CN116089962A - 一种高性能的Iast外部检测方法、装置、电子设备及介质 - Google Patents

Abstract

本申请涉及web应用安全检测的领域，尤其是涉及一种高性能的Iast外部检测方法、装置、电子设备及介质。方法包括：获取链路信息，基于链路点信息确定链路插入信息以及链路承接信息，基于链路通道信息确定数据通道信息以及数据解析信息，分别将链路插入信息以及链路承接信息进行信息关联绑定，得到链路关联信息，对链路关联信息进行信息筛查，得到应用程序信息，根据数据通道信息以及数据解析信息对应用程序信息进行解析，得到解析程序信息，控制显示解析程序信息，本申请具有降低对正常业务影响同时提高检测性能的效果。

Description

一种高性能的Iast外部检测方法、装置、电子设备及介质

技术领域

本申请涉及web应用安全检测的领域，尤其是涉及一种高性能的Iast外部检测方法、装置、电子设备及介质。

背景技术

在过去的两年里，受到web应用恶意攻击最多的行业排名包括制造业和零售业两个关乎所有人生活的行业。Radware发布的全球威胁分析报告中强调，在2020 - 2021年，恶意Web应用请求的数量激增了88%，分布式拒绝服务(DDoS)攻击的年度增长率为37%，比上一年翻了一番。而因为更多企业将其关键资源转移到公有云上，针对公有云的DDOS攻击也正要成为现实。

为了阻止拦截上述恶意攻击，现有的web应用安全检测进程是选择与正常业务进程一起展开，但因为web应用的业务逻辑越来越复杂，数个进程一同打开导致正常业务进程不稳定甚至崩溃现象上升，无法对用户的数据安全进行保障。

发明内容

为了解决现有技术存在的问题，本申请提供一种高性能的Iast外部检测方法、装置、电子设备及存储介质。

第一方面，本申请提供一种高性能的Iast外部检测方法，采用如下的技术方案：

一种高性能的Iast外部进程检测方法，包括：

获取链路信息，所述链路信息包括链路通道信息以及链路点信息；

基于所述链路点信息确定链路插入信息以及链路承接信息；

基于所述链路通道信息确定数据通道信息以及数据解析信息；

分别将所述链路插入信息以及所述链路承接信息进行信息关联绑定，得到链路关联信息；

对所述链路关联信息进行信息筛查，得到应用程序信息；

根据所述数据通道信息以及数据解析信息对所述应用程序信息进行解析，得到解析程序信息；

控制显示所述解析程序信息。

在另一种可能实现的方式中，根据所述数据通道信息以及数据解析信息对所述应用程序信息进行解析，得到解析程序信息，之前还包括：

获取所述数据通道信息传出的所述应用程序信息，所述应用程序信息包括由所述链路关联信息解析后组成的单个数据包；

基于所述数据解析信息对所述应用程序信息进行处理，得到所述应用程序信息的固定参数；

将所述固定参数填充至所述数据通道信息内预设的集合容器。

在另一种可能实现的方式中，将所述固定参数搭建填充至集合容器，之前还包括：

获取一级数据包以及二级数据包，所述一级数据包为所述数据包中首个上传的数据包，所述二级数据包为所述数据包中除所述一级数据包之外的数据包；

分别对所述一级数据包以及所述二级数据包进行拆解，得到与所述一级数据包相对应一级数据以及与所述二级数据包相对应的二级数据；

将所述一级数据导入至所述集合容器中进行关键值提取，得到所述一级数据的数据关键值；

基于所述数据关键值确定所述二级数据是否可以导入所述集合容器内；

若所述二级数据不可以导入所述集合容器内，则丢弃所述二级数据。

在另一种可能实现的方式中，基于所述固定参数填充所述数据通道信息内预设的集合容器，之后还包括：

判断所述一级数据包以及所述二级数据包所对应的数据参数中是否包含预设参数；

若所述一级数据包以及所述二级数据包所对应的数据参数中包含预设参数，则生成漏洞检测指令，控制执行预设漏洞检测流程。

在另一种可能实现的方式中，控制执行预设漏洞检测流程，包括：

筛查所述集合容器里填充的数据是否包含经预设固定承接函数处理过的参数 ；

若所述集合容器里填充的数据不包含经所述固定承接函数处理过的参数，则在所述解析程序信息中认定为存在漏洞；

若所述集合容器里填充的数据包含经所述固定承接函数处理过的参数，则筛查所述集合容器里填充的数据是否包含经安全化转义的数据信息；

若所述集合容器里填充的数据不包含经安全化转义的数据信息，则在所述解析程序信息中认定为存在漏洞。

在另一种可能实现的方式中，该方法还包括：

根据所述解析程序信息确定所述链路关联信息中的不安全数据；

基于所述不安全数据确定对应存在的包名信息；

通过所述包名信息生成对应软件的安全警示；

统计固定时间段同一所述软件的安全警示数量，并根据所述安全警示数量运算得出警示频率信息；

记录所述固定时间段同一所述软件的安全警示数量以及所述警示频率信息，得到安全警示信息；

对所述安全警示信息进行安全系数评估，得到在所述固定时间段内所述对应软件的安全系数；

将所述安全警示信息、所述固定时间段以及所述安全系数进行数据绑定，得到安全报告；

控制显示所述报告。

在另一种可能实现的方式中，将所述安全警示信息、所述固定时间段以及所述安全系数进行数据绑定，得到安全报告，之后还包括：

对所述不安全数据的来源网络地址进行定位追踪，生成所述固定时间段内针对所述不安全数据造成的问题描述、技术解读以及用户解决指南；

根据所述固定时间段对所述报告自动归档保存，并生成关于所述固定时间段内所述不安全数据的动态图。

第二方面，本申请提供一种高性能的Iast外部检测装置，包括：

信息获取模块，用于获取链路信息，所述链路信息包括链路通道信息以及链路点信息；

链路确定模块，用于基于所述链路点信息确定链路插入信息以及链路承接信息；

通道确定模块，用于基于所述链路通道信息确定数据通道信息以及数据解析信息；

关联信息模块，用于分别将所述链路插入信息以及所述链路承接信息进行信息关联绑定，得到链路关联信息；

筛查信息模块，用于对所述链路关联信息进行信息筛查，得到应用程序信息；

解析信息模块，用于根据所述数据通道信息以及数据解析信息对所述应用程序信息进行解析，得到解析程序信息；

显示信息模块，用于控制显示所述解析程序信息。

在另一种可能实现的方法中，所述装置还包括获取应用信息模块、处理应用信息模块以及填充参数信息模块，其中，

获取应用信息模块，用于获取所述数据通道信息传出的所述应用程序信息，所述应用程序信息包括由所述链路关联信息解析后组成的单个数据包；

处理应用信息模块，用于基于所述数据解析信息对所述应用程序信息进行处理，得到所述应用程序信息的固定参数；

填充参数信息模块，用于将所述固定参数填充至所述数据通道信息内预设的集合容器。

在另一中可能实现的方法中，所述装置还包括数据分级模块、拆解数据模块、提取数据模块、确定导入模块以及判断存留模块，其中，

数据分级模块，用于获取一级数据包以及二级数据包，所述一级数据包为所述数据包中首个上传的数据包，所述二级数据包为所述数据包中除所述一级数据包之外的数据包；

拆解数据模块，用于分别对所述一级数据包以及所述二级数据包进行拆解，得到与所述一级数据包相对应一级数据以及与所述二级数据包相对应的二级数据；

提取数据模块，用于将所述一级数据导入至所述集合容器中进行关键值提取，得到所述一级数据的数据关键值；

确定导入模块，用于基于所述数据关键值确定所述二级数据是否可以导入所述集合容器内；

判断存留模块，用于若所述二级数据不可以导入所述集合容器内，则丢弃所述二级数据。

在另一中可能实现的方法中，所述装置还包括判断参数模块以及漏洞规则模块，其中，

判断参数模块，用于判断所述一级数据包以及所述二级数据包所对应的数据参数中是否包含预设参数；

漏洞规则模块，用于若所述一级数据包以及所述二级数据包所对应的数据参数中包含预设参数，则生成漏洞检测指令，控制执行预设漏洞检测流程。

在另一中可能实现的方法中，所述装置还包括筛查参数模块，漏洞认定模块，判断安全模块以及漏洞认定模块，其中，

筛查参数模块，用于筛查所述集合容器里填充的数据是否包含经预设固定承接函数处理过的参数 ；

漏洞认定模块，用于若所述集合容器里填充的数据不包含经所述固定承接函数处理过的参数，则在所述解析程序信息中认定为存在漏洞；

判断安全模块，用于若所述集合容器里填充的数据包含经所述固定承接函数处理过的参数，则筛查所述集合容器里填充的数据是否包含经安全化转义的数据信息；

漏洞认定模块，用于若所述集合容器里填充的数据不包含经安全化转义的数据信息，则在所述解析程序信息中认定为存在漏洞。

在另一中可能实现的方法中，所述装置还包括确定数据模块、确定包名模块、安全警示模块、确定频率模块、安全警示模块、安全系数模块、安全报告模块以及显示报告模块，其中，

确定数据模块，用于根据所述解析程序信息确定所述链路关联信息中的不安全数据；

确定包名模块，用于基于所述不安全数据确定对应存在的包名信息；

安全警示模块，用于通过所述包名信息生成对应软件的安全警示；

确定频率模块，用于统计固定时间段同一所述软件的安全警示数量，并根据所述安全警示数量运算得出警示频率信息；

安全警示模块，用于记录所述固定时间段同一所述软件的安全警示数量以及所述警示频率信息，得到安全警示信息；

安全系数模块，用于对所述安全警示信息进行安全系数评估，得到在所述固定时间段内所述对应软件的安全系数；

安全报告模块，用于将所述安全警示信息、所述固定时间段以及所述安全系数进行数据绑定，得到安全报告；

显示报告模块，用于控制显示所述报告。

在另一中可能实现的方法中，所述装置还包括生成数据模块以及生成图表模块，其中，

生成数据模块，用于对所述不安全数据的来源网络地址进行定位追踪，生成所述固定时间段内针对所述不安全数据造成的问题描述、技术解读以及用户解决指南；

生成图表模块，用于根据所述固定时间段对所述报告自动归档保存，并生成关于所述固定时间段内所述不安全数据的动态图。

第三方面，本申请提供一种电子设备，采用如下的技术方案：

一种电子设备，该电子设备包括：

至少一个处理器；

存储器；

至少一个应用程序，其中至少一个应用程序被存储在存储器中并被配置为由至少一个处理器执行，所述至少一个应用程序配置用于：执行上述高性能的Iast外部检测的方法。

第四方面，提供了一种计算机可读存储介质，存储介质存储有至少一条指令、至少一段程序、代码集或指令集，至少一条指令、至少一段程序、代码集或指令集由处理器加载并执行以实现如第一方面中任一可能的实现方式所示的高性能的Iast外部检测方法。

综上所述，本申请包括以下有益技术效果：

本申请提供了一张高性能的Iast外部检测方法、装置、电子设备及可读存储介质，与相关技术相比，在本申请中，通过得到的链路信息确定了链路通道信息和链路点信息，链路点信息内包含两部分可进行连接使用的信息，即链路插入信息和链路承接信息；链路通道信息内包含了两部分供数据传输以及处理的信息，即数据通道信息和数据解析信息。

将链路插入信息接入链路承接信息，此时数据通道信息启动待用。与此同时链路承接信息开始采集用户终端上的信息，得到链路关联信息。此后开始调用预先设置在链路点信息里的函数，使链路关联信息被处理成应用程序信息。

应用程序信息通过启动的数据通道信息传输至数据解析信息，此时数据解析信息开始通过检测应用程序信息里是否有所需数据来检测用户终端数据里是否有安全隐患，并生成关于用户终端数据的解析程序信息。由此组建了一条完整的外部链路用于对用户终端数据的处理，消除了之前终端或服务端进行对用户终端数据处理带来的计算压力，并减少了对用户终端内存的占用，有效保证了用户数据的安全。

附图说明

图1是本申请实施例一张高性能的Iast外部检测方法的流程示意图；

图2是本申请实施例一张高性能的Iast外部检测装置的方框示意图；

图3是本申请实施例一种高性能的Iast外部检测电子设备的示意图。

具体实施方式

以下结合附图1-附图3对本申请作进一步详细说明。

领域技术人员在阅读完本说明书后可以根据需要对本实施例做出没有创造性贡献的修改，但只要在本申请的权利要求范围内都受到专利法的保护。

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，一种高性能的Iast外部检测方法、装置、电子设备及存储介质和/或B，可以表示：单独存在高性能的Iast外部检测方法、装置、设备及介质，同时存在高性能的Iast外部检测方法、装置、设备及介质和B，单独存在B这三种情况。另外，本文中字符“/”，如无特殊说明，一般表示前后关联对象是一种“或”的关系。

下面结合说明书附图对本申请实施例作进一步详细描述。

本申请实施例提供了一张高性能的Iast外部检测方法，由电子设备执行，该电子设备可以为服务器也可以为终端设备，其中，该服务器可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云计算服务的云服务器。终端设备可以是智能手机、平板电脑、笔记本电脑、台式计算机等，但并不局限于此，该终端设备以及服务器可以通过有线或无线通信方式进行直接或间接地连接，本申请实施例在此不做限制，如图1所示，该方法包括：

步骤A001，获取链路信息，链路信息包括链路通道信息以及链路点信息。

步骤A002，基于链路点信息确定链路插入信息以及链路承接信息。

步骤A003，基于链路通道信息确定数据通道信息以及数据解析信息。

其中，链路信息：链路通道信息以及链路点信息；

链路点信息：链路插入信息以及链路承接信息；

链路通道信息：数据通道信息以及数据解析信息；

链路插入信息：probe插桩器信息；

链路承接信息：hook插桩点信息以及插桩函数信息；

数据通道信息：外部进程通道信息。

对于本申请实施例来说，采用Jvm技术建立probe插桩器，采用jvm agent+asm技术对需要插桩的class以及method进行hook插桩点的安置，建立插桩函数，采用UnixDomainSocket套接字通信技术建立外部进程通道（以下简称unixsocket通道）。

步骤A004，分别将链路插入信息以及链路承接信息进行信息关联绑定，得到链路关联信息。

其中，链路关联信息：hook点数据。

对于本申请实施例来说，将probe插桩器接入hook插桩点进行数据绑定，此时unixsocket通道开始启动，当数据流转到hook插桩点，开始采集用户终端的数据，此时采集到的数据为hook点数据。

步骤A005，对链路关联信息进行信息筛查，得到应用程序信息。

对于本申请实施例，筛查过程包括对hook点数据进行解析以及取出部分参数。具体的，通过调用插桩函数对hook点数据进行解析，并且将hook点数据内args参数的内存地址以及stage的阶段参数取出，得到应用程序信息。

步骤A006，根据数据通道信息以及数据解析信息对应用程序信息进行解析，得到解析程序信息。

步骤A007，控制显示解析程序信息。

对于本申请实施例，通过unixsocket通道获取步骤A005得到应用程序信息，并根据数据解析信息解析应用程序信息，确定应用程序信息里是否包含安全隐患，并生成解析程序信息。此后上传显示解析程序信息。

本申请提供了一种高性能的Iast外部检测方法，通过得到的链路信息确定了链路通道信息和链路点信息，链路点信息内包含两部分可进行连接使用的信息，即链路插入信息和链路承接信息；链路通道信息内包含了两部分供数据传输以及处理的信息，即数据通道信息和数据解析信息。

将链路插入信息接入链路承接信息，此时数据通道信息启动待用。与此同时链路承接信息开始采集用户终端上的信息，得到链路关联信息。此后开始调用预先设置在链路点信息里的函数，使链路关联信息被处理成应用程序信息。

应用程序信息通过启动的数据通道信息传输至数据解析信息，此时数据解析信息开始通过检测应用程序信息里是否有所需数据来检测用户终端数据里是否有安全隐患，并生成关于用户终端数据的解析程序信息。由此组建了一条完整的外部链路用于对用户终端数据的处理，消除了之前终端或服务端进行对用户终端数据处理带来的计算压力，并减少了对用户终端内存的占用，有效保证了用户数据的安全。

本申请实施例的一种可能的实现方式，步骤A006之前还包括步骤B001（图中未示出）、步骤B002（图中未示出）以及步骤B003（图中未示出），其中，

步骤B001，获取数据通道信息传出的应用程序信息，应用程序信息包括由链路关联信息解析后组成的单个数据包。

步骤B002，基于数据解析信息对应用程序信息进行处理，得到应用程序信息的固定参数。

其中，固定参数：args的内存地址、stage的阶段参数以及其他解析后hook点数据。

对于本申请实施例来说，插桩函数将应用程序信息打包生成数据包丢出至unixsocket通道，数据包通过unixsocket通道传输到数据解析信息。

根据数据解析信息将数据包内的信息取出，找到步骤A005生成的args的内存地址、stage的阶段参数以及其他解析后hook点数据。

步骤B003，将固定参数填充至数据通道信息内预设的集合容器。

其中，预设的集合容器：污点池。

对于本申请实施例，根据步骤B002得到的stage的阶段参数以及args的内存地址开始填充污点池（即hashmap，以下简称hashmap）。

具体的，可根据对不同参数的排列进而对hashmap内部结构采用不同的组建方法，比如数字分析法、除留余数法以及直接定址法。

本申请实施例的一种可能的实现方式，步骤B003之前还包括步骤B004（图中未示出）、步骤B005（图中未示出）步骤B006（图中未示出）、步骤B007（图中未示出）以及步骤B008（图中未示出），其中，

步骤B004，获取一级数据包以及二级数据包，一级数据包为数据包中首个上传的数据包，二级数据包为数据包中除一级数据包之外的数据包。

步骤B005，分别对一级数据包以及二级数据包进行拆解，得到与一级数据包相对应一级数据以及与二级数据包相对应的二级数据。

其中，一级数据包：应用程序信息第一次传输到解析数据信息时的数据包，

二级数据包：第一次传输到解析数据信息时的数据包之后的所有数据包，

对于本申请实施例，分别将一级数据包和二级数据包进行拆解，得到数据包中对应的数据，此时对应数据均为解析后hook插桩点数据。

步骤B006，将一级数据导入至集合容器中进行关键值提取，得到一级数据的数据关键值。

其中，数据关键值为hashkey以及hashvalue。

将步骤B005得到的一级数据分类，并根据一级数据确定一级hashkey和一级hashvalue，

计算得到一级数据在hashmap里的地址（以下简称hash address），使一级数据在hash address集中均匀分布，

将一级数据导入hashmap，提取一级hashkey以及一级hashvalue。

步骤B007，基于数据关键值确定二级数据是否可以导入集合容器内。

对于本申请实施例，将步骤B005得到的二级数据分类，并根据二级数据确定二级hashkey和二级hashvalue。

具体的，根据二级数据确定二级hashkey和二级hashvalue时，根据所有二级数据包串行运输到达数据解析信息的次序，定义二级hashkey为key 1，key 2，key 3……key n-1，key n。

比如，根据二级数据包内第一个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第一个二级hashkey（以下简称key1），根据二级数据包内第二个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第二个二级hashkey（以下简称key2），根据二级数据包内第三个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第三个二级hashkey（以下简称key3），根据二级数据包内第n个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第n个二级hashkey（以下简称key n）。根据二级数据确定二级hashvalue时，方法同上，在本申请实施例内不再赘述。

提取hashmap内一级hashkey、一级hashvalue、二级hashkey内的key1以及二级hashvalue内的value1,若二级hashvalue内的value1,可以由一级hashvalue和一级hashkey做预设基础运算得到，则使二级hashkey内的key1进入hashmap。比如，一级hashkey为a，一级hashvalue为1，二级hashkey内的key1为b，二级hashvalue内的value1为a+1，即二级hashvalue内的value1=一级hashvalue+一级hashvalue，则二级hashkey内的key1 b可以进入hashmap。

同样，二级hashkey内的key1为b，二级hashvalue内的value1为a+1，二级hashkey内的key2为c，二级hashvalue内的value2为b+1，即二级hashvalue内的value2=key1 +value1，则二级hashkey内的key2 c可以进入hashmap。

确定二级hashkey可以进入hashmap后，计算得到key对应的二级数据的hashaddress，使key对应的二级数据在hash address集中均匀分布，将key对应的二级数据导入hashmap。

具体的，根据二级数据确定二级hashkey和二级hashvalue时，根据所有二级数据包串行运输到达数据解析信息的次序，定义二级hashkey为key 1，key 2，key 3……key n-1，key n。

比如，根据二级数据包内第一个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第一个二级hashkey（以下简称key1），根据二级数据包内第二个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第二个二级hashkey（以下简称key2），根据二级数据包内第三个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第三个二级hashkey（以下简称key3），根据二级数据包内第n个传输到数据解析信息的数据包所拆解得到的数据确定二级hashkey时，定义为第n个二级hashkey（以下简称key n）。根据二级数据确定二级hashvalue时，方法同上，在本申请实施例内不再赘述。

提取hashmap内一级hashkey、一级hashvalue、二级hashkey内的key1以及二级hashvalue内的value1,若二级hashvalue内的value1,可以由一级hashvalue和一级hashkey做预设基础运算得到，则使二级hashkey内的key1进入hashmap。比如，一级hashkey为a，一级hashvalue为1，二级hashkey内的key1为b，二级hashvalue内的value1为a+1，即二级hashvalue内的value1=一级hashvalue+一级hashvalue，则二级hashkey内的key1 b可以进入hashmap。

同样，二级hashkey内的key1为b，二级hashvalue内的value1为a+1，二级hashkey内的key2为c，二级hashvalue内的value2为b+1，即二级hashvalue内的value2=key1 +value1，则二级hashkey内的key2 c可以进入hashmap。

确定二级hashkey可以进入hashmap后，计算得到key对应的二级数据的hashaddress，使key对应的二级数据在hash address集中均匀分布，将key对应的二级数据导入hashmap。

步骤B008，若二级数据不可以导入集合容器内，则丢弃二级数据。

对于本申请实施例，若hashkey无法由步骤B007内的运算方式得到，则返回生成新的链路节点，之后丢弃hashkey对应的数据。

本申请实施例的一种可能的实现方式，步骤B003之后还包括步骤B009（图中未示出）以及步骤B010（图中未示出），其中，

步骤B009，判断一级数据包以及二级数据包所对应的数据参数中是否包含预设参数。

其中，预设参数为：stage的最终阶段参数。

对于本申请实施例，解析后的hook点数据进入hashmap则认定此时存在一定的链路，触发检测进入hashmap的数据是否为stage的最终阶段参数。

步骤B010，若一级数据包以及二级数据包所对应的数据参数中包含预设参数，则生成漏洞检测指令，控制执行预设漏洞检测流程。

对于本申请实施例来说，检测进入hashmap的数据为stage的最终阶段参数，则触发漏洞规则判定漏洞类型。

本申请实施例的一种可能的实现方式，步骤B010还包括步骤B011（图中未示出）、步骤B012（图中未示出）、步骤B013（图中未示出）以及步骤B014（图中未示出），其中，

步骤B011，筛查集合容器里填充的数据是否包含经预设承接函数处理过的参数 。

步骤B012，若集合容器里填充的数据不包含经预设承接函数处理过的参数，则在解析程序信息中认定为存在漏洞。

其中，预设承接函数：插桩函数内起处理作用的函数。

对于本申请实施例，根据步骤B010触发的漏洞规则来执行预设指令，比如，漏洞规则为执行命令注入指令或执行sql注入指令。

根据预设指令判断hashmap里是否有经过预设承接函数处理过的数据。比如，命令注入指令判定hook点数据是否含经runtime.exec承接函数处理后的数据，sql注入指令判定是否含经sql.query承接函数处理后的参数。

若判定结果为所筛查数据内不包含经预设承接函数处理的数据，则认定结果为：存在漏洞。

步骤B013，若集合容器里填充的数据包含经承接函数处理过的参数，则筛查集合容器里填充的数据是否包含经安全化转义的数据信息。

步骤B014，若集合容器里填充的数据不包含经安全化转义的数据信息，则在解析程序信息中认定为存在漏洞。

对于本申请实施例，若步骤B012得到的认定结果为：无漏洞，则筛查步骤B010内进入hashmap的数据是否包含经安全化转义处理后的参数。若不包含，则认定结果为：存在漏洞。

具体的，安全函数为终端使用的语言或系统特有的函数，于市场上广泛存在。

本申请实施例的一种可能的实现方式，步骤A007之后还包括步骤B015（图中未示出）、步骤B016（图中未示出）、步骤B017（图中未示出）、步骤B018（图中未示出）、步骤B019（图中未示出）、步骤B020（图中未示出）、步骤B021（图中未示出）以及步骤B022（图中未示出），其中，

步骤B015，根据解析程序信息确定链路关联信息中的不安全数据。

步骤B016，基于不安全数据确定对应存在的包名信息。

对于本申请实施例，当步骤B014或者步骤B012的认定结果为存在漏洞时，锁定不安全数据，即使锁定步骤B012或步骤B014判定结果为不安全的原数据。

对锁定的原数据进行数据分析，找到原数据来源，即污点源数据（hook点数据）。比如采用影子内存技术对原数据标记为污点数据，使影子内存产生污点源索引，与污点数据对应。

锁定污点源数据，基于污点源数据的传播关系确定污点源数据传播过程中产生的新污点，并记录在确定新污点过程中执行的指令，以便于确定指令是否涉及污点源数据处理，保证污点分析结果的准确，比如防止指令误用的可能。

对得到的污点源数据，新污点信息以及指令信息进行处理，生成攻击日志。

对攻击日志内的污点源数据，新污点信息以及指令信息进行反向追踪，追踪技术包括但不限于IP定位术、ID追踪术、网站url以及同源分析。由此得到输出污点源数据的网络地址以及输出软件。

步骤B017，通过包名信息生成对应软件的安全警示。

步骤B018，统计固定时间段同一软件的安全警示数量，并根据安全警示数量运算得出警示频率信息。

步骤B019，记录固定时间段同一软件的安全警示次数及警示频率信息，得到安全警示信息。

其中， 安全警示信息：安全警示次数以及频率。

对于本申请实施例，通过步骤B016得到的输出软件名称来生成对应软件的安全警示。收集固定时间内的固定软件安全警示的次数，并通过次数与固定时间确定频率。比如收集一周内生成A软件的安全警示次数（7次），生成频率（1次/24h）。

记录得到的安全警示次数以及频率。

步骤B020，对安全警示信息进行安全系数评估，得到在固定时间段内对应软件的安全系数。

步骤B021，将安全警示信息、固定时间段以及安全系数进行数据绑定，得到安全报告。

步骤B022，控制显示报告。

对于本申请实施例，得到步骤B019的软件安全警示次数以及频率，对不同软件产生的安全警示次数以及频率进行对比，若软件安全警示次数以及频率在所有统计的软件内占前50%，则为确定安全系数（可供安全使用的可能性）为40，若软件安全警示次数以及频率在所有统计的软件内占前50%，则为确定安全系数为80。

将安全系数、步骤B019内的固定时间段、安全警示次数以及频率进行绑定，生成安全报告并进行显示。

本申请实施例的一种可能的实现方式，步骤B021之后还包括步骤B023（图中未示出）以及步骤B024（图中未示出），其中，

步骤B023，对不安全数据的来源网络地址进行定位追踪，生成固定时间段内针对不安全数据造成的问题描述、技术解读以及用户解决指南。

对于本申请实施例，对于步骤B015得到的不安全数据进行反向追踪，得到不安全网络地址对攻击日志内的污点源数据，新污点信息以及指令信息进行反向追踪，比如IP定位术、ID追踪术、网站url以及同源分析。由此得到输出污点源数据的网络地址以及输出软件。

收集步骤B016得到的包名信息以及对得到同一包名信息进行反向追踪时的路径做相似对比，总结同一软件出现不安全数据的原因并以此生成问题描述、技术解读以及用户解决指南。

比如，若分析得到的包名对应软件为A软件，对A软件做反向追踪时的路径相似度较高的为邮件钓鱼攻击溯源，则证明导致不安全数据产生可能性较大的问题为钓鱼邮件攻击，此时生成问题描述为：恶意邮件高频攻击；技术解读为：通过伪装的电子邮件，欺骗用户输入银行卡号，支付密码等关键信息；用户解决指南：可以找到近期收到的要求输入关键隐私信息的邮件，并选择性拉黑对方账号。

步骤B024，根据固定时间段对报告自动归档保存，并生成关于固定时间段内不安全数据的动态图。

其中，动态图为：危险信息图表。

对于本申请实施例，根据步骤B021内的固定时间段对在此固定时间段内生成的安全报告进行分时间段的归类保存，并根据在此时间段内的不安全数据进行数据汇总得到危险信息总量，并将不同时间段内对应的危险信息总量生成危险信息图表，用以观察网络安全现状以便于更好的实现网络检测。

比如，对2000.1的第一周进行不安全数据汇总，得到危险信息总量为1000；对2000.1的第二周进行不安全数据汇总，得到危险信息总量为2000；对2000.1的第三周进行不安全数据汇总，得到危险信息总量为3000，以时间为横坐标，危险信息总量为纵坐标，生成折线图。

综上，通过建立外部进程与正常业务异步展开，减轻了终端计算压力，提升用户体验感的同时更好地保障了用户数据安全。

上述实施例从方法流程的角度介绍一种高性能last外部检测方法，下述实施例从虚拟模块或者虚拟单元的角度介绍了高性能last外部检测装置，具体详见下述实施例。

本申请实施例提供一种高性能的Iast外部检测装置，如图2所示，该高性能的Iast外部检测装置20具体可以包括：信息获取模块21、链路确定模块22、通道确定模块23、关联信息模块24、筛查信息模块25、解析信息模块26以及显示信息模块27，其中，

信息获取模块21，用于获取链路信息，链路信息包括链路通道信息以及链路点信息；

链路确定模块22，用于基于链路点信息确定链路插入信息以及链路承接信息；

通道确定模块23，用于基于链路通道信息确定数据通道信息以及数据解析信息；

关联信息模块24，用于分别将链路插入信息以及链路承接信息进行信息关联绑定，得到链路关联信息；

筛查信息模块25，用于对链路关联信息进行信息筛查，得到应用程序信息；

解析信息模块26，用于根据数据通道信息以及数据解析信息对应用程序信息进行解析，得到解析程序信息；

显示信息模块27，用于控制显示解析程序信息。

本申请实施例的一种可能的实现方式，装置20还包括：获取应用信息模块、处理应用信息模块以及填充参数信息模块，其中，

获取应用信息模块，用于获取数据通道信息传出的应用程序信息，应用程序信息包括由链路关联信息解析后组成的单个数据包；

处理应用信息模块，用于基于数据解析信息对应用程序信息进行处理，得到应用程序信息的固定参数；

填充参数信息模块，用于将固定参数填充至数据通道信息内预设的集合容器。

本申请实施例的另一种可能的实现方式，装置20还包括：数据分级模块、拆解数据模块、提取数据模块、确定导入模块以及判断存留模块，其中，

数据分级模块，用于获取一级数据包以及二级数据包，一级数据包为数据包中首个上传的数据包，二级数据包为数据包中除一级数据包之外的数据包；

拆解数据模块，用于分别对一级数据包以及二级数据包进行拆解，得到与一级数据包相对应一级数据以及与二级数据包相对应的二级数据；

提取数据模块，用于将一级数据导入至集合容器中进行关键值提取，得到一级数据的数据关键值；

确定导入模块，用于基于数据关键值确定二级数据是否可以导入集合容器内；

判断存留模块，用于若二级数据不可以导入集合容器内，则丢弃二级数据。

本申请实施例的另一种可能的实现方式，装置20还包括：判断参数模块以及漏洞规则模块，其中，

判断参数模块，用于判断一级数据包以及二级数据包所对应的数据参数中是否包含预设参数；

漏洞规则模块，用于若一级数据包以及二级数据包所对应的数据参数中包含预设参数，则生成漏洞检测指令，控制执行预设漏洞检测流程。

本申请实施例的另一种可能的实现方式，装置20还包括：筛查参数模块、漏洞认定模块、判断安全模块以及漏洞认定模块，其中，

筛查参数模块，用于筛查集合容器里填充的数据是否包含经预设固定承接函数处理过的参数 ；

漏洞认定模块，用于若集合容器里填充的数据不包含经固定承接函数处理过的参数，则在解析程序信息中认定为存在漏洞；

判断安全模块，用于若集合容器里填充的数据包含经固定承接函数处理过的参数，则筛查集合容器里填充的数据是否包含经安全化转义的数据信息；

漏洞认定模块，用于若集合容器里填充的数据不包含经安全化转义的数据信息，则在解析程序信息中认定为存在漏洞。

本申请实施例的另一种可能的实现方式，装置20还包括：确定数据模块、确定包名模块、安全警示模块、确定频率模块、安全警示模块、安全系数模块、安全报告模块以及显示报告模块，其中，

确定数据模块，用于根据解析程序信息确定链路关联信息中的不安全数据；

确定包名模块，用于基于不安全数据确定对应存在的包名信息；

安全警示模块，用于通过包名信息生成对应软件的安全警示；

确定频率模块，用于统计固定时间段同一软件的安全警示数量，并根据安全警示数量运算得出警示频率信息；

安全警示模块，用于记录固定时间段同一软件的安全警示数量以及警示频率信息，得到安全警示信息；

安全系数模块，用于对安全警示信息进行安全系数评估，得到在固定时间段内对应软件的安全系数；

安全报告模块，用于将安全警示信息、固定时间段以及安全系数进行数据绑定，得到安全报告；

显示报告模块，用于控制显示报告。

本申请实施例的另一种可能的实现方式，装置20还包括：生成数据模块以及生成图表模块，其中，

生成数据模块，用于对不安全数据的来源网络地址进行定位追踪，生成固定时间段内针对不安全数据造成的问题描述、技术解读以及用户解决指南；

生成图表模块，用于根据固定时间段对报告自动归档保存，并生成关于固定时间段内不安全数据的动态图。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

本申请实施例还从实体装置的角度介绍了一种电子设备，如图3所示，图3所示的电子设备300包括：处理器301和存储器303。其中，处理器301和存储器303相连，如通过总线302相连。可选地，电子设备300还可以包括收发器304。需要说明的是，实际应用中收发器304不限于一个，该电子设备300的结构并不构成对本申请实施例的限定。

处理器301可以是CPU（Central Processing Unit，中央处理器），通用处理器，DSP（Digital Signal Processor，数据信号处理器），ASIC（Application SpecificIntegrated Circuit，专用集成电路），FPGA（Field Programmable Gate Array，现场可编程门阵列）或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器301也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

总线302可包括一通路，在上述组件之间传送信息。总线302可以是PCI（Peripheral Component Interconnect，外设部件互连标准）总线或EISA（ExtendedIndustry Standard Architecture，扩展工业标准结构）总线等。总线302可以分为地址总线、数据总线、控制总线等。为便于表示，图3中仅用一条线表示，但并不表示仅有一根总线或一种类型的总线。

存储器303可以是ROM（Read Only Memory，只读存储器）或可存储静态信息和指令的其他类型的静态存储设备，RAM（Random Access Memory，随机存取存储器）或者可存储信息和指令的其他类型的动态存储设备，也可以是EEPROM（Electrically ErasableProgrammable Read Only Memory，电可擦可编程只读存储器）、CD-ROM（Compact DiscRead Only Memory，只读光盘）或其他光盘存储、光碟存储（包括压缩光碟、激光碟、光碟、数字通用光碟、蓝光光碟等）、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质，但不限于此。

存储器303用于存储执行本申请方案的应用程序代码，并由处理器301来控制执行。处理器301用于执行存储器303中存储的应用程序代码，以实现前述方法实施例所示的内容。

其中，电子设备包括但不限于：移动电话、笔记本电脑、数字广播接收器、PDA（个人数字助理）、PAD（平板电脑）、PMP（便携式多媒体播放器）、车载终端（例如车载导航终端）等等的移动终端以及诸如数字TV、台式计算机等等的固定终端，还可以为服务器等。图3示出的电子设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

本申请实施例提供了一种计算机可读存储介质，该计算机可读存储介质上存储有计算机程序，当其在计算机上运行时，使得计算机可以执行前述方法实施例中相应内容。在本申请实施例中，通过得到的链路信息确定了链路通道信息和链路点信息，链路点信息内包含两部分可进行连接使用的信息，即链路插入信息和链路承接信息；链路通道信息内包含了两部分供数据传输以及处理的信息，即数据通道信息和数据解析信息。

将链路插入信息接入链路承接信息，此时数据通道信息启动待用。与此同时链路承接信息开始采集用户终端上的信息，得到链路关联信息。此后开始调用预先设置在链路点信息里的函数，使链路关联信息被处理成应用程序信息。

应用程序信息通过启动的数据通道信息传输至数据解析信息，此时数据解析信息开始通过检测应用程序信息里是否有所需数据来检测用户终端数据里是否有安全隐患，并生成关于用户终端数据的解析程序信息。由此组建了一条完整的外部链路用于对用户终端数据的处理，消除了之前终端或服务端进行对用户终端数据处理带来的计算压力，并减少了对用户终端内存的占用，有效保证了用户数据的安全。

应该理解的是，虽然附图的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且，附图的流程图中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，其执行顺序也不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

以上仅是本申请的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (10)

1.一种高性能的Iast外部检测方法，其特征在于，包括：

获取链路信息，所述链路信息包括链路通道信息以及链路点信息；

基于所述链路点信息确定链路插入信息以及链路承接信息；

基于所述链路通道信息确定数据通道信息以及数据解析信息；

分别将所述链路插入信息以及所述链路承接信息进行信息关联绑定，得到链路关联信息；

对所述链路关联信息进行信息筛查，得到应用程序信息；

根据所述数据通道信息以及数据解析信息对所述应用程序信息进行解析，得到解析程序信息；

控制显示所述解析程序信息。

2.根据权利要求1所述的方法，其特征在于，所述根据所述数据通道信息以及数据解析信息对所述应用程序信息进行解析，得到解析程序信息，之前还包括：

获取所述数据通道信息传出的所述应用程序信息，所述应用程序信息包括由所述链路关联信息解析后组成的单个数据包；

基于所述数据解析信息对所述应用程序信息进行处理，得到所述应用程序信息的固定参数；

将所述固定参数填充至所述数据通道信息内预设的集合容器。

3.根据权利要求2所述的方法，其特征在于，将所述固定参数搭建填充至集合容器，之前还包括：

获取一级数据包以及二级数据包，所述一级数据包为所述数据包中首个上传的数据包，所述二级数据包为所述数据包中除所述一级数据包之外的数据包；

分别对所述一级数据包以及所述二级数据包进行拆解，得到与所述一级数据包相对应一级数据以及与所述二级数据包相对应的二级数据；

将所述一级数据导入至所述集合容器中进行关键值提取，得到所述一级数据的数据关键值；

基于所述数据关键值确定所述二级数据是否可以导入所述集合容器内；

若所述二级数据不可以导入所述集合容器内，则丢弃所述二级数据。

4.根据权利要求3所述的方法，其特征在于，基于所述固定参数填充所述数据通道信息内预设的集合容器，之后还包括：

判断所述一级数据包以及所述二级数据包所对应的数据参数中是否包含预设参数；

若所述一级数据包以及所述二级数据包所对应的数据参数中包含预设参数，则生成漏洞检测指令，控制执行预设漏洞检测流程。

5.根据权利要求4所述的方法，其特征在于，控制执行预设漏洞检测流程，包括：

筛查所述集合容器里填充的数据是否包含经预设固定承接函数处理过的参数；

若所述集合容器里填充的数据不包含经所述固定承接函数处理过的参数，则在所述解析程序信息中认定为存在漏洞；

若所述集合容器里填充的数据包含经所述固定承接函数处理过的参数，则筛查所述集合容器里填充的数据是否包含经安全化转义的数据信息；

若所述集合容器里填充的数据不包含经安全化转义的数据信息，则在所述解析程序信息中认定为存在漏洞。

6.根据权利要求1所述的方法，其特征在于，还包括：

根据所述解析程序信息确定所述链路关联信息中的不安全数据；

基于所述不安全数据确定对应存在的包名信息；

通过所述包名信息生成对应软件的安全警示；

统计固定时间段同一所述软件的安全警示数量，并根据所述安全警示数量运算得出警示频率信息；

记录所述固定时间段同一所述软件的安全警示数量以及所述警示频率信息，得到安全警示信息；

对所述安全警示信息进行安全系数评估，得到在所述固定时间段内所述对应软件的安全系数；

将所述安全警示信息、所述固定时间段以及所述安全系数进行数据绑定，得到安全报告；

控制显示所述报告。

7.根据权利要求6所述的方法，其特征在于，将所述安全警示信息、所述固定时间段以及所述安全系数进行数据绑定，得到安全报告，之后还包括：

对所述不安全数据的来源网络地址进行定位追踪，生成所述固定时间段内针对所述不安全数据造成的问题描述、技术解读以及用户解决指南；

根据所述固定时间段对所述报告自动归档保存，并生成关于所述固定时间段内所述不安全数据的动态图。

8.一种提高性能的Iast的外部进程检测装置，其特征在于，包括：

信息获取模块，用于获取链路信息，所述链路信息包括链路通道信息以及链路点信息；

链路确定模块，用于基于所述链路点信息确定链路插入信息以及链路承接信息；

通道确定模块，用于基于所述链路通道信息确定数据通道信息以及数据解析信息；

关联信息模块，用于分别将所述链路插入信息以及所述链路承接信息进行信息关联绑定，得到链路关联信息；

筛查信息模块，用于对所述链路关联信息进行信息筛查，得到应用程序信息；

解析信息模块，用于根据所述数据通道信息以及数据解析信息对所述应用程序信息进行解析，得到解析程序信息；

显示信息模块，用于控制显示所述解析程序信息。

9.一种电子设备，其特征在于，该电子设备包括：

至少一个处理器；

存储器；

至少一个应用程序，其中至少一个应用程序被存储在存储器中并被配置为由至少一个处理器执行，所述至少一个应用程序配置用于：执行权利要求1～7任一项所述的高性能的Iast外部检测方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，当所述计算机程序在计算机中执行时，令所述计算机执行权利要求1～7任一项所述的高性能的Iast外部检测方法。

Images