CN115146282A - 基于ast的源代码异常检测方法及其装置 - Google Patents

Abstract

本公开的实施例提供了一种基于AST的源代码异常检测方法及其装置，属于软件安全检测领域。基于AST的源代码异常检测模型训练方法包括：根据源代码样本的语义特征构建抽象语法树，基于抽象语法树将源代码样本转换为SSA代码段；提取SSA代码段中的漏洞特征，并将漏洞特征进行切片得到关键片段，将关键片段分类组合为组合关键片段；对组合关键片段进行向量化处理，将抽象语法树中的Token转换到词向量空间；对向量化处理之后的源代码样本进行人工标注，利用标注结果对基于LSTM的初始检测模型进行预训练，得到源代码异常检测模型。本公开通过深度学习模型的训练，利用源代码中的语义特征进行异常预测，进一步减少了噪声，提高了源代码异常检测的准确率和效率。

Description

基于AST的源代码异常检测方法及其装置

技术领域

本公开涉及软件安全检测领域，尤其涉及一种基于AST的源代码异常检测方法及其装置。

背景技术

随着移动互联网的不断发展，开发出各种移动终端的应用软件，满足用户日常生活中的各种需求。一般情况下，在开发人员编写完成应用软件的源代码后，对应用软件的源代码进行编译得到应用软件安装包，并上线至软件平台或应用商店后，用户可以通过下载并安装应用软件安装包的方式实现对应用软件的使用。在对应用软件的源代码的编译和测试中，一般会对源代码进行常规的异常检测，以识别源代码中的一些常见错误，进而避免编译得到的程序安装包在运行时出现各种运行异常。但在理论上，源代码可以通过反编译等手段来再现，并且容易被攻击者篡改。攻击者往往会尝试利用源代码中存在的漏洞，对目标系统发起攻击。应用软件源代码的安全漏洞指软件设计实现过程中被引入的、在数据访问或行为逻辑等方面的缺陷。一旦源代码泄露则这种缺陷会被攻击者入侵和篡改，最终侵入目标计算机系统内部，造成破坏性极大的恶意攻击。而目前的技术无法对应用软件充分进行各种类型的安全性测试以检测到存在的安全漏洞，导致终端计算机系统仍存在安全隐患。在针对源代码的安全检测和漏洞排查阶段，若采用人工排查的方式，很多漏洞不易被发掘。而对于采用规则匹配的方式，又会由于漏洞类型的不同而产生局限性，因此尚不存在一种能够准确而全面地判定源代码脆弱性的检测策略。

发明内容

为准确而全面地排查应用软件源代码潜在的安全漏洞，本公开提供了一种基于AST的源代码异常检测模型训练方法、源代码异常检测方法及其装置。

根据本公开的第一方面，提供了一种基于AST的源代码异常检测模型训练方法。该方法包括：

S1、根据源代码样本的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段；

S2、提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；

S3、对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间；

S4、对所述向量化处理之后的源代码样本进行人工标注，并利用标注结果对基于LSTM的初始检测模型进行预训练，得到源代码异常检测模型。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，其中，所述根据源代码样本的语义特征构建抽象语法树，进一步包括：

分析源代码中的跨程序、函数间的语义关系，将相关代码片段进行拼接，并对局部变量进行标号。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，其中，所述漏洞特征的类型包括类、接口、字段及类间继承。

根据本公开的第二方面，提供了一种基于AST的源代码异常检测方法。该方法包括：

获取待检测源代码；

将待检测源代码输入源代码异常检测模型，以使所述源代码异常检测模型输出与所述待检测源代码对应的异常检测结果；

其中，所述源代码异常检测模型预先基于第一方面所述的源代码异常检测模型训练方法得到。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，其中，所述将待检测源代码输入源代码异常检测模型，进一步包括：

根据所述待检测源代码的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段；

提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；

对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间，得到向量化处理之后的待检测源代码，

将所述向量化处理之后的待检测源代码输入训练后的所述源代码异常检测模型。

根据本公开的第三方面，提供了一种基于AST的源代码异常检测模型训练装置。该装置包括：

源代码转换模块，用于根据源代码样本的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段；

关键片段提取模块，用于提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；

向量化模块，用于对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间；

预训练模块，用于对所述向量化处理之后的源代码样本进行人工标注，并利用标注结果对基于LSTM的初始检测模型进行预训练，得到源代码异常检测模型。

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，其中，所述源代码转换模块进一步配置为：

分析源代码中的跨程序、函数间的语义关系，将相关代码片段进行拼接，并对局部变量进行标号；

如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，其中，所述漏洞特征的类型包括类、接口、字段及类间继承。

根据本公开的第四方面，提供了一种基于AST的源代码异常检测装置。该装置包括：

获取模块，用于获取待检测源代码；

输入模块，用于将待检测源代码输入源代码异常检测模型，以使所述源代码异常检测模型输出与所述待检测源代码对应的异常检测结果；

其中，所述源代码异常检测模型预先基于第一方面所述的源代码异常检测模型训练方法得到。

根据本公开的第五方面，提供了一种电子设备。该电子设备包括：存储器和处理器，所述存储器上存储有计算机程序，所述处理器执行所述程序时实现如本公开的第一方面的基于AST的源代码异常检测模型训练方法和/或第二方面的基于AST的源代码异常检测方法。

根据本公开的第六方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如本公开的第一方面的基于AST的源代码异常检测模型训练方法和/或第二方面的基于AST的源代码异常检测方法。

本公开的有益效果是：与传统的源代码检测方法比较，本公开的基于AST的源代码异常检测模型训练方法和源代码异常检测方法，通过深度学习模型的训练，能够充分利用源代码中的语义特征进行异常预测，得到源代码的组合关键片段，通过对组合关键片段进行检测，进一步减少了噪声，提高了源代码异常检测的准确率和效率，帮助应用软件开发人员快速定位和排查应用软件源代码潜在的安全漏洞。

应当理解，发明内容部分中所描述的内容并非旨在限定本公开的实施例的关键或重要特征，亦非用于限制本公开的范围。本公开的其它特征将通过以下的描述变得容易理解。

附图说明

结合附图并参考以下详细说明，本公开各个实施例的上述和其他特征、优点及方面将变得更加显而易见。附图用于更好地理解本方案，不构成对本公开的限定在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了根据本公开的实施例的基于AST的源代码异常检测模型训练方法的流程图；

图2示出了根据本公开的实施例的基于AST的源代码异常检测方法的流程图；

图3示出了根据本公开的实施例的基于AST的源代码异常检测模型训练装置的框图；

图4示出了根据本公开的实施例的基于AST的源代码异常检测装置的框图；

图5示出了能够实施本公开的实施例的示例性电子设备的框图。

具体实施方式

为使本公开实施例的目的、技术方案和优点更加清楚，下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的全部其他实施例，都属于本公开保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

本公开提出一种源代码异常检测策略，利用抽象语法树AST提取源代码的结构与语义关系，并通过特征分析和标注来对源代码异常检测模型进行训练，从而利用训练后的检测模型来检测源代码是否存在异常。

本公开第一方面的基于AST的源代码异常检测模型训练方法100的流程如图1所示，具体包括：

S1、根据源代码样本的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段。

在源代码转换阶段，需要解析源代码数据信息。源代码的程序语言类型可以是C/C++语言、Golang语言、JAVA语言等多种程序语言中的任意一种。检测源代码的关键是提取其中的语义特征，程序语句涉及文件间的语义关系和函数间的语义关系，本公开可采用抽象语法树（AST）的算法获取源代码结构，对源代码进行词法分析及语法分析，并分析源代码中的各个节点属性。

在所构建的抽象语法树文件基础上，由于生成的文件中包含有大量节点，不便于分析提取关键字段。并非所有节点都可用于后续的异常预测。为选择特定的数据及特征，在预处理过程中，需先统计并删除空白行及注释行。因此在本公开的实施例中，借助Clang技术并结合CFG（Control Flow Graph，控制流图），将目标程序批量转换成LLVM中精简的SSA代码段形式。SSA（Static Single-Assignment，静态单赋值）是一种中间表示形式，保证每个变量在程序中仅被赋值一次，确保其具有精确的使用-定义关系。利用SSA形式的中间表示，分析跨程序、函数间的语义关系，将相关代码片段进行拼接，并对局部变量进行标号，形式为“%数字”，便于后期的优化处理。

S2、提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段。

具体地，在SSA切片阶段，结合控制流程图对得到的SSA代码段进行数据流分析，根据AST关键节点的功能属性，遍历所述抽象语法树中的各个节点，提取节点中的关键漏洞特征。所述关键漏洞特征包括源代码中的类、接口、字段及类间继承等类型。提取关键漏洞特征进行切片，得到关键片段，分别根据上述类、接口、字段及类间继承等类型的信息对所述切片后的片段进行分类组合，得到组合关键片段。

在优选的实施例中，预先设置漏洞规则库，并将各个节点的不同类型的特征与所述漏洞规则库中的特征规则进行比较，从而识别漏洞特征。以类特征的检测为例，可以对字节码文件中的类名进行检测，判断是否存在未经混淆的、非标准API的类名等。最后按照上述关键片段进行分类组合，得到组合关键字段。

S3、对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间。

所述步骤S3对应于向量化处理阶段。首先抽取组合关键片段中的词嵌入表示即Token，对步骤S2所提取的组合关键片段，按照所包含节点信息的粒度将所有节点转换为Token，然后将其划分为词向量。在优选的实施例中，为避免关键字段在处理过程中被丢弃，根据所出现的Token的最大长度确定词向量划分阈值，未达到该阈值长度的片段以0向后补足，从而缓解数据不平衡的问题。

组合关键片段在被转换为Token之后并不是向量格式。但在后续的步骤中，基于深度学习检测模型只能接收向量形式的输入，因此本公开需要将所有Token都映射到词向量空间中，以使后续的训练过程中，检测模型可以不断优化每个类型的Token的词向量表示，更好地保留节点之间的上下文关系。

S4、对所述向量化处理之后的源代码样本进行人工标注，并利用人工标注的结果对基于LSTM的初始检测模型进行预训练，得到源代码异常检测模型。

所述步骤S4对应于模型训练阶段。对于多个源代码样本，执行上述步骤S1~S3，得到多个源代码样本的向量化表示，作为源代码异常检测模型的训练样本集。接下来，对多个源代码样本分别进行人工标注。在人工标注阶段，根据源代码样本是否存在漏洞进行标签的添加操作。例如，当测试人员确定源代码存在漏洞时，可以将样本标记人工设置为1；否则设置为0。

然后，将LSTM深度学习网络模型作为初始检测模型，利用初始检测模型自动提取所述向量化处理之后的源代码样本中的漏洞特征，并判断每个源代码样本是否存在漏洞。

在得到人工标注结果和初始模型自动分析结果之后，将标注结果与自动分析结果进行比对，并且根据置信度来计算交叉验证的比对结果。具体地，在交叉验证过程中，可以将人工标注结果和初始模型自动分析结果分别作为训练集和测试集，分别进行模型训练和模型评估。通过评估训练后的LSTM深度学习网络模型在新数据上的表现，可以减小过拟合，从有限的数据中获取尽可能多的有效信息。

利用比对结果对LSTM模型进行训练和更新，直到将所述LSTM模型训练到收敛。最终获得用于执行源代码测试的检测模型，模型训练方法结束。

经过步骤S1~S4的模型预训练，得到源代码测试的检测模型，用于对新的源代码进行异常检测。因此，在该源代码异常检测模型基础上，本公开第二方面的源代码异常检测方法200的流程如图2所示，具体包括：

S5、获取待检测源代码；

S6、将待检测源代码输入训练后的所述源代码异常检测模型，得到所述待检测源代码的异常检测结果。

因此，本公开的实施例在测试阶段，首先获取待检测的源代码，并且根据步骤S1~S3的处理过程对待检测的源代码进行分析和转换。具体参见步骤S1~S3，可以根据待检测源代码的语义特征构建抽象语法树，并基于抽象语法树将待检测源代码转换为SSA代码段；提取SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；对组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间。

接下来，将待检测源代码的词向量表示输入训练后的源代码异常检测模型中，以使所述源代码异常检测模型输出与所述待检测源代码对应的异常检测结果，该异常检测结果包含异常或正常标记。至此，源代码检测流程完成。

可见，本公开的实施例根据抽象语法树AST提取源代码的结构与语义关系，将源代码转换为SSA代码段，并提取关键漏洞特征，然后将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段，将Token的词向量表示进行特征分析和标注来对源代码异常检测模型进行训练，从而利用训练后的检测模型来检测源代码是否存在异常。与传统的源代码检测方法比较，本方法通过深度学习模型的训练，能够充分利用源代码中的语义特征进行异常预测，通过对源代码的组合关键片段进行检测，进一步减少了噪声，提高了源代码异常检测的准确率和效率，以及帮助应用软件开发人员快速定位和排查应用软件源代码潜在的安全漏洞。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本公开并不受所描述的动作顺序的限制，因为依据本公开，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本公开所必须的。

以上是关于方法实施例的介绍，以下通过装置实施例，对本公开所述方案进行进一步说明。

图3示出了根据本公开第三方面的实施例的基于AST的源代码异常检测模型训练装置300的方框图。装置300可以是与前述方法100完全对应一致的软件功能模块架构。如图3所示，装置300包括：

源代码转换模块310，用于根据源代码样本的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段；

关键片段提取模块320，用于提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；

向量化模块330，用于对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间；

预训练模块340，用于对所述向量化处理之后的源代码样本进行人工标注，并利用标注结果对基于LSTM的初始检测模型进行预训练，得到源代码异常检测模型。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，所述描述的模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

图4示出了根据本公开第四方面的实施例的基于AST的源代码异常检测装置400的方框图。装置400可以是与前述方法200完全对应一致的软件功能模块架构。如图4所示，装置400包括：

获取模块410，用于获取待检测源代码，

输入模块420，用于将待检测源代码输入源代码异常检测模型，以使所述源代码异常检测模型输出与所述待检测源代码对应的异常检测结果；

其中，所述源代码异常检测模型是预先基于前述第一方面的源代码异常检测模型训练方法得到的。

根据本公开的实施例，本公开还提供了一种电子设备、一种可读存储介质和一种计算机程序产品。图5示出了可以用来实施本公开第五方面的实施例的电子设备500的示意性框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。

设备500包括计算单元501，其可以根据存储在只读存储器（ROM）502中的计算机程序或者从存储单元508加载到随机访问存储器（RAM）503中的计算机程序，来执行各种适当的动作和处理。在RAM 503中，还可存储设备500操作所需的各种程序和数据。计算单元501、ROM 502以及RAM 503通过总线504彼此相连。输入/输出（I/O）接口505也连接至总线504。

设备500中的多个部件连接至I/O接口505，包括：输入单元506，例如键盘、鼠标等；输出单元507，例如各种类型的显示器、扬声器等；存储单元508，例如磁盘、光盘等；以及通信单元509，例如网卡、调制解调器、无线通信收发机等。通信单元509允许设备500通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

计算单元501可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元501的一些示例包括但不限于中央处理单元（CPU）、图形处理单元（GPU）、各种专用的人工智能（AI）计算芯片、各种运行深度学习模型算法的计算单元、数字信号处理器（DSP）、以及任何适当的处理器、控制器、微控制器等。计算单元501执行上文所描述的各个方法和处理，例如基于AST的源代码异常检测模型训练方法和源代码异常检测方法。例如，在一些实施例中，基于AST的源代码异常检测模型训练方法和源代码异常检测方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元508。

在一些实施例中，计算机程序的部分或者全部可以经由ROM 502和/或通信单元509而被载入和/或安装到设备500上。当计算机程序加载到RAM 503并由计算单元501执行时，可以执行上文描述的基于AST的源代码异常检测方法的一个或多个步骤。备选地，在其他实施例中，计算单元501可以通过其他任何适当的方式（例如，借助于固件）而被配置为执行基于AST的源代码异常检测模型训练方法和源代码异常检测方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、现场可编程逻辑门阵列（FPGA）、专用集成电路（ASIC）、专用标准产品（ASSP）、芯片上系统的系统（SOC）、负载可编程逻辑设备（CPLD）、计算机硬件、固件、软件、和/或它们的组合中实现。

这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦除可编程只读存储器（EPROM或快闪存储器）、光纤、便捷式紧凑盘只读存储器（CD-ROM）、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置（例如，CRT（阴极射线管）或者LCD（液晶显示器）监视器）；以及键盘和指向装置（例如，鼠标或者轨迹球），用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈（例如，视觉反馈、听觉反馈、或者触觉反馈）；并且可以用任何形式（包括声输入、语音输入或者、触觉输入）来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统（例如，作为数据服务器）、或者包括中间件部件的计算系统（例如，应用服务器）、或者包括前端部件的计算系统（例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互）、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信（例如，通信网络）来将系统的部件相互连接。通信网络的示例包括：局域网（LAN）、广域网（WAN）和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，也可以为分布式系统的服务器，或者是结合了区块链的服务器。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本公开中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (10)

1.一种基于AST的源代码异常检测模型训练方法，其特征在于，包括以下步骤：

S1、根据源代码样本的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段；

S2、提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；

S3、对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间；

S4、对所述向量化处理之后的源代码样本进行人工标注，并利用标注结果对基于LSTM的初始检测模型进行预训练，得到源代码异常检测模型。

2.根据权利要求1所述的基于AST的源代码异常检测模型训练方法，其特征在于，所述根据源代码样本的语义特征构建抽象语法树，进一步包括：

分析源代码中的跨程序、函数间的语义关系，将相关代码片段进行拼接，并对局部变量进行标号。

3.根据权利要求1所述的基于AST的源代码异常检测模型训练方法，其特征在于，所述漏洞特征的类型包括类、接口、字段及类间继承。

4.一种基于AST的源代码异常检测方法，其特征在于，包括：

获取待检测源代码；

将待检测源代码输入源代码异常检测模型，以使所述源代码异常检测模型输出与所述待检测源代码对应的异常检测结果；

其中，所述源代码异常检测模型预先基于权利要求1-3中的任一项所述的基于AST的源代码异常检测模型训练方法得到。

5.根据权利要求4所述的基于AST的源代码异常检测方法，其特征在于，所述将待检测源代码输入源代码异常检测模型，进一步包括：

根据所述待检测源代码的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段；

提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；

对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间，得到向量化处理之后的待检测源代码，将所述向量化处理之后的待检测源代码输入训练后的所述源代码异常检测模型。

6.一种基于AST的源代码异常检测模型训练装置，其特征在于，包括：

源代码转换模块，用于根据源代码样本的语义特征构建抽象语法树，并基于所述抽象语法树将源代码样本转换为SSA代码段；

关键片段提取模块，用于提取所述SSA代码段中的漏洞特征，将所述漏洞特征进行切片得到关键片段，并将所述关键片段分类组合为组合关键片段；

向量化模块，用于对所述组合关键片段进行向量化处理，将所述抽象语法树中的Token转换到词向量空间；

预训练模块，用于对所述向量化处理之后的源代码样本进行人工标注，并利用标注结果对基于LSTM的初始检测模型进行预训练，得到源代码异常检测模型。

7.根据权利要求6所述的基于AST的源代码异常检测模型训练装置，其特征在于，所述源代码转换模块进一步配置为：

分析源代码中的跨程序、函数间的语义关系，将相关代码片段进行拼接，并对局部变量进行标号。

8.根据权利要求6所述的基于AST的源代码异常检测模型训练装置，其特征在于，所述漏洞特征的类型包括类、接口、字段及类间继承。

9.一种基于AST的源代码异常检测装置，其特征在于，包括：

获取模块，用于获取待检测源代码；

输入模块，用于将待检测源代码输入源代码异常检测模型，以使所述源代码异常检测模型输出与所述待检测源代码对应的异常检测结果；

其中，所述源代码异常检测模型预先基于权利要求1-3中的任一项所述的基于AST的源代码异常检测模型训练方法得到。

10.一种电子设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求4-5中任一项所述的方法。

Images