CN107133518A - 基于参数和信息流的源代码越权检测方法及装置 - Google Patents

Abstract

本发明提供了一种基于参数和信息流的源代码越权检测方法及装置，该方法包括：对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；对语法树进行信息流分析，以获得信息流信息；根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测；输出越权高风险的参数及相关信息。由于采用信息流对参数进行越权检测，与应用平台业务逻辑紧密相关，能够对源代码的逻辑进行深入分析，所以能够减少误报率，提高检测的准确率，并且实现了基于业务逻辑的越权漏洞的检测，使应用平台的源代码在银行等业务场景广泛的行业能被安全使用。

Description

基于参数和信息流的源代码越权检测方法及装置

技术领域

本发明实施例涉及计算机技术领域，尤其涉及一种基于参数和信息流的源代码越权检测方法及装置。

背景技术

随着网络技术和应用平台的飞速发展，信息安全正面临着前所未有的挑战。信息系统与互联网或其他网络的互连，使信息系统遭受攻击的概率增加。

近年来，重大安全事件的频频发生揭示了当前信息系统安全形式的严峻性。应用平台源代码是构建信息的基础组件，应用平台源代码中安全漏洞的存在是安全事件频繁发生的根源。因此多种应用平台源代码的安全检测软件应运而生。

目前主流的应用平台源代码检测的开源软件包括：Checkstyle，FindBugs，PMD，Jtest等，商业软件包括：Foritify，CheckMarx和CodeSecure等。其中，Checkstyle是开源软件开发平台SourceForge的开源Java代码静态检测项目，通过分析应用平台源代码的多个方面进行代码规范和风格检查。如编码格式、命名约定、Javadoc、类设计等，进而约束代码编写者遵循代码编写规范。FindBugs是马里兰大学的一款Java静态检测分析开源工具，通过对软件的类文件或JAR文件的字节码和缺陷模式进行对比进而发现软件代码中的缺陷。PMD与CheckStyle相同，该工具也是开源软件开发平台SourceForge的开源Java代码静态检测工具，通过内置编码规则对Java源代码进行是否存在未使用代码、重复代码、潜在漏洞、循环体创建新对象等安全编码问题静态检测。Jtest是Parasoft公司推出的针对Java语言源代码的自动化优化和检测工具，该工具利用其内置的近千条Java编码规范对Java代码进行检测，得到程序中的编码错误。Fortify是提供应用软件安全开发工具和管理方案的厂商，为应用软件开发组织、安全审计人员和应用安全管理人员提供工具并确立最佳的应用软件安全实践和策略。Checkmarx是以色列的一家高科技软件公司，其产品CheckmarxCxSuite可识别、跟踪和修复软件源代码上的技术和逻辑方面的安全风险，以查询语言定位代码安全问题，其采用独特的词汇分析技术和CxQL专利查询技术来扫描和分析源代码中的安全漏洞和弱点。CodeSecure内建语法剖析功能无需依赖编译环境，任何人员均可利用Web操作与集成开发环境双接口，找出存在信息安全问题的源代码，并提供修补建议进行调整。

现有的应用平台源代码检测的开源软件和商业软件并没有严格的信息流机制，会产生极高的误报率，并且均主要关注常规的代码缺陷，只能检测如跨站脚本(简称：XSS)，结构化查询语言(简称：SQL)，密码管理，危险API接口等缺陷，对于应用平台源代码中的业务逻辑并不了解，不能检测基于业务逻辑而产生的越权的漏洞，使应用平台源代码在银行等业务场景广泛的行业不能被安全使用。

发明内容

本发明实施例提供一种基于参数和信息流的源代码越权检测方法及装置，该方法解决了现有技术中对源代码检测的开源软件和商业软件不能检测基于业务逻辑而产生的越权的漏洞，使应用平台源代码在银行等业务场景广泛的行业不能被安全使用的技术问题。

本发明实施例提供一种基于参数和信息流的源代码越权检测方法，包括：

对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；

对所述语法树进行信息流分析，以获得信息流信息；

根据预设的越权检测策略和所述信息流信息，对所述应用平台源代码进行越权检测；

输出越权高风险的参数及相关信息。

本发明实施例提供一种基于参数和信息流的源代码越权检测装置，包括：

源代码解析模块，用于对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；

信息流分析模块，用于对所述语法树进行信息流分析，以获得信息流信息；

越权检测模块，用于根据预设的越权检测策略和所述信息流信息，对所述应用平台源代码进行越权检测；

越权参数输出模块，用于输出越权高风险的参数及相关信息。

本发明实施例提供一种基于参数和信息流的源代码越权检测方法及装置，通过对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；对语法树进行信息流分析，以获得信息流信息；根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测；输出越权高风险的参数及相关信息。由于采用信息流对参数进行越权检测，与应用平台业务逻辑紧密相关，能够对源代码的逻辑进行深入分析，所以能够减少误报率，提高检测的准确率，并且实现了基于业务逻辑的越权漏洞的检测，使应用平台的源代码在银行等业务场景广泛的行业能被安全使用。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明基于参数和信息流的源代码越权检测方法实施例一的流程图；

图2为本发明基于参数和信息流的源代码越权检测方法实施例二的流程图；

图3为本发明基于参数和信息流的源代码越权检测方法实施例二中步骤204的流程图；

图4为本发明基于参数和信息流的源代码越权检测方法实施例二中步骤205的流程图；

图5为本发明基于参数和信息流的源代码越权检测方法实施例二中步骤205中各参数关系的示意图；

图6为本发明基于参数和信息流的源代码越权检测装置实施例一的结构示意图；

图7为本发明基于参数和信息流的源代码越权检测装置实施例二的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应当理解，本文中使用的术语“和/或”仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”或“响应于检测”。类似地，取决于语境，短语“如果确定”或“如果检测(陈述的条件或事件)”可以被解释成为“当确定时”或“响应于确定”或“当检测(陈述的条件或事件)时”或“响应于检测(陈述的条件或事件)”。

图1为本发明基于参数和信息流的源代码越权检测方法实施例一的流程图，本实施例的执行主体为基于参数和信息流的源代码越权检测装置，该基于参数和信息流的源代码越权检测装置可以安装或集成在计算机或服务器上，如图1所示，则本实施例提供的基于参数和信息流的源代码越权检测方法包括以下几个步骤。

步骤101，对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示。

其中，应用平台可以为科蓝平台或其他应用平台，本实施例中对此不做限定。

具体地，本实施例中，对应用平台的源代码进行词法、语法、语义解析，将得到的源代码信息用语法树表示，该语法树可以为抽象语法树或其他语法树，本实施例中对此不做限定。解析到的语法树中包括：包信息、类信息、方法信息、定义信息、表达式信息等。

步骤102，对语法树进行信息流分析，以获得信息流信息。

具体地，本实施例中，对语法树进行信息流分析包括对语法树进行控制流分析和信息流分析，信息流信息包括：控制流信息和数据流信息。

其中，控制流信息包括：类间关系信息、方法间关系信息以及其他控制流信息。数据流信息包括：类信息、方法信息、参数信息、常量信息、表达式信息以及其他数据流信息。

步骤103，根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测。

本实施例中，在应用平台的源代码的配置文件中关联存储有参数及与参数相关的信息，与参数相关的信息可以包括：参数对应的交易标识码、参数对应的java处理类、参数对应的前端页面等。

具体地，本实施例中，对预设的越权检测策略不做限定。如预设的越权检测策略可以为：对信息流信息进行分析，识别出信息流信息中的每个参数对应的参数获取方法，判断每个参数获取方法是否存在于易发生越权方法列表中，在易发生越权方法列表中存储了所有从前台获取参数的方法，若某参数对应的参数获取方法存在于易发生越权方法列表中，说明该参数是从前台获取的，具有越权风险，否则该参数不具有越权风险，为安全参数。

本实施例中，预设的越权检测策略还可以为：获取信息流信息中的所有参数，判断每个参数是否存在于易发生越权列表中，若某参数存在于易发生越权列表中，说明该参数具有越权风险，否则该参数不具有越权风险。其中，易发生越权参数是对应用平台的源代码进行解析，获取到信息流信息，并获取信息系流信息中所有的参数，利用越权发生原理对参数进行筛选得到的，可将易发生越权参数写入列表中，形成易发生越权参数列表。

本实施例中，预设的越权检测策略还可以为：判断每个参数及对应的交易标识码是否关联存储于越权处理表中，在越权处理表中存储有应用平台的每个交易及在该交易中会进行越权检测的参数，该越权处理表是根据实际应用预先配置的。若某参数及对应的交易标识码关联存在于越权处理表中，则说明该应用平台会对该参数进行越权检测，该参数是安全参数，否则该参数具有越权风险。

本实施例中，预设的越权检测策略还可以为：获取每个参数及对应的前端页面，根据前端页面判断该参数是否通过用户输入，若该参数为用户输入的，则是安全参数，否则该参数有越权风险。

本实施例中，预设的越权检测策略还可以为：对每个参数的对应的java处理类的信息流信息进行分析，判断每个参数是否从前端页面传递到服务器的参数，若是，则判断该参数和参数标识是否符合预设的越权检测对应关系，若符合，则应用平台会对该参数进行越权检测，该参数为安全参数，否则，该参数具有越权风险。

本实施例中，预设的越权检测策略还可以为：获取每个参数及对应的java处理类的信息流信息，并对java处理类的信息流信息进行分析，判断该参数是否和会话相关，即是否被会话对应的内容覆盖或是否与会话中对应的内容进行比较，若该参数被会话对应的内容覆盖或与会话中对应的内容进行了比较，则该参数和会话相关，则说明该应用平台会该参数进行越权检测，该参数是安全参数，否则该参数具有越权风险。

综上可知，本实施例中，预设的越权检测策略还可以为：根据上述列举的预设的越权检测策略依次对参数进行筛选，每一步中去除安全参数，筛选出有越权风险的参数，再将有越权风险的参数输入到下一步越权检测中，以对参数进行越权检测。其中的筛选顺序本实施例中不做限定。可以理解的是，本实施例中，预设的越权检测策略还可以为：对上述列举的预设的越权检测策略进行挑选，选出至少两个上述列举的预设的越权检测策略，并依次对参数进行筛选，去除安全参数，筛选出有越权风险的参数，以对易发生越权参数进行越权检测。

步骤104，输出越权高风险的参数及相关信息。

本实施例中，经过对应用平台源代码进行越权检测后，去除安全参数，输出具有越权高风险的参数及相关信息，其中具有越权高风险的参数是根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测，去除安全参数后的参数。

其中，相关信息可以包括：的配置文件的XML文本的行号、交易标识码、java处理类、前端页面等，还可以包括其他信息，本实施例中对此不做限定。

本实施例提供的应用平台源代码的越权检测方法，通过对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；对语法树进行信息流分析，以获得信息流信息；根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测；输出越权高风险的参数及相关信息。由于采用信息流对参数进行越权检测，与应用平台业务逻辑紧密相关，能够对源代码的逻辑进行深入分析，所以能够减少误报率，提高检测的准确率，并且实现了基于业务逻辑的越权漏洞的检测，使应用平台的源代码在银行等业务场景广泛的行业能被安全使用。

图2为本发明基于参数和信息流的源代码越权检测方法实施例二的流程图，如图2所示，本实施例提供的基于参数和信息流的源代码越权检测方法，是在本发明基于参数和信息流的源代码越权检测方法实施例一的基础上，对步骤102-步骤104的进一步细化，并且包括了对基于参数和信息流的源代码进行预处理的步骤，则本实施例提供的基于参数和信息流的源代码越权检测方法包括以下步骤。

步骤201，获取应用平台源代码。

进一步地，本实施例中，可采用用户通过上传设备上传的方式获取待检测的应用平台源代码，也可从预设存储区域获取待检测的应用平台源代码，本实施例中对获取应用平台源代码的方式不做限定。

步骤202，对应用平台源代码进行预处理。

进一步地，本实施例中，解析应用平台的源代码中引入的外部文件、宏信息，将外部文件、宏信息替换到源代码中相应的位置。

步骤203，对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示。

本实施例中，步骤203的实现方式与本发明应用平台源代码的越权检测方法实施例一中的步骤101的实现方式相同，在此不再一一赘述。

步骤204，对语法树进行信息流分析，以获得信息流信息。

进一步地，本实施例中，步骤204，对语法树进行信息流分析，以获得信息流信息具体包括以下步骤：

步骤204a，对语法树进行控制流分析，以获得控制流信息。

其中，控制流信息至少包括：类间关系信息、方法间关系信息。

步骤204b，对语法树进行数据流分析，以获得数据流信息。

其中，数据流信息至少包括：类信息、方法信息、参数信息、常量信息、表达式信息。

可以理解的是，信息流信息包括：控制流信息和数据流信息。

步骤205，根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测。

进一步地，本实施例中，步骤205，根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测具体包括以下步骤。

步骤205a，对信息流信息进行分析，识别出信息流信息中的每个参数对应的参数获取方法，判断每个参数获取方法是否存在于易发生越权方法列表中，若否，则结束，否则，执行步骤205b。

本实施例中，应用平台的配置文件中关联存储有源代码中所有参数的参数名、参数所属交易标识码、参数对应的java处理类、参数对应的前端页面等信息。

进一步地，本实施例中，在易发生越权方法列表中存储有所有从前台获取参数的方法，对信息流信息进行分析，解析出所有参数及每个参数对应的参数获取方法，判断每个参数的参数获取方法是否存在于易发生越权方法列表中，若某参数的参数获取方法存在于易发生越权方法列表中，则说明该参数是从前台获取的，具有越权风险，需要进一步进行越权检测，否则该参数为安全参数。

步骤205b，获取参数获取方法存在于易发生越权方法列表中的第一参数，判断第一参数是否存在于易发生越权列表中，若是，则执行步骤205c，否则，则结束。

其中，图5为本发明基于参数和信息流的源代码越权检测方法实施例二中步骤205中各参数关系的示意图，如图5所示，第一参数为在所有参数中参数获取方法存在于易发生越权方法列表中的参数。在所有参数中参数获取方法不存在于易发生越权方法列表中的参数为安全参数。

其中，易发生越权参数列表中存储有所有易发生越权的参数，易发生越权的参数是对应用平台的源代码进行解析，获取到信息流信息，并获取信息系流信息中所有的参数，利用越权发生原理对参数进行筛选得到的。

进一步地，本实施例中，判断第一参数是否存在于易发生越权参数列表中，若第一参数存在于易发生越权参数列表中，则说明该参数具有越权风险，需要进一步进行越权检测，否则，该参数为安全参数。

步骤205c，获取第一参数中存在于易发生越权列表中的第二参数及对应的交易标识码，判断第二参数及对应的交易标识码是否关联存在于越权处理表中，若是，则结束，否则，执行步骤205d。

其中，如图5所示，第二参数为第一参数中存在于易发生越权列表中的参数，第一参数中不存在于易发生越权列表中的参数为安全参数。

本实施例中，越权处理表中关联存储有应用平台的每个交易及在该交易中会进行越权检测的参数，该越权处理表是根据实际应用预先配置的。关联存储的方式如可以为“A1.a”，其中“.”之前的文字为交易标识码，“.”之后的文字为会进行越权检测的参数。还可以为其他关联存储方式，本实施例中对此不做限定。

具体地，本实施例中，从第一参数中获取具有越权风险的第二参数进一步进行越权检测，由于配置文件中关联存储有每个参数及对应交易标识码，所以通过配置文件，获取每个第二参数及对应的交易标识码，判断第二参数及对应的交易标识码是否关联存在于越权处理表中，若是，则说明应用平台会对该参数进行越权检测，该第二参数是安全参数，否则，说明该第二参数具有越权风险，需要进一步进行越权检测。

步骤205d，获取第二参数中第二参数及对应的交易标识码不关联存在于越权处理表中的第三参数及第三参数对应的前端页面，根据前端页面判断第三参数是否通过用户输入，若是，则结束，否则，执行步骤205e。

其中，如图5所示，第三参数为在第二参数中第二参数及对应的交易标识码不关联存在于越权处理表中的参数，在第二参数中第二参数及对应的交易标识码关联存在于越权处理表中的参数为安全参数。

可以理解的是，根据配置文件获取第五参数对应的前端页面。前端页面可为JSP/HTML页面。

进一步地，本实施例中，根据前端页面中参数的输入格式判断第三参数是否通过用户输入，若输入格式为.txt格式，则说明第三参数是通过用户输入，否则不是通过用户输入。通过用户输入的第三参数为安全参数，否则，将第三参数具有越权风险，需要进一步进行越权检测。

步骤205e，获取第三参数中不通过用户输入的第四参数及第四参数对应的java处理类的信息流信息。

其中，如图5所示，第四参数为在第三参数中不通过用户输入的参数，在第三参数中通过用户输入的参数为安全参数。

具体地，本实施例中，由于配置文件中关联存储有每个参数及对应的java处理类，所以通过配置文件，获取第四参数及第四参数对应的java处理类的信息流信息。

步骤205f，对第四参数对应的java处理类的信息流信息进行分析，若第四参数是从前端页面传递到服务器的参数，则判断第四参数和参数标识是否符合预设的越权检测对应关系，若是，则结束，否则，执行步骤205g。

进一步地，本实施例中，首先通过对java处理类的信息流信息进行分析判断第四参数是否从前端页面传递到服务器的参数，若是，则判断该第四参数和参数标识是否符合预设的越权检测对应关系，若第四参数和参数标识符合预设的越权检测对应关系，则说明应用平台会对该第四参数进行越权检测，该第四参数为安全参数，否则，说明应用平台不会对该第四参数进行越权检测，该第四参数具有越权风险。

其中，第四参数和参数标识的预设的越权检测对应关系的形式本实施例中不做限定。如若应用平台为屹通平台，则参数标识可表示为“checkType”“checkType”取值为1-6的整数。“checkType”取不同的值，代表“checkType”与不同的第四参数具有预设的越权检测对应关系，如“checkType＝1”，代表第四参数m与“checkType”具有预设的越权检测对应关系，屹通平台会进行越权检测，“checkType＝2”，代表第四参数n与“checkType”具有预设的越权检测对应关系，屹通平台会进行越权检测，具体的越权检测方法为：将该第四参数与登录用户会话中的对应参数进行对比，来检测该第四参数是否发生越权。

步骤205g，获取第四参数和参数标识不符合预设的越权检测对应关系的第五参数及第五参数对应的java处理类的信息流信息。

其中，第五参数为在第四参数中第四参数和参数标识不符合预设的越权检测对应关系的参数，在第四参数中第四参数和参数标识符合预设的越权检测对应关系的参数为安全参数。

步骤205h，对第五参数对应的java处理类的信息流信息进行分析，判断第五参数是否和会话相关，若是，则结束，否则，执行步骤205i。

进一步地，本实施例中，对第五参数对应的java处理类的信息流信息进一步进行分析，此次判断第五参数是否和会话相关。若第五参数来自于会话中对应内容的覆盖或者第五参数与会话中对应的内容进行比较，则说明第五参数与会话相关，与会话相关的第五参数为进行越权检测的参数，为安全参数，否则，该第五参数具有越权风险。

步骤205i，获取第五参数中不与会话相关的第六参数。

其中，如图5所示，第六参数为第五参数中不与会话相关的参数，第五参数中与会话相关的参数为安全参数。

可以理解的是，经过上述步骤205中对具有越权风险的参数一步步的筛选，选出的第六参数为具有高风险的参数。

步骤206，输出越权高风险的参数及相关信息。

进一步地，本实施例中，步骤206中输出越权高风险的参数及相关信息，具体包括：

输出越权高风险的参数名及越权高风险的参数对应的配置文件的XML文本的行号、交易标识码、java处理类、前端页面；

其中，越权高风险的参数为第六参数。

本实施例提供的应用平台源代码的越权检测方法，根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测具体包括：对信息流信息进行分析，识别出信息流信息中的每个参数对应的参数获取方法，判断每个参数获取方法是否存在于易发生越权方法列表中；获取参数获取方法存在于易发生越权方法列表中的第一参数，判断第一参数是否存在于易发生越权列表中；获取第一参数中存在于易发生越权列表中的第二参数及对应的交易标识码，判断第二参数及对应的交易标识码是否关联存在于越权处理表中；获取第二参数中第二参数及对应的交易标识码不关联存在于越权处理表中的第三参数及第三参数对应的前端页面，根据前端页面判断第三参数是否通过用户输入；获取第三参数中不通过用户输入的第四参数及第四参数对应的java处理类的信息流信息；对第四参数对应的java处理类的信息流信息进行分析，若第四参数是从前端页面传递到服务器的参数，则判断第四参数和参数标识是否符合预设的越权检测对应关系；获取第四参数和参数标识不符合预设的越权检测对应关系的第五参数及第五参数对应的java处理类的信息流信息；对第五参数对应的java处理类的信息流信息进行分析，判断第五参数是否和会话相关；获取第五参数中不与会话相关的第六参数。经过六步的越权检测，能够使检测出的越权高风险参数更加准确，进一步减少误报率，提高检测的准确率，并且对易发生越权参数进行大范围到小范围的筛选，有效提高了越权检测的效率。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图6为本发明基于参数和信息流的源代码越权检测装置实施例一的结构示意图，如图6所示，本实施例提供的基于参数和信息流的源代码越权检测装置包括：源代码解析模块61，信息流分析模块62，越权检测模块63和越权参数输出模块64。

其中，源代码解析模块61，用于对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示。信息流分析模块62，用于对语法树进行信息流分析，以获得信息流信息。越权检测模块63，用于根据预设的越权检测策略和信息流信息，对应用平台源代码进行越权检测。越权参数输出模块64，用于输出越权高风险的参数及相关信息。

本实施例提供的基于参数和信息流的源代码越权检测装置可以执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

图7为本发明基于参数和信息流的源代码越权检测装置实施例二的结构示意图，如图7所示，本实施例提供的基于参数和信息流的源代码越权检测装置在本发明基于参数和信息流的源代码越权检测装置实施例一的基础上，进一步地，还包括：源代码获取模块71和源代码预处理模块72。

进一步地，信息流分析模块62，具体用于：对语法树进行控制流分析，以获得控制流信息，控制流信息至少包括：类间关系信息、方法间关系信息；数据流分析模块，用于对语法树进行数据流分析，以获得数据流信息，数据流信息至少包括：类信息、方法信息、参数信息、常量信息、表达式信息；其中，信息流信息包括：控制流信息和数据流信息。

优选地，越权检测模块63，具体用于：对信息流信息进行分析，识别出信息流信息中的每个参数对应的参数获取方法，判断每个参数获取方法是否存在于易发生越权方法列表中；获取参数获取方法存在于易发生越权方法列表中的第一参数，判断第一参数是否存在于易发生越权列表中；获取第一参数中存在于易发生越权列表中的第二参数及对应的交易标识码，判断第二参数及对应的交易标识码是否关联存在于越权处理表中；获取第二参数中第二参数及对应的交易标识码不关联存在于越权处理表中的第三参数及第三参数对应的前端页面，根据前端页面判断第三参数是否通过用户输入；获取第三参数中不通过用户输入的第四参数及第四参数对应的java处理类的信息流信息；对第四参数对应的java处理类的信息流信息进行分析，若第四参数是从前端页面传递到服务器的参数，则判断第四参数和参数标识是否符合预设的越权检测对应关系；获取第四参数和参数标识不符合预设的越权检测对应关系的第五参数及第五参数对应的java处理类的信息流信息；对第五参数对应的java处理类的信息流信息进行分析，判断第五参数是否和会话相关；获取第五参数中不与会话相关的第六参数。

进一步地，越权参数输出模块64，具体用于：输出越权高风险的参数名及越权高风险的参数对应的配置文件的XML文本的行号、交易标识码、java处理类、前端页面；其中，越权高风险的参数为第六参数。

进一步地，源代码获取模块71，用于获取应用平台源代码。源代码预处理模块72，用于对应用平台源代码进行预处理。

本实施例提供的应用平台源代码的越权检测装置可以执行图2、图3和图4所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (10)

1.一种基于参数和信息流的源代码越权检测方法，其特征在于，包括：

对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；

对所述语法树进行信息流分析，以获得信息流信息；

根据预设的越权检测策略和所述信息流信息，对所述应用平台源代码进行越权检测；

输出越权高风险的参数及相关信息。

2.根据权利要求1所述的方法，其特征在于，所述对所述语法树进行信息流分析，以获得信息流信息，具体包括：

对所述语法树进行控制流分析，以获得控制流信息，所述控制流信息至少包括：类间关系信息、方法间关系信息；

对所述语法树进行数据流分析，以获得数据流信息，所述数据流信息至少包括：类信息、方法信息、参数信息、常量信息、表达式信息；

其中，所述信息流信息包括：控制流信息和数据流信息。

3.根据权利要求2所述的方法，其特征在于，所述根据预设的越权检测策略和所述信息流信息，对所述应用平台源代码进行越权检测，具体包括：

对所述信息流信息进行分析，识别出所述信息流信息中的每个参数对应的参数获取方法，判断每个参数获取方法是否存在于易发生越权方法列表中；

获取所述参数获取方法存在于易发生越权方法列表中的第一参数，判断所述第一参数是否存在于易发生越权列表中；

获取第一参数中存在于易发生越权列表中的第二参数及对应的交易标识码，判断所述第二参数及对应的交易标识码是否关联存在于越权处理表中；

获取所述第二参数中所述第二参数及对应的交易标识码不关联存在于所述越权处理表中的第三参数及所述第三参数对应的前端页面，根据所述前端页面判断所述第三参数是否通过用户输入；

获取所述第三参数中不通过用户输入的第四参数及所述第四参数对应的java处理类的信息流信息；

对所述第四参数对应的java处理类的信息流信息进行分析，若所述第四参数是从前端页面传递到服务器的参数，则判断所述第四参数和参数标识是否符合预设的越权检测对应关系；

获取所述第四参数和参数标识不符合预设的越权检测对应关系的第五参数及所述第五参数对应的java处理类的信息流信息；

对所述第五参数对应的java处理类的信息流信息进行分析，判断所述第五参数是否和会话相关；

获取所述第五参数中不与会话相关的第六参数。

4.根据权利要求3所述的方法，其特征在于，所述输出越权高风险的参数及相关信息，具体包括：

输出越权高风险的参数名及越权高风险的参数对应的配置文件的XML文本的行号、交易标识码、java处理类、前端页面；

其中，所述越权高风险的参数为第六参数。

5.根据权利要求4所述的方法，其特征在于，所述对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示之前，还包括：

获取应用平台源代码；

对所述应用平台源代码进行预处理。

6.一种基于参数和信息流的源代码越权检测装置，其特征在于，包括：

源代码解析模块，用于对应用平台源代码进行解析，并将解析到的源代码信息采用语法树表示；

信息流分析模块，用于对所述语法树进行信息流分析，以获得信息流信息；

越权检测模块，用于根据预设的越权检测策略和所述信息流信息，对所述应用平台源代码进行越权检测；

越权参数输出模块，用于输出越权高风险的参数及相关信息。

7.根据权利要求6所述的装置，其特征在于，所述信息流分析模块，具体用于：

对所述语法树进行控制流分析，以获得控制流信息，所述控制流信息至少包括：类间关系信息、方法间关系信息；数据流分析模块，用于对所述语法树进行数据流分析，以获得数据流信息，所述数据流信息至少包括：类信息、方法信息、参数信息、常量信息、表达式信息；其中，所述信息流信息包括：控制流信息和数据流信息。

8.根据权利要求7所述的装置，其特征在于，所述越权检测模块，具体用于：

对所述信息流信息进行分析，识别出所述信息流信息中的每个参数对应的参数获取方法，判断每个参数获取方法是否存在于易发生越权方法列表中；获取所述参数获取方法存在于易发生越权方法列表中的第一参数，判断所述第一参数是否存在于易发生越权列表中；获取第一参数中存在于易发生越权列表中的第二参数及对应的交易标识码，判断所述第二参数及对应的交易标识码是否关联存在于越权处理表中；获取所述第二参数中所述第二参数及对应的交易标识码不关联存在于所述越权处理表中的第三参数及所述第三参数对应的前端页面，根据所述前端页面判断所述第三参数是否通过用户输入；获取所述第三参数中不通过用户输入的第四参数及所述第四参数对应的java处理类的信息流信息；对所述第四参数对应的java处理类的信息流信息进行分析，若所述第四参数是从前端页面传递到服务器的参数，则判断所述第四参数和参数标识是否符合预设的越权检测对应关系；获取所述第四参数和参数标识不符合预设的越权检测对应关系的第五参数及所述第五参数对应的java处理类的信息流信息；对所述第五参数对应的java处理类的信息流信息进行分析，判断所述第五参数是否和会话相关；获取所述第五参数中不与会话相关的第六参数。

9.根据权利要求8所述的装置，其特征在于，所述越权参数输出模块，具体用于：

输出越权高风险的参数名及越权高风险的参数对应的配置文件的XML文本的行号、交易标识码、java处理类、前端页面；其中，所述越权高风险的参数为第六参数。

10.根据权利要求6-9任一项所述的装置，其特征在于，还包括：

源代码获取模块，用于获取应用平台源代码；

源代码预处理模块，用于对所述应用平台源代码进行预处理。