安全检测方法、系统、生成安全检测的数据的方法及介质与流程

本申请涉及计算机领域，并且更具体地涉及安全检测方法、生成用于安全检测的数据的方法、安全检测系统及计算机存储介质。

背景技术：

1、随着智能网联汽车的发展，汽车智能化程度越来越高，汽车中的多个系统会使用到闭源软件方案。这些闭源软件方案通常为由第三方供应商提供并且能够实现特定功能的代码库，使用者可以直接调用这些闭源软件方案来实现相应的功能。然而，一般情况下，开发人员会将这些闭源软件方案作为实现特定功能的整体模块使用，由于缺乏对第三方软件库的内部实现细节的理解，开发人员容易忽视其内部的安全问题。如果无法保证闭源软件方案的安全性，第三方软件库的漏洞也会被引入到正在开发的宿主项目中。因此，需要对闭源软件方案进行安全性检测。

2、目前的安全检测方法需要投入大量的人力，并且目前的静态分析工具无法直接用于检测闭源软件方案的安全性，导致无法高效准确识别闭源软件方案出现的安全问题。鉴于此，需要更为可靠的安全检测方案，以帮助检测闭源软件方案的安全性。

技术实现思路

1、为了解决或至少缓解以上问题中的一个或多个，提供了以下技术方案。

2、按照本申请的第一方面，提供一种安全检测方法，所述方法包括下列步骤：获取漏洞元数据集以及基于所述漏洞元数据集生成的漏洞验证样例元数据集；至少基于所述漏洞元数据集和所述漏洞验证样例元数据集从目标闭源组件中确定漏洞检测信息集；以及处理所述漏洞检测信息集以生成安全检测结果。

3、根据本申请一实施例所述的安全检测方法，其中获取漏洞元数据集包括：从一个或多个漏洞信息公开源获取公开漏洞数据；以及根据所述公开漏洞数据获取所述漏洞元数据集。

4、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中根据所述公开漏洞数据获取所述漏洞元数据集包括：对所述公开漏洞数据进行解析以提取供应商信息、漏洞存在的组件信息、漏洞描述信息、漏洞类型信息、漏洞版本信息、漏洞验证样例链接信息中的一个或多个作为所述漏洞元数据集。

5、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中所述漏洞验证样例元数据集通过以下方式基于所述漏洞元数据集来生成：根据供应商信息对所述漏洞元数据集进行筛选以获取漏洞验证样例链接信息；基于所述漏洞验证样例链接信息获取漏洞验证样例的载体；以及根据所述漏洞验证样例的载体的格式类型提取漏洞验证样本的填充数据信息、关键词信息和方法信息中的一个或多个以生成所述漏洞验证样例元数据集。

6、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中至少基于所述漏洞元数据集和所述漏洞验证样例元数据集从目标闭源组件中确定漏洞检测信息集包括：至少基于所述漏洞元数据集和所述漏洞验证样例元数据集从所述目标闭源组件中确定潜在漏洞函数；以及处理所述潜在漏洞函数以确定所述漏洞检测信息集。

7、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中处理所述潜在漏洞函数以确定所述漏洞检测信息集包括：处理所述潜在漏洞函数以获取潜在漏洞执行轨迹、执行轨迹中调用的关键函数、与所述关键函数相关联的数据的传输路径以及所述传输路径的源点和终点；以及将所述潜在漏洞函数、所述潜在漏洞执行轨迹、所述数据的传输路径以及所述传输路径的源点和终点确定为所述漏洞检测信息集。

8、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中处理所述漏洞检测信息集以生成安全检测结果包括：对所述漏洞检测信息集进行静态分析以确定漏洞函数；以及根据所述漏洞函数的参数评估所述漏洞函数的参数可控程度、执行可达性和危害情况中的一个或多个以生成所述安全检测结果。

9、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中对所述漏洞检测信息集进行静态分析以确定漏洞函数包括：从所述潜在漏洞函数的入口参数开始，利用污点分析算法追踪所述潜在漏洞函数中的每个函数调用所使用的参数和返回值，传递所述潜在漏洞执行轨迹中的污点；以及根据所述污点的传递确定所述漏洞函数。

10、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中根据所述漏洞函数的参数评估所述漏洞函数的参数可控程度、执行可达性和危害情况中的一个或多个包括：根据所述漏洞函数的参数的类型评估所述漏洞函数的参数可控程度、执行可达性和危害情况中的一个或多个，其中所述漏洞函数的参数的类型包括整数、字符串、指针。

11、根据本申请一实施例或以上任一实施例的所述的安全检测方法，其中所述方法还包括：根据所述安全检测结果在显示界面上显示风险提示信息，所述风险提示信息包括漏洞类型、漏洞可能造成的危害、漏洞位置和漏洞执行轨迹中的一个或多个。

12、按照本申请的第二方面，提供一种生成用于安全检测的数据的方法，所述方法包括下列步骤：从一个或多个漏洞信息公开源获取公开漏洞数据；对所述公开漏洞数据进行解析以提取供应商信息、漏洞存在的组件信息、漏洞描述信息、漏洞类型信息、漏洞版本信息、漏洞验证样例链接信息中的一个或多个作为漏洞元数据集；以及基于所述漏洞元数据集生成漏洞验证样例元数据集以作为所述用于安全检测的数据。

13、根据本申请一实施例所述的生成用于安全检测的数据的方法，基于所述漏洞元数据集生成漏洞验证样例元数据集包括：根据供应商信息对所述漏洞元数据集进行筛选以获取漏洞验证样例链接信息；基于所述漏洞验证样例链接信息获取漏洞验证样例的载体；以及根据所述漏洞验证样例的载体的格式类型提取漏洞验证样本的填充数据信息、关键词信息和方法信息中的一个或多个以生成所述漏洞验证样例元数据集。

14、按照本申请的第三方面，提供一种安全检测系统，所述系统包括：存储器；与所述存储器耦合的处理器；以及存储在所述存储器上并在所述处理器上运行的计算机程序，所述计算机程序的运行导致执行根据本申请第一方面所述的安全检测方法的步骤。

15、根据本申请的第四方面，提供一种计算机存储介质，其包括指令，所述指令在运行时执行根据本申请第一方面所述的安全检测方法的步骤。

16、根据本申请的一个或多个实施例的安全检测方案能够利用闭源组件的漏洞检测信息集自动化地检测闭源软件方案的安全性，快速准确地定位到闭源软件方案的潜在漏洞，从而有效地解决了相关技术中安全性检测存在漏检的问题以及耗费大量人力的问题。当根据本申请的一个或多个实施例的安全检测方案应用于智能车辆时，能够快速准确地定位到智能车辆中的潜在漏洞，降低安全人员的工作量，提高智能车辆的安全性。

技术特征：

1.一种安全检测方法，其特征在于，所述方法包括下列步骤：

2.根据权利要求1所述的方法，其中获取漏洞元数据集包括：

3.根据权利要求2所述的方法，其中根据所述公开漏洞数据获取所述漏洞元数据集包括：

4.根据权利要求1所述的方法，其中所述漏洞验证样例元数据集通过以下方式基于所述漏洞元数据集来生成：

5.根据权利要求1所述的方法，其中至少基于所述漏洞元数据集和所述漏洞验证样例元数据集从目标闭源组件中确定漏洞检测信息集包括：

6.根据权利要求5所述的方法，其中处理所述潜在漏洞函数以确定所述漏洞检测信息集包括：

7.根据权利要求1所述的方法，其中处理所述漏洞检测信息集以生成安全检测结果包括：

8.根据权利要求7所述的方法，其中对所述漏洞检测信息集进行静态分析以确定漏洞函数包括：

9.根据权利要求7所述的方法，其中根据所述漏洞函数的参数评估所述漏洞函数的参数可控程度、执行可达性和危害情况中的一个或多个包括：

10.根据权利要求1所述的方法，其中所述方法还包括：

11.一种生成用于安全检测的数据的方法，其特征在于，所述方法包括下列步骤：

12.根据权利要求11所述的方法，其中基于所述漏洞元数据集生成漏洞验证样例元数据集包括：

13.一种安全检测系统，其特征在于，所述系统包括：

14.一种计算机可读存储介质，其特征在于，所述计算机存储介质包括指令，所述指令在运行时执行根据权利要求1-10中的任一项所述的安全检测方法。

技术总结
本申请涉及计算机领域，并且更具体地涉及安全检测方法、生成用于安全检测的数据的方法、安全检测系统及计算机存储介质。按照本申请的一个方面的安全检测方法包括：获取漏洞元数据集以及基于所述漏洞元数据集生成的漏洞验证样例元数据集；至少基于所述漏洞元数据集和所述漏洞验证样例元数据集从目标闭源组件中确定漏洞检测信息集；以及处理所述漏洞检测信息集以生成安全检测结果。

技术研发人员：林超阳,沈明航
受保护的技术使用者：蔚来软件科技（上海）有限公司
技术研发日：
技术公布日：2024/1/13