CN114706766A - 安全函数的误报消除方法及装置、电子设备、存储介质 - Google Patents

Abstract

本申请提供一种安全函数的误报消除方法及装置、电子设备、存储介质。该方法包括：通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合；通过静态分析技术对待测项目进行缺陷分析，获得缺陷分析结果；去除缺陷分析结果中与安全函数集合相关的误报缺陷，得到待测项目的缺陷检测结果。该方案消除了由于安全函数无法识别引起的相关误报，同时使用到的安全函数都不再需要用户去一一配置，提升了用户使用静态分析工具的友好性。

Description

安全函数的误报消除方法及装置、电子设备、存储介质

技术领域

本申请涉及计算机技术领域，特别涉及一种源代码缺陷检测方法及装置、电子设备、计算机可读存储介质。

背景技术

静态分析是指在不运行代码的方式下，通过词法分析、语法分析、控制流、数据流分析等技术对程序代码进行扫描，验证代码是否满足规范性、安全性、可靠性、可维护性等指标的一种代码分析技术。

安全函数是程序中对不可信数据执行过滤、编码、验证、净化等进而防止缺陷的函数。

现有静态分析技术对于程序使用的安全函数无法自动化识别，对于程序中使用的组件中的安全函数时依靠事先预置在静态分析工具内部中的安全函数规则来判断，对于用户自定义的安全函数，则需要用户手工将自定义的安全函数中都配置到静态分析工具中，否则由于无法识别安全函数，则可能会对安全函数相关的代码执行路径出现误报。

发明内容

本申请实施例提供了一种安全函数的误报消除方法，用以消除静态分析技术无法识别安全函数产生的误报。

本申请实施例提供了一种安全函数的误报消除方法，包括：

通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合；

通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果；

去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果。

在一实施例中，所述通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合，包括：

获取所述待测项目中的源代码和组件；

将所述源代码和组件作为预先训练好的安全函数特征模型的输入，获得所述安全函数特征模型输出的安全函数集合。

在一实施例中，在所述通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合之前，所述方法还包括：

获取包含安全函数的样本代码集；

根据所述样本代码集，通过机器学习，训练得到所述安全函数特征模型。

在一实施例中，所述通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果，包括：

对所述待测项目的源代码和组件进行词法分析、语法分析、控制流分析和数据流分析，获得缺陷分析结果。

在一实施例中，所述去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果，包括：

根据所述缺陷分析结果中任一代码缺陷的缺陷跟踪路径，若所述缺陷跟踪路径中存在对所述安全函数集合中任一安全函数的调用，则从所述缺陷分析结果中删除所述代码缺陷，得到所述待测项目的缺陷检测结果。

本申请实施例还提供了一种安全函数的误报消除装置，包括：

函数识别模块，用于通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合；

静态分析模块，用于通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果；

缺陷过滤模块，用于去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果。

在一实施例中，所述函数识别模块包括：

代码获取模块，用于获取所述待测项目中的源代码和组件；

模型识别模块，用于将所述源代码和组件作为预先训练好的安全函数特征模型的输入，获得所述安全函数特征模型输出的安全函数集合。

在一实施例中，所述装置还包括：

样本获取模块，用于获取包含安全函数的样本代码集；

模型训练模块，用于根据所述样本代码集，通过机器学习，训练得到所述安全函数特征模型。

另一方面，本申请实施例还提供了一种电子设备，所述电子设备包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行上述安全函数的误报消除方法。

另一方面，本申请实施例还提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行以完成上述安全函数的误报消除方法。

本申请上述实施例提供的技术方案，通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合；通过静态分析技术对待测项目进行缺陷分析，获得缺陷分析结果；去除缺陷分析结果中与安全函数集合相关的误报缺陷，得到待测项目的缺陷检测结果。从而消除了由于安全函数无法识别引起的相关误报，同时使用到的安全函数都不再需要用户去一一配置，提升了用户使用静态分析工具的友好性。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍。

图1为本申请一实施例提供的电子设备的结构示意图；

图2是本申请实施例提供的一种安全函数的误报消除方法的流程示意图；

图3是图2对应实施例中步骤S210的细节流程图；

图4是图2对应实施例中基础上提供的安全函数特征模型的训练过程的流程示意图；

图5是本申请一实施例示出的一种安全函数的误报消除装置的框图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本申请的描述中，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

对于源代码和组件中的安全函数，当这些安全函数不在静态分析工具的安全函数规则范围之内时，则无法识别，需要静态分析工具不断更新函数。但是由于每个语言的组件众多且不断变化，所以函数规则无法一一枚举。另外，对于用户自定义的安全函数，由于需要手工配置到静态分析工具中，一是比较繁琐，二由于是手工配置，容易出现错误，所以无法在静态分析工具中配置所有的安全函数规则，进而导致会存在无法识别的安全函数，误把安全函数当成代码缺陷，产生错误的缺陷检测结果。

图1是本申请实施例提供的电子设备的结构示意图。该电子设备100可以用于执行本申请实施例提供的安全函数的误报消除方法。如图1所示，该电子设备100包括：一个或多个处理器102、一个或多个存储处理器可执行指令的存储器104。其中，所述处理器102被配置为执行本申请下述实施例提供的安全函数的误报消除方法。

所述处理器102可以是网关，也可以为智能终端，或者是包含中央处理单元(CPU)、图像处理单元(GPU)或者具有数据处理能力和/或指令执行能力的其它形式的处理单元的设备，可以对所述电子设备100中的其它组件的数据进行处理，还可以控制所述电子设备100中的其它组件以执行期望的功能。

所述存储器104可以包括一个或多个计算机程序产品，所述计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。所述易失性存储器例如可以包括随机存取存储器(RAM)和/或高速缓冲存储器(cache)等。所述非易失性存储器例如可以包括只读存储器(ROM)、硬盘、闪存等。在所述计算机可读存储介质上可以存储一个或多个计算机程序指令，处理器102可以运行所述程序指令，以实现下文所述的安全函数的误报消除方法。在所述计算机可读存储介质中还可以存储各种应用程序和各种数据，例如所述应用程序使用和/或产生的各种数据等。

在一实施例中，图1示电子设备100还可以包括输入装置106、输出装置108以及数据采集装置110，这些组件通过总线系统112和/或其它形式的连接机构(未示出)互连。应当注意，图1示的电子设备100的组件和结构只是示例性的，而非限制性的，根据需要，所述电子设备100也可以具有其他组件和结构。

所述输入装置106可以是用户用来输入指令的装置，并且可以包括键盘、鼠标、麦克风和触摸屏等中的一个或多个。所述输出装置108可以向外部(例如，用户)输出各种信息(例如，图像或声音)，并且可以包括显示器、扬声器等中的一个或多个。所述数据采集装置110可以采集对象的图像，并且将所采集的图像存储在所述存储器104中以供其它组件使用。示例性地，该数据采集装置110可以为摄像头。

在一实施例中，用于实现本申请实施例的安全函数的误报消除方法的示例电子设备100中的各器件可以集成设置，也可以分散设置，诸如将处理器102、存储器104、输入装置106和输出装置108集成设置于一体，而将数据采集装置110分离设置。

在一实施例中，用于实现本申请实施例的安全函数的误报消除方法的示例电子设备100可以被实现为诸如智能手机、平板电脑、台式电脑、服务器、车载设备等智能终端。

图2是本申请实施例提供的一种安全函数的误报消除方法的流程示意图。该方法可以由上述电子设备执行，如图2所示，该方法包括以下步骤S210-步骤S230。

步骤S210：通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合。

安全函数是程序中对不可信数据执行过滤、编码、验证、净化等进而防止缺陷的函数。

安全函数特征模块可以是提前训练好的模型，该模型可以从程序中识别出安全函数。

待测项目是指需要进行代码缺陷检测的软件项目。通过安全函数特征模块可以从待测项目中识别出所有的安全函数。从待测项目中抽取的所有安全函数，构成安全函数集合。

在一实施例中，如图3所示，上述步骤S210具体包括：步骤S211-步骤S212。

步骤S211：获取所述待测项目中的源代码和组件。

源代码(也称源程序)是指未编译的按照一定的程序设计语言规范书写的文本文件，是一系列人类可读的计算机语言指令。

组件就是对象。C++Builder中叫组件，Delphi中叫部件，而在Visual BASIC中叫控件。组件是对数据和方法的简单封装。C++Builder中，一个组件就是一个从TComponent派生出来的特定对象。组件可以有自己的属性和方法。属性是组件数据的简单访问者。方法则是组件的一些简单而可见的功能。一个组件代表一个系统中实现的物理部分，包括软件代码(源代码，二进制代码，可执行代码)或者一些类似内容，如脚本或者命令文件。

步骤S212：将所述源代码和组件作为预先训练好的安全函数特征模型的输入，获得所述安全函数特征模型输出的安全函数集合。

安全函数特征模型可以从源代码和组件中抽取出所有的安全函数，构成安全函数集合。

在一实施例中，在上述步骤S210之前，本申请实施例提供的方法还包括安全函数特征模型的训练过程。如图4所示，安全函数特征模型的训练过程具体包括：步骤S201和步骤S202。

步骤S201：获取包含安全函数的样本代码集。

步骤S202：根据所述样本代码集，通过机器学习，训练得到所述安全函数特征模型。

其中，样本代码集包括大量样本代码，样本代码中包括安全函数。已知样本代码中的安全函数，可以进行机器学习，训练得到可以从程序中抽取安全函数的安全函数特征模型。在一实施例中，可以根据已知安全函数的样本代码集，对LDA(latent dirichletallocation)算法进行调参，获得由LDA算法训练得到的安全函数特征模型。

步骤S220：通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果。

静态分析技术是指在不运行代码的方式下，通过词法分析、语法分析、控制流分析、数据流分析等技术对程序代码进行扫描，验证代码是否满足规范性、安全性、可靠性、可维护性等指标的一种代码分析技术。缺陷分析结果包括通过静态分析技术分析得到的，待测项目中不满足规范性、安全性、可靠性、可维护性等任一指标的代码缺陷。

在一实施例中，可以对待测项目的源代码和组件进行词法分析、语法分析、控制流分析和数据流分析，获得缺陷分析结果。

静态分析技术可以包括：(1)词法分析：从左至右一个字符一个字符的读入源程序，对构成源程序的字符流进行扫描，通过使用正则表达式匹配方法将源代码转换为等价的符号(Token)流，生成相关符号列表，Lex为常用词法分析工具。

(2)语法分析：判断源程序结构上是否正确，通过使用上下文无关语法将相关符号整理为语法树，Yacc为常用工具。

(3)抽象语法树分析：将程序组织成树形结构，树中相关节点代表了程序中的相关代码，目前已有javacc/Antlra等抽象语法树生成工具。

(4)语义分析：对结构上正确的源程序进行上下文有关性质的审查。

(5)控制流分析：生成有向控制流图，用节点表示基本代码块，节点间的有向边代表控制流路径，反向边表示可能存在的循环；还可生成函数调用关系图，表示函数间的嵌套关系。

(6)数据流分析：对控制流图进行遍历，记录变量的初始化点和引用点，保存相切片关数据信息。

(7)污点分析：基于数据流图判断源代码中哪些变量可能受到攻击，是验证程序输入、识别代码表达缺陷的关键。

(8)无效代码分析，根据控制流图可分析孤立的节点部分为无效代码。等。

步骤S230：去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果。

缺陷检测结果是指过滤掉缺陷分析结果中误报缺陷后，剩余的代码缺陷。在一实施例中，如果缺陷分析结果中的某个代码缺陷，是与安全函数集合中的安全函数相关的，则可以认为这个缺陷是由于安全函数无法识别导致的误报，过滤掉这样的缺陷，则可得到正确的缺陷检测结果。

在一实施例中，根据所述缺陷分析结果中任一代码缺陷的缺陷跟踪路径，若所述缺陷跟踪路径中存在对所述安全函数集合中任一安全函数的调用，则从所述缺陷分析结果中删除所述代码缺陷，得到所述待测项目的缺陷检测结果。

缺陷分析结果可以包括每个代码缺陷的缺陷跟踪路径，缺陷跟踪路径描述构成缺陷的代码执行路径。如果在缺陷的代码执行路径中存在对某个安全函数的调用，则认为检测出的缺陷是误报，过滤掉该缺陷。

本申请上述实施例提供的安全函数的误报消除方法，不依赖于内置规则或者用户配置，对于内置规则和用户配置范围之外的安全函数也可以自动化识别。消除了由于安全函数无法识别引起的相关误报，同时使用到的安全函数都不再需要用户去一一配置,提升了用户使用静态分析工具的友好性。

下述为本申请装置实施例，可以用于执行本申请上述安全函数的误报消除方法实施例。对于本申请装置实施例中未披露的细节，请参照本申请安全函数的误报消除方法实施例。

图5为本申请一实施例示出的一种安全函数的误报消除装置的框图。如图5所示，该装置包括：函数识别模块510、静态分析模块520以及缺陷过滤模块530。

函数识别模块510，用于通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合。

静态分析模块520，用于通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果。

缺陷过滤模块530，用于去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果。

在一实施例中，所述函数识别模块510包括：

代码获取模块，用于获取所述待测项目中的源代码和组件；

模型识别模块，用于将所述源代码和组件作为预先训练好的安全函数特征模型的输入，获得所述安全函数特征模型输出的安全函数集合。

在一实施例中，所述装置还包括：

样本获取模块，用于获取包含安全函数的样本代码集；

模型训练模块，用于根据所述样本代码集，通过机器学习，训练得到所述安全函数特征模型。

上述装置中各个模块的功能和作用的实现过程具体详见上述安全函数的误报消除方法中对应步骤的实现过程，在此不再赘述。

在本申请所提供的几个实施例中，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的多个实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

Claims (10)

1.一种安全函数的误报消除方法，其特征在于，包括：

通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合；

通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果；

去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果。

2.根据权利要求1所述的方法，其特征在于，所述通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合，包括：

获取所述待测项目中的源代码和组件；

将所述源代码和组件作为预先训练好的安全函数特征模型的输入，获得所述安全函数特征模型输出的安全函数集合。

3.根据权利要求1所述的方法，其特征在于，在所述通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合之前，所述方法还包括：

获取包含安全函数的样本代码集；

根据所述样本代码集，通过机器学习，训练得到所述安全函数特征模型。

4.根据权利要求1所述的方法，其特征在于，所述通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果，包括：

对所述待测项目的源代码和组件进行词法分析、语法分析、控制流分析和数据流分析，获得缺陷分析结果。

5.根据权利要求1所述的方法，其特征在于，所述去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果，包括：

根据所述缺陷分析结果中任一代码缺陷的缺陷跟踪路径，若所述缺陷跟踪路径中存在对所述安全函数集合中任一安全函数的调用，则从所述缺陷分析结果中删除所述代码缺陷，得到所述待测项目的缺陷检测结果。

6.一种安全函数的误报消除装置，其特征在于，包括：

函数识别模块，用于通过安全函数特征模型识别待测项目中包含的安全函数，得到安全函数集合；

静态分析模块，用于通过静态分析技术对所述待测项目进行缺陷分析，获得缺陷分析结果；

缺陷过滤模块，用于去除所述缺陷分析结果中与所述安全函数集合相关的误报缺陷，得到所述待测项目的缺陷检测结果。

7.根据权利要求6所述的装置，其特征在于，所述函数识别模块包括：

代码获取模块，用于获取所述待测项目中的源代码和组件；

模型识别模块，用于将所述源代码和组件作为预先训练好的安全函数特征模型的输入，获得所述安全函数特征模型输出的安全函数集合。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

样本获取模块，用于获取包含安全函数的样本代码集；

模型训练模块，用于根据所述样本代码集，通过机器学习，训练得到所述安全函数特征模型。

9.一种电子设备，其特征在于，所述电子设备包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为执行权利要求1-5任意一项所述的安全函数的误报消除方法。

10.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序可由处理器执行以完成权利要求1-5任意一项所述的安全函数的误报消除方法。

Images