[发明专利]代码漏洞检测方法及装置

说明书

一种代码漏洞检测方法及装置，可用于信息安全领域、金融领域或其他领域，方法包括：根据获取的待分析程序片段及已知漏洞程序片段，分别生成对应的控制流图；对控制流图中的基本块分别进行权重评分计算，得到权重评分计算结果；从控制流图的基本块中，选取预设数量的权重词符；将权重词符转换为特征矩阵，输入至预先建立的双生神经网络模型中，得到待分析程序片段与已知漏洞程序片段的特征矩阵之间的相似度，根据相似度对待分析程序片段进行漏洞检测。本发明基于双生神经网络进行代码漏洞挖掘，能够在一种漏洞被发现后，批量发现系统中存在的其他类似代码，从而深度揭示应用系统中的相关风险，有效保证应用代码安全。

技术领域

本发明涉及代码漏洞挖掘技术领域，尤指一种代码漏洞检测方法及装置。

背景技术

随着信息技术的发展，软件已成为我们生活中息息相关的重要元素，而与之相关的网络攻击活动数量也在逐年增长。在层出不穷的漏洞中，如何快速、准确地发现应用代码中类似的漏洞，防止不安全的代码持续暴露在高风险环境中，是每个软件开发商必须关注的问题。

在实际开发中，一种存在漏洞的开发模式很容易在系统的其他模块被找到。然而目前现存的静态分析方法，主要基于污点跟踪、符号执行等技术，并不适用于相似漏洞代码的搜寻。

发明内容

针对现有技术中存在的问题，本发明实施例的主要目的在于提供一种代码漏洞检测方法及装置，实现快速匹配应用系统中的类似代码，批量挖掘相似的风险问题。

为了实现上述目的，本发明实施例提供一种代码漏洞检测方法，所述方法包括：

获取待分析程序片段及已知漏洞程序片段，并根据所述待分析程序片段及已知漏洞程序片段，分别生成待分析程序片段控制流图及已知漏洞程序片段控制流图；

对所述待分析程序片段控制流图中的基本块及所述已知漏洞程序片段控制流图中的基本块分别进行权重评分计算，得到各基本块的权重评分计算结果；

根据所述权重评分计算结果，从所述待分析程序片段控制流图的基本块及所述已知漏洞程序片段控制流图的基本块中，分别选取预设数量的权重词符；

将所述权重词符转换为特征矩阵，并将所述特征矩阵输入至预先建立的双生神经网络模型中，得到待分析程序片段的特征矩阵与已知漏洞程序片段的特征矩阵之间的相似度，并根据所述相似度对所述待分析程序片段进行漏洞检测。

可选的，在本发明一实施例中，所述对所述待分析程序片段控制流图中的基本块及所述已知漏洞程序片段控制流图中的基本块分别进行权重评分计算，得到各基本块的权重评分计算结果包括：

根据所述待分析程序片段控制流图及所述已知漏洞程序片段控制流图，确定所述待分析程序片段控制流图中的基本块及其对应的多个词符，以及确定所述已知漏洞程序片段控制流图中的基本块及其对应的多个词符；

利用重要性排序算法，对所述待分析程序片段控制流图中的基本块及所述已知漏洞程序片段控制流图中的基本块分别进行权重评分计算，得到各基本块的权重评分计算结果。

可选的，在本发明一实施例中，所述根据所述权重评分计算结果，从所述待分析程序片段控制流图中的基本块及所述已知漏洞程序片段控制流图中的基本块中，分别选取预设数量的权重词符包括：

根据各基本块的权重评分计算结果，分别得到所述待分析程序片段控制流图中各词符的总权重评分以及所述已知漏洞程序片段控制流图中各词符的总权重评分；

根据总权重评分，从所述待分析程序片段控制流图中的基本块及所述已知漏洞程序片段控制流图中的基本块中，分别选取预设数量的权重词符。

可选的，在本发明一实施例中，所述将所述权重词符转换为特征矩阵包括：

利用词嵌入算法，生成各权重词符的语义向量；