CN115357893A

CN115357893A - 基于数据流跟踪的应用程序漏洞检测方法及系统

Info

Publication number: CN115357893A
Application number: CN202210780790.4A
Authority: CN
Inventors: 刘海涛; 万振华; 王颉; 李华; 董燕
Original assignee: Seczone Technology Co Ltd
Current assignee: Seczone Technology Co Ltd
Priority date: 2022-07-04
Filing date: 2022-07-04
Publication date: 2022-11-18

Abstract

本发明公开了一种基于数据流跟踪的应用程序漏洞检测方法及系统，该检测方法包括：采用IAST插桩工具插桩待测应用程序，以将漏洞检测逻辑织入到应用程序中；获取当前应用程序中JSON解析函数返回对象的位置信息；提取并存储JSON解析函数解析污点数据返回的JSON对象中的字段名、字段类型、字段值的映射关系，以获得实例化的原始数据集；提取JSON对象映射的实体类中自动生成的默认数据，以获得参考数据集；将原始数据集中与参考数据集中相同的数据去除，以获得供检测逻辑跟踪的目标数据集；通过上述技术方案，可将JSON对象中自动生成的默认数据排除，以使得基于数据流跟踪的漏掉检测逻辑仅根据用户输入的污点数据进行跟踪，从而避免误报，提高漏洞检测的准确性。

Description

基于数据流跟踪的应用程序漏洞检测方法及系统

技术领域

本发明涉及应用程序检测技术领域，尤其涉及一种基于数据流跟踪的应用程序漏洞检测方法及系统。

背景技术

随着应用程序规模越来越大，功能越来越复杂，数量越来越多，漏洞数量也越来越多，其造成的破坏也日趋严重。一般的安全漏洞都是来自于用户输入的污点数据没有经过安全校验或编码，直接进入敏感函数导致的。所以市面上常见的IAST工具都是通过跟踪污点数据的数据流传播过程来判断是否存在安全漏洞(如中国发明专利CN111046396A公开的web应用测试数据流跟踪方法及系统)，在被测应用程序通过queryString或者form表单进行数据传承时，IAST工具可以通过getParameter(“key”)等函数获取返回值(即污点数据)，这种情况可以将污点数据与污点数据的key值进行关联，开发人员也可以快速的根据污点数据的key值定位存在问题的点。但是随着技术的日益发展，越来越多的应用程序使用JSON请求体来进行数据传参，常见的IAST工具虽然可以跟踪整个JSON请求体，但是在解析JSON请求体时会将JSON对象映射的实体类的所有数据都加入到跟踪逻辑中，其中有些数据是实体类自动生成的默认数据，不是从请求中输入的，此时漏洞检测过程中就会将该默认数据认作外部非法数据，从而产生误报。

发明内容

本发明的目的是提供一种基于数据流跟踪的应用程序漏洞检测方法及系统，以消除解析JSON请求体时产生的默认数据，从而避免误报。

为了实现上述目的，本发明公开了一种基于数据流跟踪的应用程序漏洞检测方法，所述应用程序基于JSON框架进行数据存储和参数传递，该检测方法包括：

采用IAST插桩工具插桩待测应用程序，以将漏洞检测逻辑织入到所述应用程序中，所述漏洞检测逻辑通过跟踪污点数据在所述应用程序中的传播途径进行漏洞检测；

获取当前所述应用程序中JSON解析函数返回对象的位置信息；

当测试用污点数据进入所述应用程序后，提取并存储所述JSON解析函数解析所述污点数据返回的JSON对象中的字段名、字段类型、字段值的映射关系，以获得实例化的原始数据集；

提取所述JSON对象映射的实体类中自动生成的默认数据，以获得参考数据集；

将所述原始数据集中与所述参考数据集中相同的数据去除，以获得目标数据集；

所述漏洞检测逻辑通过跟踪所述目标数据集中数据传播途径进行漏洞检测。

较佳地，通过所述IAST工具插桩所述应用程序中的JSON解析函数，以获得该JSON解析函数返回对象的位置信息。

较佳地，创建包括若干已知解析类型的JSON解析函数的函数库，并判断当前所述应用程序中任一JSON类函数是否存在于所述函数库，如果是，则直接通过所述IAST工具插桩该JSON类函数；

如果否，则根据所述应用程序中每一JSON类函数的入参和返回值来推断用作解析JSON对象的JSON解析函数。

本发明还公开一种基于数据流跟踪的应用程序漏洞检测系统，所述应用程序基于JSON框架进行数据存储和参数传递，该检测系统包括：

漏洞检测模块，其采用IAST插桩工具插桩待测应用程序，以将漏洞检测逻辑织入到所述应用程序中，所述漏洞检测逻辑通过跟踪污点数据在所述应用程序中的传播途径进行漏洞检测；

位置信息获取模块，其用于获取当前所述应用程序中JSON解析函数返回对象的位置信息；

第一数据提取模块，其用于当测试用污点数据进入所述应用程序后，提取并存储所述JSON解析函数解析所述污点数据返回的JSON对象中的字段名、字段类型、字段值的映射关系，以获得原始数据集；

第二数据提取模块，其用于提取所述JSON对象映射的实体类中自动生成的默认数据，以获得参考数据集；

数据筛选模块，其用于将所述原始数据集中与所述参考数据集中相同的数据去除，以获得目标数据集，以使得所述漏洞检测逻辑通过跟踪所述目标数据集中数据传播途径进行漏洞检测。

较佳地，所述位置信息获取模块通过IAST工具插桩所述应用程序中的JSON解析函数，以获得该JSON解析函数返回对象的位置信息。

较佳地，所述位置信息获取模块包括函数库创建模块、匹配模块、插桩模块和推断模块；

所述函数库创建模块，用于创建包括若干已知解析类型的JSON解析函数的函数库；

所述匹配模块，用于将当前应用程序中任一JSON类函数与所述函数库中的函数匹配，以确认所述应用程序中的JSON解析函数；

推断模块，用于当通过匹配模块确认当前应用程序中任一JSON类函数均不与所述函数库中的函数匹配时，根据所述应用程序中每一JSON类函数的入参和返回值来推断用作解析JSON对象的JSON解析函数；

所述插桩模块，用于采用IAST工具插桩所述JSON解析函数。

本发明还公开一种基于数据流跟踪的应用程序漏洞检测系统，其包括：

一个或多个处理器；

存储器；

以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如上所述的基于数据流跟踪的应用程序漏洞检测方法的指令。

本发明还公开一种计算机可读存储介质，其包括计算机程序，所述计算机程序可被处理器执行以完成如上所述基于数据流跟踪的应用程序漏洞检测方法。

与现有技术相比，上述本发明技术方案，采用污点数据流跟踪的方式对应用程序进行漏洞检测，从而可在代码行、函数以及参数级别上定位问题点，其中，预先获取有当前待测应用程序中JSON解析函数返回对象的位置信息，这样，当测试用污点数据进入应用程序后，可获得该应用程序中SON解析函数返回的JSON对象，从该JSON对象中提取实例化的原始数据集，并对JSON对象中的自动生成的默认数据进行筛选，以生成将所述JSON对象中默认数据排除在外的目标数据集，从而，漏洞检测逻辑通过跟踪该目标数据集中数据传播途径进行漏洞检测时，可有效避免因JSON对象中的默认数据造成误报，从而提高漏洞检测的准确性。

附图说明

图1为本发明实施例中检测方法流程图。

具体实施方式

为详细说明本发明的技术内容、构造特征、所实现目的及效果，以下结合实施方式并配合附图详予说明。

本实施例公开了一种基于数据流跟踪的应用程序漏洞检测方法，以用于基于应用程序的漏洞检测，本实施例中的应用程序基于JSON框架进行数据存储和参数传递，为避免解析JSON请求体时会将JSON对象映射的实体类的所有数据都加入到跟踪检测逻辑中而产生漏洞误报，如图1，本实施例中的检测方法包括如下步骤：

S1：采用IAST插桩工具插桩待测应用程序，以将漏洞检测逻辑织入到应用程序中，漏洞检测逻辑通过跟踪污点数据在应用程序中的传播途径进行漏洞检测。

S2：获取当前应用程序中JSON解析函数返回对象的位置信息。

S3：当测试用污点数据进入应用程序后，根据步骤S2中获得的JSON解析函数返回对象的位置信息，提取并存储JSON解析函数解析污点数据返回的JSON对象中的字段名、字段类型、字段值的映射关系，以获得实例化的原始数据集。

S4：提取JSON对象映射的实体类中自动生成的默认数据，以获得参考数据集。

如下实体类：

从中提取到的参考数据集为{"sort":"desc"}。

S5：将原始数据集中与参考数据集中相同的数据去除，以获得目标数据集。值得说明的是，将原始数据集中与参考数据集中相同的数据去除，包括将原始数据集中与参考数据集中相同的数据删除或做安全标记。以上述具体实体类为例，当用户输入的污点数据为{"page":1,"size":10}时，那么，JSON对象中实例化后的原始数据集为{"page":1,"size":10,"sort":"desc"}。因此，将该原始数据集与上述与步骤S4中提取到的参考数据集比对，可将原始数据集中的默认数据{"sort":"desc"}去除，从而获得目标数据集{"page":1,"size":10}，由此，该目标数据集中的数据全部为用户输入的污点数据。

S6：漏洞检测逻辑通过跟踪目标数据集中数据传播途径进行漏洞检测。

根据上述实施例公开的检测方法，由于采用污点数据流跟踪的方式对应用程序进行漏洞检测，从而可在代码行、函数以及参数级别上定位问题点。其中，预先获取有当前待测应用程序中JSON解析函数返回对象的位置信息，这样，当测试用污点数据进入应用程序后，可获得该应用程序中SON解析函数返回的JSON对象，从该JSON对象中提取实例化的原始数据集，并对JSON对象中的自动生成的默认数据进行筛选，以生成将JSON对象中默认数据排除在外的目标数据集，从而，漏洞检测逻辑通过跟踪该目标数据集中数据传播途径进行漏洞检测时，可有效避免因JSON对象中的默认数据造成误报，从而提高漏洞检测的准确性。

进一步地，通过IAST工具插桩应用程序中的JSON解析函数，以获得该JSON解析函数返回对象的位置信息。

基于此，在实际运用中，如欲通过IAST工具自动插桩应用程序中的JSON解析函数，事先必须使得IAST工具能够识别应用程序中的哪个函数为JSON解析函数，否则，将只能人工插桩，这将浪费时间。为解决该问题，本实施例中的定位方法还包括：

创建包括若干已知解析类型的JSON解析函数的函数库，并判断当前应用程序中任一JSON类函数是否存在于函数库，如果是，则直接通过IAST工具插桩该JSON类函数；

如果否，则根据应用程序中每一JSON类函数的入参和返回值来推断用作解析JSON对象的JSON解析函数，从而识别出该应用程序中的JSON解析函数，然后再采用IAST工具插桩识别出的JSON解析函数即可。

具体地，如下一包含JSON类函数的请求体为：

在上述请求体中，由于JSON类函数“readValue”已预设在函数库中，因此，通过将与函数库中的各个JSON解析函数比对，即可快速匹配出该请求体中的JSON解析函数(也即readValue)，然后即可对ObjectMapper中的readValue函数插桩，并且对返回值进行标记。

又如下另一包含JSON类函数的请求体为：

在上述请求体中，通过与包含有多个JSON解析函数的函数库比对，未发现有与函数中相同的已知解析类型的JSON类函数，因此，由于正常JSON解析函数都会传入两个入参，一个是字符串或者字节流，作为JSON数据的载体，另外一个是JSON解析对象的类型，如java中一般返回Object对象或者跟JSON解析对象类型相同的类型，所以，根据该请求体中每一JSON类函数的入参和返回值来推断用作解析JSON对象的JSON解析函数，也即parseObject。然后，采用IAST插桩工具插桩该parseObject函数即可。

另外，JSON解析对象一般返回class或者object类型，前者可以明确知道对象类型，后者需要通过反射等技术进一步获取对象类型。

如上例中的Person.class，在步骤S3中可以通过反射等技术先获取到对象中的字段名，具体执行语句如下：

此时就可以将提取到的字段名、字段值、字段类型等映射关系进行存储，如{"key":"name","value":"张三","type":"string"}，在此需要注意的是，此处的value属性存储的是携带内存地址的值，即两个相同的字符串“张三”也会出现不同内存地址的情况。

本发明另一较佳实施例中，还公开一种基于数据流跟踪的应用程序漏洞检测系统，应用程序基于JSON框架进行数据存储和参数传递，该检测系统包括：

漏洞检测模块，其采用IAST插桩工具插桩待测应用程序，以将漏洞检测逻辑织入到应用程序中，漏洞检测逻辑通过跟踪污点数据在应用程序中的传播途径进行漏洞检测；

位置信息获取模块，其用于获取当前应用程序中JSON解析函数返回对象的位置信息；

第一数据提取模块，其用于当测试用污点数据进入应用程序后，提取并存储JSON解析函数解析污点数据返回的JSON对象中的字段名、字段类型、字段值的映射关系，以获得原始数据集；

第二数据提取模块，其用于提取JSON对象映射的实体类中自动生成的默认数据，以获得参考数据集；

数据筛选模块，其用于将原始数据集中与参考数据集中相同的数据去除，以获得目标数据集，以使得漏洞检测逻辑通过跟踪目标数据集中数据传播途径进行漏洞检测。

进一步地，位置信息获取模块通过IAST工具插桩应用程序中的JSON解析函数，以获得该JSON解析函数返回对象的位置信息。

更进一步地，位置信息获取模块包括函数库创建模块、匹配模块、插桩模块和推断模块。

函数库创建模块，用于创建包括若干已知解析类型的JSON解析函数的函数库；

匹配模块，用于将当前应用程序中任一JSON类函数与函数库中的函数匹配，以确认应用程序中的JSON解析函数；

推断模块，用于当通过匹配模块确认当前应用程序中任一JSON类函数均不与函数库中的函数匹配时，根据应用程序中每一JSON类函数的入参和返回值来推断用作解析JSON对象的JSON解析函数；

插桩模块，用于采用IAST工具插桩JSON解析函数。

本发明还公开另一种应用程序漏洞检测系统，其包括一个或多个处理器、存储器以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如上所述的应用程序漏洞检测方法的指令。处理器可以采用通用的中央处理器(Central Processing Unit，CPU)，微处理器，应用专用集成电路(Application Specific Integrated Circuit，ASIC)，或者一个或多个集成电路，用于执行相关程序，以实现本申请实施例的应用程序漏洞检测系统中的模块所需执行的功能，或者执行本申请方法实施例的应用程序漏洞检测方法。

本发明还公开一种计算机可读存储介质，其包括计算机程序，所述计算机程序可被处理器执行以完成如上所述的应用程序漏洞检测方法。该计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。该可用介质可以是只读存储器(read-onlymemory，ROM)，或随机存取存储器(random access memory，RAM)，或磁性介质，例如，软盘、硬盘、磁带、磁碟、或光介质，例如，数字通用光盘(digital versatile disc，DVD)、或者半导体介质，例如，固态硬盘(solidstate disk，SSD)等。

本申请实施例还公开了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。电子设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该电子设备执行上述应用程序漏洞检测方法。

以上所揭露的仅为本发明的优选实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明申请专利范围所作的等同变化，仍属本发明所涵盖的范围。

Claims

1.一种基于数据流跟踪的应用程序漏洞检测方法，其特征在于，所述应用程序基于JSON框架进行数据存储和参数传递，该检测方法包括：

获取当前所述应用程序中JSON解析函数返回对象的位置信息；

2.根据权利要求1所述的基于数据流跟踪的应用程序漏洞检测方法，其特征在于，通过所述IAST工具插桩所述应用程序中的JSON解析函数，以获得该JSON解析函数返回对象的位置信息。

3.根据权利要求2所述的基于数据流跟踪的应用程序漏洞检测方法，其特征在于，创建包括若干已知解析类型的JSON解析函数的函数库，并判断当前所述应用程序中任一JSON类函数是否存在于所述函数库，如果是，则直接通过所述IAST工具插桩该JSON类函数；

4.一种基于数据流跟踪的应用程序漏洞检测系统，其特征在于，所述应用程序基于JSON框架进行数据存储和参数传递，该检测系统包括：

5.根据权利要求4所述的基于数据流跟踪的应用程序漏洞检测系统，其特征在于，所述位置信息获取模块通过IAST工具插桩所述应用程序中的JSON解析函数，以获得该JSON解析函数返回对象的位置信息。

6.根据权利要求5所述的基于数据流跟踪的应用程序漏洞检测系统，其特征在于，所述位置信息获取模块包括函数库创建模块、匹配模块、插桩模块和推断模块；

所述插桩模块，用于采用IAST工具插桩所述JSON解析函数。

7.一种基于数据流跟踪的应用程序漏洞检测系统，其特征在于，包括：

一个或多个处理器；

存储器；

以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如权利要求1至3任一项所述的基于数据流跟踪的应用程序漏洞检测方法的指令。

8.一种计算机可读存储介质，其特征在于，包括计算机程序，所述计算机程序可被处理器执行以完成如权利要求1至3任一项所述基于数据流跟踪的应用程序漏洞检测方法。