[發明專利]應用程序漏洞修復驗證方法及系統

有效

• 申請號: 202210894732.4
• 申請日: 2022-07-28
• 公開（公告）號: CN114968826B
• 公開（公告）日: 2022-11-22
• 發明（設計）人: 劉海濤;萬振華;王頡;李華;董燕
• 申請（專利權）人: 深圳開源互聯網安全技術有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36;G06F11/07;G06F21/57
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 趙貫杰

1.一種應用程序漏洞修復驗證方法，其特征在于，包括：

獲取待驗證漏洞數據，并提取該漏洞數據中的請求信息和數據流信息；

從所述數據流信息中提取所述請求信息所經過的所有特征函數；

對所述數據流信息中不同階段的所述特征函數預設不同的量化分值；

對所有所述特征函數進行隨機分組，以獲得若干函數鏈，且，每一所述函數鏈中至少包括處于輸入階段的特征函數和處于輸出階段的特征函數；

從若干所述函數鏈中選擇其中一個或多個作為驗證鏈；

基于IAST工具對該漏洞數據所屬的應用程序進行插樁，以將檢測邏輯織入到所述應用程序中，并通過該IAST工具插樁所述驗證鏈中的所述特征函數；

對所述應用程序執行請求重發，基于數據流跟蹤的方式獲取當前數據流信息；

根據當前數據流信息確認所述驗證鏈中的特征函數是否全部被觸發，并根據確認結果判斷當前漏洞是否被修復；

選 擇所述驗證鏈的方法包括：

基于預設的計算模型，并以每一所述函數鏈的長度和該函數鏈中每一所述特征函數的量化分值為參數分別計算每一所述函數鏈的特征值；所述計算模型以所述函數鏈的長度與所述特征值負相關，且以所述函數鏈中各個特征函數的量化分值的和與所述特征值正相關為原則構建；

基于所述函數鏈的特征值對所有所述函數鏈進行排序，并從中選出排名靠前的一個或多個函數鏈作為所述驗證鏈。

2.根據權利要求1所述的應用程序漏洞修復驗證方法，其特征在于，所述計算模型為：

Mi=[Nmax+（Nmax-Ni）]×Si，

其中，Mi為當前任一所述函數鏈的特征值，Nmax為當前所有函數鏈中最長函數鏈中特征函數的個數，Ni為當前所計算函數鏈中特征函數的個數，Si為當前所計算函數鏈中所有特征函數的量化分值的和。

3.根據權利要求1所述的應用程序漏洞修復驗證方法，其特征在于，處于所述應用程序的輸出階段的特征函數的量化分值大于處于所述應用程序的傳播階段的特征函數的量化分值，處于所述應用程序的傳播階段的特征函數的量化分值大于處于所述應用程序的輸入階段的特征函數的量化分值。

4.一種應用程序漏洞修復驗證系統，其特征在于，包括：

漏洞管理模塊，其用于獲取待驗證漏洞數據，并提取該漏洞數據中的請求信息和數據流信息；

特征函數獲取模塊，其用于從所述數據流信息中提取所述請求信息所經過的所有特征函數；

量化模塊，其用于對所述數據流信息中不同階段的所述特征函數預設不同的量化分值；

分組模塊，其用于對所有所述特征函數進行隨機分組，以獲得若干函數鏈，且，每一所述函數鏈中至少包括處于輸入階段的特征函數和處于輸出階段的特征函數；

選擇模塊，其用于從若干所述函數鏈中選擇其中一個或多個作為驗證鏈；

插樁模塊，其用于基于IAST工具對該漏洞數據所屬的應用程序進行插樁，以將檢測邏輯織入到所述應用程序中，并通過該IAST工具插樁所述驗證鏈中的所述特征函數；

請求重發模塊，其用于對所述應用程序執行請求重發，基于數據流跟蹤的方式獲取當前數據流信息；

確認模塊，其用于根據當前請求重發過程中的數據流信息確認所述驗證鏈中的特征函數是否全部被觸發，并根據確認結果判斷當前漏洞是否被修復；

所述選擇模塊包括模型生成模塊、計算模塊和排序模塊；

所述模型生成模塊，用于生成計算模型，該計算模型用于以每一所述函數鏈的長度和該函數鏈中每一所述特征函數的量化分值為參數分別計算每一所述函數鏈的特征值；所述計算模型以所述函數鏈的長度與所述特征值負相關，且以所述函數鏈中各個特征函數的量化分值的和與所述特征值正相關為原則構建；

所述計算模塊，用于基于所述計算模型分別計算每一所述函數鏈的特征值；

所述排序模塊，用于基于所述函數鏈的特征值對所有所述函數鏈進行排序，以排名靠前的一個或多個函數鏈作為所述驗證鏈。