[發(fā)明專利]代碼審計(jì)方法、裝置、設(shè)備及介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202310103438.1
• 申請(qǐng)日: 2023-02-13
• 公開（公告）號(hào): CN115774881A
• 公開（公告）日: 2023-03-10
• 發(fā)明（設(shè)計(jì)）人: 蔡琦;萬振華;王頡;徐瑞祝;陸慶尚
• 申請(qǐng)（專利權(quán)）人: 深圳開源互聯(lián)網(wǎng)安全技術(shù)有限公司
• 主分類號(hào): G06F21/57
• 分類號(hào): G06F21/57
• 代理公司: 深圳市恒程創(chuàng)新知識(shí)產(chǎn)權(quán)代理有限公司 44542
• 代理人: 鄢紫君

本發(fā)明公開了一種代碼審計(jì)方法、裝置、設(shè)備及介質(zhì)，所述方法包括：接收待審計(jì)的源代碼；對(duì)所述源代碼進(jìn)行掃描分析，得到掃描報(bào)告文件，并確定所述源代碼對(duì)應(yīng)的當(dāng)次審計(jì)漏洞列表；將所述當(dāng)次審計(jì)漏洞列表與已審計(jì)漏洞列表進(jìn)行匹配，判斷所述當(dāng)次審計(jì)漏洞列表中是否存在已審計(jì)的代碼漏洞；若所述當(dāng)次審計(jì)漏洞列表存在已審計(jì)的代碼漏洞，則獲取所述已審計(jì)的代碼漏洞對(duì)應(yīng)的審計(jì)記錄，并根據(jù)所述審計(jì)記錄解決所述代碼漏洞。本發(fā)明通過在不斷迭代開發(fā)并且周期性代碼審計(jì)中新一輪的代碼審計(jì)工作中自動(dòng)保留上次的代碼審計(jì)記錄，避免在面對(duì)同一漏洞做重復(fù)的代碼審計(jì)，有效地提高了審計(jì)結(jié)果的準(zhǔn)確性，完成審計(jì)工作的審計(jì)效果以及審計(jì)效率。

技術(shù)領(lǐng)域

本發(fā)明涉及代碼審計(jì)技術(shù)領(lǐng)域，尤其是涉及一種代碼審計(jì)方法、裝置、設(shè)備及介質(zhì)。

背景技術(shù)

隨著現(xiàn)代互聯(lián)網(wǎng)的不斷發(fā)展和業(yè)務(wù)越來越復(fù)雜，軟件系統(tǒng)的設(shè)計(jì)規(guī)模也日益增大，代碼數(shù)量由幾萬行發(fā)展到現(xiàn)在經(jīng)常出現(xiàn)的幾十萬行，甚至幾百萬行的代碼規(guī)模，系統(tǒng)的邏輯結(jié)構(gòu)愈加復(fù)雜，通過現(xiàn)有的人工代碼審核方式無法滿足代碼審計(jì)對(duì)于時(shí)效和成本等各方面的要求，因此，需要發(fā)展自動(dòng)化的分析工具來檢測(cè)源代碼中的安全漏洞和編碼規(guī)范問題，并通過人工審核確認(rèn)這些安全漏洞和編碼問題是否是真實(shí)的、可疑的或誤報(bào)。

然而，現(xiàn)有的代碼自動(dòng)化分析工具在對(duì)項(xiàng)目源代碼進(jìn)行迭代開發(fā)并且周期性代碼審計(jì)的過程中，對(duì)同一個(gè)安全漏洞和編碼規(guī)范問題的審計(jì)結(jié)果并沒有實(shí)現(xiàn)有效記憶，因此，當(dāng)項(xiàng)目中存在對(duì)同一個(gè)漏洞時(shí)，自動(dòng)化分析工具會(huì)對(duì)同一漏洞進(jìn)行重復(fù)的審計(jì)工作，這就造成了代碼審計(jì)工作效率低的問題。

發(fā)明內(nèi)容

本發(fā)明的主要目的在于提供一種代碼審計(jì)方法、裝置、設(shè)備及介質(zhì)，旨在提高代碼審計(jì)工作的效率。

為實(shí)現(xiàn)上述目的，本發(fā)明還提供一種代碼審計(jì)方法，所述代碼審計(jì)方法，包括：

接收待審計(jì)的源代碼；

對(duì)所述源代碼進(jìn)行掃描分析，得到掃描報(bào)告文件，并確定所述源代碼對(duì)應(yīng)的當(dāng)次審計(jì)漏洞列表；

將所述當(dāng)次審計(jì)漏洞列表與已審計(jì)漏洞列表進(jìn)行匹配，判斷所述當(dāng)次審計(jì)漏洞列表中是否存在已審計(jì)的代碼漏洞；

若所述當(dāng)次審計(jì)漏洞列表存在已審計(jì)的代碼漏洞，則獲取所述已審計(jì)的代碼漏洞對(duì)應(yīng)的審計(jì)記錄，并根據(jù)所述審計(jì)記錄解決所述代碼漏洞。

可選地，在所述判斷所述源代碼中是否攜帶已審計(jì)的代碼漏洞的步驟之后，所述方法還包括：

若所述當(dāng)次審計(jì)漏洞列表不攜帶已審計(jì)的代碼漏洞，則需要對(duì)所述審計(jì)漏洞列表進(jìn)行審計(jì)，得到對(duì)應(yīng)的審計(jì)結(jié)果；

對(duì)所述審計(jì)結(jié)果進(jìn)行分析，得到對(duì)應(yīng)的分析結(jié)果；

將所述當(dāng)次審計(jì)漏洞列表對(duì)應(yīng)的審計(jì)結(jié)果和分析結(jié)果整理成審計(jì)記錄，并將所述審計(jì)記錄存儲(chǔ)至所述已審計(jì)漏洞列表。

可選地，所述將所述當(dāng)次審計(jì)漏洞列表與已審計(jì)漏洞列表進(jìn)行匹配，判斷所述當(dāng)次審計(jì)漏洞列表中是否存在已審計(jì)的代碼漏洞的步驟，包括：

根據(jù)所述已審計(jì)漏洞列表，查詢所述源代碼是否存在歷史審計(jì)記錄；

若所述已審計(jì)漏洞列表中存在所述源代碼歷史的審計(jì)記錄，則將所述掃描報(bào)告文件的代碼漏洞與所述已審計(jì)漏洞列表上次的審計(jì)記錄進(jìn)行一次匹配，判斷所述源代碼中是否存在已審計(jì)的代碼漏洞；

若不存在，則將所述掃描報(bào)告文件的代碼漏洞與所述已審計(jì)漏洞列表上次的審計(jì)記錄進(jìn)行二次匹配，以補(bǔ)充所述源代碼中一次匹配未確定的已審計(jì)的代碼漏洞。

可選地，所述將所述掃描報(bào)告文件的審計(jì)與所述已審計(jì)漏洞列表對(duì)應(yīng)的審計(jì)記錄進(jìn)行一次匹配，判斷所述源代碼中是否存在已審計(jì)的代碼漏洞的步驟，包括：

基于預(yù)設(shè)的嚴(yán)格匹配算法，將所述掃描報(bào)告文件與審計(jì)文件進(jìn)行嚴(yán)格匹配，獲取對(duì)應(yīng)的一次匹配結(jié)果；

根據(jù)所述一次匹配結(jié)果，判斷所述源代碼中是否存在已審計(jì)的代碼漏洞。