CN111666218B - 代码审计方法、装置、电子设备及介质 - Google Patents

代码审计方法、装置、电子设备及介质 Download PDF

Info

Publication number
CN111666218B
CN111666218B CN202010513251.5A CN202010513251A CN111666218B CN 111666218 B CN111666218 B CN 111666218B CN 202010513251 A CN202010513251 A CN 202010513251A CN 111666218 B CN111666218 B CN 111666218B
Authority
CN
China
Prior art keywords
function
determining
information
potential
vulnerability
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010513251.5A
Other languages
English (en)
Other versions
CN111666218A (zh
Inventor
关舒文
林培胜
浮瑞娟
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Douyin Vision Co Ltd
Original Assignee
Douyin Vision Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Douyin Vision Co Ltd filed Critical Douyin Vision Co Ltd
Priority to CN202010513251.5A priority Critical patent/CN111666218B/zh
Publication of CN111666218A publication Critical patent/CN111666218A/zh
Application granted granted Critical
Publication of CN111666218B publication Critical patent/CN111666218B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3604—Software analysis for verifying properties of programs
    • G06F11/3608—Software analysis for verifying properties of programs using formal methods, e.g. model checking, abstract interpretation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F8/00—Arrangements for software engineering
    • G06F8/40—Transformation of program code
    • G06F8/41—Compilation
    • G06F8/42—Syntactic analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/54—Interprogram communication
    • G06F9/547—Remote procedure calls [RPC]; Web services
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Stored Programmes (AREA)

Abstract

本公开提供了一种代码审计方法、装置、电子设备及介质。该方法包括：基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数，获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项，基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息。本公开实现了降低误报率，提高开发效率。

Description

代码审计方法、装置、电子设备及介质
技术领域
本公开涉及软件开发技术领域，具体而言，本公开涉及一种代码审计方法、装置、电子设备及介质。
背景技术
随着互联网技术的不断发展，信息化已经融入人们生活的方方面面，越来越多的人参与到软件开发技术行业中，参与到编程工作中。在软件开发的过程中，可能引入各式各样的安全漏洞，有些安全漏洞由于较为隐蔽，采用传统黑盒测试难以发现，因此，代码审计变得越来越重要。
现有技术中，代码审计的方式主要有以下两种。第一种是人工进行代码审计的方式，由于通常情况下，应用程序对应的代码体量较大，且应用程序的数量较多，人工进行代码审计的方式会浪费大量人力资源与时间资源，降低软件开发效率；第二种是基于正则匹配进行代码审计的方式，具体地，针对应用程序对应的代码，利用正则表达式进行匹配，将匹配结果作为代码审计的结果。这种基于正则匹配进行代码审计的方式，正则表达式的编写极大地依赖于现有经验，导致代码审计的结果中误报率较高，降低了软件开发效率。
发明内容
本公开提供了一种代码审计方法、装置、电子设备及介质，可以解决以上至少一种技术问题。
第一方面，提供了一种代码审计方法，该方法包括：
基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数；
获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项；
基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息。
第二方面，提供了一种代码审计装置，该装置包括：
第一确定模块，用于基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以目标函数的被调用函数；
获取模块，用于获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项；
第二确定模块，用于基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息。
第三方面，提供了一种电子设备，该电子设备包括：
一个或多个处理器；
存储器；
一个或多个应用程序，其中一个或多个应用程序被存储在存储器中并被配置为由一个或多个处理器执行，一个或多个程序配置用于：执行根据第一方面所示的代码审计方法对应的操作。
第四方面，提供了一种计算机可读介质，其上存储有计算机程序，该程序被处理器执行时实现第一方面所示的代码审计方法。
本公开提供的技术方案带来的有益效果是：
本公开提供了一种代码审计方法、装置、电子设备及介质，与现有技术相比，本公开通过基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数，获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项，基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息，漏洞信息包括目标污点变量以及目标危险函数中的至少一项，实现了基于函数调用图和规则文件中的特征信息确定漏洞信息，降低对现有经验的依赖，减少人力资源与时间资源的消耗，从而降低误报率，提高开发效率。
附图说明
结合附图并参考以下具体实施方式，本公开各实施例的上述和其他特征、优点及方面将变得更加明显。贯穿附图中，相同或相似的附图标记表示相同或相似的元素。应当理解附图是示意性的，原件和元素不一定按照比例绘制。
图1为本公开实施例提供的一种代码审计方法的流程示意图；
图2为本公开实施例提供的一种函数调用图的示意图；
图3为本公开实施例提供的一种代码审计方法的流程示意图；
图4为本公开实施例提供的一种代码审计装置的结构示意图；
图5为本公开实施例提供的一种电子设备的结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的实施例。虽然附图中显示了本公开的某些实施例，然而应当理解的是，本公开可以通过各种形式来实现，而且不应该被解释为限于这里阐述的实施例，相反提供这些实施例是为了更加透彻和完整地理解本公开。应当理解的是，本公开的附图及实施例仅用于示例性作用，并非用于限制本公开的保护范围。
应当理解，本公开的方法实施方式中记载的各个步骤可以按照不同的顺序执行，和/或并行执行。此外，方法实施方式可以包括附加的步骤和/或省略执行示出的步骤。本公开的范围在此方面不受限制。
本文使用的术语“包括”及其变形是开放性包括，即“包括但不限于”。术语“基于”是“至少部分地基于”。术语“一个实施例”表示“至少一个实施例”；术语“另一实施例”表示“至少一个另外的实施例”；术语“一些实施例”表示“至少一些实施例”。其他术语的相关定义将在下文描述中给出。
需要注意，本公开中提及的“第一”、“第二”等概念仅用于对装置、模块或单元进行区分，并非用于限定这些装置、模块或单元一定为不同的装置、模块或单元，也并非用于限定这些装置、模块或单元所执行的功能的顺序或者相互依存关系。
需要注意，本公开中提及的“一个”、“多个”的修饰是示意性而非限制性的，本领域技术人员应当理解，除非在上下文另有明确指出，否则应该理解为“一个或多个”。
本公开实施方式中的多个装置之间所交互的消息或者信息的名称仅用于说明性的目的，而并不是用于对这些消息或信息的范围进行限制。
下面以具体地实施例对本公开的技术方案以及本公开的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本公开的实施例进行描述。
本公开实施例中提供了一种代码审计方法，该方法可以由任一电子设备执行，如可以由终端设备执行，也可以由服务器执行，如图1所示，图1示出了本公开实施例的一种代理审计方法的流程示意图。该方法包括：
步骤S101，基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图。
其中，函数调用图中包括目标函数以及目标函数的被调用函数。
对于本公开实施例，目标应用程序对应至少一个源代码文件，任一源代码文件中可以包括至少一个函数。在本公开实施例中，目标函数可以对应至少一个被调用函数，目标函数与任一个被调用函数可以在同一个源代码文件中，也可以在不同的源代码文件中，在本公开实施例中不做限定。
步骤S102，获取规则文件。
其中，规则文件中包括漏洞特征信息，漏洞特征信息可以包括污点变量（Source）特征信息和危险函数（Sink）特征信息中的至少一项。
对于本公开实施例，技术人员可预配置规则文件并将该规则文件存储至指定的存储空间，如本公开方法的执行主体可以为终端设备，规则文件可以存储在云端服务器。其中，终端设备可以从上述指定存储空间中获取到规则文件，按照此方式，可以实现规则文件的远端配置，便于目标应用程序的优化。
需要说明的是，规则文件中的污点变量特征信息中可以包括污点变量类型信息以及变量名称等，其中，污点变量类型信息可以为Gin框架对应的类型信息，也可以为Beego框架对应的类型信息，还可以为其他远程过程调用（Remote Procedure Call，RPC）框架对应的类型信息，在本公开实施例中不做限定。
需要说明的是，规则文件中的危险函数特征信息中可以包括危险函数类型信息以及函数名称等，其中，危险函数类型信息可以为Gin框架对应的类型信息，也可以为Beego框架对应的类型信息，还可以为其他RPC框架对应的类型信息，在本公开实施例中不做限定。
其中，Gin框架为采用Golang语言编写的Web框架，Beego框架为采用Golang语言编写的Http框架，RPC框架包括Gin框架以及Beego框架。
步骤S103，基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息。
其中，漏洞信息包括目标污点变量以及目标危险函数中的至少一项。
对于本公开实施例，可以基于污点变量特征信息以及函数调用图确定目标污点变量；也可以基于危险函数特征信息以及函数调用图确定目标危险函数；还可以基于污点变量特征信息、危险函数特征信息以及函数调用图确定目标污点变量以及目标危险函数。
本公开实施例提供了一种代码审计方法，与现有技术相比，本公开实施例通过基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数，获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项，基于漏洞特征信息以及函数调用图，确定漏洞信息，漏洞信息包括目标污点变量以及目标危险函数中的至少一项，实现了基于函数调用图和规则文件中的特征信息确定漏洞信息，降低对现有经验的依赖，减少人力资源与时间资源的消耗，从而降低误报率，提高开发效率。
本公开实施例的另一种可能实现方式，规则文件中还可以包括路由特征信息。
其中，步骤S101具体可以包括：对目标应用程序的源代码文件进行编译处理，得到编译产物；基于编译产物以及路由特征信息确定目标函数；基于目标函数以及编译产物确定函数调用图。
需要说明的是，可以通过获取目标应用程序对应的存储路径，来获取目标应用程序的至少一个源代码文件。
对于本公开实施例，规则文件中的路由特征信息中包括路由类型信息以及函数名称，其中，路由类型信息可以为Gin框架对应的类型信息，也可以为Beego框架对应的类型信息，还可以为其他RPC框架对应的类型信息，在本公开实施例中不做限定。例如，路由特征信息可以为“gin.router+POST”，其中，“gin.router”为Gin框架中用于注册路由的路由类型信息，“POST”为注册路由的函数名称。
对于本公开实施例，可以利用编译器对目标应用程序的至少一个源代码文件进行编译处理，得到编译产物。其中，编译器可以为Esprima、Acorn以及Traceur中的至少一项，Esprima、Acorn以及Traceur均为JavaScript 的编译器，编译器还可以为其他编译器，在本公开实施例中不做限定。
其中，通过路由特征信息可以识别不同开发框架的路由特征，从而准确地确定目标函数，精准定位用户可控的范围，减少误报，在此基础上，可以基于目标函数以及编译产物生成函数调用图，便于分析，减少分析时间。
具体地，编译产物包括源代码文件对应的抽象语法树、以及源代码文件对应的抽象语法树中每个节点的类型信息。其中，编译产物还可以包括其他信息，如包信息等，在此不做限定。
其中，基于编译产物以及路由特征信息确定目标函数，具体可以包括：确定源代码文件对应的抽象语法树中包含的函数调用结构；基于函数调用结构中的各个节点、以及源代码文件对应的抽象语法树中每个节点的类型信息，确定函数调用结构中各个节点对应的路由解析结果；基于函数调用结构中各个节点对应的路由解析结果、以及路由特征信息，确定目标函数。
对于本公开实施例，可以遍历各个源代码文件对应的抽象语法树（AbstractSyntax Tree，AST），确定函数调用结构，例如，可以通过识别任一源代码文件对应的抽象语法树中函数调用结构对应的关键字，以确定函数调用结构，如，针对如下抽象语法树：
X: *ast.CallExpr {
Fun: *ast.SelectorExpr {
X: *ast.Ident {
NamePos: foo:10:7
Name: "r"
Obj: *(obj @ 60)
}
Sel: *ast.Ident {
NamePos: foo:10:9
Name: "post"
Obj: nil
}
}
Lparen: foo:10:13
Args: []ast.Expr (len = 2) {
0: *ast.BasicLit {
ValuePos: foo:10:14
Kind: STRING
Value: "\"/article\""
}
1: *ast.SelectorExpr {
X: *ast.Ident {
NamePos: foo:10:25
Name: "v1"
Obj: nil
}
Sel: *ast.Ident {
NamePos: foo:10:28
Name: "addarticle"
Obj: nil
}
}
}
}
其中，“*ast.CallExpr”为抽象语法树中函数调用结构对应的关键字，可以通过识别各个源代码文件对应的抽象语法树中的关键字“*ast.CallExpr”，确定各源代码文件对应的抽象语法树中的函数调用结构。
进一步地，可以基于函数调用结构中的各个节点以及各个源代码文件对应的抽象语法树中每个节点的类型信息，确定函数调用结构中各个节点对应的路由解析结果。
例如，接上例，由于“*ast.CallExpr”为函数调用结构对应的关键字，可以确定上述抽象语法树为函数调用结构，分别基于代码“Name: "r"”、“Name: "post"”、“Value:"\"/article\""”、“Name: "v1"”以及“Name: "addarticle"”，确定该函数调用结构中的各个节点，具体分别为节点 "r"、 节点"post"、节点"\"/article\""、节点"v1"以及节点 "addarticle"。根据前述节点以及前述各节点的类型信息，确定前述各节点对应的路由解析结果。
更进一步地，可以基于函数调用结构中各个节点对应的路由解析结果以及路由特征信息进行匹配处理，从而确定目标函数。
例如，接上例，若节点 "r"的类型信息为“gin.router”，节点"post"为注册路由的函数名称，节点"addarticle"表示函数名称，且路由特征信息为“gin.router+POST”，则可以基于节点 "r"、 节点"post"、节点"\"/article\""、节点"v1"以及节点 "addarticle"分别对应的路由解析结果，并将各路由解析结果与路由特征信息进行匹配，从而确定函数"addarticle"为目标函数。
对于本公开实施例，目标函数的被调用函数包括目标函数的直接被调用函数和间接被调用函数。
其中，基于目标函数以及编译产物确定函数调用图，具体可以包括：基于编译产物确定目标函数对应的抽象语法树；基于目标函数对应的抽象语法树，确定函数调用图。
对于本公开实施例，目标函数的直接调用函数即为被目标函数直接调用的函数，目标函数的间接被调用函数即为不是被目标函数直接调用的函数，即被目标函数的被调用函数调用的函数，可以包括被目标函数的直接被调用函数所调用的函数，还可以包括被目标函数的间接被调用函数所调用的函数。
例如图2所示，图2示出了本公开实施例的一种函数调用图的示意图。目标函数“Test10”的直接被调用函数包括“PostFrom”、“Print”、“Port”以及“AddTag”，其中，“AddTag”的直接被调用函数包括“Order”、“Where”、“Exec”以及“PrintIn”，则目标函数“Test10”的间接被调用函数包括“Order”、“Where”、“Exec”以及“PrintIn”。
对于本公开实施例，编译产物包括各个源代码文件对应的抽象语法树、以及各个源代码文件对应的抽象语法树中每个节点的类型信息，可以基于目标函数以及各个源代码文件对应的抽象语法树，确定目标函数对应的抽象语法树。进一步地，基于目标函数对应的抽象语法树，以及目标函数对应的抽象语法树中每个节点的类型信息，确定目标函数的直接被调用函数。
其中，假设目标函数的间接被调用函数为N个，N为正整数，这N个间接被调用函数可以一次记为第一个至第N个间接被调用函数，第1个间接被调用函数为被直接被调用函数直接调用的函数，第n个间接被调用函数为被第n-1个间接被调用函数直接调用的函数，n为2至N中的任一项。
对于本公开实施例，可以采用与确定直接被调用函数相类似的方式确定间接被调用函数，因为第1个间接被调用函数为直接被调用函数的直接调用函数，第2个间接被调用函数为第1个间接被调用函数的直接调用函数。
具体地，基于目标函数的直接被调用函数以及各个源代码文件对应的抽象语法树，确定直接被调用函数对应的抽象语法树。进一步基于直接被调用函数对应的抽象语法树，以及直接被调用函数对应的抽象语法树中每个节点的类型信息，确定第1个间接被调用函数。
基于第n-1个间接被调用函数以及各个源代码文件对应的抽象语法树，确定第n-1个间接被调用函数对应的抽象语法树。进一步基于第n-1个间接被调用函数对应的抽象语法树，以及第n-1个间接被调用函数对应的抽象语法树中每个节点的类型信息，确定第n个间接被调用函数。
进一步地，基于直接被调用函数、第1个至第N个间接被调用函数以及各函数对象的抽象语法树，确定函数调用图。
具体地，针对函数调用图，可以将每个函数与其对应的抽象语法树做关联处理，以方便利用函数调用图做代码审计，提高代码审计效率。例如图2所示的函数调用图，其上关联有“Test10”、“PostFrom”、“Print”、“Port”、“AddTag”、“Order”、“Where”、“Exec”以及“PrintIn”各自对应的抽象语法树。
本公开实施例的另一种可能实现方式，步骤S103具体可以包括：确定函数调用图中各个函数对应的抽象语法树；基于漏洞特征信息以及各个函数对应的抽象语法树，确定潜在漏洞信息；基于潜在漏洞信息以及各个函数对应的抽象语法树，确定潜在漏洞信息中的漏洞信息。
需要说明的是，漏洞特征信息包括污点变量特征信息以及危险函数特征信息中的至少一项，相对应地，潜在漏洞信息包括潜在污点变量以及潜在危险函数中的至少一项，漏洞信息包括目标污点变量以及目标危险函数中的至少一项。
对于本公开实施例，编译产物中包括各个源代码文件对应的抽象语法树，可以基于编译产物以及函数调用图中的各个函数，确定各个函数对应的抽象语法树。
对于本公开实施例，针对函数调用图中的每一个函数，可以基于该函数对应的抽象语法树中每个节点的类型信息对该函数对应的抽象语法树进行解析，得到结果，利用该解析结果与规则文件中的污点变量特征信息进行匹配，若匹配结果一致，则将该函数确定为潜在污点变量，若匹配结果不一致，则该函数不为潜在污点变量。其中，污点变量通常为用户可控参数。按照此方式，可以准确识别潜在的污点变量，精确定位用户可控点，减少误报。
采用相似的原理，可以利用该解析结果与规则文件中的危险函数特征信息进行匹配，若匹配结果一致，则将该函数确定为潜在危险函数，若匹配结果不一致，则该函数不为潜在危险函数。其中，危险函数通常为容易导致漏洞的函数。按照此方式，可以准确识别潜在的危险函数，减少误报。
进一步地，可以基于潜在污点变量以及各个函数对应的抽象语法树，确定目标污点变量，或者，可以基于潜在危险函数以及各个函数对应的抽象语法树，确定目标危险函数，或者，可以基于潜在污点变量、潜在危险函数以及各个函数对应的抽象语法树，确定目标污点变量以及目标危险函数。
本公开实施例的另一种可能实现方式，漏洞特征信息包括污点变量特征信息和危险函数特征信息，潜在漏洞信息包括至少一个潜在污点变量以及至少一个潜在危险函数，其中，
基于潜在漏洞信息，以及各个函数对应的抽象语法树，确定潜在漏洞信息中的漏洞信息，具体可以包括：基于至少一个潜在污点变量、至少一个潜在危险函数以及各个函数对应的抽象语法树进行污点传播分析，得到分析结果；基于各潜在危险函数的漏洞类型，分别确定各潜在危险函数对应的净化分析函数；基于各潜在危险函数对应的净化分析函数以及各潜在污点变量的数据流，确定漏洞信息。
其中，分析结果中包括各潜在污点变量的数据流以及各潜在危险函数的漏洞类型。
对于本公开实施例，针对每一个潜在污点变量，可以遍历各个函数对应的抽象语法树，确定潜在污点变量执行的操作，从而确定该潜在污点变量是否能传播至每一个潜在危险函数，即输出该潜在污点变量的数据流以及各个潜在危险函数的漏洞类型。按照此方式，可以基于至少一个潜在污点变量、至少一个潜在危险函数以及各个函数对应的抽象语法树进行污点传播分析，得到分析结果，通过对各个函数对应的抽象语法树进行污点传播分析，实现了对容易引入大量误报的数据结构进行污点传播分析，减少误报率和漏报率，其中，容易引入大量误报的数据结构包括但不限于映射（Map）以及结构体。
需要说明的是，潜在污点变量的数据流可以指潜在危险函数对该潜在污点变量进行的操作信息。潜在危险函数的漏洞类型包括数据库注入漏洞、任意文件读写漏洞等。
以数据库注入漏洞为例，若基于潜在污点变量的数据流确定该潜在污点变量会影响到潜在危险函数，且该潜在危险函数的功能是进行数据库查询操作，该潜在危险函数执行的结构化查询语言（Structured Query Language，SQL）语句是直接从潜在污点变量进行拼接操作的，如该SQL语句的预期是查询唯一编码（Identity document，ID），当ID为潜在污点变量时，潜在危险函数可能把查询ID的操作变成查询ID并删掉整个数据库的操作，此时潜在危险函数的漏洞类型为数据库注入漏洞。
在得到各潜在危险函数的漏洞类型的基础上，可以基于各潜在危险函数的漏洞类型，分别确定各潜在危险函数对应的净化分析函数，并基于各潜在危险函数对应的净化分析函数以及各潜在污点变量的数据流，确定漏洞信息，实现了利用净化分析函数进行二次分析，可以对多种安全的代码编写方法进行过滤，进一步减少误报。
本公开实施例的另一种可能实现方式，基于漏洞特征信息，以及各个函数对应的抽象语法树，确定潜在漏洞信息，之后还可以包括：基于潜在漏洞信息，对函数调用图中的函数进行标记处理，得到标记后的潜在漏洞信息。
其中，对于任一潜在危险函数，基于该潜在危险函数对应的净化分析函数以及任一潜在污点变量的数据流，确定漏洞信息，具体可以包括：基于任一潜在危险函数对应的净化分析函数以及任一潜在污点变量的数据流，确定安全处理结果，若安全处理结果为未进行安全处理，则将任一潜在污点变量以及任一潜在危险函数确定为漏洞信息；若安全处理结果为已进行安全处理，则解除任一潜在污点变量以及任一潜在危险函数的标记。
其中，安全处理结果为任一潜在污点变量至任一潜在危险函数的传播路径中是否进行了安全处理。
对于本公开实施例，漏洞特征信息包括污点变量特征信息和危险函数特征信息，潜在漏洞信息包括至少一个潜在污点变量以及至少一个潜在危险函数，漏洞信息包括目标污点变量和目标危险函数。其中，当安全处理结果为未进行安全处理时，将任一潜在污点变量确定为目标污点变量，将任一潜在危险函数确定为目标危险函数。
需要说明的是，可以采用潜在污点变量以及潜在危险函数各自对应的标识信息，对函数调用图中的函数进行标记，以区分潜在污点变量、潜在危险函数以及除潜在污点变量和潜在危险函数之外的其他参数，其中，标识信息可以为颜色信息、字体信息、符号信息以及背景信息中的至少一项，在此不做限定。
例如图2中，利用红色标记潜在污点变量，利用蓝色标记潜在危险函数，利用黑色标记其他参数，则“PostFrom”可以为红色字体或者在红圈内，表明“PostFrom”为潜在污点变量；“Order”、“Where”以及“Exec”可以为蓝色字体或者在蓝圈内，表明“Order”、“Where”以及“Exec”为潜在危险函数；“Test10”、“Print”、“Port”、“AddTag”以及“PrintIn”为黑色字体或者在黑圈内，表明“Test10”、“Print”、“Port”、“AddTag”以及“PrintIn”为其他参数。
作为一具体实例，针对如下代码：
imageName := c.Param("image")
image := "xxx" + imageName
exec.Command("/bin/bash", "-c", image)
其中，“imageName”为潜在污点变量，“exec.Command”为潜在危险函数，可以基于“exec.Command”对应的净化分析函数以及“imageName”的数据流，确定安全处理结果，即“imageName”至“exec.Command”的传播路径中是否进行了安全处理。
具体地，通过代码“image := "xxx" + imageName”，使得“imageName”传播至“image”中，通过代码“exec.Command("/bin/bash", "-c", image)”，使得“image”传播至“exec.Command”中，因此，安全处理结果为“imageName”至“exec.Command”的传播路径中未进行安全处理，因此，将“imageName”以及“exec.Command”确定为漏洞信息，即确定“imageName”为目标污点变量，确定“exec.Command”为目标危险函数。
作为另一具体实例，针对如下代码：
imageName := c.Param("image")
image := "xxx" + imageName
if image != “test”{
return
}
exec.Command("/bin/bash", "-c", image)
其中，“imageName”为潜在污点变量，“exec.Command”为潜在危险函数，可以基于“exec.Command”对应的净化分析函数以及“imageName”的数据流，确定安全处理结果，即“imageName”至“exec.Command”的传播路径中是否进行了安全处理。
具体地，通过代码“image := "xxx" + imageName”，使得“imageName”传播至“image”中，通过代码“exec.Command("/bin/bash", "-c", image)”，使得“image”传播至“exec.Command”中，由于通过代码“if image != “test”{return }”限定了污点变量只能为“test”，用户无法通过其他参数对“exec.Command”造成影响，因此，安全处理结果为“imageName”至“exec.Command”的传播路径中已进行安全处理，因此，解除对“imageName”以及“exec.Command”的标记，即“imageName”为非潜在污点变量，“exec.Command”为非潜在危险函数。
上述主要从方法步骤的角度详细介绍了本公开实施例的代码审计方法，下面将结合图3进一步阐述本公开实施例的代码审计方法，图3示出了一种由客户端或者服务器执行的代码审计方法的流程示意图，具体地：
步骤S301，获取目标应用程序的至少一个源代码文件，其中，客户端或者服务器可以获取用户输入的目标应用程序对应的存储路径，加载该存储路径，以得到该目标应用程序的至少一个源代码文件。
步骤S302，对目标应用程序的至少一个源代码文件进行编译处理，得到编译产物。
步骤S303，获取规则文件，规则文件中包括污点变量特征信息、危险函数特征信息以及路由特征信息。
步骤S304，基于编译产物以及路由特征信息确定目标函数。
步骤S305，基于目标函数以及编译产物确定函数调用图。
步骤S306，基于污点变量特征信息、危险函数特征信息以及函数调用图中各个函数对应的抽语法树，确定至少一个潜在污点变量和至少一个潜在危险函数。
步骤S307，基于至少一个潜在污点变量、至少一个潜在危险函数以及函数调用图中各个函数对应的抽象语法树进行污点传播分析，得到分析结果，分析结果中包括各潜在污点变量的数据流以及各潜在危险函数的漏洞类型。
步骤S308，基于各潜在危险函数的漏洞类型，分别确定各潜在危险函数对应的净化分析函数。
步骤S309，基于各潜在危险函数对应的净化分析函数以及各潜在污点变量的数据流，确定漏洞信息。
其中，漏洞信息包括目标污点变量以及目标危险函数。
关于步骤S301至步骤S309的相关内容，可以想见上述方法实施例的相关说明，在此不再赘述。
上述主要从方法步骤的角度详细介绍了本公开实施例的代码审计方法，下面将从虚拟模块的角度详细介绍本公开实施例的代码审计装置，具体地：
本公开实施例提供了一种代码审计装置，如图4所示，该代码审计装置40可以包括：第一确定模块401、获取模块402以及第二确定模块403，其中，
第一确定模块401，用于基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图。
其中，函数调用图中包括目标函数以及目标函数的被调用函数。
获取模块402，用于获取规则文件。
其中，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项。
第二确定模块403，用于基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息。
本公开实施例的另一种可能实现方式，规则文件中还包括路由特征信息。
其中，第一确定模块401，具体用于：
对目标应用程序的源代码文件进行编译处理，得到编译产物；基于编译产物以及路由特征信息确定目标函数；基于目标函数以及编译产物确定函数调用图。
本公开实施例的另一种可能实现方式，编译产物包括源代码文件对应的抽象语法树、以及源代码文件对应的抽象语法树中每个节点的类型信息。
其中，第一确定模块401在基于编译产物以及路由特征信息确定目标函数时，具体用于：
确定源代码文件对应的抽象语法树中包含的函数调用结构；基于函数调用结构中的各个节点、以及源代码文件对应的抽象语法树中每个节点的类型信息，确定函数调用结构中各个节点对应的路由解析结果；基于函数调用结构中各个节点对应的路由解析结果以及路由特征信息，确定目标函数。
本公开实施例的另一种可能实现方式，目标函数的被调用函数包括目标函数的直接被调用函数和间接被调用函数。
其中，第一确定模块401在基于目标函数以及编译产物确定函数调用图时，具体用于：
基于编译产物确定目标函数对应的抽象语法树；基于目标函数对应的抽象语法树，确定函数调用图。
本公开实施例的另一种可能实现方式，第二确定模块403具体用于：
确定函数调用图中各个函数对应的抽象语法树；基于漏洞特征信息以及各个函数对应的抽象语法树，确定潜在漏洞信息；基于潜在漏洞信息以及各个函数对应的抽象语法树，确定潜在漏洞信息中的漏洞信息。
本公开实施例的另一种可能实现方式，漏洞特征信息包括污点变量特征信息和危险函数特征信息，潜在漏洞信息包括至少一个潜在污点变量以及至少一个潜在危险函数。
其中，第二确定模块403在基于潜在漏洞信息以及各个函数对应的抽象语法树，确定潜在漏洞信息中的漏洞信息时，具体用于：
基于至少一个潜在污点变量、至少一个潜在危险函数以及各个函数对应的抽象语法树进行污点传播分析，得到分析结果；基于各潜在危险函数的漏洞类型，分别确定各潜在危险函数对应的净化分析函数；基于各潜在危险函数对应的净化分析函数以及各潜在污点变量的数据流，确定漏洞信息。
其中，分析结果中包括各潜在污点变量的数据流以及各潜在危险函数的漏洞类型。
本公开实施例的另一种可能实现方式，代码审计装置40还包括标记模块。
其中，标记模块，用于基于潜在漏洞信息，对函数调用图中的函数进行标记处理，得到标记后的潜在漏洞信息。
其中，第二确定模块403在对于任一潜在危险函数，基于该潜在危险函数对应的净化分析函数以及任一潜在污点变量的数据流，确定漏洞信息时，具体用于：
基于任一潜在危险函数对应的净化分析函数、以及任一潜在污点变量的数据流，确定安全处理结果；当安全处理结果为未进行安全处理，则将任一潜在污点变量以及任一潜在危险函数确定为漏洞信息；当安全处理结果为已进行安全处理，则解除任一潜在污点变量以及任一潜在危险函数的标记。
其中，安全处理结果为任一潜在污点变量至任一潜在危险函数的传播路径中是否进行了安全处理。
需要说明的是，第一确定模块401以及第二确定模块403可以为同一个确定模块，也可以为两个不同的确定模块，在此不做限定。
本公开实施例的代码审计装置可执行本公开前述方法实施例所示的代码审计方法，其实现原理相类似，此处不再赘述。
本公开实施例提供了一种代码审计装置，与现有技术相比，本公开实施例通过基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数，获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项，基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息，漏洞信息包括目标污点变量以及目标危险函数中的至少一项，实现了基于函数调用图和规则文件中的特征信息确定漏洞信息，降低对现有经验的依赖，减少人力资源与时间资源的消耗，从而降低误报率，提高开发效率。
上述主要从虚拟模块的角度详细介绍本公开实施例的代码审计装置，下面将从实体设备的角度详细介绍本公开实施例的电子设备，具体地：
本公开实施例提供了一种电子设备，其包括：
一个或多个处理器；
存储器；
一个或多个应用程序，其中一个或多个应用程序被存储在存储器中并被配置为由一个或多个处理器执行，一个或多个程序配置用于：执行根据方法实施例任一项所示的代码审计方法对应的操作。
下面参考图5，其示出了适于用来实现本公开实施例的电子设备（例如方法实施例中的终端设备或服务器）500的结构示意图。本公开实施例中的终端设备可以包括但不限于诸如移动电话、笔记本电脑、数字广播接收器、PDA（个人数字助理）、PAD（平板电脑）、PMP（便携式多媒体播放器）、车载终端（例如车载导航终端）等等的移动终端以及诸如数字TV、台式计算机等等的固定终端。图5示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
电子设备包括：存储器以及处理器，其中，这里的处理器可以称为下文所述的处理装置501，存储器可以包括下文中的只读存储器（ROM）502、随机访问存储器（RAM）503以及存储装置508中的至少一项，具体如下所示：
如图5所示，电子设备500可以包括处理装置（例如中央处理器、图形处理器等）501，其可以根据存储在只读存储器（ROM）502中的程序或者从存储装置508加载到随机访问存储器（RAM）503中的程序而执行各种适当的动作和处理。在RAM 503中，还存储有电子设备500操作所需的各种程序和数据。处理装置501、ROM 502以及RAM 503通过总线504彼此相连。输入/输出（I/O）接口505也连接至总线504。
通常，以下装置可以连接至I/O接口505：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置506；包括例如液晶显示器（LCD）、扬声器、振动器等的输出装置507；包括例如磁带、硬盘等的存储装置508；以及通信装置509。通信装置509可以允许电子设备500与其他设备进行无线或有线通信以交换数据。虽然图5示出了具有各种装置的电子设备500，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。
特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在非暂态计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置509从网络上被下载和安装，或者从存储装置508被安装，或者从ROM 502被安装。在该计算机程序被处理装置501执行时，执行本公开实施例的方法中限定的上述功能。
需要说明的是，本公开上述的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、光纤、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF（射频）等等，或者上述的任意合适的组合。
在一些实施方式中，客户端、服务器可以利用诸如HTTP（HyperText TransferProtocol，超文本传输协议）之类的任何当前已知或未来研发的网络协议进行通信，并且可以与任意形式或介质的数字数据通信（例如，通信网络）互连。通信网络的示例包括局域网（“LAN”），广域网（“WAN”），网际网（例如，互联网）以及端对端网络（例如，ad hoc端对端网络），以及任何当前已知或未来研发的网络。
上述计算机可读介质可以是上述电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。
上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该电子设备执行时，使得该电子设备：基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数；获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项；基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息。
可以以一种或多种程序设计语言或其组合来编写用于执行本公开的操作的计算机程序代码，上述程序设计语言包括但不限于面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机（例如利用因特网服务提供商来通过因特网连接）。
附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本公开实施例中所涉及到的模块或单元可以通过软件的方式实现，也可以通过硬件的方式来实现。其中，模块或单元的名称在某种情况下并不构成对该单元本身的限定，例如，获取模块还可以被描述为“获取规则文件的模块”。
本文中以上描述的功能可以至少部分地由一个或多个硬件逻辑部件来执行。例如，非限制性地，可以使用的示范类型的硬件逻辑部件包括：现场可编程门阵列（FPGA）、专用集成电路（ASIC）、专用标准产品（ASSP）、片上系统（SOC）、复杂可编程逻辑设备（CPLD）等等。
在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦除可编程只读存储器（EPROM或快闪存储器）、光纤、便捷式紧凑盘只读存储器（CD-ROM）、光学储存设备、磁储存设备、或上述内容的任何合适组合。
本公开实施例提供了一种电子设备，本公开实施例中的电子设备包括：存储器和处理器；至少一个程序，存储于所述存储器中，用于被所述处理器执行时，与现有技术相比可实现：通过基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数，获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项，基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息，漏洞信息包括目标污点变量以及目标危险函数中的至少一项，实现了基于函数调用图和规则文件中的特征信息确定漏洞信息，降低对现有经验的依赖，减少人力资源与时间资源的消耗，从而降低误报率，提高开发效率。
上述从实体装置的角度介绍本公开的电子设备，下面从介质的角度介绍本公开实施例的计算机可读介质。
本公开实施例提供了一种计算机可读介质，该计算机可读介质上存储有计算机程序，当其在计算机上运行时，使得计算机可以执行前述方法实施例中相应内容。与现有技术相比，通过基于目标应用程序的源代码文件，确定目标应用程序对应的函数调用图，函数调用图中包括目标函数以及目标函数的被调用函数，获取规则文件，规则文件中包括漏洞特征信息，漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项，基于漏洞特征信息以及函数调用图，确定源代码文件的漏洞信息，漏洞信息包括目标污点变量以及目标危险函数中的至少一项，实现了基于函数调用图和规则文件中的特征信息确定漏洞信息，降低对现有经验的依赖，减少人力资源与时间资源的消耗，从而降低误报率，提高开发效率。
根据本公开的一个或多个实施例，提供了一种代码审计方法，包括：
基于目标应用程序的源代码文件，确定所述目标应用程序对应的函数调用图，所述函数调用图中包括目标函数以及所述目标函数的被调用函数；
获取规则文件，所述规则文件中包括漏洞特征信息，所述漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项；
基于所述漏洞特征信息以及所述函数调用图，确定所述源代码文件的漏洞信息。
根据本公开的一个或多个实施例，所述规则文件中还包括路由特征信息；
所述基于目标应用程序的源代码文件，确定所述目标应用程序对应的函数调用图，包括：
对所述目标应用程序的源代码文件进行编译处理，得到编译产物；
基于所述编译产物以及所述路由特征信息确定所述目标函数；
基于所述目标函数以及所述编译产物确定所述函数调用图。
根据本公开的一个或多个实施例，所述编译产物包括源代码文件对应的抽象语法树以及源代码文件对应的抽象语法树中每个节点的类型信息；
所述基于所述编译产物以及所述路由特征信息确定所述目标函数，包括：
确定所述源代码文件对应的抽象语法树中包含的函数调用结构；
基于所述函数调用结构中的各个节点、以及所述源代码文件对应的抽象语法树中每个节点的类型信息，确定所述函数调用结构中各个节点对应的路由解析结果；
基于所述函数调用结构中各个节点对应的路由解析结果以及所述路由特征信息，确定所述目标函数。
根据本公开的一个或多个实施例，所述目标函数的被调用函数包括所述目标函数的直接被调用函数和间接被调用函数；
所述基于所述目标函数以及所述编译产物确定所述函数调用图，包括：
基于所述编译产物确定所述目标函数对应的抽象语法树；
基于所述目标函数对应的抽象语法树，确定所述函数调用图。
根据本公开的一个或多个实施例，所述基于所述漏洞特征信息以及所述函数调用图，确定所述源代码文件的漏洞信息，包括：
确定所述函数调用图中各个函数对应的抽象语法树；
基于所述漏洞特征信息以及所述各个函数对应的抽象语法树，确定潜在漏洞信息；
基于所述潜在漏洞信息以及所述各个函数对应的抽象语法树，确定所述潜在漏洞信息中的漏洞信息。
根据本公开的一个或多个实施例，所述漏洞特征信息包括所述污点变量特征信息和所述危险函数特征信息，所述潜在漏洞信息包括至少一个潜在污点变量以及至少一个潜在危险函数，其中，
所述基于所述潜在漏洞信息以及所述各个函数对应的抽象语法树，确定所述潜在漏洞信息中的漏洞信息，包括：
基于所述至少一个潜在污点变量、所述至少一个潜在危险函数以及所述各个函数对应的抽象语法树进行污点传播分析，得到分析结果，所述分析结果中包括各潜在污点变量的数据流以及各潜在危险函数的漏洞类型；
基于所述各潜在危险函数的漏洞类型，分别确定各潜在危险函数对应的净化分析函数；
基于所述各潜在危险函数对应的净化分析函数以及所述各潜在污点变量的数据流，确定所述漏洞信息。
根据本公开的一个或多个实施例，所述基于所述漏洞特征信息以及所述各个函数对应的抽象语法树，确定潜在漏洞信息，之后还包括：
基于所述潜在漏洞信息，对所述函数调用图中的函数进行标记处理，得到标记后的潜在漏洞信息；
其中，对于任一潜在危险函数，基于该潜在危险函数对应的净化分析函数以及任一潜在污点变量的数据流，确定漏洞信息，包括：
基于所述任一潜在危险函数对应的净化分析函数、以及所述任一潜在污点变量的数据流，确定安全处理结果，所述安全处理结果为所述任一潜在污点变量至所述任一潜在危险函数的传播路径中是否进行了安全处理；
若所述安全处理结果为未进行安全处理，则将所述任一潜在污点变量以及所述任一潜在危险函数确定为所述漏洞信息；
若所述安全处理结果为已进行安全处理，则解除所述任一潜在污点变量以及所述任一潜在危险函数的标记。
根据本公开的一个或多个实施例，提供了一种代码审计装置，包括：
第一确定模块，用于基于目标应用程序的源代码文件，确定所述目标应用程序对应的函数调用图，所述函数调用图中包括目标函数以及所述目标函数的被调用函数；
获取模块，用于获取规则文件，所述规则文件中包括漏洞特征信息，所述漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项；
第二确定模块，用于基于所述漏洞特征信息以及所述函数调用图，确定所述源代码文件的漏洞信息。
根据本公开的一个或多个实施例，所述规则文件中还包括路由特征信息；
所述第一确定模块，具体用于：
对所述目标应用程序的源代码文件进行编译处理，得到编译产物；
基于所述编译产物以及所述路由特征信息确定所述目标函数；
基于所述目标函数以及所述编译产物确定所述函数调用图。
根据本公开的一个或多个实施例，所述编译产物包括源代码文件对应的抽象语法树以及源代码文件对应的抽象语法树中每个节点的类型信息；
所述第一确定模块在基于所述编译产物以及所述路由特征信息确定所述目标函数时，具体用于：
确定所述源代码文件对应的抽象语法树中包含的函数调用结构；
基于所述函数调用结构中的各个节点以及所述源代码文件对应的抽象语法树中每个节点的类型信息，确定所述函数调用结构中各个节点对应的路由解析结果；
基于所述函数调用结构中各个节点对应的路由解析结果以及所述路由特征信息，确定所述目标函数。
根据本公开的一个或多个实施例，所述目标函数的被调用函数包括所述目标函数的直接被调用函数和间接被调用函数；
所述第一确定模块在基于所述目标函数以及所述编译产物确定所述函数调用图时，具体用于：
基于所述编译产物确定所述目标函数对应的抽象语法树；
基于所述目标函数对应的抽象语法树，确定所述函数调用图。
根据本公开的一个或多个实施例，所述第二确定模块具体用于：
确定所述函数调用图中各个函数对应的抽象语法树；
基于所述漏洞特征信息以及所述各个函数对应的抽象语法树，确定潜在漏洞信息；
基于所述潜在漏洞信息以及所述各个函数对应的抽象语法树，确定所述潜在漏洞信息中的漏洞信息。
根据本公开的一个或多个实施例，所述漏洞特征信息包括所述污点变量特征信息和所述危险函数特征信息，所述潜在漏洞信息包括至少一个潜在污点变量以及至少一个潜在危险函数，其中，
所述第二确定模块在基于所述潜在漏洞信息以及所述各个函数对应的抽象语法树，确定所述潜在漏洞信息中的漏洞信息时，具体用于：
基于所述至少一个潜在污点变量、所述至少一个潜在危险函数以及所述各个函数对应的抽象语法树进行污点传播分析，得到分析结果，所述分析结果中包括各潜在污点变量的数据流以及各潜在危险函数的漏洞类型；
基于所述各潜在危险函数的漏洞类型，分别确定各潜在危险函数对应的净化分析函数；
基于所述各潜在危险函数对应的净化分析函数以及所述各潜在污点变量的数据流，确定所述漏洞信息。
根据本公开的一个或多个实施例，所述装置还包括：
标记模块，用于基于所述潜在漏洞信息，对所述函数调用图中的函数进行标记处理，得到标记后的潜在漏洞信息；
其中，所述第二确定模块在对于任一潜在危险函数，基于该潜在危险函数对应的净化分析函数以及任一潜在污点变量的数据流，确定漏洞信息时，具体用于：
基于所述任一潜在危险函数对应的净化分析函数、以及所述任一潜在污点变量的数据流，确定安全处理结果，所述安全处理结果为所述任一潜在污点变量至所述任一潜在危险函数的传播路径中是否进行了安全处理；
当所述安全处理结果为未进行安全处理，则将所述任一潜在污点变量以及所述任一潜在危险函数确定为所述漏洞信息；
当所述安全处理结果为已进行安全处理，则解除所述任一潜在污点变量以及所述任一潜在危险函数的标记。
根据本公开的一个或多个实施例，提供了一种电子设备，其包括：
一个或多个处理器；
存储器；
一个或多个应用程序，其中所述一个或多个应用程序被存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个程序配置用于：执行根据方法实施例任一项所示的代码审计方法。
根据本公开的一个或多个实施例，提供了一种计算机可读介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现方法实施例任一项所示的代码审计方法。
以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本公开中所涉及的公开范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述公开构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开中公开的（但不限于）具有类似功能的技术特征进行互相替换而形成的技术方案。
此外，虽然采用特定次序描绘了各操作，但是这不应当理解为要求这些操作以所示出的特定次序或以顺序次序执行来执行。在一定环境下，多任务和并行处理可能是有利的。同样地，虽然在上面论述中包含了若干具体实现细节，但是这些不应当被解释为对本公开的范围的限制。在单独的实施例的上下文中描述的某些特征还可以组合地实现在单个实施例中。相反地，在单个实施例的上下文中描述的各种特征也可以单独地或以任何合适的子组合的方式实现在多个实施例中。
尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。

Claims (8)

1.一种代码审计方法，其特征在于，包括：
基于目标应用程序的源代码文件，确定所述目标应用程序对应的函数调用图，所述函数调用图中包括目标函数以及所述目标函数的被调用函数；
获取规则文件，所述规则文件中包括漏洞特征信息，所述漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项；所述规则文件中还包括路由特征信息，所述路由特征信息包括路由类型信息以及函数名称，所述路由特征信息用于识别不同开发框架的路由特征；
基于所述漏洞特征信息以及所述函数调用图，确定所述源代码文件的漏洞信息；
所述基于目标应用程序的源代码文件，确定所述目标应用程序对应的函数调用图，包括：
对所述目标应用程序的源代码文件进行编译处理，得到编译产物；所述编译产物包括源代码文件对应的抽象语法树以及源代码文件对应的抽象语法树中每个节点的类型信息；
基于所述编译产物以及所述路由特征信息确定所述目标函数；
基于所述目标函数以及所述编译产物确定所述函数调用图；
所述基于所述编译产物以及所述路由特征信息确定所述目标函数，包括：
确定所述源代码文件对应的抽象语法树中包含的函数调用结构；
基于所述函数调用结构中的各个节点以及所述源代码文件对应的抽象语法树中每个节点的类型信息，确定所述函数调用结构中各个节点对应的路由解析结果；
基于所述函数调用结构中各个节点对应的路由解析结果以及所述路由特征信息，确定所述目标函数。
2.根据权利要求1所述的方法，其特征在于，所述目标函数的被调用函数包括所述目标函数的直接被调用函数和间接被调用函数；
所述基于所述目标函数以及所述编译产物确定所述函数调用图，包括：
基于所述编译产物确定所述目标函数对应的抽象语法树；
基于所述目标函数对应的抽象语法树，确定所述函数调用图。
3.根据权利要求1所述的方法，其特征在于，所述基于所述漏洞特征信息以及所述函数调用图，确定所述源代码文件的漏洞信息，包括：
确定所述函数调用图中各个函数对应的抽象语法树；
基于所述漏洞特征信息以及所述各个函数对应的抽象语法树，确定潜在漏洞信息；
基于所述潜在漏洞信息以及所述各个函数对应的抽象语法树，确定所述潜在漏洞信息中的漏洞信息。
4.根据权利要求3所述的方法，其特征在于，所述漏洞特征信息包括所述污点变量特征信息和所述危险函数特征信息，所述潜在漏洞信息包括至少一个潜在污点变量以及至少一个潜在危险函数，其中，
所述基于所述潜在漏洞信息以及所述各个函数对应的抽象语法树，确定所述潜在漏洞信息中的漏洞信息，包括：
基于所述至少一个潜在污点变量、所述至少一个潜在危险函数以及所述各个函数对应的抽象语法树进行污点传播分析，得到分析结果，所述分析结果中包括各潜在污点变量的数据流以及各潜在危险函数的漏洞类型；
基于所述各潜在危险函数的漏洞类型，分别确定各潜在危险函数对应的净化分析函数；
基于所述各潜在危险函数对应的净化分析函数以及所述各潜在污点变量的数据流，确定所述漏洞信息。
5.根据权利要求4所述的方法，其特征在于，所述基于所述漏洞特征信息以及所述各个函数对应的抽象语法树，确定潜在漏洞信息，之后还包括：
基于所述潜在漏洞信息，对所述函数调用图中的函数进行标记处理，得到标记后的潜在漏洞信息；
其中，对于任一潜在危险函数，基于该潜在危险函数对应的净化分析函数以及任一潜在污点变量的数据流，确定漏洞信息，包括：
基于所述任一潜在危险函数对应的净化分析函数、以及所述任一潜在污点变量的数据流，确定安全处理结果，所述安全处理结果为所述任一潜在污点变量至所述任一潜在危险函数的传播路径中是否进行了安全处理；
若所述安全处理结果为未进行安全处理，则将所述任一潜在污点变量以及所述任一潜在危险函数确定为所述漏洞信息；
若所述安全处理结果为已进行安全处理，则解除所述任一潜在污点变量以及所述任一潜在危险函数的标记。
6.一种代码审计装置，其特征在于，包括：
第一确定模块，用于基于目标应用程序的源代码文件，确定所述目标应用程序对应的函数调用图，所述函数调用图中包括目标函数以及所述目标函数的被调用函数；
获取模块，用于获取规则文件，所述规则文件中包括漏洞特征信息，所述漏洞特征信息包括污点变量特征信息和危险函数特征信息中的至少一项；所述规则文件中还包括路由特征信息，所述路由特征信息包括路由类型信息以及函数名称，所述路由特征信息用于识别不同开发框架的路由特征；
第二确定模块，用于基于所述漏洞特征信息以及所述函数调用图，确定所述源代码文件的漏洞信息；
所述基于目标应用程序的源代码文件，确定所述目标应用程序对应的函数调用图，包括：
对所述目标应用程序的源代码文件进行编译处理，得到编译产物；所述编译产物包括源代码文件对应的抽象语法树以及源代码文件对应的抽象语法树中每个节点的类型信息；
基于所述编译产物以及所述路由特征信息确定所述目标函数；
基于所述目标函数以及所述编译产物确定所述函数调用图；
所述基于所述编译产物以及所述路由特征信息确定所述目标函数，包括：
确定所述源代码文件对应的抽象语法树中包含的函数调用结构；
基于所述函数调用结构中的各个节点以及所述源代码文件对应的抽象语法树中每个节点的类型信息，确定所述函数调用结构中各个节点对应的路由解析结果；
基于所述函数调用结构中各个节点对应的路由解析结果以及所述路由特征信息，确定所述目标函数。
7.一种电子设备，其特征在于，其包括：
一个或多个处理器；
存储器；
一个或多个应用程序，其中所述一个或多个应用程序被存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个程序配置用于：执行根据权利要求1~5任一项所述的代码审计方法。
8.一种计算机可读介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1~5任一项所述的代码审计方法。
CN202010513251.5A 2020-06-08 2020-06-08 代码审计方法、装置、电子设备及介质 Active CN111666218B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010513251.5A CN111666218B (zh) 2020-06-08 2020-06-08 代码审计方法、装置、电子设备及介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010513251.5A CN111666218B (zh) 2020-06-08 2020-06-08 代码审计方法、装置、电子设备及介质

Publications (2)

Publication Number Publication Date
CN111666218A CN111666218A (zh) 2020-09-15
CN111666218B true CN111666218B (zh) 2023-06-13

Family

ID=72385714

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010513251.5A Active CN111666218B (zh) 2020-06-08 2020-06-08 代码审计方法、装置、电子设备及介质

Country Status (1)

Country Link
CN (1) CN111666218B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112269984B (zh) * 2020-09-23 2023-07-11 江苏三台山数据应用研究院有限公司 一种保障源码安全的自动化代码审计平台系统
CN113392404B (zh) * 2021-06-15 2023-04-07 浙江网商银行股份有限公司 漏洞检测方法、装置及电子设备

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3495978A1 (en) * 2017-12-07 2019-06-12 Virtual Forge GmbH Method for detecting vulnerabilities in software

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9569334B2 (en) * 2013-03-14 2017-02-14 Whitehat Security, Inc. Techniques for traversing representations of source code
CN104298921B (zh) * 2013-07-15 2019-01-29 深圳市腾讯计算机系统有限公司 动画源文件安全漏洞检查方法及装置
CN103577324B (zh) * 2013-10-30 2017-01-18 北京邮电大学 移动应用中隐私信息泄露的静态检测方法
CN104021084A (zh) * 2014-06-19 2014-09-03 国家电网公司 一种Java源代码缺陷检测方法及装置
US9805203B2 (en) * 2015-04-21 2017-10-31 Sap Se Cooperative static and dynamic analysis of web application code for finding security vulnerabilities
US9792200B2 (en) * 2016-03-01 2017-10-17 Sap Se Assessing vulnerability impact using call graphs
US10210077B2 (en) * 2016-05-18 2019-02-19 International Business Machines Corporation Using multiple sequence alignment to identify security vulnerability code paths
CN106709356B (zh) * 2016-12-07 2019-05-24 西安电子科技大学 基于静态污点分析和符号执行的安卓应用漏洞挖掘方法
CN106933645A (zh) * 2017-01-17 2017-07-07 深圳市能信安科技股份有限公司 一种Apk安全风险自动化静态审计系统以及方法
US10528344B2 (en) * 2017-08-31 2020-01-07 Oracle International Corporation Modular points-to analysis
US10902129B2 (en) * 2017-12-07 2021-01-26 Virtual Forge GmbH Method for detecting vulnerabilities in software
US10713364B2 (en) * 2018-05-08 2020-07-14 WhiteSource Ltd. System and method for identifying vulnerabilities in code due to open source usage
CN109871693A (zh) * 2019-02-21 2019-06-11 北京百度网讯科技有限公司 用于检测漏洞的方法和装置
CN110059006B (zh) * 2019-03-29 2020-07-07 北京创鑫旅程网络技术有限公司 代码审计方法及装置
CN110929267A (zh) * 2019-11-29 2020-03-27 深信服科技股份有限公司 代码漏洞检测方法、装置、设备及存储介质

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP3495978A1 (en) * 2017-12-07 2019-06-12 Virtual Forge GmbH Method for detecting vulnerabilities in software

Also Published As

Publication number Publication date
CN111666218A (zh) 2020-09-15

Similar Documents

Publication Publication Date Title
US9747187B2 (en) Simulating black box test results using information from white box testing
CN111506900B (zh) 漏洞检测方法、装置、电子设备及计算机存储介质
CN111324342B (zh) 一种生成接口层代码的方法、装置、介质和电子设备
CN111666218B (zh) 代码审计方法、装置、电子设备及介质
CN112256275B (zh) 代码混淆方法、装置、电子设备及介质
CN111309304B (zh) 一种生成idl文件的方法、装置、介质和电子设备
CN111338813B (zh) 一种动态生成中间件的方法、装置、介质和电子设备
CN112416303B (zh) 软件开发工具包热修复方法、装置及电子设备
CN112596738B (zh) 待测试前端页面的确定方法、装置、存储介质及电子设备
CN113391811B (zh) 函数编译方法、装置、电子设备及计算机可读存储介质
CN111124541B (zh) 一种配置文件的生成方法、装置、设备及介质
CN113220281A (zh) 一种信息生成方法、装置、终端设备及存储介质
CN111752644A (zh) 接口模拟方法、装置、设备及存储介质
CN116860286A (zh) 页面动态更新方法、装置、电子设备和计算机可读介质
CN111414161B (zh) 一种生成idl文件的方法、装置、介质和电子设备
CN111309323B (zh) 参数初始化方法、装置和电子设备
CN111008178A (zh) 数据处理方法、装置、电子设备及计算机可读存储介质
CN112015394B (zh) 安卓功能模块开发方法和装置、计算机系统和存储介质
CN111382389B (zh) 多主题页面生成方法、装置、电子设备及存储介质
CN111241538B (zh) 一种保护节点对象变量的方法、装置、介质和电子设备
CN117633027A (zh) 一种数据处理方法、装置、电子设备及存储介质
CN118094680A (zh) 内容生成方法、装置、介质、电子设备及程序产品
CN118069758A (zh) 一种分布式数据库数据变更方法、装置、电子设备和介质
CN115421720A (zh) 页面生成方法、装置、设备及存储介质
CN114816397A (zh) 用户界面生成方法、装置、电子设备及计算机可读介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: 100041 B-0035, 2 floor, 3 building, 30 Shixing street, Shijingshan District, Beijing.

Applicant after: Douyin Vision Co.,Ltd.

Address before: 100041 B-0035, 2 floor, 3 building, 30 Shixing street, Shijingshan District, Beijing.

Applicant before: Tiktok vision (Beijing) Co.,Ltd.

Address after: 100041 B-0035, 2 floor, 3 building, 30 Shixing street, Shijingshan District, Beijing.

Applicant after: Tiktok vision (Beijing) Co.,Ltd.

Address before: 100041 B-0035, 2 floor, 3 building, 30 Shixing street, Shijingshan District, Beijing.

Applicant before: BEIJING BYTEDANCE NETWORK TECHNOLOGY Co.,Ltd.

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant