[发明专利]一种面向Java源码的语句级模式探索的漏洞检测方法

说明书

一种面向Java源码的语句级模式探索的漏洞检测方法，包括以下步骤：步骤1：用户将Java文件上传到语句级漏洞检测框架ISVSF，框架中的方法表示生成器提取全部方法，然后将方法抽象为控制流抽象语法树CFAST；步骤2：方法表示生成器通过遍历CFAST内的basic子树/控制流子树得到每个基本子块/控制流子块的句子；步骤3：用基于Transformer的双向编码器将每个句子嵌入到句子向量中；步骤4：漏洞分类器从生成器接收方法表示，首先统一其长度，然后分类器计算条件概率，最后根据阈值进行分类；步骤5，漏洞分类器通过分类结果预测方法是否存在漏洞的，并且输出预测结果。相较于传统的基于深度学习的预训练模型，使用BERT模型使得分类的速度变快，预训练处理数据速度变快。

技术领域

本发明属于漏洞检测技术领域，特别涉及一种面向Java源码的语句级模式探索的漏洞检测方法。

背景技术

软件存在的漏洞对计算机系统造成了严重的危害，给国家经济安全、社会稳定等带来的巨大的威胁。例如，攻击者利用谷歌手机的CVE-2019-2234漏洞控制Android摄像头APP，从而可以在未经用户许可的情况下进行拍照和录像。这种行为直接影响到全球数十亿台设备，因此漏洞分析日益成为信息安全领域理论研究和实践工作的重点。

根据是否使用机器学习，识别漏洞的技术可以分为传统方法和智能方法。具体来说传统的漏洞检测方法可以分为静态漏洞检测，和动态漏洞检测。对于静态漏洞检测，由于其算法的特点，往往会造成较高的假阳性率(FPR),而动态方法很难提高代码的覆盖率，总的来说，大多数传统方法依赖于模式定义。然而，模式定义是一项麻烦、主观、容易出错的工作，对漏洞检测系统的性能有着巨大的影响。智能漏洞检测通过分析代码或代码的表现形式中的分布统计信息避免手动定义模式。而现有的智能漏洞检测方法大多数局限于特定类型的漏洞，往往会造成FPR高，噪声敏感等问题。

智能漏洞检测尚处于初级阶段，主要表现在代码表示和漏洞模式挖掘。在代码表示方面，现有的代码表示方法通常使用令牌嵌入来表示源代码，导致代码文件表征具有相似性，因为将代码放入令牌序列中会导致部分代码结构功能上的差异丧失。在漏洞模式挖掘方面，由于挖掘漏洞模式所用的分类器处理的是令牌序列，所以在挖掘之前就丢失了源代码的逻辑结构信息。此外，在智能漏洞检测中，任何漏洞数据集都不能覆盖整个漏洞样本空间，限制了分类器从数据集中学习漏洞模式的能力，导致准确率低，假阳性率高。此外，尽管Java是一种重要的编程语言，并且经常与最危险的错误相关联，但是，大多数可用的代码漏洞检测方法都集中在C/C++上，在Java上面可以找到的很少。

发明内容

本发明的目的在于提供一种面向Java源码的语句级模式探索的漏洞检测方法，以解决上述问题。

为实现上述目的，本发明采用以下技术方案：

一种面向Java源码的语句级模式探索的漏洞检测方法，包括以下步骤：

步骤1：用户将Java文件上传到语句级漏洞检测框架ISVSF，框架中的方法表示生成器提取全部方法，然后将方法抽象为控制流抽象语法树CFAST；

步骤2：方法表示生成器通过遍历CFAST内的basic子树/控制流子树得到每个基本子块/控制流子块的句子；

步骤3：用基于Transformer的双向编码器将每个句子嵌入到句子向量中；

步骤4：漏洞分类器从生成器接收方法表示，首先统一其长度，然后分类器计算条件概率，最后根据阈值进行分类；

步骤5，漏洞分类器通过分类结果预测方法是否存在漏洞的，并且输出预测结果。