买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

申请/专利权人：中国人民解放军国防科技大学

摘要：本发明公开了一种反序列化漏洞的检测方法和检测系统。其中，方法包括获取待反序列化的文件数据进行静态分析，获得第一类型gadget片段，第二类型gadget片段，第三类型gadget片段；查找结尾动态方法调用指向第三类型gadget片段开头动态方法调用的第二类型gadget片段，拼接，生成一个新的第三类型gadget片段，遍历直到没有新的第三类型gadget片段生成为止；查找结尾动态方法调用指向新的第三类型gadget片段开头动态方法调用的第一类型gadget片段，拼接，生成可疑gadget链；生成初始注入对象验证可疑gadget链是否为可利用gadget链，根据验证结果获得反序列化漏洞检测结果。本发明提供的方案采用自底向上的gadget链检测方法，解决了静态分析阶段由于候选gadget方法数过大导致的路径爆炸问题。

主权项：1.一种反序列化漏洞的检测方法，其特征在于，所述方法包括：获取待反序列化的文件数据；对所述文件数据进行静态分析，获得以source方法为开头、动态方法调用为结尾的第一类型gadget片段，和或以动态方法调用为开头、动态方法调用为结尾的第二类型gadget片段，和或以动态方法调用为开头、sink方法为结尾的第三类型gadget片段；对所述第三类型gadget片段，遍历所有第二类型gadget片段，查找结尾动态方法调用指向所述第三类型gadget片段开头动态方法调用的第二类型gadget片段，将查找到的所述第二类型gadget片段与所述第三类型gadget片段拼接，生成一个新的第三类型gadget片段，遍历直到没有新的第三类型gadget片段生成为止；遍历所有第一类型gadget片段，查找结尾动态方法调用指向所述新的第三类型gadget片段开头动态方法调用的第一类型gadget片段，将查找到的所述第一类型gadget片段与所述新的第三类型gadget片段拼接，生成以source方法为开头、sink方法为结尾的可疑gadget链；生成初始注入对象，利用所述初始注入对象通过定向模糊测试验证所述可疑gadget链是否为可利用gadget链，根据验证结果获得所述文件数据的反序列化漏洞检测结果；所述定向模糊测试用于引导初始注入对象到达所述可疑gadget链结尾sink方法，来验证所述可疑gadget链是否为可利用gadget链。

全文数据：

权利要求：

百度查询： 中国人民解放军国防科技大学 一种反序列化漏洞的检测方法和检测系统