[发明专利]基于程序的敏感信息检测方法和装置

说明书

本申请公开了一种基于程序的敏感信息检测方法和装置，可用于金融科技领域或其他领域。该方法包括：获取待检测程序；对所述待检测程序进行反编译处理，得到所述待检测程序对应的汇编语言；对所述汇编语言中的字符串进行提取，得到目标字符串；将所述目标字符串与敏感词词库进行规则匹配，以检测所述待检测程序是否包含敏感信息。通过本申请，解决了相关技术中一些敏感信息会随着程序的打包发布而被包含到程序中，导致敏感信息被泄露的问题。

技术领域

本申请涉及金融科技领域，具体而言，涉及一种基于程序的敏感信息检测方法和装置。

背景技术

在应用程序开发中，根据实际需要，开发人员可能会在程序源码中使用一些敏感信息，例如，内部账户、内网IP地址和内网文件路径等，虽然这些敏感信息对用户是不可见的，但仍然会随着程序的打包发布而被包含到程序中。这样在程序发布后，其中隐含的敏感信息就存在被泄露，甚至被违规或非法获取并盗用的风险。为有效的解决这个问题，提升内网信息安全，需要对内网程序中可能存在的敏感信息进行检测处理。

针对相关技术中一些敏感信息会随着程序的打包发布而被包含到程序中，导致敏感信息被泄露的问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种基于程序的敏感信息检测方法和装置，以解决相关技术中一些敏感信息会随着程序的打包发布而被包含到程序中，导致敏感信息被泄露的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种基于程序的敏感信息检测方法。该方法包括：获取待检测程序；对所述待检测程序进行反编译处理，得到所述待检测程序对应的汇编语言；对所述汇编语言中的字符串进行提取，得到目标字符串；将所述目标字符串与敏感词词库进行规则匹配，以检测所述待检测程序是否包含敏感信息。

进一步地，在将所述待检测程序进行反编译处理，得到所述待检测程序对应的汇编语言之前，所述方法还包括：判断所述待检测程序是否带壳；若所述待检测程序带壳，则对所述待检测程序进行脱壳处理，得到不带壳的待检测程序；对所述不带壳的待检测程序进行反编译处理，得到所述不带壳的待检测程序对应的汇编语言。

进一步地，在所述目标字符串与敏感词词库进行规则匹配，以检测所述待检测程序是否包含敏感信息之前，所述方法还包括：检测是否存在所述敏感词词库；若不存在所述敏感词词库，构建所述敏感词词库，其中，所述敏感词词库至少包括：内部账户信息，内网IP地址和内网文件路径，其中，所述敏感词词库中的信息的格式为正则表达式。

进一步地，在将所述目标字符串与敏感词词库进行规则匹配，以检测所述待检测程序是否包含敏感信息之后，所述方法还包括：当所述待检测程序中包含敏感信息时，将所述敏感信息提交至目标对象进行处理；当检测到所述目标对象进行处理完成后，继续检测处理后的待检测程序，直至所述待检测程序中不包含敏感信息。

进一步地，所述方法还包括：当所述待检测程序中不包含敏感信息时，则表示所述待检测程序的检测通过。

进一步地，在若不存在所述敏感词词库，构建所述敏感词词库之后，所述方法还包括：检测所述敏感词词库中是否接收到外部输入的敏感信息；若接收到外部输入的敏感信息，则将接收到的敏感信息添加至所述敏感词词库中。

进一步地，若所述待检测程序带壳，则对所述待检测程序进行脱壳处理，得到不带壳的待检测程序，包括：确定所述待检测程序采用的加壳软件；依据所述加壳软件，确定所述待检测程序的脱壳软件，其中，所述脱壳软件与所述加壳软件相匹配；依据所述脱壳软件，对所述待检测程序进行脱壳处理，得到不带壳的待检测程序。