CN110619215B - 一种代码安全扫描方法及系统 - Google Patents

Abstract

本申请公开了一种代码安全扫描方法及系统，该方法包括：通过源码向动态代码的转换，获取源码和动态代码之间的映射关系；识别动态代码；对源码和动态代码进行扫描，获取扫描结果。该系统包括：映射关系获取模块、识别模块和扫描模块三部分。本申请在对源码进行扫描的基础上，通过增加对动态代码的扫描步骤，能够大大提高代码安全扫描的准确性和可靠性。

Description

一种代码安全扫描方法及系统

技术领域

本申请涉及软件安全技术领域，特别是涉及一种代码安全扫描方法及系统。

背景技术

代码安全扫描指的是，通过特定的规则对代码进行安全漏洞检测，发现代码中存在的安全漏洞，并提供修改建议，从而避免在后续的功能测试中发现安全漏洞时再进行修改所带来的各种风险。因此，如何进行代码安全扫描，实现在代码开发过程中即可发现其安全漏洞并及时进行修改，是个重要问题。

目前对代码安全进行扫描的方法，主要是针对当前已经存在的代码进行安全扫描。具体地，对源码进行编译，识别源码生成的中间文件，然后对该中间文件进行扫描，获取扫描结果。

然而，目前对代码安全进行扫描的方法中，由于只是对源码进行扫描，而源码并不直接生成最终的应用，最终的应用是由源码生成的动态代码编译生成的，因此，目前对代码安全进行扫描的方法中无法发现动态代码存在的安全漏洞，代码安全扫描结果的准确性和可靠性不够高。

发明内容

本申请提供了一种代码安全扫描方法及系统，以解决现有技术中代码安全扫描结果的准确性和可靠性不够高的问题。

为了解决上述技术问题，本申请实施例公开了如下技术方案：

一种代码安全扫描方法，所述方法包括：

通过源码向动态代码的转换，获取源码和动态代码之间的映射关系；

识别所述动态代码；

对所述源码和动态代码进行扫描，获取扫描结果。

可选地，所述通过源码向动态代码的转换，获取源码和动态代码之间的映射关系，包括：

对源码进行转换，生成动态代码；

保存源码和动态代码的配置参数，所述源码配置参数包括：源码的路径或者内存地址，所述动态代码的配置参数包括：动态代码的路径或者内存地址；

根据源码向动态代码的转换结果，获取源码和动态代码之间的映射关系；

保存所述映射关系。

可选地，识别所述动态代码的方法，包括：

判断所述动态代码的路径或者内存地址是否可识别；

如果是，根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件；

如果否，对源码进行编译，生成待扫描的第三中间文件。

可选地，所述根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件，包括：

根据动态代码的路径或者内存地址，获取动态代码；

判断所述动态代码是否需要编译；

如果是，根据所获取的编译命令对动态代码进行编译并进行插桩标识，生成待扫描的第一中间文件；

如果否，直接对动态代码进行插桩标识，生成待扫描的第二中间文件。

可选地，所述对源码进行编译，生成待扫描的第三中间文件，包括：

对源码进行编译，获取编译后源码目录中的文件；

比对编译前源码目录中的文件和编译后源码目录中的文件，筛选出新增文件；

对所述新增文件进行插桩标识，生成待扫描的第三中间文件。

可选地，所述方法还包括：

当扫描结果为动态代码存在漏洞时，根据所述扫描结果和映射关系，确定动态代码的漏洞在源码中的位置。

一种代码安全扫描系统，所述系统包括：

映射关系获取模块，用于通过源码向动态代码的转换，获取源码和动态代码之间的映射关系；

识别模块，用于识别所述动态代码；

扫描模块，用于对所述源码和动态代码进行扫描，获取扫描结果。

可选地，所述映射关系获取模块包括：

转换单元，用于对源码进行转换，生成动态代码；

第一保存单元，用于保存源码和动态代码的配置参数，所述源码配置参数包括：源码的路径或者内存地址，所述动态代码的配置参数包括：动态代码的路径或者内存地址；

映射关系获取单元，用于根据源码向动态代码的转换结果，获取源码和动态代码之间的映射关系；

第二保存单元，用于保存所述映射关系。

可选地，所述识别模块包括：

判断单元，用于判断所述动态代码的路径或者内存地址是否可识别；

第一中间文件和第二中间文件生成单元，用于当所述动态代码的路径或者内存地址可识别时，根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件；

第三中间文件生成单元，用于当所述动态代码的路径或者内存地址不可识别时，对源码进行编译，生成待扫描的第三中间文件。

可选地，所述系统中还包括定位模块，用于当扫描结果为动态代码存在漏洞时，根据所述扫描结果和映射关系，确定动态代码的漏洞在源码中的位置。

本申请的实施例提供的技术方案可以包括以下有益效果：

本申请提供一种代码安全扫描方法，该方法首先通过源码向动态代码的转换，获取源码和动态代码之间的映射关系，然后识别动态代码，最后对源码和动态代码进行扫描，获取扫描结果。该方法不仅对源码进行扫描，还设置有对动态代码进行识别和扫描的步骤，动态代码能够生成最终的应用，在动态代码安全的情况下，才能更好地确保最终应用的安全性。因此，本实施例中的方法能够及时发现动态代码存在的安全漏洞，有利于提高代码安全扫描结果的准确性和可靠性。

另外，本实施例在源码生成动态代码的过程中，通过记录源码和动态代码的路径或内存地址，能够对动态代码进行分析，根据不同种类的动态代码分别进行识别和编译，生成不同的中间文件，有利于进一步提到动态代码识别的准确性，进而提高代码安全扫描的准确性和可靠性。本实施例通过源码向动态代码的转换，获取源码和动态代码之间的映射关系，映射关系的建立，有利于后续准确地定位漏洞存在的位置。而且，本实施例的扫描方法还包括：在动态代码存在漏洞时，根据扫描结果和映射关系确定动态代码的漏洞在源码中的位置，相当于对扫描结果进行优化处理，通过定位动态代码在源码中的位置，能够为用户及时提供漏洞信息，有利于提高扫描效率。

本申请还提供一种代码安全扫描系统，该系统主要包括：映射关系获取模块、识别模块和扫描模块三部分。映射关系获取模块的设置，能够在代码转换过程中获取到源码和动态代码之间的映射关系，为后续进行漏洞定位提供有效依据，提高代码安全扫描的准确性和可靠性。通过识别模块，能够对动态代码进行识别和分析，针对不同种类的动态代码分别进行处理，获取不同的中间文件，有利于进一步代码安全扫描的准确性。扫描模块，通过增加对动态代码的扫描步骤，相比于现有技术，能够大大提高扫描结果的准确性，除了能够发现源码的漏洞，还能够及时发现动态代码的漏洞，从而降低代码安全风险，有利于提高代码扫描结果的可靠性。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本申请。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例所提供的一种代码安全扫描方法的流程示意图；

图2为本申请实施例所提供的一种代码安全扫描系统的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请中的技术方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

为了更好地理解本申请，下面结合附图来详细解释本申请的实施方式。

实施例一

参见图1，图1为本申请实施例所提供的一种代码安全扫描方法的流程示意图。由图1可知，本实施例中代码安全扫描方法主要包括如下步骤：

S1：通过源码向动态代码的转换，获取源码和动态代码之间的映射关系。

具体地，步骤S1又包括如下过程：

S11：对源码进行转换，生成动态代码。

本实施例中源码向动态代码的转换，包括任意两种代码之间的转换，并将源码标记为源码A，动态代码标记为动态代码B。本实施例中源码A至动态代码B的转换，采用源码A的动态代码转换脚本。本实施例中源码的动态代码转换脚本为现有技术中源码向动态代码转换的脚本，即：采用现有技术中源码转动态代码的方法，在此不再赘述。

S12：保存源码和动态代码的配置参数。

本实施例中源码配置参数包括：源码的路径或者内存地址，动态代码的配置参数包括：动态代码的路径或者内存地址。根据步骤S12可知，保存配置参数时，可以有四种情况：保存源码的路径和动态代码的路径，保存源码的路径和动态代码的内存地址，保存源码的内存地址和动态代码的路径，或者，保存源码的内存地址和动态代码的内存地址。

也就是在源码A生成动态代码B的过程中，记录并保存源码A的路径或者内存地址，以及记录并保存动态代码B的路径或者内存地址。

在进行扫描配置时，选择源码A的动态代码转换脚本，并选择需要的配置，通过该配置可以自动选择相应的转换脚本，可以将常用配置设置为默认配置。例如：源码python转动态代码C，可以通过cpython实现，在动态代码转换脚本中配置python源码以及动态代码C的路径及相关参数，保存为相应的脚本文件并保存在源码目录中。在默认配置中选择此种类似的动态代码转换，选择源码目录时，可以自动选择转换脚本并执行转换，如存在无法识别的转换脚本，也可以手动进行选择。转换后的动态代码B保存在脚本指定的路径下。

代码转换完毕并保存配置参数之后，执行步骤S13：根据源码向动态代码的转换结果，获取源码和动态代码之间的映射关系。

源码A向动态代码B的转换过程中，源码A与动态代码B之间会有一个对应关系，该对应关系包括内容和路径的对应，即映射关系。本实施例根据转换结果获取源码A和动态代码B之间的映射关系，通过该映射关系，在后续读取扫描结果时，能够在源码A中对动态代码B的漏洞进行进快速而准确的定位，有利于提高代码安全扫描的可靠性和准确性。

获取到映射关系后，执行步骤S14：保存映射关系。

可以将映射关系保存至映射文件中，本实施例中映射文件设置于步骤S12配置好的路径中。需要注意的是：本实施例中映射文件最终会保存在具体的路径中，而不是内存中，后续查询结果时，根据具体路径中的映射文件即可查询到源码和动态代码的对应关系。如果保存在内存中，在生成结果后无法读取到该映射关系。

继续参见图1可知，获取源码和动态代码之间的映射关系之后，执行步骤S2：识别动态代码。

具体地，步骤S2包括如下过程：

S21：判断动态代码的路径或者内存地址是否可识别。

动态代码的路径识别，主要是根据编译脚本文件中配置的动态代码路径，或者在执行编译脚本时自行输入的路径。动态代码的内存地址识别，由于该内存地址是在代码转换过程中生成的内存地址，通常情况下是可以被识别的，在出现内存错误或者内存不足的情况下，判定为内存地址无法识别。

通过步骤S21，按照路径或内存地址是否可识别，采用不同的方式获取中间文件，能够进一步提高大动态代码识别的准确性，从而提高代码安全扫描的可靠性和准确性。

根据步骤S21的判断结果，如果动态代码的路径或者内存地址可识别，执行步骤S22：根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件。

具体地，步骤S22又包括如下过程：

S221：根据动态代码的路径或者内存地址，获取动态代码。

以上步骤S12中已经对动态代码B的路径或内存地址进行保存，此处根据所保存的动态代码的路径或者内存地址，来获取到相应的动态代码B。

步骤S222：判断动态代码是否需要编译。

获取到相应的动态代码后，对其进行分析，根据不同的代码种类，确定当前动态代码是否需要编译后才能扫描。

如果当前动态代码需要编译，执行步骤S223：根据所获取的编译命令对动态代码进行编译并进行插桩标识，生成待扫描的第一中间文件。

本实施例中插桩标识，指的是对代码中需要扫描的部分进行标识。

如果当前动态代码不需要编译，执行步骤S224：直接对动态代码进行插桩标识，生成待扫描的第二中间文件。

如果动态代码的路径或者内存地址可识别，根据以上步骤S221-S224，可以根据动态代码的路径或者内存地址对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件，以便于后续的扫描。

如果动态代码的路径或者内存地址不可识别或者无法识别时，执行步骤S23：对源码进行编译，生成待扫描的第三中间文件。

具体地，步骤S23又包括如下过程：

S231：对源码进行编译，获取编译后源码目录中的文件。

S232：比对编译前源码目录中的文件和编译后源码目录中的文件，筛选出新增文件。

S233：对新增文件进行插桩标识，生成待扫描的第三中间文件。

本实施例通过步骤S231-S233，在动态代码的路径或者内存地址不可识别的情况下，仍然能够生成相应的中间文件，有利于提高代码安全扫描方法的适用范围，提高代码安全扫描的可靠性。

通过以上步骤S21-S23，完成对动态代码的识别和编译，并生成相应的中间文件，为后续代码扫描提供依据。该实施例中对动态代码的识别方法，能够涵盖动态代码的各种状态和类型，有利于提高代码安全扫描的适用范围以及代码安全扫描结果的可靠性。

继续参见图1可知，识别出动态代码后，执行步骤S3：对源码和动态代码进行扫描，获取扫描结果。

也就是对源码、第一中间文件、第二中间文件、第三中间文件以及动态代码进行扫描。

本实施例中对代码的扫描步骤不仅包括对源码的扫描，还包括对动态代码的扫描，因此，所获取的扫描结果更加全面和准确，有利于提高代码安全扫描的准确性和可靠性，进而降低由动态代码编译生成的最终应用的安全风险，满足用户的代码安全扫描需求。

进一步地，本实施例中代码安全扫描方法还包括步骤S4：当扫描结果为动态代码存在漏洞时，根据扫描结果和映射关系，确定动态代码的漏洞在源码中的位置。

通过步骤S3对源码和动态代码进行扫描后，获取到一扫描结果。如果扫描结果为没有漏洞，则扫描完毕。如果扫描结果为动态代码存在漏洞，则通过步骤S4能够对扫描结果进行优化，对源码和动态代码的扫描结果进行显示，能够更加准确地在源码中对动态代码的漏洞进行定位，及时为用户反馈扫描结果，有利于提高代码安全扫描的效率。

实施例二

在图1所示实施例的基础之上参见图2，图2为本申请实施例所提供的一种代码安全扫描系统的结构示意图。由图2可知，本实施例中的代码安全扫描系统，主要包括：映射关系获取模块、识别模块和扫描模块三部分。其中，映射关系获取模块用于通过源码向动态代码的转换，获取源码和动态代码之间的映射关系；识别模块用于识别该动态代码；扫描模块用于对源码和动态代码进行扫描，获取扫描结果。

其中，映射关系获取模块又包括：转换单元、第一保存单元、映射关系获取单元和第二保存单元。转换单元用于对源码进行转换，生成动态代码。第一保存单元用于保存源码和动态代码的配置参数，其中，源码配置参数包括：源码的路径或者内存地址，动态代码的配置参数包括：动态代码的路径或者内存地址。映射关系获取单元用于根据源码向动态代码的转换结果，获取源码和动态代码之间的映射关系。第二保存单元用于保存所获取的映射关系。

识别模块包括：判断单元，第一中间文件和第二中间文件生成单元，以及第三中间文件生成单元三部分。其中，判断单元用于判断动态代码的路径或者内存地址是否可识别。第一中间文件和第二中间文件生成单元，用于当动态代码的路径或者内存地址可识别时，根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件。第三中间文件生成单元，用于当动态代码的路径或者内存地址不可识别时，对源码进行编译，生成待扫描的第三中间文件。

进一步地，第一中间文件和第二中间文件生成单元又包括：动态代码获取子单元、判断子单元、第一中间文件生成子单元以及第二中间文件生成子单元。其中，动态代码获取子单元，用于根据动态代码的路径或者内存地址，获取动态代码；判断子单元，用于判断动态代码获取子单元所获取的动态代码是否需要编译；第一中间文件生成子单元，用于当动态代码获取子单元所获取的动态代码需要编译时，根据所获取的编译命令对动态代码进行编译并进行插桩标识，生成待扫描的第一中间文件；第二中间文件生成子单元，用于当动态代码获取子单元所获取的动态代码不需要编译时，直接对动态代码进行插桩标识，生成待扫描的第二中间文件。

本实施例中第三中间文件生成单元又包括：编译子单元、对比子单元以及第三中间文件生成子单元三部分。其中，编译子单元用于对源码进行编译，获取编译后源码目录中的文件；对比子单元，用于比对编译前源码目录中的文件和编译后源码目录中的文件，筛选出新增文件；第三中间文件生成子单元，用于对新增文件进行插桩标识，生成待扫描的第三中间文件。

进一步地，本实施例的代码安全扫描系统中还包括定位模块，用于当扫描结果为动态代码存在漏洞时，根据扫描结果和映射关系，确定动态代码的漏洞在源码中的位置。

定位模块的设置，能够进一步对代码安全扫描结果进行优化，通过确定动态代码的漏洞在源码中的位置并进行显示，使得用户能够快速找到漏洞，以便于及时而有针对性地进行漏洞处理，从而大大提高代码安全扫描的效率。

该实施例中代码安全扫描系统的工作原理和工作方法，在图1所示的实施例中已经详细阐述，两个实施例之间可以互相参照，在此不再赘述。

以上所述仅是本申请的具体实施方式，使本领域技术人员能够理解或实现本申请。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (6)

1.一种代码安全扫描方法，其特征在于，所述方法包括：

通过源码向动态代码的转换，获取源码和动态代码之间的映射关系；

识别所述动态代码；

对所述源码和动态代码进行扫描，获取扫描结果；

其中，所述通过源码向动态代码的转换，获取源码和动态代码之间的映射关系，包括：

对源码进行转换，生成动态代码；保存源码和动态代码的配置参数，所述源码配置参数包括：源码的路径或者内存地址，所述动态代码的配置参数包括：动态代码的路径或者内存地址；根据源码向动态代码的转换结果，获取源码和动态代码之间的映射关系；

保存所述映射关系；

所述识别所述动态代码的方法，包括：

判断所述动态代码的路径或者内存地址是否可识别；如果是，根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件；如果否，对源码进行编译，生成待扫描的第三中间文件。

2.根据权利要求1所述的一种代码安全扫描方法，其特征在于，所述根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件，包括：

根据动态代码的路径或者内存地址，获取动态代码；

判断所述动态代码是否需要编译；

如果是，根据所获取的编译命令对动态代码进行编译并进行插桩标识，生成待扫描的第一中间文件；

如果否，直接对动态代码进行插桩标识，生成待扫描的第二中间文件。

3.根据权利要求1所述的一种代码安全扫描方法，其特征在于，所述对源码进行编译，生成待扫描的第三中间文件，包括：

对源码进行编译，获取编译后源码目录中的文件；

比对编译前源码目录中的文件和编译后源码目录中的文件，筛选出新增文件；

对所述新增文件进行插桩标识，生成待扫描的第三中间文件。

4.根据权利要求1-3中任一所述的一种代码安全扫描方法，其特征在于，所述方法还包括：

当扫描结果为动态代码存在漏洞时，根据所述扫描结果和映射关系，确定动态代码的漏洞在源码中的位置。

5.一种代码安全扫描系统，其特征在于，所述系统包括：

映射关系获取模块，用于通过源码向动态代码的转换，获取源码和动态代码之间的映射关系；

识别模块，用于识别所述动态代码；

扫描模块，用于对所述源码和动态代码进行扫描，获取扫描结果；

其中，所述映射关系获取模块包括：

转换单元，用于对源码进行转换，生成动态代码；第一保存单元，用于保存源码和动态代码的配置参数，所述源码配置参数包括：源码的路径或者内存地址，所述动态代码的配置参数包括：动态代码的路径或者内存地址；映射关系获取单元，用于根据源码向动态代码的转换结果，获取源码和动态代码之间的映射关系；第二保存单元，用于保存所述映射关系；

所述识别模块包括：

判断单元，用于判断所述动态代码的路径或者内存地址是否可识别；第一中间文件和第二中间文件生成单元，用于当所述动态代码的路径或者内存地址可识别时，根据动态代码的路径或者内存地址，对动态代码进行分析，生成待扫描的第一中间文件或第二中间文件；第三中间文件生成单元，用于当所述动态代码的路径或者内存地址不可识别时，对源码进行编译，生成待扫描的第三中间文件。

6.根据权利要求5所述的一种代码安全扫描系统，其特征在于，所述系统中还包括定位模块，用于当扫描结果为动态代码存在漏洞时，根据所述扫描结果和映射关系，确定动态代码的漏洞在源码中的位置。

Images