CN113609487A - 通过静态分析检测后门代码的方法 - Google Patents

Abstract

本申请涉及一种通过静态分析检测后门代码的方法，应用于信息安全技术领域，其检测设备在待测代码中检测预设特定函数所在的目标代码段；所述检测设备跟踪所述目标代码段的数据流传递路径；所述检测设备获取预设的后门代码判断条件，所述后门代码判断条件至少包括：系统层面操作或数据输出操作；若所述目标代码段的数据流传递路径存在系统层面操作或数据输出操作，所述检测设备则确定所述目标代码段中存在后门代码；所述检测设备根据所述目标代码段的数据流传递路径，定位并显示所述后门代码的具体位置。本申请通过检测设备检测待测代码中的后门代码，增加操作系统运行待测程序的安全性，以避免操作系统中的数据被破坏和窃取。

Description

通过静态分析检测后门代码的方法

技术领域

本申请涉及信息安全技术领域，尤其是涉及一种通过静态分析检测后门代码的方法。

背景技术

目前软件的测试方法主要为静态测试，静态测试是指不运行待测程序，通过分析对待测程序进行检测。白盒测试属于静态测试，传统的白盒测试是按照程序内部的结构测试程序，通过测试待测程序中的所有逻辑路径是否都能按预定要求正常运行，从而检测出待测程序中存在的漏洞。

后门代码是一种特殊的漏洞，后门代码大多为开发人员有意预留的违规代码，后门代码可以绕过操作系统的安全认证而直接获取数据访问权，通常目的为数据破坏或数据窃取。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

由于后门代码与待测程序中正常代码的编写逻辑、函数和代码结构相似度高，所以传统的白盒测试很难对后门代码进行识别，因此无法对后门代码进行检测，操作系统在运行待测程序时存在安全隐患。

发明内容

为了解决现有的技术问题，本申请提供一种通过静态分析检测后门代码的方法，所述技术方案如下：

第一方面，提供了一种通过静态分析检测后门代码的方法，所述方法包括：

检测设备在待测代码中检测预设特定函数所在的目标代码段；

所述检测设备跟踪所述目标代码段的数据流传递路径；

所述检测设备获取预设的后门代码判断条件，所述后门代码判断条件至少包括：系统层面操作或数据输出操作；

若所述目标代码段的数据流传递路径存在系统层面操作或数据输出操作，所述检测设备则确定所述目标代码段中存在后门代码；

所述检测设备根据所述目标代码段的数据流传递路径，定位并显示所述后门代码的具体位置。

第二方面，一种通过静态分析检测后门代码的装置，其特征在于，所述装置包括：

第一检测模块，用于检测待测代码中预设特定函数所在的目标代码段；

数据流模块，用于跟踪所述目标代码段的数据流传递路径；

判断模块，用于获取预设的后门代码判断条件，所述后门代码判断条件至少包括：系统层面操作或数据输出操作；

第二检测模块，用于检测目标代码段的数据流传递路径若存在系统层面操作或数据输出操作，所述检测设备则确定所述目标代码段中存在后门代码；

定位模块，根据目标代码段的数据流传递路径，定位并显示所述后门代码的具体位置。

第三方面，提供了一种检测设备，所述检测设备包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现如第一方面所述的检测并显示后门代码的具体位置。

第四方面，提供了一种计算机可读存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由处理器加载并执行以实现如第一方面所述的检测并显示后门代码的具体位置。

本申请实施例提供的技术方案带来的有益效果是：

本申请实施例中，检测设备在待测代码中检测预设的特定函数，从而检测设备提取特定函数所在的目标代码段，接着检测设备跟踪目标代码段中的数据流传递路径，检测设备检测数据流传递路径中是否存在数据输出操作，即可判断目标代码段中是否具有后门代码，若存在后门代码，检测设备根据目标代码段中的数据流传递路径，定位并显示后门代码的具体位置。这样，检测设备可以根据数据流传递路径定位并显示待测代码中后门代码的具体位置，从而避免待测代码中存在后门代码，进而增加操作系统运行待测程序的安全性，以避免操作系统中的数据被破坏和窃取。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的通过静态分析检测后门代码的方法流程图。

图2是本申请实施例提供的通过静态分析检测后门代码的装置的结构示意图。

图3是本申请实施例提供的检测设备的结构示意图。

具体实施方式

以下结合附图1-3对本申请作进一步详细说明。

本申请实施例公开一种通过静态分析检测后门代码的方法，静态分析是指不运行被测程序本身，仅通过分析源程序的语法、结构、过程、接口等来检查程序的正确性。静态分析主要检查代码和设计的一致性，代码对标准的遵循、可读性，代码的逻辑表达的正确性，代码结构的合理性等方面；可以发现违背程序编写标准的问题，程序中不安全、不明确和模糊的部分，主要是指后门代码。后门代码大多为开发人员有意预留的违规代码，通过后门代码可以绕过操作系统的安全认证而直接获取数据访问权，通常目的为数据破坏或数据窃取。所述方法被代码检测的服务商应用于网络设备中，具有通过该方法进行代码检测功能的网络设备即为检测设备，检测设备可以对待测代码进行逐行甄别，从而将后门代码检测出来，提高操作系统在运行待测代码时的安全性。一些需要具有高可靠性的软件领域可以通过检测设备进行检测，以提高操作系统在运行软件时的安全性，例如：军工软件、航天航空软件和工业控制软件等。

下面将结合具体实施方式，对图1所示的处理流程进行详细的说明，内容可以如下：

步骤101，检测设备在待测代码中检测预设特定函数所在的目标代码段。

检测设备预设有函数数据库，函数数据库中包括特定函数，检测设备对样本后门代码进行分析和汇总，检测设备提取样本后门代码中所有存在的函数，并统计所有函数的出现频率，检测设备将出现频率大于预设值的函数设定为特定函数，特定函数至少包括：建立通信链接函数、执行系统命令函数和数据输出函数，如表1所示，表1为一些特定函数的举例说明：

建立通信连接函数	socket
		执行系统命令函数	runtime、system
数据输出函数	printf、scanf
		……	……

在实施中，检测设备将函数数据库中的特定函数与待测代码中的函数进行对比，在待测代码中检测到特定函数所在的代码段，目标代码段不止一个。例如：待测代码中其中一个代码段中存在socket函数和runtime函数，检测设备通过函数数据库检测出socket函数和runtime函数所在的目标代码段。

可选的，步骤101之前，检测设备获取样本后门代码；检测设备提取后门代码中所存在的函数，统计后门代码中的函数出现频率；检测设备将函数出现频率大于预设值的函数设定为特定函数，预处理如下：。

在实施中，检测设备的服务商向检测设备中输入样本后门代码，检测设备对样本后门代码进行分析和汇总，检测设备提取样本后门代码中所有存在的函数，并统计所有函数的出现频率，检测设备将出现频率大于预设值的函数设定为特定函数，预设值由检测设备的服务商自行设置，例如：0.5%、0.2%等。检测设备判断具有特定函数的代码段中可能存在后门代码，不具备特定函数的代码段不存在后门代码，所以可以通过特定函数对待测代码中的后门代码进行初步检测。

步骤102，检测设备跟踪目标代码段的数据流传递路径。

其中，数据流是一组有序的，有起点和终点的字节的数据序列，数据流分为输入流和输出流两类。输入流只能读不能写，而输出流只能写不能读。通常程序中使用输入流读出数据，输出流写入数据，就好像数据流入到程序并从程序中流出，数据输入流读取数据的所有地址和输出流写入数据的所有地址汇总称为数据流传递路径。

在实施中，检测设备跟踪目标代码段中所有的数据流传动路径，并将所有的数据流传递路径所经过的地址进行记录。这样，检测设备可以检测数据流传递路径中的所有数据操作，从而便于检测设备检测目标代码段中的后门代码所进行的数据操作。

可选的，为了便于跟踪目标代码段中的所有数据流传递路径，步骤102的处理可以如下：检测设备建立待测代码的代码抽象树模型；检测设备通过代码抽象树模型跟踪目标代码段的数据流传递路径。

检测设备建立待测代码的代码抽象树模型，通过代码抽象树模型可以快速跟踪目标代码段的数据流传递路径。其中，代码抽象数模型是描述程序语法结构的一种树状图形表示，代码抽象树模型是由程序中不同类型的节点组成，每一个节点都代表了一种不同的语法结构。这些节点包括了表达式节点、语句节点、复合语句、类型节点和函数声明节点等。代码抽象树模型根据这些节点可与准确跟踪数据流传递路径，并可以记录数据流传递路径中所有的地址。

步骤103，检测设备获取预设的后门代码判断条件，后门代码判断条件至少包括：系统层面操作或数据输出操作。

在实施中，检测设备预设有后门代码判断条件，后门代码判断条件设有多个，后门代码判断条件至少包括：系统层面操作或数据输出操作，检测设备同时通过多个后门代码判断条件对目标代码段进行判断，目标代码段中满足任意一个后门代码判断条件时，检测设备均认为目标代码段中存在后门代码。

步骤104，若目标代码段的数据流传递路径存在系统层面操作或数据输出操作，检测设备则确定目标代码段中存在后门代码。

在实施中，检测设备将后门代码判断条件与目标代码段进行对比，检测设备检测目标代码段中是否存在系统层面操作或数据输出操作，如果存在系统层面操作和数据输出操作中的任意一种，检测设备均认为目标代码段中存在后门代码。

可选的，若检测设备检测目标代码段中存在建立通信链接且执行系统命令操作，检测设备则判断目标代码中存在后门代码，步骤104的处理步骤如下：

检测设备根据代码抽象树模型检测目标代码段中是否存在建立通信连接的操作，若存在建立通信连接操作，检测设备检测目标代码段是否有执行系统命令的操作，若目标代码段中存在执行系统命令的操作，检测设备则认为目标代码段中存在后门代码。

可选的，若所述检测设备检测目标代码段中存在数据输出操作，所述检测设备则判断目标代码中存在后门代码，步骤104的处理步骤如下：

检测设备根据代码抽象树模型检测目标代码段中是否存在数据输出操作，若存在数据输出操作，检测设备认为目标代码段中存在后门代码，若不存在数据输出操作，检测设备则认为目标代码段中不存在后门代码。

此外，检测设备预设有授权地址，检测设备通过代码抽象树模型检测数据输出地址是否为预设的授权地址。

其中，授权地址为待测代码的服务商设立的允许进行数据输出的正规地址以及代码中必需要进行数据输出的正规地址。

在实施中，检测设备通过代码抽象树模型检测出目标代码段中存在数据输出操作时，检测设备通过代码抽象树模型检测目标检测数据流传递路径，从而检测出数据输出地址，检测设备再将数据输出地址与预设的授权地址进行对比，若数据输出地址为授权地址，检测设备则对重新判定目标代码中不存在后门代码；若数据输出地址不是授权地址，检测设备认为目标代码中存在后门代码。

同时，检测设备可以接收携带有目标数据输出地址的授权指令，对目标数据输出地址进行授权。

在实施中，检测设备将所有授权地址和待测代码中若干未授权的地址进行排列，形成地址列表并显示在操作系统的界面上。用户可以在地址列表中添加目标数据输出地址，若目标数据输出地址属于检测设备中未授权的地址，用户只需点击目标数据输出地址进行授权，若目标数据输出地址不属于检测设备中未授权的地址，用户则可以手动输入目标数据输出地址并进行授权，检测设备接收携带有目标数据输出地址的授权指令，检测设备对目标数据输出地址进行授权，允许目标数据输出地址进行数据输出，当目标数据输出地址进行数据输出时，检测设备不会认为目标代码段中存在后门代码。

步骤105，检测设备根据目标代码段的数据流传递路径，定位并显示后门代码的具体位置。

在实施中，检测设备在判断目标代码段存在后门代码后，检测设备通过代码抽象树模型跟踪后门代码的数据流传递路径，从而根据后门代码的传递路径定位后门代码的具体位置，并显示在操作系统的界面上。

可选的，可以通过标记代码起始行和代码结束行的方式，定位后门代码的具体位置，相应的，步骤105的处理可以如下：检测设备根据目标代码段的数据流传递路径，确定数据流的起始输入端和最终输出端；检测设备确认待测代码中起始输入端到最终输出端所包括的代码段均为后门代码，检测设备显示所述待测代码中起始输入端和最终输出端所在的行数。

在实施中，检测设备通过代码抽象树模型跟踪并记录后门代码的数据流传递过程中所经过的每个节点和地址，检测设备判断出目标数据流传递路径的起始输入端和最终输出端，检测设备认为待测代码中起始输入端到最终输出端所包括的代码段均为后门代码，检测设备将待测代码中起始输入端和最终输出端所在的行数显示到操作系统的界面上，例如：第100行-第102行。

本申请实施例中，检测设备在待测代码中检测预设特定函数所在的目标代码段；检测设备跟踪目标代码段的数据流传递路径；若目标代码段的数据流传递路径存在系统层面操作或数据输出操作，检测设备则确定目标代码段中存在后门代码；检测设备根据目标代码段的数据流传递路径，定位并显示后门代码的具体位置。这样，在对待测代码进行检测时，检测设备可以根据特定函数检测出待测代码中可能存在后门代码的目标代码段，特定函数是检测设备的服务商对已知的后门代码进行分析和汇总，从而得出的后门代码中可能存在的函数，具有特定函数的代码段中可能存在后门代码，不具备特定函数的代码段不存在后门代码，所以可以通过特定函数对待测代码中的后门代码进行初步检测，检测设备通过代码树模型对目标代码段中的数据流传递路径进行跟踪，并检测其中是否有数据输出操作或系统层次的操作，从而进一步判断目标代码段是否存在后门代码，若存在后门代码，检测设备检测数据流传递路径中的起始输入端和最终输出端，检测设备认为目标代码段中起始输入端到最终输出端所包括的代码均为后门代码，检测设备将后门代码的具体位置显示在操作系统的界面上，例如：第100行-第102行，从而可以将后门代码与正常代码进行区分，进而可以定位并显示后门代码的具体位置，使得待测程序的服务商可以对后门代码进行清除，以提高操作系统在运行待测程序时的安全性。

基于相同的技术构思，本申请实施例还提供了一种通过静态分析检测后门代码的装置，如图2所示，该装置包括：

第一检测模块，用于检测待测代码中预设特定函数所在的目标代码段；

数据流模块，用于跟踪目标代码段的数据流传递路径；

判断模块，用于获取预设的后门代码判断条件，后门代码判断条件至少包括：系统层面操作或数据输出操作；

第二检测模块，用于检测目标代码段的数据流传递路径是否存在系统层面操作或数据输出操作，若存在，检测设备则确定所述目标代码段中存在后门代码；

定位模块，根据目标代码段的数据流传递路径，定位并显示所述后门代码的具体位置。

需要说明的是：上述实施例提供的通过静态分析检测后门代码的装置在检测后门代码时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将服务器的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的通过静态分析检测后门代码的装置与静态分析检测后门代码的方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图3是本申请实施例提供的检测设备的结构示意图。该检测设备300可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上中央处理器322（例如，一个或一个以上处理器）和存储器332，一个或一个以上存储应用程序342或数据344的存储介质330（例如一个或一个以上海量存储设备）。其中，存储器332和存储介质330可以是短暂存储或持久存储。存储在存储介质330的程序可以包括一个或一个以上模块（图示没标出），每个模块可以包括对检测设备300中的一系列指令操作。更进一步地，中央处理器322可以设置为与存储介质330通信，在检测设备300上执行存储介质330中的一系列指令操作。

检测设备300还可以包括一个或一个以上电源329，一个或一个以上有线或无线网络接口350，一个或一个以上输入输出接口358，一个或一个以上键盘356，和/或，一个或一个以上操作系统341，例如Windows Server，Mac OS X，Unix，Linux，FreeBSD等等。

检测设备300可以包括有存储器，以及一个或者一个以上的程序，其中一个或者一个以上程序存储于存储器中，且经配置以由一个或者一个以上处理器执行所述一个或者一个以上程序包含用于进行上述检测后门代码的方法中检测设备的处理。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上均为本申请的较佳实施例，并非依此限制本申请的保护范围，故：凡依本申请的结构、形状、原理所做的等效变化，均应涵盖于本申请的保护范围之内。

Claims (10)

1.一种通过静态分析检测后门代码的方法，其特征在于，所述方法包括：

检测设备在待测代码中检测预设特定函数所在的目标代码段；

所述检测设备跟踪所述目标代码段的数据流传递路径；

所述检测设备获取预设的后门代码判断条件，所述后门代码判断条件至少包括：系统层面操作或数据输出操作；

若所述目标代码段的数据流传递路径存在系统层面操作或数据输出操作，所述检测设备则确定所述目标代码段中存在后门代码；

所述检测设备根据所述目标代码段的数据流传递路径，定位并显示所述后门代码的具体位置。

2.根据权利要求1所述的通过静态分析检测后门代码的方法，其特征在于，检测设备在待测代码中检测预设特定函数所在的目标代码段之前，还包括：

所述检测设备获取样本后门代码；

所述检测设备提取后门代码中所存在的函数，统计后门代码中的函数出现频率；

所述检测设备将所述函数出现频率大于预设值的函数设定为特定函数。

3.根据权利要求1所述的通过静态分析检测后门代码的方法，其特征在于，所述检测设备跟踪所述目标代码段的数据流传递路径，包括：

所述检测设备建立所述待测代码的代码抽象树模型；

所述检测设备通过所述代码抽象树模型跟踪所述目标代码段的数据流传递路径。

4.根据权利要求1所述的通过静态分析检测后门代码，其特征在于，若所述目标代码段的数据流传递路径存在系统层面操作或数据输出操作，所述检测设备则确定所述目标代码段中存在后门代码，包括：

若检测到所述目标代码段中同时存在通信链接的建立操作和系统命令的执行操作，所述检测设备则判断所述目标代码中存在后门代码。

5.根据权利要求4所述的通过静态分析检测后门代码，其特征在于，若所述目标代码段的数据流传递路径存在系统层面操作或数据输出操作，所述检测设备则确定所述目标代码段中存在后门代码，包括：

所述检测设备则通过所述代码抽象树模型检测所述数据输出地址是否为预设的授权地址；

若是授权地址，所述检测设备则重新判断目标代码段中不存在后门代码；

若不是授权地址，所述检测设备则确定目标代码段中存在后门代码。

6.根据权利要求5所述的通过静态分析检测后门代码的方法，其特征在于，所述方法还包括：

所述检测设备根据所述授权地址建立授权地址列表；

所述检测设备接收携带有目标数据输出地址的授权指令，在授权地址列表添加所述目标数据输出地址。

7.根据权利要求1所述的通过静态分析检测后门代码的方法，其特征在于，所述检测设备根据所述目标代码段的数据流传递路径，定位并显示所述后门代码的具体位置，包括：

所述检测设备根据所述目标代码段的数据流传递路径，确定数据流的起始输入端和最终输出端；

所述检测设备确认所述待测代码中起始输入端到最终输出端所包括的代码段均为后门代码；

所述检测设备显示所述待测代码中所述起始输入端和所述最终输出端所在的行数。

8.一种通过静态分析检测后门代码的装置，其特征在于，所述装置包括：

第一检测模块，用于检测待测代码中预设特定函数所在的目标代码段；

数据流模块，用于跟踪所述目标代码段的数据流传递路径；

判断模块，用于获取预设的后门代码判断条件，所述后门代码判断条件至少包括：系统层面操作或数据输出操作；

第二检测模块，用于检测目标代码段的数据流传递路径若存在系统层面操作或数据输出操作，所述检测设备则确定所述目标代码段中存在后门代码；

定位模块，根据目标代码段的数据流传递路径，定位并显示所述后门代码的具体位置。

9.一种检测设备，其特征在于，所述检测设备包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现如权利要求1至7任一所述的检测后门代码的方法中检测设备的处理。

10.一种计算机可读存储介质，其特征在于，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由处理器加载并执行以实现如权利要求1至7任一所述的检测后门代码的方法中检测设备的处理。

Images