[发明专利]注入类漏洞检测方法、系统、终端及存储介质

说明书

本发明涉及漏洞检测技术领域，具体提供一种注入类漏洞检测方法、系统、终端及存储介质，包括：从源码中筛选能发生注入类漏洞的目标指令，并将目标指令在源码中的位置信息保存至初始预漏洞集；对初始预漏洞集中的目标指令进行数据源分析，得到目标指令的关联函数信息，将目标指令位置信息及关联函数信息保存至指令调用链集合；对指令调用链集合中的目标指令位置信息及关联函数信息进行黑白名单校验、合法性校验或指令参数化校验；将通过校验的目标指令位置信息及关联函数信息从指令调用链集合移除，剩余指令信息作为注入类漏洞定位信息输出。本发明可以降低代码扫描中对注入类漏洞检测的误报率，提高代码扫描和代码审核的质量和效率。

技术领域

本发明涉及漏洞检测技术领域，具体涉及一种注入类漏洞检测方法、系统、终端及存储介质。

背景技术

常见的注入类漏洞包括命令注入、路径篡改、SQL注入、日志注入、指令注入等。它们通过修改用户输入指令或其他受保护的系统资源，从而导致程序以攻击者的名义执行恶意指令。注入类漏洞属于高风险的漏洞，会导致信息泄露、数据篡改、系统被破坏等，给企业、客户带来严重的安全风险。

因此，为了降低存在的安全风险，会在代码投入使用之前采用安全扫描工具对其进行安全扫描。但是安全扫描工具对注入类漏洞的误报率非常高，为了确认是否是误报，需要开发人员对其进行二次的核实确认。如果注入类漏洞的误报比较多，这会及其降低开发人员的工作效率。

所以，降低代码中注入类漏洞的误报率是非常有必要的。

发明内容

针对现有技术的上述不足，本发明提供一种注入类漏洞检测方法、系统、终端及存储介质，以解决上述技术问题。

第一方面，本发明提供一种注入类漏洞检测方法，包括：

从源码中筛选能发生注入类漏洞的目标指令，并将目标指令在源码中的位置信息保存至初始预漏洞集；

对初始预漏洞集中的目标指令进行数据源分析，得到目标指令的关联函数信息，将目标指令位置信息及关联函数信息保存至指令调用链集合；

对指令调用链集合中的目标指令位置信息及关联函数信息进行黑白名单校验、合法性校验或指令参数化校验；

将通过校验的目标指令位置信息及关联函数信息从指令调用链集合移除，将指令调用链集合中未通过校验的目标指令位置信息及关联函数信息作为注入类漏洞定位信息输出。

进一步的，从源码中筛选能发生注入类漏洞的目标指令，并将目标指令在源码中的位置信息保存至初始预漏洞集，包括：

根据编码语言类型确认能发生注入类漏洞的指令类型；

根据指令类型对源码进行静态扫描及指令集分析，得到属于所述指令类型的目标指令在源码中的位置信息，所述位置信息包括路径、所属函数和行数；

如果目标指令被封装，则查找所有封装命令被调用的位置信息；

将查找到的所有目标指令位置信息保存至初始预漏洞集。

进一步的，对初始预漏洞集中的目标指令进行数据源分析，得到目标指令的关联函数信息，将目标指令位置信息及关联函数信息保存至指令调用链集合，包括：

从初始预漏洞集调取目标指令，并分析目标指令的参数是否为原始参数：

若是，则切换目标指令；

若否，则扫描所有调用所述目标指令所在函数的关联函数，关联函数存在关联参数，关联参数与目标指令的参数在一条传输链上，将关联参数的位置信息保存为目标指令的关联函数信息。

进一步的，对指令调用链集合中的目标指令位置信息及关联函数信息进行黑白名单校验、合法性校验或指令参数化校验，包括：