[发明专利]软件检测方法、装置、电子设备和计算机可读存储介质

说明书

本公开提供了一种软件检测方法、装置、电子设备和计算机可读存储介质，涉及互联网技术领域。所述方法包括：获取待检测软件的第一组件信息；根据第一组件信息和多个待选取组件的第二组件信息，得到目标待选取组件；根据目标待选取组件的组件漏洞信息和待检测软件的组件源代码，得到组件危险数据流信息；对危险数据流信息进行提取，得到数据流节点信息；根据调用函数和数据流节点信息，确定待检测软件是否存在漏洞。本公开通过对待检测软件的应用源代码进行分析，得到所依赖组件的第一组件信息，通过第一组件信息在多个待选取组件的第二组件信息中，确定出目标待选取组件，增加了确定目标待选取组件的准确性，有利于降低软件检测的漏报率。

技术领域

本公开涉及互联网技术领域，尤其涉及一种软件检测方法、装置、电子设备和计算机可读存储介质。

背景技术

开源组件是指源代码可以被公众使用的组件，且该开源组件的使用，修改和分发不受许可证的限制。对于基于开源组件开发得到的软件，为了实现对该软件的安全性能的分析，需要检测该软件所引用的开源组件。

相关技术中，针对于软件检测的工作，通常是考虑将软件信息与组件漏洞信息库内的组件进行比对实现的。具体的，通过依赖关系搜索漏洞信息数据，并通过搜索到的漏洞信息数据对软件进行检测，从而导致无法全面准确地识别出待检测软件的漏洞，进而待检测软件漏洞的漏报率高。

需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

本公开提供一种软件检测方法、装置、电子设备和计算机可读存储介质，至少在一定程度上克服无法全面准确地识别出待检测软件的漏洞，进而待检测软件漏洞的漏报率高的问题。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开的一个方面，提供一种软件检测方法，所述方法包括：获取待检测软件的第一组件信息，所述第一组件信息基于所述待检测软件的应用源代码得到，所述应用源代码包括调用函数；根据所述第一组件信息和多个待选取组件的第二组件信息，得到目标待选取组件；根据目标待选取组件的组件漏洞信息和所述待检测软件的组件源代码，得到组件危险数据流信息；对所述危险数据流信息进行提取，得到数据流节点信息；根据所述调用函数和所述数据流节点信息，确定待检测软件是否存在漏洞。

在本公开的一个实施例中，在所述获取待检测软件的第一组件信息之前，所述方法还包括：根据所述待检测软件的应用源代码的配置文件，得到所述待检测软件的第一组件信息。

在本公开的一个实施例中，在所述根据所述第一组件信息和多个待选取组件的第二组件信息，得到目标待选取组件之前，所述方法包括：在漏洞发布平台爬取所述多个待选取组件的漏洞信息数据；对所述漏洞信息数据进行信息提取，得到所述多个待选取组件的第二组件信息。

在本公开的一个实施例中，所述第一组件信息包括组件名称、组件来源、发布时间、漏洞信息和许可证中的一个或多个；所述第二组件信息包括组件名称、组件来源、发布时间、漏洞信息和许可证中的一个或多个，其中，所述根据所述第一组件信息和多个待选取组件的第二组件信息，得到目标待选取组件，包括：在多个待选取组件的第二组件信息中，选取与第一组件信息相匹配的目标第二组件信息；将所述目标第二组件信息对应的待选取组件作为目标待选取组件。

在本公开的一个实施例中，所述根据目标待选取组件的组件漏洞信息和所述待检测软件的组件源代码，得到组件危险数据流信息，包括：对目标待选取组件的组件漏洞信息进行提取，得到漏洞利用点；基于漏洞利用点对目标待选取组件的组件源代码和所述待检测软件的组件源代码进行分析，得到组件危险数据流信息，所述组件危险数据流信息包括危险数据的来源点、传播路径、爆发点中的一个或多个。