[发明专利]动画源文件安全漏洞检查方法及装置

权利要求书

1.一种动画源文件安全漏洞检查方法，其特征在于，该方法包括：

对该动画源文件进行反编译以获取该动画源文件的程序结构及语法模型；

将该程序结构及该语法模型转换成抽象语法树；

根据该抽象语法树构建每个函数的符号表，并对于类内的每个方法，遍历其所有结点，获取返回值与参数的关系、返回值与成员变量的关系、成员变量与参数或其他成员变量的关系、参数与其他参数或成员变量的关系，并将结果分别存储在多个映射表内，得到由多个映射表所构成的函数摘要；以及

基于该符号表和函数摘要进行污点回溯追踪，在追踪过程中结合预注册的漏洞规则检测安全漏洞。

2.如权利要求1所述的动画源文件安全漏洞检查方法，其特征在于，基于该符号表和函数摘要进行污点回溯追踪包括：

根据该符号表遍历检查每个函数调用点，判断其是否为预注册的危险函数，若是则检测该危险函数的参数，若该参数为预定义的关键参数则回溯追踪该关键参数是否安全。

3.如权利要求2所述的动画源文件安全漏洞检查方法，其特征在于，回溯追踪该关键参数是否安全包括：

获取该关键参数的表达式；

根据该表达式的结点类型进行：

若该结点为变量，则追踪该变量是否安全；或者

若该结点为函数调用，则获取调用函数的函数摘要，若无则实时构建函数摘要，并根据摘要信息递归追踪该调用函数的关联参数或关联的类成员变量是否安全；或者

若该结点为常量，则返回安全；或者

若该结点为其他类型，则追踪该结点的子结点的表达式是否安全。

4.如权利要求3所述的动画源文件安全漏洞检查方法，其特征在于，追踪该变量是否安全包括：

若该变量为外部输入变量则返回危险；或者

若该变量为非字符串基本类型则返回安全；或者

若该变量找不到任何关联和定义则返回危险；或者

若该变量存在最近的关联值则递归追踪该关联值是否安全，并将该关联值的追踪结果作为该变量的追踪结果；或者

若该变量不存在最近的关联值但该变量是类成员变量，则递归追踪该类成员变量是否安全，并将该类成员变量的追踪结果作为该变量的追踪结果。

5.如权利要求4所述的动画源文件安全漏洞检查方法，其特征在于，递归追踪该关联值是否安全包括：

若该关联值的类型为赋值则递归追踪该赋值操作的右值表达式是否安全；或者

若该关联值的类型为函数调用，则通过该函数已构建的函数摘要获取该关联值的关联值并追踪是否安全。

6.如权利要求4所述的动画源文件安全漏洞检查方法，其特征在于，递归追踪该类成员变量是否安全包括：

获取该类成员变量最近的关联赋值或影响成员变量值的函数调用；

若存在该最近的关联赋值或函数调用，则获取该类成员变量的关联值；以及

递归追踪该类成员变量的关联值是否安全。

7.如权利要求1所述的动画源文件安全漏洞检查方法，其特征在于，还包括：

根据该抽象语法树收集类名、包名、引入的类名、以及类成员变量信息，优先分析引入的类内是否存在漏洞，并对引入的类进行摘要。

8.如权利要求1所述的动画源文件安全漏洞检查方法，其特征在于，还包括：

读取配置文件并根据该配置文件获取预注册的危险函数列表、安全函数列表及外部数据源列表，追踪至安全函数列表内的函数无须再继续追踪，返回安全；追踪至外部数据源列表中的函数或变量无需再继续追踪，返回危险。

9.如权利要求1所述的动画源文件安全漏洞检查方法，其特征在于，还包括：将污点回溯追踪发现的漏洞结果添加至统一列表保存，在追踪完成后统一输出。