[发明专利]基于参数和信息流的源代码越权检测方法及装置

摘要

本发明提供了一种基于参数和信息流的源代码越权检测方法及装置，该方法包括：对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；对语法树进行信息流分析，以获得信息流信息；根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测；输出越权高风险的参数及相关信息。由于采用信息流对参数进行越权检测，与应用平台业务逻辑紧密相关，能够对源代码的逻辑进行深入分析，所以能够减少误报率，提高检测的准确率，并且实现了基于业务逻辑的越权漏洞的检测，使应用平台的源代码在银行等业务场景广泛的行业能被安全使用。

主权项

1.一种基于参数和信息流的源代码越权检测方法，其特征在于，包括：对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；对所述语法树进行信息流分析，以获得信息流信息；根据预设的越权检测策略和所述信息流信息，对所述应用平台源代码进行越权检测；输出越权高风险的参数及相关信息；所述根据预设的越权检测策略和所述信息流信息，对所述应用平台源代码进行越权检测，具体包括：对所述信息流信息进行分析，识别出所述信息流信息中的每个参数对应的参数获取方法，判断每个参数获取方法是否存在于易发生越权方法列表中；获取所述参数获取方法存在于易发生越权方法列表中的第一参数，判断所述第一参数是否存在于易发生越权列表中；获取第一参数中存在于易发生越权列表中的第二参数及对应的交易标识码，判断所述第二参数及对应的交易标识码是否关联存在于越权处理表中；获取所述第二参数中所述第二参数及对应的交易标识码不关联存在于所述越权处理表中的第三参数及所述第三参数对应的前端页面，根据所述前端页面判断所述第三参数是否通过用户输入；获取所述第三参数中不通过用户输入的第四参数及所述第四参数对应的java处理类的信息流信息；对所述第四参数对应的java处理类的信息流信息进行分析，若所述第四参数是从前端页面传递到服务器的参数，则判断所述第四参数和参数标识是否符合预设的越权检测对应关系；获取所述第四参数和参数标识不符合预设的越权检测对应关系的第五参数及所述第五参数对应的java处理类的信息流信息；对所述第五参数对应的java处理类的信息流信息进行分析，判断所述第五参数是否和会话相关；获取所述第五参数中不与会话相关的第六参数。