[发明专利]基于调用链的JAVA漏洞检测方法及检测系统

说明书

本申请提供了一种基于调用链的JAVA漏洞检测方法及检测系统，检测方法包括：设定待检测的目标JAR包；对JAR包进行处理，生成函数调用关系图；采集已知的软件敏感调用点Sink方法，并根据漏洞类型对软件敏感调用点Sink方法进行分类，将各类软件敏感调用点Sink方法配置在相应的漏洞审计模块中；执行漏洞审计模块，在函数调用关系图的基础上利用深度优先搜索算法创建调用链；对得到的调用链进行筛选，筛选得到顶层方法能够被外部访问解析的调用链并输出。本申请利用深度优先搜索算法创建调用链，深入完整的挖掘软件系统中存在的安全漏洞，并以调用链的形式展示给审计人员，方便审计人员分析以及复现漏洞。

技术领域

本申请属于信息安全技术领域，具体涉及一种基于调用链的JAVA漏洞检测方法及检测系统。

背景技术

信息安全问题时刻都有新的变化，新的攻击方法层出不穷，黑客攻击的方向越来越侧重于利用软件本身的安全漏洞，例如反序列化漏洞、代码执行漏洞、命令执行等，这些漏洞主要由不良的软件架构和不安全的编码产生。但是由于这些漏洞隐藏在程序代码之间，通过人工审计的方式很难发现，而且容易将漏洞遗漏，因此需要对源码进行审计分析，发现未知漏洞，进而从底层保障应用系统本身的安全，从早期降低应用系统的开发成本。

发明内容

为至少在一定程度上克服相关技术中存在的问题，本申请提供了一种基于调用链的JAVA漏洞检测方法及检测系统。

根据本申请实施例的第一方面，本申请提供了一种基于调用链的JAVA漏洞检测方法，其包括以下步骤：

设定待检测的目标JAR包；

对JAR包进行处理，生成函数调用关系图；

采集已知的软件敏感调用点Sink方法，并根据漏洞类型对软件敏感调用点Sink方法进行分类，将各类软件敏感调用点Sink方法配置在相应的漏洞审计模块中；

执行漏洞审计模块，在函数调用关系图的基础上利用深度优先搜索算法创建调用链；

对得到的调用链进行筛选，筛选得到顶层方法能够被外部访问解析的调用链并输出。

如上所述的基于调用链的JAVA漏洞检测方法，所述步骤对JAR包进行处理中，采用开源框架Soot对JAR包进行处理。

如上所述的基于调用链的JAVA漏洞检测方法，所述函数调用关系图包括多个边，每个所述边存储当前方法以及所述当前方法的上层调用方法。

如上所述的基于调用链的JAVA漏洞检测方法，所述漏洞类型为反序列化时，将反序列化相关的软件敏感调用点Sink方法以静态列表的方式配置在反序列化漏洞审计模块中。

如上所述的基于调用链的JAVA漏洞检测方法，所述漏洞类型为XML外部实体注入漏洞时，将XXE相关的软件敏感调用点Sink方法配置在XXE漏洞审计模块中。

如上所述的基于调用链的JAVA漏洞检测方法，所述步骤在函数调用关系图的基础上利用深度优先搜索算法创建调用链的具体过程为：

执行漏洞审计模块，通过遍历的方式依次取出漏洞审计模块中配置的软件敏感调用点Sink方法静态列表中的软件敏感调用点Sink方法；

通过检索的方式查找目标lib库文件中是否存在某方法已调用所述软件敏感调用点Sink方法；

如果存在调用关系，则以当前软件敏感调用点Sink方法为起点，在函数调用关系图的基础上，遍历边中的软件敏感调用点Sink方法的上层调用方法；

以当前方法的上层调用方法为目标递归调用，一层一层向前追溯调用方法，得到完整的调用链。

如上所述的基于调用链的JAVA漏洞检测方法，所述步骤对得到的调用链进行筛选的具体过程为：