CN113760339A - 漏洞修复方法和装置 - Google Patents

Abstract

本公开的实施例公开了漏洞修复方法和装置。该方法的一具体实施方式包括：从控制服务器获取漏洞信息，其中，漏洞信息包括漏洞指纹和补丁配置文件；根据漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞；若存在漏洞，则根据补丁配置文件中的补丁路径获取漏洞补丁；根据漏洞补丁对受保护应用程序进行补丁更新修复。该实施方式解决了修复漏洞需要修改代码，重新编译，重新上线的问题。可以在不修改应用代码，不编译和重启应用的情况下修复Java漏洞。

Description

漏洞修复方法和装置

技术领域

本公开的实施例涉及计算机技术领域，具体涉及漏洞修复方法和装置。

背景技术

随着Java Web企业开发技术在企业中应用越来越广泛，同时针对Java Web技术的相关安全研究也越来越深入，针对Java Web技术的漏洞也层出不穷。企业中为了修复这些漏洞需要大量的时间用于漏洞定位、代码修改、编译、测试上线等一系列修复流程。同时，以上流程时间过长，中间的空档期成了黑客利用漏洞进行攻击的绝佳时间。随着攻防对抗越来越激烈，企业中如何方便、准确、快速的修复漏洞成了期待解决的难题。

现有Java安全漏洞热修复技术主要都集中在客户端场景和系统安全场景下，很少有用于服务器端，即使是有相似技术主要解决的也是如何修复bug、更新资源，没有一个成熟完整的后端安全场景下的技术方案。

发明内容

本公开的实施例提出了漏洞修复方法和装置。

第一方面，本公开的实施例提供了一种漏洞修复方法，包括：从控制服务器获取漏洞信息，其中，漏洞信息包括漏洞指纹和补丁配置文件；根据漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞；若存在漏洞，则根据补丁配置文件中的补丁路径获取漏洞补丁；根据漏洞补丁对受保护应用程序进行补丁更新修复；修复完成后向控制服务器上报修复结果。

在一些实施例中，根据漏洞补丁对受保护应用程序进行补丁更新修复，包括：对漏洞补丁进行解析，获取修复点和修复方法；将漏洞补丁中的源码进行编译，得到补丁字节码文件；根据修复点和修复方法对受保护应用程序进行补丁更新修复。

在一些实施例中，根据修复点和修复方法对受保护应用程序进行补丁更新修复，包括：获取受保护应用程序的当前运行JVM实例的唯一进程的标识符，加载InstrumentAgent动态链接库至唯一进程中；创建socket套接字连接并向服务端socket发送补丁字节码文件；根据修复点和修复方法将重定义类请求封装为虚拟机层面的操作并添加至虚拟机线程运行队列中，当线程从队列中拉取重定义类请求时，加载补丁字节码文件，完成合并待修改类常量池、清除原方法断点、进行更新类操作。替换存在漏洞方法的字节码为补丁字节码片段，完成已安全修复后的类重定义通知，加载漏洞修复后的类文件。

在一些实施例中，在创建socket套接字连接并向服务端socket发送补丁字节码文件之前，方法还包括：如果当前运行JVM实例中未启动Attach监听器，则开启服务端socket监听端口接收连接请求。

在一些实施例中，在加载补丁字节码文件之后该方法还包括：校验补丁字节码文件的内容。

在一些实施例中，漏洞信息还包括补丁配置文件MD5摘要；以及方法还包括：根据补丁配置文件MD5摘要对补丁配置文件进行校验。

在一些实施例中，该方法还包括：获取漏洞补丁MD5摘要；根据漏洞补丁MD5摘要对漏洞补丁进行校验。

在一些实施例中，在从控制服务器获取漏洞信息之前，该方法还包括：获取受保护应用程序的版本信息；将版本信息发送到控制服务器，以使得控制服务器根据版本信息查找对应的漏洞信息。

第二方面，本公开的实施例提供了一种漏洞修复装置，包括：获取单元，被配置成从控制服务器获取漏洞信息，其中，漏洞信息包括漏洞指纹和补丁配置文件；扫描单元，被配置成根据漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞；下载单元，被配置成若存在漏洞，则根据补丁配置文件中的补丁路径获取漏洞补丁；更新单元，被配置成根据漏洞补丁对受保护应用程序进行补丁更新修复。

在一些实施例中，该装置还包括报告单元，被配置成修复完成后向控制服务器上报修复结果。

在一些实施例中，更新单元进一步被配置成：对漏洞补丁进行解析，获取修复点和修复方法；将漏洞补丁中的源码进行编译，得到补丁字节码文件；根据修复点和修复方法对受保护应用程序进行补丁更新修复。

在一些实施例中，更新单元进一步被配置成：获取受保护应用程序的当前运行JVM实例的唯一进程的标识符，加载Instrument Agent动态链接库至唯一进程中；创建socket套接字连接并向服务端socket发送补丁字节码文件；根据修复点和修复方法将重定义类请求封装为虚拟机层面的操作并添加至虚拟机线程运行队列中，当线程从队列中拉取重定义类请求时，加载补丁字节码文件。完成合并待修改类常量池、清除原方法断点、进行更新类操作。替换存在漏洞方法的字节码为补丁字节码片段，完成已安全修复后的类重定义通知，加载漏洞修复后的类文件。

在一些实施例中，更新单元进一步被配置成：在创建socket套接字连接并向服务端socket发送补丁字节码文件之前，如果当前运行JVM实例中未启动Attach监听器，则开启服务端socket监听端口接收连接请求。

在一些实施例中，更新单元进一步被配置成：在加载补丁字节码文件之后校验补丁字节码文件的内容。

在一些实施例中，漏洞信息还包括补丁配置文件MD5摘要；以及更新单元进一步被配置成：根据补丁配置文件MD5摘要对补丁配置文件进行校验。

在一些实施例中，更新单元进一步被配置成：获取漏洞补丁MD5摘要；根据漏洞补丁MD5摘要对漏洞补丁进行校验。

在一些实施例中，所述报告单元进一步被配置成：在从控制服务器获取漏洞信息之前，获取受保护应用程序的版本信息；将版本信息发送到控制服务器，以使得控制服务器根据版本信息查找对应的漏洞信息。

第三方面，本公开的实施例提供了一种漏洞修复电子设备，包括：一个或多个处理器；存储装置，其上存储有一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如第一方面中任一所述的方法。

第四方面，本公开的实施例提供了一种计算机可读介质，其上存储有计算机程序，其中，所述程序被处理器执行时实现如第一方面中任一所述的方法。

本申请的实施例提供的漏洞修复方法和装置，解决了传统场景下，漏洞修复需要对原始代码进行修改，重新编译，重启上线等问题，本方案可以直接略过上述步骤，直接通过补丁对线上应用进行更新，快速有效的解决了漏洞修复难、暴露时间长的难题。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本公开的其它特征、目的和优点将会变得更明显：

图1是本公开的一个实施例可以应用于其中的示例性系统架构图；

图2是根据本公开的漏洞修复方法的一个实施例的流程图；

图3a-3c是根据本公开的漏洞修复方法的一个应用场景的示意图；

图4是根据本公开的漏洞修复方法的又一个实施例的流程图；

图5是根据本公开的漏洞修复装置的一个实施例的结构示意图；

图6是适于用来实现本公开的实施例的电子设备的计算机系统的结构示意图。

具体实施方式

下面结合附图和实施例对本公开作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本公开中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本公开。

图1示出了可以应用本申请的漏洞修复方法或漏洞修复装置的实施例的示例性系统架构。

如图1所示，本系统主要分为三个主要模块，其中“漏洞补丁仓库”模块和“控制服务单元”模块安装在“控制服务器”。“控制服务”模块对外提供远程API，“漏洞补丁仓库”模块作为持久化数据库，为“控制服务”提供数据持久化服务。“漏洞修复装置”(以下简称Fix-Unit)与“受保护应用程序”(以下简称Main-Process)安装在同一台服务器，Fix-Unit为安全守护进程，用于保护Main-Process安全，Main-Process一般为业务服务进程。

Fix-Unit通过心跳定期请求控制服务器的远程API，获取最新漏洞信息(步骤201)。当发现有新增安全更新后，通过从控制服务器获取的文件指纹扫描受保护应用程序的可执行文件(步骤202)。如果扫描结果为“存在漏洞”，那么Fix-Unit会获取漏洞补丁(步骤203)，并发起补丁修复流程，通过Java instrument接口，对Main-Process进行补丁更新修复(步骤204)。修复完成后，Fix-Units还可通过远程API上报修复结果。

继续参考图2，示出了根据本申请的漏洞修复方法的一个实施例的流程200。该漏洞修复方法，包括以下步骤：

步骤201，从控制服务器获取漏洞信息。

在本实施例中，漏洞修复方法的执行主体(例如图1所示的应用服务器)可从控制服务器获取漏洞信息。控制服务器可定时推送与应用服务器中受保护应用相关的漏洞信息，可也由应用服务器上报受保护应用的版本信息后找到相应的漏洞信息发给应用服务器。其中，漏洞信息包括漏洞指纹和补丁配置文件。漏洞指纹用于描述漏洞文件的特征。可选地，漏洞信息还可包括补丁配置文件MD5摘要和漏洞补丁MD5摘要。补丁配置文件中可包括补丁路径、文件目录等信息。该方法还包括：根据补丁配置文件MD5摘要对补丁配置文件进行校验。以防止补丁配置文件被篡改。

步骤202，根据漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞。

在本实施例中，将受保护应用程序的可执行文件逐一与漏洞指纹进行扫描匹配，如果有匹配成功的文件，则说明该文件存在漏洞，需要进行修复。如果没找到匹配成功的文件则说明没有漏洞，无需修复。

步骤203，若存在漏洞，则根据补丁配置文件中的补丁路径获取漏洞补丁。

在本实施例中，如果有漏洞，则根据补丁配置文件中的补丁路径从漏洞补丁仓库中下载漏洞补丁。

在本实施例的一些可选的实现方式中，该方法还包括：获取漏洞补丁MD5摘要；根据漏洞补丁MD5摘要对漏洞补丁进行校验。从而防止漏洞补丁被篡改。

步骤204，根据漏洞补丁对受保护应用程序进行补丁更新修复。

在本实施例中，可从漏洞补丁中解析出修复点、修复方法等补丁更新所需要的必要信息。然后根据修复点、修复方法通过InstrumentAgent中提供的接口，对受保护应用中受漏洞影响的方法进行重写。

下载的漏洞补丁是未编译的源码，由应用服务器进行编译。将漏洞补丁中的源码进行编译，得到补丁字节码文件。根据修复点和修复方法对受保护应用程序进行补丁更新修复。

在本实施例的一些可选的实现方式中，获取受保护应用程序的当前运行JVM实例的唯一进程的标识符，加载Instrument Agent动态链接库至唯一进程中；创建socket套接字连接并向服务端socket发送补丁字节码文件；根据修复点和修复方法将重定义类请求封装为虚拟机层面的操作并添加至虚拟机线程运行队列中，当线程从队列中拉取重定义类请求时，加载补丁字节码文件。完成合并待修改类常量池、清除原方法断点、进行更新类itable/vtable等操作。替换存在漏洞方法的字节码为补丁字节码片段，完成已安全修复后的类重定义通知，加载漏洞修复后的类文件在这里漏洞修复装置作为客户端，受保护应用作为服务端。如果受保护应用的当前运行JVM实例中未启动Attach监听器，则需要控制受保护应用开启服务端socket监听端口接收连接请求。然后漏洞修复装置才能建立与受保护应用之间的socket连接，将编译好的补丁字节码文件发给受保护应用。由受保护应用进行漏洞修复。

在本实施例的一些可选的实现方式中，在加载补丁字节码文件之后该方法还包括：校验补丁字节码文件的内容。例如检验文件的格式，如果格式不符合预期，则不能使用。

继续参见图3，图3是根据本实施例的漏洞修复方法的应用场景的一个示意图。在图3的应用场景中，受保护应用为运行在Java虚拟机上的Java EE企业级应用，Java虚拟机规范中向外界提供了虚拟机工具接口集合，该接口可供开发者去扩展实现自己的逻辑。Fix-unit由三部分组成，其中Instrument Agent利用受保护应用暴露的接口提供了代理功能的动态链接库，为插装程序提供支持代理服务。Agent UI接收控制服务器下发指令后，调用代理功能的动态链接库，使用控制协议与待保护JVM实例的虚拟机工具接口通信，加载对应的补丁文件(patch)。然后将补丁文件进行编译，生成的补丁字节码文件发送给受保护应用程序。加载到JVM实例中的agent main方法接收到补丁流文件后新增一个类转换器，其中重定义类请求会由JVM封装为虚拟机层面的操作并添加至虚拟机线程运行队列中。当线程从队列中拉取重定义类请求时，加载新字节码文件并校验内容。然后完成合并待修改类常量池、清除原方法断点、进行更新类itable/vtable等操作。

通过替换存在漏洞方法字节码为补丁字节码片段方式，最终完成已安全修复后的类重定义通知。至此，完成了补丁热更新全部操作，在线实时修复了线上应用安全漏洞。

下面列举两个示例，证明热修复方案可行性。Fastjson是阿里巴巴的开源JSON解析库，它可以解析JSON格式的字符串，支持将Java Bean序列化为JSON字符串，也可以从JSON字符串反序列化到JavaBean。黑客利用该特性可在受害者机器上反序列化指定的恶意类，造成受害者机器被攻击者远程控制执行任意系统命令或者因为内存资源耗尽拒绝对外界提供正常服务。官方为应对层出不穷的反序列化漏洞问题，在1.2.25版本中引入了反序列化类名检查函数，使用黑名单方式对反序列化类名校验，通过抛出运行时异常的方式阻断恶意攻击行为。热补丁在运行时替换了保存黑名单数组变量的字节码片段，实时更新了黑名单列表，可以在不升级组件版本前提下拦截绕过原黑名单的恶意反序列化类，部分补丁代码如图3b所示。1.2.60以下版本由于未对传入的16进制字符做有效性校验，导致解析畸形JSON串时JVM进程的占用内存迅速上升至JVM允许的最大值，最终被操作系统保护进程所结束，造成了无法向正常用户提供正常服务。热补丁在解析JSON结束符时通过获取字节码值和特定值做比较，在解析到畸形16进制时抛出运行时异常结束攻击请求，补丁代码如图3c所示。

本申请的技术方案用于Java后端应用，解决了修复漏洞需要修改代码，重新编译，重新上线的问题。可以在不修改应用代码，不编译和重启应用的情况下修复Java漏洞。

进一步参考图4，其示出了漏洞修复方法的又一个实施例的流程400。该漏洞修复方法的流程400，包括以下步骤：

步骤401，获取受保护应用程序的版本信息，将版本信息发送到控制服务器。

在本实施例中，漏洞修复方法的执行主体(例如图1所示的应用服务器)可收集本地涉及的受保护应用程序的版本信息并上报给控制服务器。由控制服务器根据版本信息分析判断哪些受保护应用程序可能存在漏洞。并将相对应的漏洞信息分配给应用服务器。控制服务器可能管理多台应用服务器，可根据受保护应用程序的版本信息，调度漏洞信息。

步骤402，从控制服务器获取漏洞信息，其中，漏洞信息包括漏洞指纹和补丁配置文件。

步骤403，根据漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞。

步骤404，若存在漏洞，则根据补丁配置文件中的补丁路径获取漏洞补丁。

步骤405，根据漏洞补丁对受保护应用程序进行补丁更新修复。

步骤402-405与步骤201-205基本相同，因此不再赘述。

步骤406，修复完成后向控制服务器上报修复结果。

在本实施例中，修复结果有四种情况：安装成功/失败、卸载成功/失败。还可将失败的原因上报给控制服务器。由控制服务器分析失败原因，例如，补丁文件版本的问题等，更新补丁文件后再次发起漏洞修复。

进一步参考图5，作为对上述各图所示方法的实现，本申请提供了一种漏洞修复装置的一个实施例，该装置实施例与图2所示的方法实施例相对应，该装置具体可以应用于各种电子设备中。

如图5所示，本实施例的漏洞修复装置500包括：获取单元501、扫描单元502、下载单元503、更新单元504。其中，获取单元501，被配置成从控制服务器获取漏洞信息，其中，漏洞信息包括漏洞指纹和补丁配置文件；扫描单元502，被配置成根据漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞；下载单元503，被配置成若存在漏洞，则根据补丁配置文件中的补丁路径获取漏洞补丁；更新单元504，被配置成根据漏洞补丁对受保护应用程序进行补丁更新修复。

在本实施例中，漏洞修复装置500的获取单元501、扫描单元502、下载单元503、更新单元504的具体处理可以参考图2对应实施例中的步骤201、步骤202、步骤203、步骤204。

在本实施例的一些可选的实现方式中，该装置还包括报告单元(附图中未示出)，被配置成修复完成后向控制服务器上报修复结果。

在本实施例的一些可选的实现方式中，更新单元504进一步被配置成：对漏洞补丁进行解析，获取修复点和修复方法；将漏洞补丁中的源码进行编译，得到补丁字节码文件；根据修复点和修复方法对受保护应用程序进行补丁更新修复。

在本实施例的一些可选的实现方式中，更新单元504进一步被配置成：获取受保护应用程序的当前运行JVM实例的唯一进程的标识符，加载Instrument Agent动态链接库至唯一进程中；创建socket套接字连接并向服务端socket发送补丁字节码文件；根据修复点和修复方法将重定义类请求封装为虚拟机层面的操作并添加至虚拟机线程运行队列中，当线程从队列中拉取重定义类请求时，加载补丁字节码文件。完成合并待修改类常量池、清除原方法断点、进行更新类操作。替换存在漏洞方法的字节码为补丁字节码片段，完成已安全修复后的类重定义通知，加载漏洞修复后的类文件。

在本实施例的一些可选的实现方式中，更新单元504进一步被配置成：在创建socket套接字连接并向服务端socket发送补丁字节码文件之前，如果当前运行JVM实例中未启动Attach监听器，则开启服务端socket监听端口接收连接请求。

在本实施例的一些可选的实现方式中，更新单元504进一步被配置成：在加载补丁字节码文件之后校验补丁字节码文件的内容。

在本实施例的一些可选的实现方式中，漏洞信息还包括补丁配置文件MD5摘要；以及更新单元504进一步被配置成：根据补丁配置文件MD5摘要对补丁配置文件进行校验。

在本实施例的一些可选的实现方式中，更新单元504进一步被配置成：获取漏洞补丁MD5摘要；根据漏洞补丁MD5摘要对漏洞补丁进行校验。

在本实施例的一些可选的实现方式中，报告单元进一步被配置成：在从控制服务器获取漏洞信息之前，获取受保护应用程序的版本信息；将版本信息发送到控制服务器，以使得控制服务器根据版本信息查找对应的漏洞信息。

下面参考图6，其示出了适于用来实现本公开的实施例的电子设备(例如图1中的控制服务器或应用服务器)600的结构示意图。图6示出的控制服务器或应用服务器仅仅是一个示例，不应对本公开的实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600可以包括处理装置(例如中央处理器、图形处理器等)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储装置608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有电子设备600操作所需的各种程序和数据。处理装置601、ROM 602以及RAM603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

通常，以下装置可以连接至I/O接口605：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置606；包括例如液晶显示器(LCD)、扬声器、振动器等的输出装置607；包括例如磁带、硬盘等的存储装置608；以及通信装置609。通信装置609可以允许电子设备600与其他设备进行无线或有线通信以交换数据。虽然图6示出了具有各种装置的电子设备600，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。图6中示出的每个方框可以代表一个装置，也可以根据需要代表多个装置。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信装置609从网络上被下载和安装，或者从存储装置608被安装，或者从ROM 602被安装。在该计算机程序被处理装置601执行时，执行本公开的实施例的方法中限定的上述功能。需要说明的是，本公开的实施例所述的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开的实施例中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开的实施例中，计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读信号介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：电线、光缆、RF(射频)等等，或者上述的任意合适的组合。

上述计算机可读介质可以是上述电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被该电子设备执行时，使得该电子设备：从控制服务器获取漏洞信息，其中，漏洞信息包括漏洞指纹和补丁配置文件；根据漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞；若存在漏洞，则根据补丁配置文件中的补丁路径获取漏洞补丁；根据漏洞补丁对受保护应用程序进行补丁更新修复。

可以以一种或多种程序设计语言或其组合来编写用于执行本公开的实施例的操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

描述于本公开的实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器包括获取单元、扫描单元、下载单元和更新单元。其中，这些单元的名称在某种情况下并不构成对该单元本身的限定，例如，获取单元还可以被描述为“从控制服务器获取漏洞信息的单元”。

以上描述仅为本公开的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本公开中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本公开中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (12)

1.一种漏洞修复方法，包括：

从控制服务器获取漏洞信息，其中，所述漏洞信息包括漏洞指纹和补丁配置文件；

根据所述漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞；

若存在漏洞，则根据所述补丁配置文件中的补丁路径获取漏洞补丁；

根据所述漏洞补丁对所述受保护应用程序进行补丁更新修复。

2.根据权利要求1所述的方法，其中，所述方法还包括：

修复完成后向所述控制服务器上报修复结果。

3.根据权利要求1所述的方法，其中，所述根据所述漏洞补丁对所述受保护应用程序进行补丁更新修复，包括：

对所述漏洞补丁进行解析，获取修复点和修复方法；

将所述漏洞补丁中的源码进行编译，得到补丁字节码文件；

根据所述修复点和所述修复方法对所述受保护应用程序进行补丁更新修复。

4.根据权利要求3所述的方法，其中，所述根据所述修复点和所述修复方法对所述受保护应用程序进行补丁更新修复，包括：

获取所述受保护应用程序的当前运行JVM实例的唯一进程的标识符，加载InstrumentAgent动态链接库至所述唯一进程中；

创建socket套接字连接并向服务端socket发送所述补丁字节码文件；

根据所述修复点和所述修复方法将重定义类请求封装为虚拟机层面的操作并添加至虚拟机线程运行队列中，当线程从队列中拉取所述重定义类请求时，加载所述补丁字节码文件；

完成合并待修改类常量池、清除原方法断点、进行更新类操作；

替换存在漏洞方法的字节码为补丁字节码片段，完成已安全修复后的类重定义通知，加载漏洞修复后的类文件。

5.根据权利要求4所述的方法，其中，在创建socket套接字连接并向服务端socket发送所述补丁字节码文件之前，所述方法还包括：

如果所述当前运行JVM实例中未启动Attach监听器，则开启服务端socket监听端口接收连接请求。

6.根据权利要求4所述的方法，其中，在加载所述补丁字节码文件之后所述方法还包括：

校验所述补丁字节码文件的内容。

7.根据权利要求1所述的方法，其中，所述漏洞信息还包括补丁配置文件MD5摘要；以及所述方法还包括：

根据所述补丁配置文件MD5摘要对所述补丁配置文件进行校验。

8.根据权利要求1所述的方法，其中，所述方法还包括：

获取漏洞补丁MD5摘要；

根据所述漏洞补丁MD5摘要对所述漏洞补丁进行校验。

9.根据权利要求1-8中任一项所述的方法，其中，在从控制服务器获取漏洞信息之前，所述方法还包括：

获取所述受保护应用程序的版本信息；

将所述版本信息发送到所述控制服务器，以使得所述控制服务器根据所述版本信息查找对应的漏洞信息。

10.一种漏洞修复装置，包括：

获取单元，被配置成从控制服务器获取漏洞信息，其中，所述漏洞信息包括漏洞指纹和补丁配置文件；

扫描单元，被配置成根据所述漏洞指纹扫描受保护应用程序的可执行文件，判断是否存在漏洞；

下载单元，被配置成若存在漏洞，则根据所述补丁配置文件中的补丁路径获取漏洞补丁；

更新单元，被配置成根据所述漏洞补丁对所述受保护应用程序进行补丁更新修复。

11.一种漏洞修复电子设备，包括：

一个或多个处理器；

存储装置，其上存储有一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-9中任一所述的方法。

12.一种计算机可读介质，其上存储有计算机程序，其中，所述程序被处理器执行时实现如权利要求1-9中任一所述的方法。

Images