[发明专利]基于补丁比对和污点分析的漏洞检测方法、设备及介质

说明书

本发明公开了一种基于补丁比对和污点分析的漏洞检测方法、设备及介质，其中漏洞检测方法包括：漏洞代码片段获取：获取与漏洞类型相关的漏洞补丁信息，通过对漏洞补丁文件进行分析获取漏洞代码片段；污点分析：对漏洞代码片段进行污点分析确定污点数据的来源source点和漏洞触发位置的sink点，并对从source点到sink点的污点路径进行污点传播分析，生成相应的漏洞规则，并加入到漏洞规则库中；漏洞检测：利用漏洞规则库中的漏洞规则，对目标代码项目编译后的代码工程进行扫描，匹配到与其类型相匹配的漏洞，并输出漏洞代码位置和路径。本发明可自动判断并定位目标软件代码中的漏洞，极大减少漏洞检测中的人工介入。

技术领域

本发明涉及漏洞检测技术领域，尤其涉及一种基于补丁比对和污点分析的漏洞检测方法、设备及介质。

背景技术

软件漏洞是存在于系统或者应用软件中，可导致攻击者在未授权情况下访问或破坏系统的安全缺陷。软件漏洞形成的原因具有多样性，包括开发人员疏忽及水平受限、编译器安全缺陷、程序功能逻辑复杂、程序测试不充分等因素。新的信息环境下，软件规模越来越大，软件复杂度越来越高，涉及代码规模、功能组成、多线程并发、数据资源共享等复杂机制。

同时，现有的一些针对软件源代码的漏洞检测工具往往具有较高的误报率和漏报率。即使是经验丰富的安全分析员也需要耗费大量的时间去确认每一个漏洞相关信息，以致严重阻碍了软件源代码漏洞检测的效率。

手动漏洞分析方法主要存在人工经验依赖度强且难以满足软件规模需求等问题，尤其是随着软件规模的不断提升，该过程往往需要配合程序分析工具进行。而诸如抽象语法树(AST)、控制流图(CFG)、程序依赖图(PDG)等传统源代码分析工具的效果较为初级，直接用于表征漏洞模式效果不佳。随着程序分析技术的不断发展，尤其是污点分析技术不断成热，当前已有多个基于污点分析进行漏洞检测的研究及成果，如Avgerinos等提出的AEG,Shih-Kun Huang提出的CRAX、Shellphish提出的angr等。但这些方法都存在人工干预过多、误报率高、不能精确定位等问题。

发明内容

为了解决上述问题，本发明提出一种基于补丁比对和污点分析的漏洞检测方法、设备及介质，通过提取漏洞代码信息中污点数据的注入点(source)到关键的程序敏感点(sink)之间的数据流切片，将软件漏洞补丁信息和污点分析方法相结合生产漏洞规则，利用漏洞规则匹配检测出软件源代码中的漏洞点位。

本发明采用的技术方案如下：

一种基于补丁比对和污点分析的漏洞检测方法，包括：

漏洞代码片段获取：获取与漏洞类型相关的漏洞补丁信息，通过对漏洞补丁文件进行分析获取漏洞代码片段；

污点分析：对漏洞代码片段进行污点分析确定污点数据的来源source点和漏洞触发位置的sink点，并对从source点到sink点的污点路径进行污点传播分析，生成相应的漏洞规则，并加入到漏洞规则库中；

漏洞检测：利用漏洞规则库中的漏洞规则，对目标代码项目编译后的代码工程进行扫描，匹配到与其类型相匹配的漏洞，并输出漏洞代码位置和路径。

进一步地，针对公开漏洞库、代码仓库以及漏洞代码管理平台，分别采用不同的自动化方法来采集漏洞补丁信息：

针对代码仓库，先后通过commit id分析、文本过滤筛选和命令行调用引擎获取漏洞补丁文件；

针对公开漏洞库，先后通过提取reference链接、url过滤筛选和爬虫引擎获取漏洞补丁文件；

针对漏洞代码管理平台，先后通过提取reference链接、url过滤筛选和爬虫引擎获取漏洞补丁文件，或直接通过爬虫引擎获取漏洞补丁文件。