CN113254945A

CN113254945A - 基于污点分析的web漏洞静态检测方法、系统和介质

Info

Publication number: CN113254945A
Application number: CN202110636957.5A
Authority: CN
Inventors: 赵家振; 杨国正; 潘祖烈; 陆余良; 黄晖; 于璐; 钟晓峰
Original assignee: National University of Defense Technology
Current assignee: National University of Defense Technology
Priority date: 2021-06-08
Filing date: 2021-06-08
Publication date: 2021-08-13

Abstract

本发明提出了一种基于污点分析的web漏洞静态检测方法，包括：将目标源码转成中间语言；对转换后的中间语言进行扫描，在扫描过程中进行污点分析；输出所述从污点源到污点汇聚点的传播链上所有被标记的污点变量依序构成的污点传播路径，作为web漏洞检测结果。当目标源码文件中存在文件包含关系时，启动新的子分析进程对被包含文件进行递归的污点分析。第一，提高了对Web漏洞静态检测精确率。本发明通过利用中间语言的语义精确性，实现了对面向对象代码进行较好的检测，从而提高了检测精确率，并且通过实现过程间的污点分析，解决对用户自定义函数的检测难题，提高了静态检测的检测能力，降低了误报率。

Description

基于污点分析的web漏洞静态检测方法、系统和介质

技术领域

本发明属于网络安全领域，具体涉及一种基于污点分析的web漏洞静态检测方法、系统和介质。

背景技术

随着互联网的发展，金融网上交易、政府电子政务、企业门户网站、社区论坛、电子商务等各类基于HTML文件格式的信息共享平台（WEB应用系统）越发完善，深入到人们生活中的点点滴滴。然而Web应用共享平台为我们的生活带来便利的同时，也面临着前所未有的挑战：Web应用系统直接面向Internet，以Web应用系统为跳板入侵服务器甚至控制整个内网系统的攻击行为已成为最普遍的攻击手段，因此如何更好地检测Web漏洞是近年来的研究热点。

污点分析是一种跟踪并分析污点信息在程序中流动的技术，最早由 Dorothy E.Denning1976年提出。在程序分析中，常常将来自程序之外的、并且进入程序的信息当做污点信息，这时污点信息可以指程序接收的外部输入数据，也可以指程序捕捉到的来自外界的信号，如鼠标点击等。此外，根据分析的需要，程序内部使用数据也可作为污点信息，并分析其对应的信息的流向，例如在分析程序是否会将用户的隐私信息泄露到程序外时，我们将程序所使用的用户的隐私信息作为污点信息。

污点分析的过程通常包括三部分：识别污点信息在程序中的产生点并对污点信息进行标记；利用特定的规则跟踪分析污点信息在程序中的传播过程；在一些关键的程序点检查关键的操作是否会受到污点信息的影响。

当我们应用污点分析技术分析程序是否存在漏洞时，通常我们会将所有外部输入当作污点信息，并定义漏洞触发点的规则，当污点信息经过污点传播到达漏洞触发点时，一般我们认为该程序存在漏洞。

现有技术的漏洞检测方法中，一类方案是基于源码的web漏洞静态检测方法，一般基于正则表达式，对源代码进行关键字匹配，搜索其中可能存在的漏洞。该类方案的优点是能够针对新的漏洞进行快速的更新，但由于大部分漏洞需要的正则表达式检测规则较为复杂，Web应用安全研究员在使用该方法时，需要投入大量人工经验；另外针对每一个不同应用的不同漏洞都需要编写对应的正则表达式，自动化检测能力低下。另一类方案是基于词法分析后的结果进行静态检测，但其不支持检测面向对象代码，不支持过程间分析，无法分析用户自定义函数，导致其检测漏报率较高，检测精确率较低，具有局限性。

发明内容

本申请从实际需求和应用的角度出发，设计出一种基于污点分析的Web漏洞静态检测方法、系统和介质，通过中间语言对web应用漏洞进行静态检测，中间语言的语义精确性能够解决对面向对象代码的检测难题；另外，通过实现过程间污点分析，解决了对用户自定义函数的检测难题。

本发明提出了一种基于污点分析的web漏洞静态检测方法，包括：

S1. 将目标源码转成中间语言；

S2. 对转换后的中间语言进行扫描，在扫描过程中进行污点分析；

S3. 输出污点传播路径，作为web漏洞检测结果。

其中，进行污点分析，包括：

将用于接收不受信任数据的变量标记为污点变量，保存在全局变量数组中；将与污点变量间有直接赋值关系的变量标记为污点变量；在污点传播过程中，当污点变量被作为清洁函数的参数进行传递时，对该点进行标记；在污点传播过程中，当污点变量作为危险函数的参数进行传递时，认定该污点变量传入污点汇聚点。由从污点源到污点汇聚点的传播链上所有被标记的污点变量依序构成污点传播路径。

此外，本发明还提出了一种基于污点分析的web漏洞静态检测系统，包括：

源码转换模块：将目标源码转成中间语言；

污点分析模块：对转换后的中间语言进行扫描，在扫描过程中进行污点分析；

漏洞输出模块：输出污点传播路径，从而确定web漏洞。

另一方面，本发明还提出了一种计算机可读存储介质，存储有多条指令；所述多条指令由处理器加载并执行本发明的基于污点分析的web漏洞静态检测方法。

本发明的有益效果是：

相对现有技术，本发明主要有以下两点技术效果：①②降低对Web漏洞静态检测的误报率

第一，提高了对Web漏洞静态检测精确率。本发明通过基于中间语言级别对Web漏洞进行静态检测，利用中间语言的语义精确性，可以对面向对象代码进行较好的检测，从而提高了检测精确率。

第二，本申请通过实现过程间的污点分析，解决对用户自定义函数的检测难题，因此提高了静态检测的检测能力，降低了误报率。

附图说明

图1是本发明的总体架构图；

图2是本发明的污点分析过程示意图；

图3是本发明的自定义函数检测原理图；

图4是本发明的一个实施例的含有命令注入漏洞的代码片段示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明具体实施例及相应的附图对本发明技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1是本发明的总体架构图。本发明的基于污点分析的web漏洞静态检测方法，包括：

S1. 将PHP目标源码转成中间语言opcode。

Opcode是一种php的中间语言(这一点在关键术语定义中已提及)，采用中间语言进行程序分析的优势主要为：中间语言中指令语义简单，每条指令只完成一个功能，对每条指令更容易解释执行，保证了分析准确性。

采用开源工具vld对php源码进行转换：vld是一个php插件，其作用是在php源码编译的过程中，将opcode以一定格式打印输出。也就是说在每一个php代码运行的过程中，都会产生opcode，php引擎最终执行的也是opcode,但通常产生的opcode不可见，因此需要一个php插件修改编译过程中的逻辑，使得opcode可见。

由于中间语言具备语义精确的特性，基于中间语言进行分析能提高程序分析的精确率。

举例来说，源代码为赋值语句$a=$_POST['a']，转为opcode后，表现为FETCH_R($1, '_POST')->FETCH_DIM_R($2,$1, 'a')->ASSIGN(,!0,$2)。

S2. 对转换后的中间语言进行扫描，在扫描过程中进行污点分析。

图2显示了污点分析的过程。

S21. 进行污点源标记：将用于接收不受信任数据的变量标记为污点变量，保存在全局变量数组中。如图2中的污点变量1和污点变量2。

污点源代表该处能够直接引入不受信任的数据，本发明中，污点的粒度为变量级别，即污点源引入的污点会保存到变量中，故称被污点污染的变量为污点变量。

S22. 将与污点变量间有直接赋值关系的变量标记为污点变量。

本发明中提到的污点变量有两种，一种是接收污点源数据的初始变量，另一种是在数据流传播过程中与第一种污点变量有直接赋值关系的污点。例如，变量1，变量2，变量4三者之间存在赋值关系：变量2=变量1，变量3=变量2，那么认定变量2，变量4为污点变量。在污点传播的同时，会同步记录变量1->变量2->变量4的污点传播链。

S23. 在污点传播过程中，当污点变量被作为清洁函数的参数进行传递时，对污点变量进行标记。

在污点传播过程中，污点变量可能会作为清洁函数的参数进行传递，此时会对该点进行标记，污点传播链表现为变量1->变量2->变量4->清洁函数->变量5 。

S24. 在污点传播过程中，当污点变量作为危险函数的参数进行传递时，认定该污点变量传入污点汇聚点。

由从污点源到污点汇聚点的传播链上所有被标记的污点变量依序构成污点传播路径。如图2中，污点变量5传入危险函数。在污点分析结束后，输出污点传播链最后节点为污点汇聚点的传播链，即变量1->变量2->变量4->清洁函数->变量5->危险函数。

S3. 输出污点传播路径，作为web漏洞检测结果。

对于污点传播链：变量8->变量9->变量10，由于最后节点不是污点汇聚点，因此在输出分析结果时，不会输出该链路。

重复以上过程，直到对所有目标php源码转成的opcode全部扫描完毕。

在进行所述污点分析时：

当遇到过程间分析需求时，如PHP文件中包含另一个函数文件，污点分析过程中需要分析被包含文件时，本发明的方法会启动新的子分析进程对被包含文件进行递归的污点分析，分析结果通过进程间通信技术返回至主分析进程处，通过该方法能够实现过程间分析。另外，用户自定义函数分析原理如图3所示，当自定义函数通过文件包含的方式进行定义时，分析用户自定义函数需要进行过程间分析，对用户自定义函数的opcode进行特征提取，根据不同的特征判定其为哪一

类函数，如果自定义函数既不属于清洁函数，也不属于危险函数，不需要关注。

实施例：

下面以含有命令注入漏洞的代码片段vul.php为例，说明使用本发明的基于污点分析的web漏洞静态检测方法检测漏洞的过程，过程图参见图4。

#vul.php

<

php

include “test.php”;

$dir=$_GET[“dir”];

$dir=str_replace(“whoami”, “”,“$dir”);

system1(“ls -al”.$dir);

>

#test.php

<

php

function system1($command1,$command2){

$command=$command1.$command2;

return system($command);

}

1）如表1所示，将目标php源码vul.php转成opcode。

2）基于opcode进行污点分析

如表1所示，遇到指令INCLUDE_OR_EVAL,且其操作数op2的值为INCLUDE，说明此处为文件包含，因此对被包含的文件进行污点分析。

表1

被包含的文件为test.php，其opcode如表2所示，可以看到，通过指令INIT_FCALL调用了PHP内置函数system，且函数system1的参数!1经污点分析，最终污点信息传递到变量!2当中，并作为system的参数，因此判定system1为危险函数，随后返回到对vul.php的主分析进程。

表2

$dir通过_GET方法接受外部输入，因此被标记为污点变量

发现污点变量$dir传播到清洁函数str_replace中，将该节点加入到$dir的污点传播链中

发现污点变量$dir传播到危险函数system1中(通过自定义函数检测判定为危险函数)，将该节点加入到$dir的污点传播链中

3）分析结束，根据获得的污点传播链，发现$dir的污点传播链到达汇聚点，输出污点传播路径。

源码转换模块：将目标源码转成中间语言；

漏洞输出模块：输出污点传播路径，从而确定web漏洞。

以及，本发明还提出了一种计算机可读存储介质，存储有多条指令；所述多条指令由处理器加载并执行本发明的基于污点分析的web漏洞静态检测方法。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机装置(可以是个人计算机，实体机服务器，或者网络云服务器等，需安装Windows或者Windows Server操作系统)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(RandomAccess Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明技术方案的范围内。

Claims

1.一种基于污点分析的web漏洞静态检测方法，其特征在于，包括以下步骤：

S1. 将目标源码转成中间语言；

所述进行污点分析，包括：

S21. 进行污点源标记：将用于接收不受信任数据的变量标记为污点变量，保存在全局变量数组中；

S3. 输出污点传播路径，作为web漏洞检测结果。

2.根据权利要求1所述的基于污点分析的web漏洞静态检测方法，其特征在于：

所述目标源码是PHP源码，所述中间语言是opcode。

3.根据权利要求1所述的基于污点分析的web漏洞静态检测方法，其特征在于，所述步骤S2中，所述进行污点分析，还包括：

4.根据权利要求3所述的基于污点分析的web漏洞静态检测方法，其特征在于，所述步骤S2中，所述进行污点分析，还包括：

5.根据权利要求4所述的基于污点分析的web漏洞静态检测方法，其特征在于，所述步骤S2中，所述进行污点分析，还包括：

6.根据权利要求1所述的基于污点分析的web漏洞静态检测方法，其特征在于，所述步骤S2中，在进行所述污点分析时：

当目标源码文件中存在文件包含关系时，启动新的子分析进程对被包含文件进行递归的污点分析，将分析结果通过进程间通信返回至主分析进程。

7.根据权利要求1所述的基于污点分析的web漏洞静态检测方法，其特征在于，所述步骤S3中：

所述污点传播路径由从污点源到污点汇聚点的传播链上所有被标记的污点变量依序构成。

8.一种基于污点分析的web漏洞静态检测系统，其特征在于，包括以下模块：

源码转换模块：将目标源码转成中间语言；

所述进行污点分析，包括：进行污点源标记：将用于接收不受信任数据的变量标记为污点变量，保存在全局变量数组中；

漏洞输出模块：输出污点传播路径，从而确定web漏洞。

9.一种计算机可读存储介质，其特征在于：所述存储介质中存储有多条指令；所述多条指令由处理器加载并执行如权利要求1-7之任一项所述的基于污点分析的web漏洞静态检测方法。