[发明专利]动画源文件安全漏洞检查方法及装置

说明书

本发明涉及一种动画源文件安全漏洞检查方法及装置。在一个实施例中，上述方法包括：对该动画源文件进行反编译以获取该动画源文件的程序结构及语法模型；将该程序结构及该语法模型转换成抽象语法树；根据该抽象语法树构建符号表和函数摘要；以及基于该符号表和函数摘要，结合漏洞规则进行污点回溯追踪，并将追踪结果输出。上述的动画源文件安全漏洞检查方法与装置详细跟踪外部恶意数据在程序中的传递及漏洞的产生过程，并可提高漏洞检测的覆盖率。

技术领域

本发明涉及计算机程序安全检测技术，特别涉及一种动画源文件安全漏洞检查方法及装置。

背景技术

随着互联网技术的发展，用户已离不开各式各样的网络应用，如网络游戏、电子商城及各种社交应用。而在这些网络应用中，各种动画得到了广泛的运用。在各种动画中，尤以Adobe公司的flash动画(扩展名为.swf)应用最为广泛。flash动画由于强大的脚本语言（Action Script,AS）的支持，在页面展示时含有丰富的功能。但同时由于AS的功能的强大以及开放性，也带来不安全的因素。常见的安全漏洞包括跨站脚本攻击（Cross-SiteScripting，以下简称XSS）以及跨站flash（Cross-Site Flash，以下简称XSF）。

目前flash安全漏洞检测的常用方法分为静态分析和动态分析。其中静态分析更分成半自动化和自动化两种方式，常用的是半自动化的挖掘手段，通过人工审查源码定位关键函数，再查看参数是否外部可控。但是半自动化的方式需要肉眼分析，耗时耗力。

另外，静态自动化分析同样通过反编译获取AS源代码，然后基于漏洞代码特征，模式匹配进行安全检测。比如，flash反编译的AS代码片段为getURL(_root.gourl,_blank)，通过搜索代码中关键函数getURL，并匹配参数是否为外部输入_root.*，即可发现漏洞。此种方案易于自动化实现，但检测能力具有很大局限性，仅能针对单一行代码。假如反编译的AS代码片段如下：

var param:Object=root.loaderInfo.parameters;

var swf:String=param[“swf”];

var myLoader:Loader=new Loader();

var url:URLRequest=new URLRequest(swf);

myLoader.load(url);

addChild(myLoader);

其中外部参数swf直接被载入，将导致XSF漏洞，但特征字符串匹配的方法很难检测出此类漏洞。

发明内容

因此，本发明提供一种动画源文件安全漏洞检查方法与装置，其可提高漏洞检测的覆盖率。

一种动画源文件安全漏洞检查方法，包括：对该动画源文件进行反编译以获取该动画源文件的程序结构及语法模型；将该程序结构及该语法模型转换成抽象语法树；根据该抽象语法树构建符号表和函数摘要；以及基于该符号表和函数摘要进行污点回溯追踪，并将追踪结果输出。

一种动画源文件安全漏洞检查装置，包括：反编译解析模块，用于对该动画源文件后进行反编译以获取该动画源文件的程序结构及语法模型；抽象语法树构建模块，用于将该程序结构及该语法模型转换成抽象语法树；符号表构建模块，用于根据该抽象语法树构建符号表；函数摘要模块，用于根据该抽象语法树构建函数摘要；以及污点追踪模块，用于基于该符号表和函数摘要进行污点回溯追踪，并将检查结果输出。

根据上述的动画源文件漏洞检测方法及装置，可以自动化地将动画源文件转换为抽象语法树，进而根据抽象语法构建出符号表及函数摘要，可以无限迭代的追踪出一个变量是否危险，详细跟踪外部恶意数据在程序中的传递及漏洞的产生过程，相比于传统的关键字查询方式，漏洞检出率得以提高。