← 返回列表
基于静态分析的智能设备远程代码执行漏洞检测方法
摘要文本
本发明公开了一种基于静态分析的智能设备远程代码执行漏洞检测方法。本申请涉及工业物联网安全技术领域。该方法旨在采用一种自动化的方法定位报告智能设备中Web管理界面中的远程代码执行漏洞。该方法对所采集到的固件系统解包得到Lua源码，使用Lua语法解析将源码转化为抽象语法树，然后先对抽象语法树进行控制流分析生成控制流图，再使用基于流敏感、路径敏感与上下文敏感的数据流分析对程序进行进一步分析并求取控制流图节点的数据流约束，最后基于污点分析与AST结构准确定位漏洞位置并报告漏洞的相关信息。本发明利用静态污点分析技术实现了嵌入式固件有效的自动化漏洞检测，可用性高，覆盖面广。。来自马克数据网
申请人信息
- 申请人:浙江大学; 杭州优稳自动化系统有限公司
- 申请人地址:310058 浙江省杭州市西湖区余杭塘路866号
- 发明人: 浙江大学; 杭州优稳自动化系统有限公司
专利详细信息
| 项目 | 内容 |
|---|---|
| 专利名称 | 基于静态分析的智能设备远程代码执行漏洞检测方法 |
| 专利类型 | 发明申请 |
| 申请号 | CN202311668718.3 |
| 申请日 | 2023/12/7 |
| 公告号 | CN117744087A |
| 公开日 | 2024/3/22 |
| IPC主分类号 | G06F21/57 |
| 权利人 | 浙江大学; 杭州优稳自动化系统有限公司 |
| 发明人 | 王文海; 刘沛宇; 相嘉慧; 付丽嫆 |
| 地址 | 浙江省杭州市西湖区浙大路38号; 浙江省杭州市余杭区仁和街道临港路6号 |
专利主权项内容
1.一种基于静态分析的智能设备远程代码执行漏洞检测方法，其特征在于，包括：针对嵌入式固件Web框架中的Lua源码文件定义抽象语法树，并进行词法分析和语法分析生成抽象语法树；遍历所述抽象语法树中的所有节点并在每个节点上创建控制流图节点，生成一个由所述控制流图节点组成的控制流图，所述控制流图节点通过入站节点和出站节点两个属性来连接；利用Web框架的调度规则将所有被调用的函数的所述控制流图节点添加到所述控制流图中，形成一个完整的程序控制流图；对所述程序控制流图进行数据流分析，根据不动点算法和定义可达分析最终确定数据流约束关系结果，所述数据流分析由具有有限高度的晶格和数据流约束系统组成；对所述数据流约束关系结果进行污点分析来检测应用程序中的漏洞，通过污点分析跟踪污染源与污点汇聚点之间的数据流，若数据来自不可信或受污染的源，最终经过数据流流入汇聚点，则认为此数据流可能会引发漏洞；若在数据传输的过程中经过了消毒函数的处理使得原本不可信的数据变得安全可信，则将不会引发漏洞。