神信息技術(shù)（北京）股份有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 成都維飛知識產(chǎn)權(quán)代理有限公司 51311
• 代理人: 張巧燕

1.一種代碼安全缺陷分析方法，其特征在于，包括：

對被測對象進(jìn)行靜態(tài)分析，得到所述被測對象中存在的代碼安全缺陷；

對所述被測對象進(jìn)行軟件成分分析，識別出所述被測對象中存在的第三方組件的源文件；

從各所述代碼安全缺陷中，確定出所述源文件對應(yīng)的代碼安全缺陷。

2.如權(quán)利要求1所述的代碼安全缺陷分析方法，其特征在于，所述方法還包括：

截獲所述被測對象在編譯過程中所產(chǎn)生的編譯指令；

收集所述編譯過程中涉及的所有源文件；

所述對被測對象進(jìn)行靜態(tài)分析，得到所述被測對象中存在的代碼安全缺陷，包括：對所述編譯指令和所述所有源文件進(jìn)行分析，得到所述被測對象中存在的代碼安全缺陷；

所述對所述被測對象進(jìn)行軟件成分分析，識別出所述被測對象中存在的第三方組件的源文件，包括：對所述所有源文件進(jìn)行軟件成分分析，識別出所述第三方組件的源文件。

3.如權(quán)利要求2所述的代碼安全缺陷分析方法，其特征在于，收集所述編譯過程中涉及的所有源文件，包括：

根據(jù)所述編譯指令，獲取在所述編譯過程中所述編譯指令涉及到的所有源文件。

4.如權(quán)利要求1-3任一項(xiàng)所述的代碼安全缺陷分析方法，其特征在于，從各所述代碼安全缺陷中，確定出所述源文件對應(yīng)的代碼安全缺陷之后，所述方法還包括：

標(biāo)記所述源文件對應(yīng)的代碼安全缺陷。

5.如權(quán)利要求1-3任一項(xiàng)所述的代碼安全缺陷分析方法，其特征在于，從各所述代碼安全缺陷中，確定出所述源文件對應(yīng)的代碼安全缺陷之后，所述方法還包括：

從各所述代碼安全缺陷中，去除所述第三方組件的源文件對應(yīng)的代碼安全缺陷。

6.如權(quán)利要求1-3任一項(xiàng)所述的代碼安全缺陷分析方法，其特征在于，所述方法還包括：

從所述被測對象的靜態(tài)分析結(jié)果中，獲取所述第三方組件的各源文件的靜態(tài)分析結(jié)果；

根據(jù)所述第三方組件的各源文件的靜態(tài)分析結(jié)果，確定所述第三方組件的實(shí)際使用情況。

7.一種第三方組件的源文件識別方法，其特征在于，包括：

截獲被測對象在編譯過程中所產(chǎn)生的編譯指令；

根據(jù)所述編譯指令，獲取在所述編譯過程中所述編譯指令涉及到的所有源文件；

對所述所有源文件進(jìn)行軟件成分分析，識別出所述被測對象中存在的第三方組件的源文件。

8.一種代碼安全缺陷分析裝置，其特征在于，包括：

靜態(tài)分析模塊，用于對被測對象進(jìn)行靜態(tài)分析，得到所述被測對象中存在的代碼安全缺陷；

軟件成分分析模塊，用于對所述被測對象進(jìn)行軟件成分分析，識別出所述被測對象中存在的第三方組件的源文件；

區(qū)分處理模塊，用于從各所述代碼安全缺陷中，確定出所述源文件對應(yīng)的代碼安全缺陷。

9.一種第三方組件的源文件識別裝置，其特征在于，包括：

截取模塊，用于截獲被測對象在編譯過程中所產(chǎn)生的編譯指令；

源文件獲取模塊，用于根據(jù)所述編譯指令，獲取在所述編譯過程中所述編譯指令涉及到的所有源文件；

第三方組件識別模塊，用于對所述所有源文件進(jìn)行軟件成分分析，識別出所述被測對象中存在的第三方組件的源文件。

10.一種電子設(shè)備，其特征在于，包括：處理器、存儲(chǔ)器及通信總線；

所述通信總線用于實(shí)現(xiàn)所述處理器和所述存儲(chǔ)器之間的連接通信；

所述處理器用于執(zhí)行所述存儲(chǔ)器中存儲(chǔ)的程序，以實(shí)現(xiàn)如權(quán)利要求1至6中任一項(xiàng)所述的代碼安全缺陷分析方法，或?qū)崿F(xiàn)如權(quán)利要求7所述的第三方組件的源文件識別方法。

11.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其特征在于，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有一個(gè)或者多個(gè)程序，所述一個(gè)或者多個(gè)程序可被一個(gè)或者多個(gè)處理器執(zhí)行，以實(shí)現(xiàn)如權(quán)利要求1至6任一項(xiàng)所述的代碼安全缺陷分析方法，或?qū)崿F(xiàn)如權(quán)利要求7所述的第三方組件的源文件識別方法。