CN115357899A - 基于iast技术检测存储型漏洞的方法及系统 - Google Patents

Abstract

本发明公开了一种基于IAST技术检测存储型漏洞的方法及系统，该方法包括：采用IAST插桩工具插桩待测应用程序；当进入待测应用程序中的污点数据要求应用程序发生数据存储操作事件时，获取污点数据在数据库中所存储数据的位置信息，并存储该位置信息，以获得参照数据表；当进入待测应用程序中的污点数据要求应用程序发生数据查询操作事件时，判断查询内容是否与参照数据表中记录的内容相匹配，如果是，则采用标记信息对当前查询内容做特征标记；判断带有标记信息的查询内容是否出现在输出阶段或经由传播阶段到达输出阶段，如果是，则当前应用程序存在存储型漏洞；本发明上述技术方案，可检测应用程序中大部分存储型漏洞攻击的场景，而且检测效率高。

Description

基于IAST技术检测存储型漏洞的方法及系统

技术领域

本发明涉及应用程序漏洞检测技术领域，尤其涉及一种基于IAST技术检测存储型漏洞的方法及系统。

背景技术

随着互联网的发展，应用程序也越来越多，常见的web漏洞也都由SAST、DAST工具进行检测、防护。存储型漏洞为应用程序中的一种特殊漏洞，如果应用程序中存在存储型漏洞，攻击者将攻击数据通过A接口存储到数据库中，再利用B接口(可能是下一个请求，也可能是几天后发送的请求)从数据库中获取之前发送的攻击数据进行协同攻击。对于这种存储型漏洞，由于常规检测方式只能基于单个请求进行拦截验证，目前一直没好用的检测工具，一般通过人工经验进行检测和拦截，效率比较低。

发明内容

本发明的目的是提供一种可自动对应用程序中的存储型漏洞进行实时检测的基于IAST技术检测存储型漏洞的方法及系统。

为了实现上述目的，本发明公开了一种基于IAST技术检测存储型漏洞的方法，其包括：

采用IAST插桩工具插桩待测应用程序，以将数据流跟踪程序织入待测应用程序；

当进入待测应用程序中的污点数据要求应用程序发生数据存储操作事件时，获取所述污点数据在数据库中所存储数据的位置信息，并存储该位置信息，以获得参照数据表；

当进入待测应用程序中的污点数据要求应用程序发生数据查询操作事件时，判断查询内容是否与所述参照数据表中记录的内容相匹配，如果是，则采用标记信息对当前所述查询内容做特征标记；

跟踪该污点数据的数据流，判断带有所述标记信息的查询内容是否出现在输出阶段或经由传播阶段到达输出阶段，如果是，则当前应用程序存在存储型漏洞。

较佳地，在所述参照数据表中，存储所述污点数据在数据库中的位置信息时，同时将所述污点数据和发生数据存储操作时的线程上下文信息与所述位置信息进行关联存储。

较佳地，所述位置信息包括所述污点数据存储在所述应用程序数据库中的数据所属的数据库名、数据表名和列名；

获取所述位置信息的方法包括：

跟踪所述污点数据的数据流，获取所述应用程序与数据库交互的存储语句和执行语句；

解析该存储语句，以获得所述数据表名和列名，解析该执行语句，以获得所述数据库名；

判断查询内容是否与所述参照数据表中记录的内容相匹配的方法包括：

跟踪所述污点数据的数据流，获取所述应用程序与数据库交互的查询语句和执行语句，并解析该查询语句和执行语句，以获取当前应用程序访问数据库的目标位置；

采用轮询方式查询所述目标位置是否与所述参照数据表中的位置信息匹配，如果是，则由所述查询语句返回的所述查询内容与参照数据表中记录的内容相匹配。

较佳地，通过所述应用程序与数据库交互的sql语句中的关键字判断当前进入所述应用程序中的污点数据对所述数据库的操作事件。

本发明还公开一种基于IAST技术检测存储型漏洞的系统，其包括：

插桩模块，其用于采用IAST插桩工具插桩待测应用程序，以将数据流跟踪程序织入待测应用程序；

参照数据采集模块，其用于当进入待测应用程序中的污点数据要求应用程序发生数据存储操作事件时，获取所述污点数据在数据库中所存储数据的位置信息，并存储该位置信息，以获得参照数据表；

标记模块，其用于当进入待测应用程序中的污点数据要求应用程序发生数据查询操作事件时，如果查询内容是否与所述参照数据表中记录的内容相匹配，采用标记信息对当前所述查询内容做特征标记。

确认模块，其用于通过判断带有所述标记信息的查询内容是否出现在所述污点数据的数据流的输出阶段或经由传播阶段到达输出阶段确认当前应用程序存在存储型漏洞。

较佳地，，所述参照数据采集模块还在所述参照数据表中同时将所述污点数据和发生数据存储操作时的线程上下文信息与所述位置信息进行关联存储。

较佳地，所述位置信息包括所述污点数据存储在所述应用程序数据库中的数据所属的数据库名、数据表名和列名；

所述参照数据采集模块包括第一数据采集模块和第一解析模块；

所述第一数据采集模块，用于通过跟踪所述污点数据的数据流获取所述应用程序与数据库交互的存储语句和执行语句；

所述第一解析模块，用于对所述第一数据采集模块采集到的存储语句进行解析，以获得所述数据表名和列名，并对该执行语句进行解析，以获得所述数据库名；

所述标记模块中包括有第二数据采集模块、第二解析模块以及轮询模块；

所述第二数据采集模块，用于通过跟踪所述污点数据的数据流获取所述应用程序与数据库交互的查询语句和执行语句；

所述第二解析模块，用于解析该查询语句和执行语句，以获取当前应用程序访问数据库的目标位置；

所述轮询模块，用于采用轮询方式查询所述目标位置是否与所述参照数据表中的位置信息匹配，以确认所述查询语句返回的所述查询内容是否与参照数据表中记录的内容相匹配。

较佳地，该系统还包括数据操作判断模块，该数据库操作判断模块用于通过所述应用程序与数据库交互的sql语句中的关键字判断当前进入所述应用程序中的污点数据对所述数据库的操作事件。

本发明还公开一种基于IAST技术检测存储型漏洞的系统，其包括：

一个或多个处理器；

存储器；

以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如上所述的基于IAST技术检测存储型漏洞的方法的指令。

本发明还公开一种计算机可读存储介质，其包括计算机程序，所述计算机程序可被处理器执行以完成如上所述的基于IAST技术检测存储型漏洞的方法。

与现有技术相比，本发明上述技术方案，专用于对应用程序中的存储型漏洞进行实时检测，应用程序运行过程中，通过插桩工具实时跟踪检测污点数据进入应用程序的数据流，当用户输入的请求也即污点数据从数据库提取数据时，如果该数据为其他用户请求预先存在数据库中的数据，且所提取的数据还通过sql执行、命令行执行等敏感函数而输出，则判断当前应用程序存在存储型漏洞；由此可知，通过上技术方案，可检测应用程序中大部分存储型漏洞攻击的场景，而且检测效率高。

附图说明

图1为本发明实施例中检测存储型漏洞的方法流程图。

图2为本发明实施例中参照数据表的存储结构图。

具体实施方式

为详细说明本发明的技术内容、构造特征、所实现目的及效果，以下结合实施方式并配合附图详予说明。

本实施例公开了一种基于IAST技术检测存储型漏洞的方法，以用于检测应用程序(特别是web应用)中的存储型漏洞，具体地，该方法包括如下步骤：

S1：采用IAST插桩工具插桩待测应用程序，以将数据流跟踪程序织入待测应用程序，基于该数据流跟踪程序，可跟踪污点数据在应用程序中的数据流。

S2：基于数据流跟踪程序，获取污点数据在应用程序中的数据流，并根据该污点数据所进入的数据库交互函数判断当前污点数据是否要求应用程序发生数据存储操作事件，如果是，则进入下述步骤S30，如果否，表示当前污点数据要求应用程序发生的是数据查询操作事件，则进入下述步骤S40。

具体地，通过插桩的数据库交互函数如java.sql.Connection#prepareStatement(java.lang.String)，获取入参信息，也即sql语句，然后，通过sql语句中的关键字，如select，update，delete，insert等判断当前应用程序通过数据库交互函数发生的动作，如果为insert或update则说明是数据存储操作，如果为select则为数据库查询操作。

S30：获取污点数据在数据库中所存储数据的位置信息，并存储该位置信息，以获得参照数据表。具体地，本实施例中的位置信息包括污点数据存储在应用程序数据库中的数据所属的数据库名、数据表名和列名。

S40：判断查询内容是否与参照数据表中记录的内容相匹配，如果是，表示当前污点数据所要提取的数据为其他在先请求所存储的来自于用户输入的数据，则进入步骤S41，如果否，不对当前查询内容做任何操作。

S41：采用标记信息对当前查询内容做特征标记。

S42：跟踪污点数据的数据流，并判断带有标记信息的查询内容是否出现在输出阶段或经由传播阶段到达输出阶段，如果是，则确认当前应用程序存在存储型漏洞，如果否，则结束。

上述实施例中公开的检测存储型漏洞的方法所适用的漏洞操作情景是：在先请求将一个污点数据存储到数据库，但是并没有执行，而在后请求把之前在先请求的污点数据从数据库中取出并执行。如果出现这种操作情景，说明当前应用程序存在存储型漏洞。因此，上述实施例中的检测存储型漏洞的方法的发明构思是：基于下述两个条件判断应用程序是否存在存储型漏洞，一是，在后请求从数据库中提取的数据是来自于用户输入的在先请求存储的数据，二是，在后请求从数据库提取在先请求存储的数据后，把数据传入到了敏感函数(比如sql执行，命令行执行)，进而输出。由此，通过该方法，可检测应用程序中大部分存储型漏洞攻击的场景，而且检测效率高。

在上述实施例中，数据库交互函数会根据入参信息(sql语句)执行数据存储操作或数据查询操作。例如，当入参的sql语句为insert into users(name,sex)values(request.getParameter("name"),request.getParameter("sex"))时，执行语句为：

相应地，当数据库交互函数执行数据查询操作时，其具体执行语句为：

因此，通过对当前进入数据库交互函数的入参信息的解析，可获得当前所要存储或提取的数据在数据库中所属的数据表名和列名，通过解析当前数据库交互函数中的对象(在上述执行语句中为Connection)可获得当前所要存储或提取的数据在数据库中所属的数据库名称信息(在上述执行语句中为test)。

基于此，本实施例中，获取存储在数据中的数据的位置信息的方法具体包括：

首先，跟踪污点数据的数据流，获取应用程序与数据库交互的存储语句(sql语句)和执行语句。

然后，解析该存储语句，以获得数据表名和列名，解析该执行语句，以获得数据库名。根据上述实施例公开的具体的存储语句和相应的执行语句，数据表名为users，列名为name和sex，数据库名为test。

当获取到位置信息后，将其存入参照数据表中，如图2所示，参照数据表中的数据以树状结构存储。

相应地，判断查询内容是否与参照数据表中记录的内容相匹配的方法包括：

首先，跟踪污点数据的数据流，获取应用程序与数据库交互的查询语句(sql语句)和执行语句。

然后，解析该查询语句和执行语句，以获取当前应用程序访问数据库的目标位置。

接着，采用轮询方式查询目标位置是否与参照数据表中的位置信息匹配，如果是，则表明由查询语句返回的查询内容与参照数据表中记录的内容相匹配。

本实施例中，当查询语句为select name,sex from users where name＝‘zhangsan’时，通过词法分析技术提取出表名为users，列名为name和sex，并通过插桩技术获取的执行语句中的Connection对象为test，因此，该目标位置可与参照数据表中记录的内容相匹配，当前应用程序存在存储型漏洞。

进一步地，在参照数据表中，存储污点数据在数据库中的位置信息时，同时将污点数据和发生数据存储操作时的线程上下文信息与位置信息进行关联存储，这样，当检测到存储型漏洞时，可结合当前和参照数据表存储的污点数据和线程上下文信息，准确定位存储型漏洞的来源和爆发点。

本发明另一较佳实施例中，还公开一种基于IAST技术检测存储型漏洞的系统，其包括插桩模块、参照数据采集模块、标记模块以及确认模块。

插桩模块，用于采用IAST插桩工具插桩待测应用程序，以将数据流跟踪程序织入待测应用程序。

参照数据采集模块，用于当进入待测应用程序中的污点数据要求应用程序发生数据存储操作事件时，获取污点数据在数据库中所存储数据的位置信息，并存储该位置信息，以获得参照数据表。

标记模块，用于当进入待测应用程序中的污点数据要求应用程序发生数据查询操作事件时，如果查询内容是否与参照数据表中记录的内容相匹配，采用标记信息对当前查询内容做特征标记。

确认模块，用于通过判断带有标记信息的查询内容是否出现在污点数据的数据流的输出阶段或经由传播阶段到达输出阶段确认当前应用程序存在存储型漏洞。

可选地，参照数据采集模块还在参照数据表中同时将污点数据和发生数据存储操作时的线程上下文信息与位置信息进行关联存储。

进一步地，位置信息包括污点数据存储在应用程序数据库中的数据所属的数据库名、数据表名和列名。

参照数据采集模块包括第一数据采集模块和第一解析模块。

第一数据采集模块，用于通过跟踪污点数据的数据流获取应用程序与数据库交互的存储语句和执行语句。

第一解析模块，用于对第一数据采集模块采集到的存储语句进行解析，以获得数据表名和列名，并对该执行语句进行解析，以获得数据库名。

标记模块中包括有第二数据采集模块、第二解析模块以及轮询模块。

第二数据采集模块，用于通过跟踪污点数据的数据流获取应用程序与数据库交互的查询语句和执行语句。

第二解析模块，用于解析该查询语句和执行语句，以获取当前应用程序访问数据库的目标位置。

轮询模块，用于采用轮询方式查询目标位置是否与参照数据表中的位置信息匹配，以确认查询语句返回的查询内容是否与参照数据表中记录的内容相匹配。

进一步地，该系统还包括数据操作判断模块，该数据库操作判断模块用于通过应用程序与数据库交互的sql语句中的关键字判断当前进入应用程序中的污点数据对数据库的操作事件。

另外需要说明的是，本实施例中的基于IAST技术检测存储型漏洞的系统的工作原理和工作方式详见上述基于IAST技术检测存储型漏洞的方法，在此不再赘述。

本发明还公开另一种检测存储型漏洞的系统，其包括一个或多个处理器、存储器以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如上所述的检测存储型漏洞的方法的指令。处理器可以采用通用的中央处理器(Central Processing Unit，CPU)，微处理器，应用专用集成电路(Application Specific Integrated Circuit，ASIC)，或者一个或多个集成电路，用于执行相关程序，以实现本申请实施例的检测存储型漏洞的系统中的模块所需执行的功能，或者执行本申请方法实施例的检测存储型漏洞的方法。

本发明还公开一种计算机可读存储介质，其包括计算机程序，所述计算机程序可被处理器执行以完成如上所述的检测存储型漏洞的方法。该计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。该可用介质可以是只读存储器(read-onlymemory，ROM)，或随机存取存储器(random access memory，RAM)，或磁性介质，例如，软盘、硬盘、磁带、磁碟、或光介质，例如，数字通用光盘(digital versatile disc，DVD)、或者半导体介质，例如，固态硬盘(solidstate disk，SSD)等。

本申请实施例还公开了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中。电子设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该电子设备执行上述检测存储型漏洞的方法。

以上所披露的仅为本发明的优选实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明申请专利范围所作的等同变化，仍属本发明所涵盖的范围。

Claims (10)

1.一种基于IAST技术检测存储型漏洞的方法，其特征在于，包括：

采用IAST插桩工具插桩待测应用程序，以将数据流跟踪程序织入待测应用程序；

当进入待测应用程序中的污点数据要求应用程序发生数据存储操作事件时，获取所述污点数据在数据库中所存储数据的位置信息，并存储该位置信息，以获得参照数据表；

当进入待测应用程序中的污点数据要求应用程序发生数据查询操作事件时，判断查询内容是否与所述参照数据表中记录的内容相匹配，如果是，则采用标记信息对当前所述查询内容做特征标记；

跟踪所述污点数据的数据流，判断带有所述标记信息的查询内容是否出现在输出阶段或经由传播阶段到达输出阶段，如果是，则当前应用程序存在存储型漏洞。

2.根据权利要求1所述的基于IAST技术检测存储型漏洞的方法，其特征在于，在所述参照数据表中，存储所述污点数据在数据库中的位置信息时，同时将所述污点数据和发生数据存储操作时的线程上下文信息与所述位置信息进行关联存储。

3.根据权利要求1所述的基于IAST技术检测存储型漏洞的方法，其特征在于，所述位置信息包括所述污点数据存储在所述应用程序数据库中的数据所属的数据库名、数据表名和列名；

获取所述位置信息的方法包括：

跟踪所述污点数据的数据流，获取所述应用程序与数据库交互的存储语句和执行语句；

解析该存储语句，以获得所述数据表名和列名，解析该执行语句，以获得所述数据库名；

判断查询内容是否与所述参照数据表中记录的内容相匹配的方法包括：

跟踪所述污点数据的数据流，获取所述应用程序与数据库交互的查询语句和执行语句，并解析该查询语句和执行语句，以获取当前应用程序访问数据库的目标位置；

采用轮询方式查询所述目标位置是否与所述参照数据表中的位置信息匹配，如果是，则由所述查询语句返回的所述查询内容与参照数据表中记录的内容相匹配。

4.根据权利要求1所述的基于IAST技术检测存储型漏洞的方法，其特征在于，通过所述应用程序与数据库交互的sql语句中的关键字判断当前进入所述应用程序中的污点数据对所述数据库的操作事件。

5.一种基于IAST技术检测存储型漏洞的系统，其特征在于，包括：

插桩模块，其用于采用IAST插桩工具插桩待测应用程序，以将数据流跟踪程序织入待测应用程序；

参照数据采集模块，其用于当进入待测应用程序中的污点数据要求应用程序发生数据存储操作事件时，获取所述污点数据在数据库中所存储数据的位置信息，并存储该位置信息，以获得参照数据表；

标记模块，其用于当进入待测应用程序中的污点数据要求应用程序发生数据查询操作事件时，如果查询内容是否与所述参照数据表中记录的内容相匹配，采用标记信息对当前所述查询内容做特征标记；

确认模块，其用于通过判断带有所述标记信息的查询内容是否出现在所述污点数据的数据流的输出阶段或经由传播阶段到达输出阶段确认当前应用程序存在存储型漏洞。

6.根据权利要求5所述的基于IAST技术检测存储型漏洞的系统，其特征在于，所述参照数据采集模块还在所述参照数据表中同时将所述污点数据和发生数据存储操作时的线程上下文信息与所述位置信息进行关联存储。

7.根据权利要求5所述的基于IAST技术检测存储型漏洞的系统，其特征在于，所述位置信息包括所述污点数据存储在所述应用程序数据库中的数据所属的数据库名、数据表名和列名；

所述参照数据采集模块包括第一数据采集模块和第一解析模块；

所述第一数据采集模块，用于通过跟踪所述污点数据的数据流获取所述应用程序与数据库交互的存储语句和执行语句；

所述第一解析模块，用于对所述第一数据采集模块采集到的存储语句进行解析，以获得所述数据表名和列名，并对该执行语句进行解析，以获得所述数据库名；

所述标记模块中包括有第二数据采集模块、第二解析模块以及轮询模块；

所述第二数据采集模块，用于通过跟踪所述污点数据的数据流获取所述应用程序与数据库交互的查询语句和执行语句；

所述第二解析模块，用于解析该查询语句和执行语句，以获取当前应用程序访问数据库的目标位置；

所述轮询模块，用于采用轮询方式查询所述目标位置是否与所述参照数据表中的位置信息匹配，以确认所述查询语句返回的所述查询内容是否与参照数据表中记录的内容相匹配。

8.根据权利要求1所述的基于IAST技术检测存储型漏洞的方法，其特征在于，还包括数据操作判断模块，该数据库操作判断模块用于通过所述应用程序与数据库交互的sql语句中的关键字判断当前进入所述应用程序中的污点数据对所述数据库的操作事件。

9.一种基于IAST技术检测存储型漏洞的系统，其特征在于，包括：

一个或多个处理器；

存储器；

以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如权利要求1至4任一项所述的基于IAST技术检测存储型漏洞的方法的指令。

10.一种计算机可读存储介质，其特征在于，包括计算机程序，所述计算机程序可被处理器执行以完成如权利要求1至4任一项所述的基于IAST技术检测存储型漏洞的方法。

Images