專利名稱：一種軟件源代碼安全缺陷分析的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及源代碼檢測(cè)領(lǐng)域，更具體地說(shuō)，涉及ー種軟件源代碼安全缺陷分析的方法和裝置。
背景技術(shù)：
隨著社會(huì)信息化的不斷加深，人們不得不開始面對(duì)日益突出的信息安全問題。研究表明，相當(dāng)數(shù)量的安全問題是由于軟件自身的安全漏洞引起的。軟件開發(fā)過(guò)程中引入的大量缺陷，是產(chǎn)生軟件漏洞的重要原因之一。不同的軟件缺陷會(huì)產(chǎn)生不同的后果，必須區(qū)別對(duì)待各類缺陷，分析原因，研究其危 害程度，預(yù)防方法等。建立ー個(gè)比較完整的缺陷分類信息，對(duì)預(yù)防和修復(fù)軟件安全缺陷具有指導(dǎo)作用。軟件缺陷一般按性質(zhì)分類，目前已有很多不同的軟件缺陷分類法，但在當(dāng)前實(shí)際審查使用中，這些缺陷分類存在以下弊端(I)專門針對(duì)代碼審查階段發(fā)現(xiàn)缺陷的分類較少?，F(xiàn)有的分類法一般包括動(dòng)態(tài)測(cè)試發(fā)現(xiàn)的缺陷類型和文檔缺陷等，而在代碼審查中這些缺陷類型并不是審查關(guān)注的重點(diǎn)。(2)有些代碼缺陷分類中的缺陷類型不適應(yīng)當(dāng)前代碼審查實(shí)情，而ー些新的代碼缺陷類型則沒有被包括。(3)目前源代碼缺陷分類種類繁多，標(biāo)準(zhǔn)不一，各有欠缺。沒有一個(gè)專門針對(duì)源代碼缺陷的，比較仔細(xì)，完善的分類。

發(fā)明內(nèi)容
本發(fā)明要解決的技術(shù)問題在于，提供ー種對(duì)不同工具檢測(cè)獲得的軟件源代碼的缺陷用統(tǒng)一的尺度描述的軟件源代碼安全缺陷分析的方法和裝置。本發(fā)明公開了ー種軟件源代碼安全缺陷分析的方法，包括SI.設(shè)定源代碼缺陷類型多個(gè)缺陷數(shù)據(jù)組，所述的缺陷數(shù)據(jù)組包括缺陷原因數(shù)據(jù)組、缺陷結(jié)果數(shù)據(jù)組、缺陷表現(xiàn)形式數(shù)據(jù)組；S2.調(diào)取源代碼并解析缺陷原因、結(jié)果、表現(xiàn)形式；S3.判斷所述的缺陷原因、結(jié)果、表現(xiàn)形式是否處于所述的缺陷數(shù)據(jù)組中，若是，進(jìn)入步驟S4，若否，進(jìn)入步驟S31，將所述的缺陷原因和/或結(jié)果和/或表現(xiàn)形式加入到所述的缺陷數(shù)據(jù)組中；S4.生成所述的源代碼原因、結(jié)果、表現(xiàn)形式并顯示。在本發(fā)明所述的軟件源代碼安全缺陷分析的方法中，所述的缺陷原因包括內(nèi)因、外因、主客觀原因。在本發(fā)明所述的軟件源代碼安全缺陷分析的方法中，所述的缺陷原因數(shù)據(jù)組，具體是注入缺陷及驗(yàn)證、應(yīng)用程序編程接ロ錯(cuò)誤、訪問控制及密碼失效、資源共享與競(jìng)爭(zhēng)、異常處理、不安全源碼質(zhì)量、邊界處理、配置錯(cuò)誤、惡意代碼。
在本發(fā)明所述的軟件源代碼安全缺陷分析的方法中，所述的缺陷結(jié)果數(shù)據(jù)組，具體是緩沖區(qū)溢出、整數(shù)溢出、命令注入、跨站腳本、拒絕服務(wù)、路徑操縱、進(jìn)程控制、資源注入、配置操縱、SQL注入、內(nèi)存溢出。在本發(fā)明所述的軟件源代碼安全缺陷分析的方法中，所述的缺陷表現(xiàn)形式數(shù)據(jù)組，具體是格式化字符串、賦值的目標(biāo)存儲(chǔ)空間不夠、未使用括號(hào)保證操作的優(yōu)先級(jí)、嘗試修改常量、引用未初始化的變量。本發(fā)明公開了ー種軟件源代碼安全缺陷分析的裝置，用于實(shí)現(xiàn)上述的方法，包括缺陷數(shù)據(jù)組設(shè)定單元設(shè)定源代碼缺陷類型多個(gè)缺陷數(shù)據(jù)組，所述的缺陷數(shù)據(jù)組包括缺陷原因數(shù)據(jù)組、缺陷結(jié)果數(shù)據(jù)組、缺陷表現(xiàn)形式數(shù)據(jù)組；
源代碼缺陷解析単元與所述的缺陷數(shù)據(jù)組設(shè)定単元相連，用于調(diào)取源代碼并解析缺陷原因、結(jié)果、表現(xiàn)形式；源代碼缺陷判斷単元與所述的源代碼缺陷解析単元相連，用于判斷所述的缺陷原因、結(jié)果、表現(xiàn)形式是否處于所述的缺陷數(shù)據(jù)組中；源代碼缺陷顯示單元與所述的源代碼缺陷判斷単元相連，用于生成所述的源代碼原因、結(jié)果、表現(xiàn)形式并顯示。在本發(fā)明所述的軟件源代碼安全缺陷分析的裝置中，所述的缺陷原因包括內(nèi)因、外因、主客觀原因。在本發(fā)明所述的軟件源代碼安全缺陷分析的裝置中，所述的缺陷原因數(shù)據(jù)組，具體是注入缺陷及驗(yàn)證、應(yīng)用程序編程接ロ錯(cuò)誤、訪問控制及密碼失效、資源共享與競(jìng)爭(zhēng)、異常處理、不安全源碼質(zhì)量、邊界處理、配置錯(cuò)誤、惡意代碼。在本發(fā)明所述的軟件源代碼安全缺陷分析的裝置中，所述的缺陷結(jié)果數(shù)據(jù)組，具體是緩沖區(qū)溢出、整數(shù)溢出、命令注入、跨站腳本、拒絕服務(wù)、路徑操縱、進(jìn)程控制、資源注入、配置操縱、SQL注入、內(nèi)存溢出。在本發(fā)明所述的軟件源代碼安全缺陷分析的裝置中，所述的缺陷表現(xiàn)形式數(shù)據(jù)組，具體是格式化字符串、賦值的目標(biāo)存儲(chǔ)空間不夠、未使用括號(hào)保證操作的優(yōu)先級(jí)、嘗試修改常量、引用未初始化的變量。實(shí)施本發(fā)明的一種軟件源代碼安全缺陷分析的方法和裝置，具有以下有益的技術(shù)效果I.不同工具檢測(cè)的缺陷用統(tǒng)ー的尺度描述，清楚具體，直觀性強(qiáng)；2.源代碼缺陷檢測(cè)工具檢測(cè)能力的測(cè)評(píng)標(biāo)準(zhǔn)一致，有利于源代碼缺陷檢測(cè)工具的開發(fā)。


圖I是本發(fā)明實(shí)施例一種軟件源代碼安全缺陷分析的方法流程圖；圖2為本發(fā)明實(shí)施例一種軟件源代碼安全缺陷分析的裝置模塊方框圖。
具體實(shí)施例方式為詳細(xì)說(shuō)明本發(fā)明的技術(shù)內(nèi)容、構(gòu)造特征、所實(shí)現(xiàn)目的及效果，以下結(jié)合實(shí)施方式并配合附圖詳予說(shuō)明。源代碼，也可以稱作為源程序，是指未編譯的文本代碼。是ー系列人類可讀的計(jì)算機(jī)語(yǔ)目指令。我們可以把它理解成源文代碼，就拿我們當(dāng)前看到的這個(gè)網(wǎng)頁(yè)來(lái)說(shuō)吧，其實(shí)它是由一大堆的源代碼組成,通過(guò)我們的IE (Microsoft Internet Explorer)瀏覽器(或服務(wù)器)翻譯成現(xiàn)在我們所看到的這個(gè)樣子。源代碼就是用匯編語(yǔ)言和高級(jí)語(yǔ)言寫出來(lái)的代碼。主要對(duì)象是面向開發(fā)者；我們平常使用的應(yīng)用程序都是經(jīng)過(guò)源碼編譯打包以后發(fā)布的，呈現(xiàn)的最后結(jié)果是面向使用者，最終客戶的。而隨著互聯(lián)網(wǎng)應(yīng)用的不斷創(chuàng)新與發(fā)展，信息與網(wǎng)絡(luò)安全也面臨著前所未有的嚴(yán)峻問題，網(wǎng)絡(luò)安全領(lǐng)域所面臨的挑戰(zhàn)日益嚴(yán)峻，網(wǎng)絡(luò)安全問題也日益被人們重視。通常意義上的網(wǎng)絡(luò)安全的最大威脅是程序上的漏洞，程序漏洞檢測(cè)主要分為運(yùn)行時(shí)檢測(cè)和靜態(tài)分析方 法。幾乎所有的源代碼程序都存在或大或小的缺陷，如何及早發(fā)現(xiàn)缺陷，成為人們經(jīng)常面臨的問題。請(qǐng)參閱圖1，本發(fā)明實(shí)施例一種軟件源代碼安全缺陷分析的方法，包括SI.設(shè)定源代碼缺陷類型多個(gè)缺陷數(shù)據(jù)組，所述的缺陷數(shù)據(jù)組包括缺陷原因數(shù)據(jù)組、缺陷結(jié)果數(shù)據(jù)組、缺陷表現(xiàn)形式數(shù)據(jù)組；S2.調(diào)取源代碼并解析缺陷原因、結(jié)果、表現(xiàn)形式；S3.判斷所述的缺陷原因、結(jié)果、表現(xiàn)形式是否處于所述的缺陷數(shù)據(jù)組中，若是，進(jìn)入步驟S4，若否，進(jìn)入步驟S31，將所述的缺陷原因和/或結(jié)果和/或表現(xiàn)形式加入到所述的缺陷數(shù)據(jù)組中；S4.生成所述的源代碼原因、結(jié)果、表現(xiàn)形式并顯示。本發(fā)明的方法中，我們將缺陷原因數(shù)據(jù)組、缺陷結(jié)果數(shù)據(jù)組、缺陷表現(xiàn)形式數(shù)據(jù)組看作是“三棵樹”，請(qǐng)參閱下表1，本發(fā)明提出的“三棵樹”缺陷分類法，從三個(gè)角度對(duì)軟件源代碼缺陷進(jìn)行分類。第一棵樹缺陷產(chǎn)生的原因(兼顧內(nèi)因、外因和主客觀原因)；第ニ棵樹缺陷造成的結(jié)果；第三棵樹缺陷的表現(xiàn)形式。其中，按缺陷產(chǎn)生的原因劃分有注入缺陷及驗(yàn)證、應(yīng)用程序編程接ロ錯(cuò)誤、訪問控制及密碼失效、資源共享與競(jìng)爭(zhēng)、異常處理、不安全源碼質(zhì)量、邊界處理、配置錯(cuò)誤、惡意代碼。按缺陷造成的結(jié)果分類緩沖區(qū)溢出、整數(shù)溢出、命令注入、跨站腳本、拒絕服務(wù)、路徑操縱、進(jìn)程控制、資源注入、配置操縱、SQL注入、內(nèi)存溢出等。按照表現(xiàn)形式分類格式化字符串、賦值的目標(biāo)存儲(chǔ)空間不夠、未使用括號(hào)保證操作的優(yōu)先級(jí)、嘗試修改常量、引用未初始化的變量、使用Class Loader、錯(cuò)誤的clone()方法、Equals O方法錯(cuò)誤、多次調(diào)用exit O函數(shù)等。表I 三棵樹”式缺陷信息
權(quán)利要求
1.一種軟件源代碼安全缺陷分析的方法，其特征在于，包括 51.設(shè)定源代碼缺陷類型多個(gè)缺陷數(shù)據(jù)組，所述的缺陷數(shù)據(jù)組包括缺陷原因數(shù)據(jù)組、缺陷結(jié)果數(shù)據(jù)組、缺陷表現(xiàn)形式數(shù)據(jù)組； 52.調(diào)取源代碼并解析缺陷原因、結(jié)果、表現(xiàn)形式； 53.判斷所述的缺陷原因、結(jié)果、表現(xiàn)形式是否處于所述的缺陷數(shù)據(jù)組中，若是，進(jìn)入步驟S4，若否，進(jìn)入步驟S31，將所述的缺陷原因和/或結(jié)果和/或表現(xiàn)形式加入到所述的缺陷數(shù)據(jù)組中； 54.生成所述的源代碼原因、結(jié)果、表現(xiàn)形式并顯示。
2.如權(quán)利要求I所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷原因包括內(nèi)因、外因、主客觀原因。
3.如權(quán)利要求I所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷原因數(shù)據(jù)組，具體是注入缺陷及驗(yàn)證、應(yīng)用程序編程接口錯(cuò)誤、訪問控制及密碼失效、資源共享與競(jìng)爭(zhēng)、異常處理、不安全源碼質(zhì)量、邊界處理、配置錯(cuò)誤、惡意代碼。
4.如權(quán)利要求I所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷結(jié)果數(shù)據(jù)組，具體是緩沖區(qū)溢出、整數(shù)溢出、命令注入、跨站腳本、拒絕服務(wù)、路徑操縱、進(jìn)程控制、資源注入、配置操縱、SQL注入、內(nèi)存溢出。
5.如權(quán)利要求I所述的軟件源代碼安全缺陷分析的方法，其特征在于，所述的缺陷表現(xiàn)形式數(shù)據(jù)組，具體是格式化字符串、賦值的目標(biāo)存儲(chǔ)空間不夠、未使用括號(hào)保證操作的優(yōu)先級(jí)、嘗試修改常量、引用未初始化的變量。
6.一種軟件源代碼安全缺陷分析的裝置，用于實(shí)現(xiàn)權(quán)利要求I所述的方法，其特征在于，包括 缺陷數(shù)據(jù)組設(shè)定單元設(shè)定源代碼缺陷類型多個(gè)缺陷數(shù)據(jù)組，所述的缺陷數(shù)據(jù)組包括缺陷原因數(shù)據(jù)組、缺陷結(jié)果數(shù)據(jù)組、缺陷表現(xiàn)形式數(shù)據(jù)組； 源代碼缺陷解析單元與所述的缺陷數(shù)據(jù)組設(shè)定單元相連，用于調(diào)取源代碼并解析缺陷原因、結(jié)果、表現(xiàn)形式； 源代碼缺陷判斷單元與所述的源代碼缺陷解析單元相連，用于判斷所述的缺陷原因、結(jié)果、表現(xiàn)形式是否處于所述的缺陷數(shù)據(jù)組中； 源代碼缺陷顯示單元與所述的源代碼缺陷判斷單元相連，用于生成所述的源代碼原因、結(jié)果、表現(xiàn)形式并顯示。
7.如權(quán)利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷原因包括內(nèi)因、外因、主客觀原因。
8.如權(quán)利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷原因數(shù)據(jù)組，具體是注入缺陷及驗(yàn)證、應(yīng)用程序編程接口錯(cuò)誤、訪問控制及密碼失效、資源共享與競(jìng)爭(zhēng)、異常處理、不安全源碼質(zhì)量、邊界處理、配置錯(cuò)誤、惡意代碼。
9.如權(quán)利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷結(jié)果數(shù)據(jù)組，具體是緩沖區(qū)溢出、整數(shù)溢出、命令注入、跨站腳本、拒絕服務(wù)、路徑操縱、進(jìn)程控制、資源注入、配置操縱、SQL注入、內(nèi)存溢出。
10.如權(quán)利要求6所述的軟件源代碼安全缺陷分析的裝置，其特征在于，所述的缺陷表現(xiàn)形式數(shù)據(jù)組，具體是格式化字符串、賦值的目標(biāo)存儲(chǔ)空間不夠、未使用括號(hào)保證操作的優(yōu)先級(jí)、嘗試修改常量、引用未初始化的變量 。
全文摘要
本發(fā)明公開了一種軟件源代碼安全缺陷分析的方法，包括S1.設(shè)定源代碼缺陷類型多個(gè)缺陷數(shù)據(jù)組；S2.調(diào)取源代碼并解析缺陷原因、結(jié)果、表現(xiàn)形式；S3.判斷所述的缺陷原因、結(jié)果、表現(xiàn)形式是否處于所述的缺陷數(shù)據(jù)組中，若是，進(jìn)入步驟S4，若否，進(jìn)入步驟S31，將所述的缺陷原因和/或結(jié)果和/或表現(xiàn)形式加入到所述的缺陷數(shù)據(jù)組中；S4.生成所述的源代碼原因、結(jié)果、表現(xiàn)形式并顯示。本發(fā)明還公開了一種軟件源代碼安全缺陷分析的裝置。本發(fā)明使不同工具檢測(cè)的缺陷用統(tǒng)一的尺度描述，清楚具體，直觀性強(qiáng)。
文檔編號(hào)G06F11/36GK102750220SQ201110460378
公開日2012年10月24日 申請(qǐng)日期2011年12月31日 優(yōu)先權(quán)日2011年12月31日
發(fā)明者吳世忠, 張*, 王眉林, 童小剛, 郭恒, 郭濤 申請(qǐng)人:中國(guó)信息安全測(cè)評(píng)中心