CN112733054A - 一种高性能基于代码动态分析的系统和方法 - Google Patents

一种高性能基于代码动态分析的系统和方法 Download PDF

Info

Publication number
CN112733054A
CN112733054A CN202110043715.5A CN202110043715A CN112733054A CN 112733054 A CN112733054 A CN 112733054A CN 202110043715 A CN202110043715 A CN 202110043715A CN 112733054 A CN112733054 A CN 112733054A
Authority
CN
China
Prior art keywords
code
scanning
management module
module
vulnerability
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN202110043715.5A
Other languages
English (en)
Inventor
李华
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hefei Anpo Information Technology Co ltd
Original Assignee
Hefei Anpo Information Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hefei Anpo Information Technology Co ltd filed Critical Hefei Anpo Information Technology Co ltd
Priority to CN202110043715.5A priority Critical patent/CN112733054A/zh
Publication of CN112733054A publication Critical patent/CN112733054A/zh
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/957—Browsing optimisation, e.g. caching or content distillation
    • G06F16/9577—Optimising the visualization of content, e.g. distillation of HTML documents
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/20—Information retrieval; Database structures therefor; File system structures therefor of structured data, e.g. relational data
    • G06F16/25—Integrating or interfacing systems involving database management systems
    • G06F16/252—Integrating or interfacing systems involving database management systems between a Database Management System and a front-end application
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Mining & Analysis (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本发明属于信息安全技术领域，具体公开了一种高性能基于代码动态分析的系统及方法，其中，一种高性能基于代码动态分析的系统，包括应用展现层、代码扫描引擎与数据存储单元，所述应用展现层用于人机交互，为用户提供代码扫描数据查看与账户管理功能；所述代码扫描引擎包括虚拟代码翻译模块、虚拟执行模块和扫描报告生成模块；所述数据存储单元用于存储代码扫描引擎的运行数据、系统日志、用户数据；本发明采用专用的虚拟机加载目标代码，针对代码安全漏洞进行准确的分析，扫描速度快，准确率高；系统拓展性强，定制能力高，提供全面和操作接口，方便集成和扩展；提供详细全面的检测报告，方便定位和跟踪漏洞详情。

Description

一种高性能基于代码动态分析的系统和方法
技术领域
本发明涉及信息安全技术领域，具体为一种高性能基于代码动态分析的系统和方法。
背景技术
信息安全，ISO（国际标准化组织）的定义为：为数据处理系统建立和采用的技术、管理上的安全保护，为的是保护计算机硬件、软件、数据不因偶然和恶意的原因而遭到破坏、更改和泄露。权威机构 Gartner 的报告表明超过80%的安全漏洞发生在应用层，52%的网站应用程序都存在SQL注入、XSS和输入验证等高危的应用层安全问题。而IT系统的安全漏洞，归根结底都是因为程序代码中存在安全漏洞。目前市场上常见的代码扫描分析技术存在两种：第一代代码扫描技术，一般用于开源的代码扫描工具，采用的主要是关键词和模式匹配技术，只适用于检测最简单、明显的安全漏洞，实用价值十分有限；第二代代码扫描技术，基于形式化的逻辑和数学理论进行静态分析代码分析，比第一代技术多了对于程序代码全局逻辑的理解能力，但是静态模型的精确度较低，误报率高，需要具备安全知识的专业人员花费大量时间进行复查和纠错，工作效率低，而且不容易扩展和灵活配置。
发明内容
本发明的目的在于提供一种高性能基于代码动态分析的系统和方法，以解决上述背景技术中提出的问题。
为实现上述目的，本发明提供如下技术方案：一种高性能基于代码动态分析的系统，包括应用展现层、代码扫描引擎与数据存储单元，所述应用展现层用于人机交互，为用户提供代码扫描数据查看与账户管理功能；
所述代码扫描引擎包括虚拟代码翻译模块、虚拟执行模块和扫描报告生成模块，所述虚拟代码翻译模块根据事先给定的虚拟执行规则，将原始代码翻译成为虚拟中间语言代码，并在翻译过程中对被分析代码进行初步处理，剔除其中与安全无关的信息，所述虚拟执行模块用于加载并执行转换后的虚拟中间语言代码，并根据事先给定的安全扫描规则挖掘运行过程中的安全问题，所述扫描报告生成模块用于收集整理虚拟执行模块运行得到的漏洞信息，并生成详细的漏洞报告发送给应用展现层；
所述数据存储单元用于存储代码扫描引擎的运行数据、系统日志、用户数据。
优选的，所述代码扫描引擎还包括虚拟执行规则管理模块和安全扫描规则管理模块，所述虚拟执行规则管理模块用于管理具体的虚拟代码翻译规则内容，所述安全扫描规则管理模块用于管理具体的安全扫描规则内容，使用户能够根据具体的代码运行环境对虚拟代码翻译规则和安全扫描规则进行自定义。
优选的，所述应用展现层包括代码扫描任务管理模块、代码扫描报告管理模块和代码扫描引擎监控管理模块，所述代码扫描任务管理模块用于创建代码扫描任务，具体包括即时扫描和周期扫描任务，并为用户提供动态配置扫描规则、扫描策略的功能，所述代码扫描报告管理模块用于用户查看及下载概要报告、扫描日志、统计报告、详细报告，并与代码扫描引擎相关联，提供漏洞实时查看与漏洞处理状态跟踪功能，所述代码扫描引擎监控模块用于实时查看代码扫描引擎的工作状态，具体包括正在扫描的任务、扫描时长、内存资源占用情况、系统负载状态。
优选的，所述应用展现层还包括基础数据管理模块和日志管理模块，所述基础数据管理模块用于客户对账户信息、权限信息进行管理，具体包括用户信息管理模块、公司信息管理模块、产品信息管理模块、权限信息管理模块，所述日志管理模块用于客户对系统日志进行增删查改操作。
优选的，所述数据存储单元包括应用数据存储模块、系统元数据存储模块、日志数据存储模块，所述应用数据存储模块用于存储用户在使用过程中产生的数据，包括用户信息、产品信息、代码扫描任务数据、代码扫描报告数据，所述系统元数据存储模块用于存储代码扫描引擎的元数据，所述日志数据存储模块用于存储系统日志信息，包括用户操作日志、扫描日志。
一种高性能基于代码动态分析的方法，包括如下步骤：
S1、用户在应用展现层手动创建扫描任务，代码扫描任务管理模块根据扫描任务创建相应指令，代码扫描引擎定时刷新与应用展现层的接口，在获取到指令和待扫描程序代码后启动；
S2、代码扫描引擎根据指定的文件名和包名加载被分析的字节码文件，对于扫描文件是JVM字节码的，读取二进制文件中的bytecode；
S3、代码扫描引擎读取虚拟执行规则管理模块中的规则内容，并通过虚拟代码翻译模块将待分析的字节码翻译成虚拟中间语言代码；
S4、虚拟执行模块在虚拟机中执行虚拟中间语言代码，并根据安全扫描规则，找出潜在的安全漏洞；
S5、扫描报告生成模块生成详细的漏洞报告，并将漏洞报告发送给应用展现层；
S6、应用展现层根据事先给定的安全等级对漏洞进行动态分组。
优选的，所述步骤S1中的指令内容包括需要扫描的安全问题和安全级别。
优选的，所述步骤S5中生成漏洞报告的具体过程为：扫描报告生成模块收集代码扫描引擎反馈的漏洞信息，合并及排序每个漏洞的调用堆栈，再按漏洞类型分组漏洞信息。
优选的，所述漏洞报告中的信息包括扫描开始时间、扫描结束时间、扫描行数、漏洞总数、漏洞详细信息、扫描日志信息，所述漏洞详细信息包括源代码行号、所属类别、调用堆栈信息。
优选的，所述步骤S6中的安全等级包括OWASP TOP 10和CWE TOP 25。
与现有技术相比，本发明的有益效果是：
1) 分析代码性能高，误报低，采用专用的虚拟机加载目标代码，针对代码安全漏洞进行准确的分析，扫描速度快，准确率高；
2) 系统拓展性强，定制能力高，提供全面和操作接口，方便集成和扩展；
3) 提供详细全面的检测报告，方便定位和跟踪漏洞详情。
附图说明
图1为一种高性能基于代码动态分析的系统的原理示意图；
图2为一种高性能基于代码动态分析的系统中应用展现层的原理示意图；
图3为一种高性能基于代码动态分析的系统中代码扫描引擎的原理示意图；
图4为一种高性能基于代码动态分析的系统中数据存储单元的原理示意图；
图5为一种高性能基于代码动态分析的方法的示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在本发明的描述中，需要说明的是，术语“竖直”、“上”、“下”、“水平”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。
在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“设置”、“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。
请参阅图1-5，本发明提供一种技术方案：一种高性能基于代码动态分析的系统，包括应用展现层、代码扫描引擎与数据存储单元，所述应用展现层用于人机交互，为用户提供代码扫描数据查看与账户管理功能。
所述代码扫描引擎包括虚拟代码翻译模块、虚拟执行模块和扫描报告生成模块，所述虚拟代码翻译模块根据事先给定的虚拟执行规则，将原始代码翻译成为虚拟中间语言代码，并在翻译过程中对被分析代码进行初步处理，剔除其中与安全无关的信息。
本发明提供一种翻译虚拟中间语言代码的执行规则，主要是将JVM字节码中load指令aload_0、aload_1、aload_2、aload_3指令翻译成分析引擎中的Load指令；astore_2、astore_3指令翻译成分析引擎中的Store指令；dup、pop对栈操作的指令翻译成分析引擎中的StackTrick指令；invokevirtual、invokestatic指令翻译成分析引擎中的VirtualInvoke指令；goto指令翻译成分析引擎中的JumpIf指令；return指令翻译成分析引擎中的Return指令。详细的JVM字节码的虚拟执行规则如下表所示（其中Ignore表示不翻译，剔除这个指令）：
Figure 331231DEST_PATH_IMAGE001
表1
Figure 646806DEST_PATH_IMAGE002
表2
Figure 670388DEST_PATH_IMAGE003
表3
Figure 320681DEST_PATH_IMAGE004
表4
Figure 337178DEST_PATH_IMAGE005
表5
Figure 246273DEST_PATH_IMAGE006
表6
Figure 690024DEST_PATH_IMAGE007
表7
由上表可以看出，根据此虚拟执行规则，在字节码转化为虚拟中间语言代码的过程中，大量剔除了无用的字节码，在保留程序关键逻辑的前提下，简化和统一了指令的行为，有助于提高虚拟机运行程序的分析效率。
所述虚拟执行模块用于加载并执行转换后的虚拟中间语言代码，并根据事先给定的安全扫描规则挖掘运行过程中的安全问题，所述扫描报告生成模块用于收集整理虚拟执行模块运行得到的漏洞信息，并生成详细的漏洞报告发送给应用展现层。
本发明提供一种安全扫描规则，具体如下表所示：
Figure 827613DEST_PATH_IMAGE008
表8
Figure 382223DEST_PATH_IMAGE009
表9
Figure 423122DEST_PATH_IMAGE010
表10
Figure 287042DEST_PATH_IMAGE011
表11
Figure 397080DEST_PATH_IMAGE012
表12
Figure 240534DEST_PATH_IMAGE013
表13
Figure 650786DEST_PATH_IMAGE014
表14
Figure 685607DEST_PATH_IMAGE015
表15
Figure 33674DEST_PATH_IMAGE016
表16
Figure 195665DEST_PATH_IMAGE017
表17
Figure 178534DEST_PATH_IMAGE018
表18
例如对于命令行注入的高危安全漏洞，该漏洞的主要特征是程序代码调用了Runtime.exec(String command)并传递了一个危险的参数，扫描引擎定义和配置了这个规则，具体是：
new PI(“java/lang/Runtime.exec(S)Ljava/lang/Process;”,0)；
引擎会根据这个信息结合VirtualInvoke指令的调用信息，找到匹配调用的代码位置，并跟踪传递给方法的command值，确定command值的来源来挖掘这个漏洞。
所述数据存储单元用于存储代码扫描引擎的运行数据、系统日志、用户数据，数据存储单元使用MySQL来存储，其中数据来源于应用展现层。应用展现层通过数据库接口来添加、修改和删除数据库中的数据，对于扫描报告信息，应用展现层通过获取扫描引擎传递过来的扫描报告信息，对其按照漏洞类别，漏洞级别，漏洞基本信息进行结构化处理并通过数据库接口存入数据库中，当查看报告的时候，查询数据库，通过HTML展现给用户。
所述代码扫描引擎还包括虚拟执行规则管理模块和安全扫描规则管理模块，所述虚拟执行规则管理模块用于管理具体的虚拟代码翻译规则内容，所述安全扫描规则管理模块用于管理具体的安全扫描规则内容，使用户能够根据具体的代码运行环境对虚拟代码翻译规则和安全扫描规则进行自定义。
所述应用展现层包括代码扫描任务管理模块、代码扫描报告管理模块和代码扫描引擎监控管理模块，所述代码扫描任务管理模块用于创建代码扫描任务，具体包括即时扫描和周期扫描任务，并为用户提供动态配置扫描规则、扫描策略的功能，所述代码扫描报告管理模块用于用户查看及下载概要报告、扫描日志、统计报告、详细报告，并与代码扫描引擎相关联，提供漏洞实时查看与漏洞处理状态跟踪功能，所述代码扫描引擎监控模块用于实时查看代码扫描引擎的工作状态，具体包括正在扫描的任务、扫描时长、内存资源占用情况、系统负载状态，为管理员了解系统运行状态及负载提供必要的信息。
所述应用展现层还包括基础数据管理模块和日志管理模块，所述基础数据管理模块用于客户对账户信息、权限信息进行管理，具体包括用户信息管理模块、公司信息管理模块、产品信息管理模块、权限信息管理模块，可以提供完善的权限管理，防止敏感信息暴露，所述日志管理模块用于客户对系统日志进行增删查改操作。此外应用展现层还提供一系列接口以供外部系统集成，如HTTP API接口，IDE plugin集成，持续集成工具集成，Bug跟踪系统集成等。
所述数据存储单元包括应用数据存储模块、系统元数据存储模块、日志数据存储模块，所述应用数据存储模块用于存储用户在使用过程中产生的数据，包括用户信息、产品信息、代码扫描任务数据、代码扫描报告数据，所述系统元数据存储模块用于存储代码扫描引擎的元数据，所述日志数据存储模块用于存储系统日志信息，包括用户操作日志、扫描日志。
一种高性能基于代码动态分析的方法，包括如下步骤：
S1、用户在应用展现层手动创建扫描任务，代码扫描任务管理模块根据扫描任务创建相应指令，代码扫描引擎定时刷新与应用展现层的接口，在获取到指令和待扫描程序代码后启动；
S2、代码扫描引擎根据指定的文件名和包名加载被分析的字节码文件，对于扫描文件是JVM字节码的，读取二进制文件中的bytecode；
S3、代码扫描引擎读取虚拟执行规则管理模块中的规则内容，并通过虚拟代码翻译模块将待分析的字节码翻译成虚拟中间语言代码；
S4、虚拟执行模块在虚拟机中执行虚拟中间语言代码，并根据安全扫描规则，找出潜在的安全漏洞；
S5、扫描报告生成模块生成详细的漏洞报告，并将漏洞报告发送给应用展现层；
S6、应用展现层根据事先给定的安全等级对漏洞进行动态分组。
所述步骤S1中的指令内容包括需要扫描的安全问题和安全级别。
所述步骤S5中生成漏洞报告的具体过程为：扫描报告生成模块收集代码扫描引擎反馈的漏洞信息，合并及排序每个漏洞的调用堆栈，再按漏洞类型分组漏洞信息。
所述漏洞报告中的信息包括扫描开始时间、扫描结束时间、扫描行数、漏洞总数、漏洞详细信息、扫描日志信息，所述漏洞详细信息包括源代码行号、所属类别、调用堆栈信息。
所述步骤S6中的安全等级包括OWASP TOP 10和CWE TOP 25。
本发明凭借对代码逻辑的有效理解，提供高效率低误报的代码安全扫描能力，为用户构建高效安全的开发体系，在大大降低企业信息安全资源投入的前提下，全面提高IT系统的整体安全水准，具体包括：
1) 本发明采用先进的虚拟执行技术，扫描覆盖率高，性能高速度快，误报率低。清晰易读的漏洞分析报告，丰富的统计、报表、图形展示界面，灵活的部署方式和扫描方式，让客户以更低成本全面提高产品安全水准，本发明扫描速度快，准确率高，可以灵活的融合到包括敏捷开发在内的各种软件开发流程中，是企业软件开发过程中提高产品代码安全质量的利器；
2) 本发明专注于代码安全漏洞扫描，基于1000余种安全相关的行为为检测基准，目前支持200多种安全漏洞类型，较为全面；
3) 本发明提供的代码扫描引擎具有灵活的定制能力，能够根据业务及技能特点进行针对性的代码扫描引擎定制服务，更进一步提高代码扫描的覆盖率及准确性；
4) 本发明提供高效的检测流程，用户可方便简单的创建扫描和查看报告，也可根据需求设置周期性的定时扫描；
5) 本发明提供专业全面的检测报告，提供整体的漏洞分组可按照模块、文件名、漏洞类型、处理状态等方便的查找与过滤漏洞。
尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (10)

1.一种高性能基于代码动态分析的系统，包括应用展现层、代码扫描引擎与数据存储单元，其特征在于：所述应用展现层用于人机交互，为用户提供代码扫描数据查看与账户管理功能；
所述代码扫描引擎包括虚拟代码翻译模块、虚拟执行模块和扫描报告生成模块，所述虚拟代码翻译模块根据事先给定的虚拟执行规则，将原始代码翻译成为虚拟中间语言代码，并在翻译过程中对被分析代码进行初步处理，剔除其中与安全无关的信息，所述虚拟执行模块用于加载并执行转换后的虚拟中间语言代码，并根据事先给定的安全扫描规则挖掘运行过程中的安全问题，所述扫描报告生成模块用于收集整理虚拟执行模块运行得到的漏洞信息，并生成详细的漏洞报告发送给应用展现层；
所述数据存储单元用于存储代码扫描引擎的运行数据、系统日志、用户数据。
2.根据权利要求1所述的一种高性能基于代码动态分析的系统，其特征在于：所述代码扫描引擎还包括虚拟执行规则管理模块和安全扫描规则管理模块，所述虚拟执行规则管理模块用于管理具体的虚拟代码翻译规则内容，所述安全扫描规则管理模块用于管理具体的安全扫描规则内容，使用户能够根据具体的代码运行环境对虚拟代码翻译规则和安全扫描规则进行自定义。
3.根据权利要求1所述的一种高性能基于代码动态分析的系统，其特征在于：所述应用展现层包括代码扫描任务管理模块、代码扫描报告管理模块和代码扫描引擎监控管理模块，所述代码扫描任务管理模块用于创建代码扫描任务，具体包括即时扫描和周期扫描任务，并为用户提供动态配置扫描规则、扫描策略的功能，所述代码扫描报告管理模块用于用户查看及下载概要报告、扫描日志、统计报告、详细报告，并与代码扫描引擎相关联，提供漏洞实时查看与漏洞处理状态跟踪功能，所述代码扫描引擎监控模块用于实时查看代码扫描引擎的工作状态，具体包括正在扫描的任务、扫描时长、内存资源占用情况、系统负载状态。
4.根据权利要求3所述的一种高性能基于代码动态分析的系统，其特征在于：所述应用展现层还包括基础数据管理模块和日志管理模块，所述基础数据管理模块用于客户对账户信息、权限信息进行管理，具体包括用户信息管理模块、公司信息管理模块、产品信息管理模块、权限信息管理模块，所述日志管理模块用于客户对系统日志进行增删查改操作。
5.根据权利要求1所述的一种高性能基于代码动态分析的系统，其特征在于：所述数据存储单元包括应用数据存储模块、系统元数据存储模块、日志数据存储模块，所述应用数据存储模块用于存储用户在使用过程中产生的数据，包括用户信息、产品信息、代码扫描任务数据、代码扫描报告数据，所述系统元数据存储模块用于存储代码扫描引擎的元数据，所述日志数据存储模块用于存储系统日志信息，包括用户操作日志、扫描日志。
6.一种高性能基于代码动态分析的方法，其特征在于：包括如下步骤：
S1、用户在应用展现层手动创建扫描任务，代码扫描任务管理模块根据扫描任务创建相应指令，代码扫描引擎定时刷新与应用展现层的接口，在获取到指令和待扫描程序代码后启动；
S2、代码扫描引擎根据指定的文件名和包名加载被分析的字节码文件，对于扫描文件是JVM字节码的，读取二进制文件中的bytecode；
S3、代码扫描引擎读取虚拟执行规则管理模块中的规则内容，并通过虚拟代码翻译模块将待分析的字节码翻译成虚拟中间语言代码；
S4、虚拟执行模块在虚拟机中执行虚拟中间语言代码，并根据安全扫描规则，找出潜在的安全漏洞；
S5、扫描报告生成模块生成详细的漏洞报告，并将漏洞报告发送给应用展现层；
S6、应用展现层根据事先给定的安全等级对漏洞进行动态分组。
7.根据权利要求6所述的一种高性能基于代码动态分析的方法，其特征在于：所述步骤S1中的指令内容包括需要扫描的安全问题和安全级别。
8.根据权利要求6所述的一种高性能基于代码动态分析的方法，其特征在于：所述步骤S5中生成漏洞报告的具体过程为：扫描报告生成模块收集代码扫描引擎反馈的漏洞信息，合并及排序每个漏洞的调用堆栈，再按漏洞类型分组漏洞信息。
9.根据权利要求8所述的一种高性能基于代码动态分析的方法，其特征在于：所述漏洞报告中的信息包括扫描开始时间、扫描结束时间、扫描行数、漏洞总数、漏洞详细信息、扫描日志信息，所述漏洞详细信息包括源代码行号、所属类别、调用堆栈信息。
10.根据权利要求6所述的一种高性能基于代码动态分析的方法，其特征在于：所述步骤S6中的安全等级包括OWASP TOP 10和CWE TOP 25。
CN202110043715.5A 2021-01-13 2021-01-13 一种高性能基于代码动态分析的系统和方法 Withdrawn CN112733054A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110043715.5A CN112733054A (zh) 2021-01-13 2021-01-13 一种高性能基于代码动态分析的系统和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110043715.5A CN112733054A (zh) 2021-01-13 2021-01-13 一种高性能基于代码动态分析的系统和方法

Publications (1)

Publication Number Publication Date
CN112733054A true CN112733054A (zh) 2021-04-30

Family

ID=75591857

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110043715.5A Withdrawn CN112733054A (zh) 2021-01-13 2021-01-13 一种高性能基于代码动态分析的系统和方法

Country Status (1)

Country Link
CN (1) CN112733054A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116089262A (zh) * 2022-11-23 2023-05-09 北京东方通科技股份有限公司 一种基于代码动态分析的代码安全扫描系统及方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116089262A (zh) * 2022-11-23 2023-05-09 北京东方通科技股份有限公司 一种基于代码动态分析的代码安全扫描系统及方法

Similar Documents

Publication Publication Date Title
US11363061B2 (en) Runtime detection of injection attacks on web applications via static and dynamic analysis
Felmetsger et al. Toward automated detection of logic vulnerabilities in web applications
CN111008376B (zh) 一种基于代码动态分析的移动应用源代码安全审计系统
CN103699480B (zh) 一种基于java的web动态安全漏洞检测方法
Livshits Improving software security with precise static and runtime analysis
CN103761478A (zh) 恶意文件的判断方法及设备
CN111723380B (zh) 一种检测组件漏洞的方法及装置
CN110489310B (zh) 一种记录用户操作的方法、装置、存储介质及计算机设备
CN113190330B (zh) 一种区块链威胁感知系统及方法
CN110728575A (zh) 一种电力交易平台web安全深度监控方法
Weissbacher et al. {ZigZag}: Automatically Hardening Web Applications Against Client-side Validation Vulnerabilities
CN115270131A (zh) 一种Java反序列化漏洞检测方法及系统
US20240160748A1 (en) Method And System For Data Flow Monitoring To Identify Application Security Vulnerabilities And To Detect And Prevent Attacks
US8788884B2 (en) Automatic correction of program logic
US20230065259A1 (en) Method and apparatus for protecting smart contracts against attacks
CN115576649A (zh) 一种基于行为监控的容器运行时安全检测方法
CN109446053A (zh) 应用程序的测试方法、计算机可读存储介质及终端
CN112733054A (zh) 一种高性能基于代码动态分析的系统和方法
CN110471832B (zh) 程序运行的处理方法、装置及计算机可读存储介质
CN111176980B (zh) 调试环境和运行环境分离的数据分析方法、装置及系统
CN113176926A (zh) 一种基于虚拟机自省技术的api动态监控方法及系统
CN113792294B (zh) 一种恶意类检测方法、系统、装置、设备及介质
Sekar et al. eaudit: A fast, scalable and deployable audit data collection system
CN114020255A (zh) 一种基于java代码跟踪型的数据采集方法
CN113486335A (zh) 一种基于rasp零规则的jni恶意攻击检测方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
WW01 Invention patent application withdrawn after publication

Application publication date: 20210430

WW01 Invention patent application withdrawn after publication