【技术实现步骤摘要】
漏洞检测方法、装置、计算机设备和存储介质
[0001]本申请涉及数据检测
，特别是涉及一种漏洞检测方法、装置、计算机设备、存储介质和计算机程序产品。
技术介绍
[0002]堆内存漏洞是一种常见的程序漏洞，这类漏洞通过构造特殊的堆块结构来实现堆内存漏洞的利用，进而导致控制流劫持及任意代码执行的目的。因此，需要对程序进行漏洞检测，得到漏洞检测结果，并根据漏洞检测结果修复软件。
[0003]目前的漏洞检测方法通常是对程序的源代码进行黑盒测试。具体地，检测人员通过向编写的模糊测试工具输入一些随机或者精心构造的数据来观察待测试程序对输入数据的响应，得到漏洞检测结果。
[0004]然而，目前的漏洞检测方法得到的漏洞检测结果只能够确定待测试程序运行是否正常，无法明确造成待测试程序异常的原因和待测试程序的异常之处。因此，目前的漏洞检测方法无法定位待测试程序的漏洞。
技术实现思路
[0005]基于此，有必要针对上述技术问题，提供一种漏洞测试方法、装置、计算机设备、计算机可读存储介质和计算机程序产品。
【技术保护点】
【技术特征摘要】
1.一种漏洞检测方法，其特征在于，所述方法包括：基于预设的初始测试文件对待测试程序进行模糊测试，并基于模糊测试结果确定所述初始测试文件中包含的污点数据；基于所述污点数据对所述待测试程序进行检测，得到所述待测试程序对应的路径约束和数据约束；所述路径约束表征所述待测试程序中存在堆溢出漏洞的堆块的路径；所述数据约束表征所述待测试程序中存在堆溢出漏洞的堆块数据；对所述路径约束和所述数据约束进行合取，得到合取约束条件，并对所述合取约束条件进行求解，得到攻击输入文件；基于所述攻击输入文件对所述待测试程序进行测试，确定所述待测试程序的测试结果。2.根据权利要求1所述的方法，其特征在于，所述基于预设的初始测试文件对待测试程序进行模糊测试，并基于模糊测试结果确定所述初始测试文件中包含的污点数据，包括：获取待测试程序，并基于预设的初始测试文件，对所述待测试程序进行模糊测试，得到模糊测试结果；基于所述模糊测试结果在所述初始测试文件中确定污点数据。3.根据权利要求1所述的方法，其特征在于，所述基于所述污点数据对所述待测试程序进行检测，得到所述待测试程序对应的路径约束和数据约束，包括：基于所述污点数据进行动态符号执行，得到所述待测试程序的路径约束；基于所述污点数据，对所述待测试程序中的各类型堆块进行检测，得到每一类型堆块的检测结果，并基于所述检测结果构建所述待测试程序的数据约束。4.根据权利要求3所述的方法，其特征在于，所述各类型堆块包括第一堆块和第二堆块，所述基于所述污点数据，对所述待测试程序中的各类型堆块进行检测，得到每一类型堆块的检测结果，并基于所述检测结果构建所述待测试程序的数据约束，包括：针对每一所述第一堆块，判断所述第一堆块是否存在堆块溢出漏洞，并在所述第一堆块存在所述堆块溢出漏洞的情况下，确定堆块溢出结果；所述第一堆块为已写入数据的堆块；根据所述堆块溢出结果，构建第一数据约束；针对每一所述第二堆块，判断所述第二堆块是否符合unlink解链操作触发条件，在所述第二堆块符合unlink操作触发条件的情况下，确定操作触发结果；所述第二堆块为当前释放堆块；根据所述待测试程序的堆块的基础信息和所述操作触发结果，构建第二数据约束；将所述第一数据约束和所述第二数据约束合并为所述待测试程序的数据约束。5.根据权利要求4所述的方法，其特征在于，所述针对每一所述第一堆块，判断所述第一堆块是否存在堆块溢出漏洞，并在所述第一堆块存在所述堆块溢出漏洞的情况下，确定堆块溢出结果，包括：针对每一所述第一堆块，检查流入所述第一堆块中的数据是否为符号化数据；在所述第一堆块中的数据为所述符号化数据的情况下，判断所述第一堆块中的数据是否超过所述第一堆块的边界；在所述第一堆块中的数据超过所述第一堆块的边...
【专利技术属性】
技术研发人员：庄沃霖，曾炜，李艺枫，谭宗麟，
申请(专利权)人：中国工商银行股份有限公司，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。