[发明专利]一种漏洞有效性预测的方法和系统

权利要求书

1.一种漏洞有效性预测的方法，其特征在于，包括以下步骤：

通过新增、修改或者删除配置重新定义漏洞有效性等级；

通过制定的判断漏洞有效性等级的规则对代码安全扫描结果进行有效性等级判定；

将有效果等级判定的结果展示在代码安全扫描结果中。

2.根据权利要求1所述的一种漏洞有效性预测的方法，其特征在于，所述漏洞有效性等级的内容为漏洞误报的程度，以及对漏洞误报的程度进行分级。

3.根据权利要求1所述的一种漏洞有效性预测的方法，其特征在于，所述通过新增、修改或者删除配置，重新定义漏洞有效性等级包括：

对注释中扫描出的漏洞，有效性判定为误报；

未提供依赖库的函数，有效性判定为误报；

在代码中扫描出的漏洞，有效性判定为高；

将代码有效性的等级进行反向配置。

4.根据权利要求3所述的一种漏洞有效性预测的方法，其特征在于，对于输入值校验相关的漏洞，首先判断输入值来源；如果输入值来自函数本身，则漏洞的有效性判定为非误报；如果输入值引用未发现的函数，则漏洞的有效性判定为误报。

5.根据权利要求1所述的一种漏洞有效性预测的方法，其特征在于，所述在有效性等级判定之后，所述判定标识跟随扫描结果进行持久化。

6.根据权利要求1所述的一种漏洞有效性预测的方法，其特征在于，所述代码安全扫描结果包括在页面或者窗口中可见部分的扫描结果和在页面或者窗口中不可见却存在有效性等级标识的扫描结果。

7.一种漏洞有效性预测的系统，其特征在于，包括有效性规则制定模块、有效性规则匹配模块和有效性结果展示模块；

所述有效性规则制定模块用于通过新增、修改或者删除配置重新定义漏洞有效性等级；

所述有效性规则匹配模块用于根据有效性规则制定模块制定的判断漏洞有效性的规则对代码安全扫描结果进行有效性等级判定；

所有有效性结果展示模块用于将有效果等级判断的结果展示在代码安全扫描结果中。

8.根据权利要求7所述的一种漏洞有效性预测的系统，其特征在于，所述有效性规则制定模块包括：第一判定模块、第二判定模块、第三判定模块和配置模块；

所述第一判定模块用于对注释中扫描出的漏洞，有效性判定为误报；

所述第二判定模块用于对未提供依赖库的函数，有效性判定为误报；

所述第三判定模块用于在代码中扫描出的漏洞，有效性判定为高；

所述配置模块用于将代码有效性的等级进行反向配置。

9.根据权利要求7所述的一种漏洞有效性预测的系统，其特征在于，所述有效性规则制定模块还包括第四判定模块；

所述第四判定模块用于对于输入值校验相关的漏洞，首先判断输入值来源；如果输入值来自函数本身，则漏洞的有效性判定为非误报；如果输入值引用未发现的函数，则漏洞的有效性判定为误报。