CN117390632A - 一种对第三方开源组件漏洞的检测防御方法和系统 - Google Patents

Abstract

本发明涉及一种对第三方开源组件漏洞的检测防御方法和系统，涉及漏洞检测防御技术领域，其包括建立第三方开源组件漏洞防御信息库，在当前服务运行时获取当前服务的第三方开源组件引用列表，根据第三方开源组件引用列表从第三方开源组件漏洞防御信息库中匹配对应的漏洞防御策略，在服务项目运行时，挂钩服务项目中第三方开源组件的每个漏洞风险点，在某漏洞风险被触发时，启动针对该风险点的漏洞防御策略，进行漏洞防御。本申请针对被触发的漏洞进行精准防御，避免了漏洞的误报，提高了漏洞防御效果。

Description

一种对第三方开源组件漏洞的检测防御方法和系统

技术领域

本发明涉及漏洞检测防御技术领域，尤其是涉及一种对第三方开源组件漏洞的检测防御方法和系统。

背景技术

现代软件中开发者自己写的代码越来越少，第三方的库、组件在整个软件中占的比重越来越高，这就导致了当第三方开源组件存在漏洞时，会对所有使用该组件的软件造成重大的打击，因此针对第三方开源组件漏洞的检测产品成了大部分行业的刚需。

目前，对第三方开源组件漏洞的检测方法，大多是先扫描一遍服务项目里引入了哪些第三方开源组件以及第三方开源组件版本是什么，然后将这个第三方开源组件及其版本号拿到漏洞库里搜索，看能不能找到该第三方开源组件对应的漏洞，如果能找到说明该第三方开源组件存在漏洞，然后就直接上报漏洞。

实际上这是存在问题的，因为服务项目中若引入了某个存在漏洞的第三方开源组件，并不代表该漏洞直接就能影响到服务项目本身，而是需要服务项目直接调用了该漏洞的风险函数的时候，才算真的受到该第三方开源组件漏洞的影响。目前市面上的同类产品都没有解决这个问题，这导致同类产品扫完一个项目通常会上报存在漏洞的第三方开源组件有几百个，其中大部分都是误报，这种漏洞扫描报告对产品用户来说没有任何价值。

因此，如何检测第三方开源组件的漏洞是否会影响到服务项目并进行精准防御，是目前亟待解决的问题。

发明内容

本发明的目的是提供一种对第三方开源组件漏洞的检测防御方法和系统，根据第三方开源组件的漏洞设置对应的漏洞防御策略，建立第三方开源组件漏洞防御信息库，获取服务项目中第三方开源组件的引用列表，从第三方开源组件漏洞防御信息库中匹配相应的漏洞防御策略，挂钩每个风险点，在某风险点被触发时，启动针对该风险点的漏洞防御策略，进行漏洞防御，实现了对漏洞的精准防御，降低了不影响服务的漏洞上报数量，提高了效率。

第一方面，本发明的上述发明目的通过以下技术方案得以实现：

一种对第三方开源组件漏洞的检测防御方法，包括建立第三方开源组件漏洞防御信息库，在当前服务运行时获取当前服务的第三方开源组件引用列表，根据第三方开源组件引用列表从第三方开源组件漏洞防御信息库中匹配对应的漏洞防御策略，在服务项目运行时，挂钩服务项目中第三方开源组件的每个漏洞风险点，在某漏洞风险点被触发时，启动针对该漏洞风险点的漏洞防御策略，进行漏洞防御与上报。

本发明进一步设置为：第三方开源组件漏洞防御信息库包括第三方开源组件的所有漏洞特征、公开的exp代码、公开的poc代码、每个漏洞对应的防御策略。

本发明进一步设置为：分析第三方开源组件存在的漏洞，得到漏洞利用的风险函数及有效载荷传递进该风险函数的参数位置。

本发明进一步设置为：钩住所有漏洞的风险函数，监控各漏洞是否被调用，当钩到一个风险函数被调用时，检测该风险函数对应的参数位置，结合风险函数与参数位置，判断一个漏洞组件的风险函数是否同时被项目与漏洞利用，若是，则进行防御。

本发明进一步设置为：在钩到风险函数被调用时，检查传入该风险点的参数值来源，若所述参数值来自可控污染数据，则上报存在该组件漏洞，并启动对应的防御策略进行防御。

本发明进一步设置为：采用agent技术与当前服务同步运行，在运行时跟踪扫描，获取当前服务的第三方开源组件引用列表。

本发明进一步设置为：实时采集第三方开源组件信息、漏洞库漏洞信息、漏洞对应的poc数据、漏洞对应的exp数据，对漏洞、第三方开源组件数据进行清洗匹配，形成第三方开源组件漏洞关系数据库，根据漏洞特性划分漏洞的影响等级，结合poc数据确定的风险点，对每个漏洞设置防御策略，建立第三方开源组件漏洞防御信息库。

本发明进一步设置为：实时扫描漏洞信息，及时设置漏洞防御策略，更新漏洞防御策略目录，指定漏洞防御策略对应的挂钩风险点。

第二方面，本发明的上述发明目的通过以下技术方案得以实现：

一种对第三方开源组件漏洞的检测防御系统，包括存储器、处理器、以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现本申请所述方法。

第三方面，本发明的上述发明目的通过以下技术方案得以实现：

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现本申请所述方法。

与现有技术相比，本申请的有益技术效果为：

1.本申请通过建立第三方开源组件漏洞防御信息库，将漏洞与漏洞防御策略一一对应，能够在漏洞出现时及时启动漏洞防御策略，提高了漏洞防御效率；

2.进一步地，本申请通过监测漏洞的风险函数，再结合风险函数的参数位置，判断漏洞是否会触发，在触发时进行防御，实现了对漏洞的精准防御，提高了漏洞防御的效率。

附图说明

图1是本申请一个具体实施的建立第三方开源组件漏洞防御信息库流程示意图；

图2是本申请一个具体实施的漏洞监测防御流程示意图。

具体实施方式

以下结合附图对本发明作进一步详细说明。

本申请的一种对第三方开源组件漏洞的检测防御方法，包括建立第三方开源组件漏洞防御信息库，获取当前服务项目的第三方开源组件引用列表，根据第三方开源组件引用列表从第三方开源组件漏洞防御信息库中匹配对应的漏洞防御策略，挂钩每个风险点及参数位置，在某风险被触发时，启动针对该风险点的漏洞防御策略，进行漏洞防御。

第三方开源组件漏洞防御信息库中包括第三方开源组件信息、对应的漏洞信息、漏洞对应的防御策略，第三方开源组件信息包括第三方公布的开源组件、库等相关信息。

实时或定时采集开源第三方开源组件信息，包括MAVEN、gitLab等第三方开源组件，采集漏洞库漏洞信息，包括CVE、CNNVD等漏洞，采集漏洞对应的poc、exp相关数据，根据第三方开源组件公开的漏洞信息，对采集到的数据进行清洗，将第三方开源组件、对应的漏洞信息、漏洞对应的相关数据一一对应，根据漏洞特性、危害等级、利用难度等划分漏洞的影响等级，漏洞特性包括poc数据是否公开。根据漏洞影响等级，从高到低开始，结合poc数据所确定的风险点，对每个漏洞制定防御策略，将第三方开源组件、对应的漏洞信息、漏洞对应的相关数据、漏洞防御策略一一对应，建立第三方开源组件漏洞防御信息库。

第三方开源组件漏洞防御信息库包括第三方开源组件的所有漏洞特征、公开的exp代码、公开的poc代码、每个漏洞对应的防御策略等与漏洞相关的数据。

实时或定时进行采集，更新第三方开源组件漏洞防御信息库中的漏洞信息，同时针对新的漏洞，由安全人员制定对应的防御策略，加入到第三方开源组件漏洞防御信息库中，完善第三方开源组件漏洞防御信息库内容，提高漏洞处理的能力。

漏洞信息包括漏洞触发的具体位置、漏洞风险点、漏洞特性。

分析第三方开源组件存在的漏洞，得到漏洞利用的风险函数及有效载荷传递进该风险函数的参数位置。

安全人员根据每个漏洞的特征、公开的exp代码、公开的poc代码，总结出第三方开源组件中漏洞利用的风险函数及有效载荷传递进该风险函数的参数位置，制定漏洞防御策略，并持续进行完善，每个漏洞对应一个防御策略。

采用本防御方法的系统为防御系统。

对于一个具体的服务项目，采用Agent技术，防御系统与被防御服务项目同步运行，在运行时防御系统跟踪扫描，采用加载列表方法，取得服务项目中包含的开源第三方开源组件列表。

基于第三方开源组件列表，从第三方开源组件漏洞防御信息库中匹配相应的防御策略文件包，加载到防御系统中，在服务项目运行时，钩住（hook）每个漏洞风险函数及引起该风险函数的参数位置，根据参数位置判断参数是否由外界可控数据传递到服务项目中，如果某个风险函数被调用，且有效载荷（payload）传递进该风险函数的参数位置为可控的污染数据，则说明风险函数对应的漏洞既被服务项目调用，也被漏洞利用，说明存在漏洞风险，上报该漏洞。

具体地，在web应用服务项目运行时，防御系统以agent的形式运行，钩住（hook）每个漏洞风险函数，当防御系统钩住（hook）风险函数被调用时，说明服务项目的代码受到第三方开源组件漏洞的影响，再去检查参数位置的数据是否为外界可控的污染数据，如果是，则说明该漏洞在服务项目代码中被利用，防御系统上报该漏洞。

本申请的防御系统，从第三方开源组件中漏洞产生的代码原理着手，得到漏洞固定的特征和触发漏洞的条件，保存在三方漏洞信息库中，服务项目引用一个第三方开源组件，在服务项目运行时，挂钩第三方开源组件中触发漏洞的风险函数和有效载荷传递进该风险函数的参数位置，在挂钩到一个漏洞被调用，且参数为外界可控数据传递来的，则说明该漏洞被服务项目与漏洞同时调用，上报漏洞。

参数位置用于判断该参数是否为外界可控数据传递过来的。

建立第三方开源组件漏洞防御信息库，如图1所示，包括以下步骤：

S1、实时或定时采集MAVEN、gitLab等第三方开源组件信息、采集CVE、CNNVD等漏洞库漏洞信息、采集漏洞对应的POC和/或EXP相关数据；

S2、根据漏洞的POC是否公开、危害等级、利用难度等划分漏洞的影响等级；

S3、根据漏洞的POC数据所确定的风险点，对每个漏洞编写防御策略；

S4、基于第三方开源组件、漏洞特性、防御策略建立第三方开源组件漏洞防御信息库。

将步骤S1中采集到的第三方开源组件、漏洞数据进行清洗匹配，形成第三方开源组件、漏洞关系数据库，

安全人员根据漏洞的危险等级，从高到低先后进行漏洞防御策略的制定，对所有漏洞分别制定相应的防御策略，用于在漏洞被调用时防止漏洞被攻击。

基于第三方开源组件漏洞防御信息库，建立防御系统，对采用第三方开源组件的服务项目，在服务项目运行时挂钩漏洞风险函数，在检测到风险函数被调用时，再检测参数是否为外界可控污染源传输过来的，在两者都满足的情况下，上报漏洞，调用漏洞对应的防御策略进行防御，避免了漏洞在没有调用时也进行上报的情况，针对性地进行只有漏洞被调用时才进行上报与防御，提高漏洞上报的精确度，减少了漏洞误报几率。

基于第三方开源组件漏洞防御信息库，建立防御系统进行防御的过程，如图2所示，包括以下步骤：

A1、采用Agent技术，使防御系统与被防御服务项目同步运行；

A2、获得被防御服务项目的第三方开源组件列表；

A3、将第三方开源组件列表与第三方开源组件漏洞防御信息库进行匹配，获得对应的漏洞防御策略文件包；

A4、监测漏洞触发的具体位置，包括风险函数与参数位置，动态加载对应的漏洞防御策略文件包，对第三方开源组件进行漏洞策略匹配；

A5、检测漏洞是否被触发，判断是否存在风险，若是，进入下一步，若否，继续执行服务，转A7；

A6、阻断执行并记录攻击日志；

A7、结束。

本发明一实施例提供的一种对第三方开源组件漏洞的检测防御系统终端设备，该实施例的终端设备包括：处理器、存储器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，例如漏洞检测程序，所述处理器执行所述计算机程序时实现本申请的漏洞检测方法。

示例性的，所述计算机程序可以被分割成一个或多个模块/单元，所述一个或多个模块/单元被存储在所述存储器中，并由所述处理器执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述对第三方开源组件漏洞的检测防御系统终端设备中的执行过程。例如，所述计算机程序可以被分割成多个模块，各模块具体功能如下：

1.三方漏洞信息库模块，用于建立三方漏洞信息与对应防御策略；

2.防御模块，用于挂钩漏洞风险函数及参数位置，进行漏洞防御。

所述对第三方开源组件漏洞的检测防御系统终端设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述对第三方开源组件漏洞的检测防御系统终端设备可包括，但不仅限于，处理器、存储器。本领域技术人员可以理解，所述上述示例仅仅是所述对第三方开源组件漏洞的检测防御系统终端设备的示例，并不构成对所述对第三方开源组件漏洞的检测防御系统终端设备的限定，可以包括比图示更多或更少的部件，或组合某些部件，或不同的部件，例如所述对第三方开源组件漏洞的检测防御系统终端设备还可以包括输入输出设备、网络接入设备、总线等。

所述处理器可以是中央处理单元(Central Processing Unit，CPU),还可以是其他通用处理器、数据信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述一种对第三方开源组件漏洞的检测防御系统终端设备的控制中心，利用各种接口和线路连接整个所述一种对第三方开源组件漏洞的检测防御系统终端设备的各个部分。

所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现所述一种对第三方开源组件漏洞的检测防御系统终端设备的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card ,SMC)，安全数字(SecureDigital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

所述一种对第三方开源组件漏洞的检测防御系统终端设备集成的模块/单元，如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统或计算机程序产品，因此，本发明可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理器或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得计算机或其他可编程数据设备上执行一系统操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

本具体实施方式的实施例均为本发明的较佳实施例，并非依此限制本发明的保护范围，故：凡依本发明的结构、形状、原理所做的等效变化，均应涵盖于本发明的保护范围之内。

Claims (10)

1.一种对第三方开源组件漏洞的检测防御方法，其特征在于：包括建立第三方开源组件漏洞防御信息库，在当前服务运行时获取当前服务的第三方开源组件引用列表，根据第三方开源组件引用列表从第三方开源组件漏洞防御信息库中匹配对应的漏洞防御策略，在服务项目运行时，挂钩服务项目中第三方开源组件的每个漏洞风险点，在某漏洞风险点被触发时，启动针对该漏洞风险点的漏洞防御策略，进行漏洞防御与上报。

2.根据权利要求1所述对第三方开源组件漏洞的检测防御方法，其特征在于：第三方开源组件漏洞防御信息库包括第三方开源组件的所有漏洞特征、公开的exp代码、公开的poc代码、每个漏洞对应的防御策略。

3.根据权利要求1所述对第三方开源组件漏洞的检测防御方法，其特征在于：分析第三方开源组件存在的漏洞，得到漏洞利用的风险函数及有效载荷传递进该风险函数的参数位置。

4.根据权利要求3所述对第三方开源组件漏洞的检测防御方法，其特征在于：钩住所有漏洞的风险函数，监控各漏洞是否被调用，当钩到一个风险函数被调用时，检测该风险函数对应的参数位置，结合风险函数与参数位置，判断一个漏洞组件的风险函数是否同时被项目与漏洞利用，若是，则进行防御。

5.根据权利要求3所述对第三方开源组件漏洞的检测防御方法，其特征在于：在钩到风险函数被调用时，检查传入该风险点的参数值来源，若所述参数值来自可控污染数据，则上报存在该组件漏洞，并启动对应的防御策略进行防御。

6.根据权利要求1所述对第三方开源组件漏洞的检测防御方法，其特征在于：采用agent技术与当前服务同步运行，在运行时跟踪扫描，获取当前服务的第三方开源组件第三方开源组件引用列表。

7.根据权利要求1所述对第三方开源组件漏洞的检测防御方法，其特征在于：实时采集第三方开源组件信息、漏洞库漏洞信息、漏洞对应的poc数据、漏洞对应的exp数据，对漏洞、第三方开源组件数据进行清洗匹配，形成第三方开源组件漏洞关系数据库，根据漏洞特性划分漏洞的影响等级，结合poc数据确定的风险点，对每个漏洞设置防御策略，建立第三方开源组件漏洞防御信息库。

8.根据权利要求7所述对第三方开源组件漏洞的检测防御方法，其特征在于：实时扫描漏洞信息，及时设置漏洞防御策略，更新漏洞防御策略目录，指定漏洞防御策略对应的挂钩风险点。

9.一种对第三方开源组件漏洞的检测防御系统，包括存储器、处理器、以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于：所述处理器执行所述计算机程序时实现如权利要求1-8任一所述方法。

10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-8任一所述方法。