CN112699372A - 漏洞处理方法、装置和计算机可读存储介质 - Google Patents

Abstract

本公开涉及一种漏洞处理方法、装置和计算机可读存储介质，涉及计算机技术领域。本公开的方法包括：获取源代码经过审计后得到的漏洞信息并进行显示；响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，操作区包括历史修复信息触发区；响应于历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息；将与选定的漏洞信息相关的历史漏洞修复信息进行显示。

Description

漏洞处理方法、装置和计算机可读存储介质

技术领域

本公开涉及计算机技术领域，特别涉及一种漏洞处理方法、装置和计算机可读存储介质。

背景技术

目前信息安全面临严重挑战：安全事件层出不穷，且安全漏洞问题集中爆发在软件应用层。

而在软件安全测试领域：开发人员多，安全人员少，开发人员大多不懂安全；兼顾效率和安全，开发人员在开发过程中借助代码审计软件修复漏洞成必然趋势。

发明内容

发明人发现：目前的代码审计软件只能简单的显示漏洞信息，在不同的源代码的审计过程中，通常会出现同样的漏洞，而开发人员没有参考信息，只能凭借个人经验进行修复，降低了漏洞修复效率。

本公开所要解决的一个技术问题是：如何提高代码修复效率。

根据本公开的一些实施例，提供的一种漏洞处理方法，包括：获取源代码经过审计后得到的漏洞信息并进行显示；响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，操作区包括历史修复信息触发区；响应于历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息；将与选定的漏洞信息相关的历史漏洞修复信息进行显示。

在一些实施例中，响应于历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息包括：响应于历史修复信息触发区的触发，获取选定的漏洞信息对应的漏洞标识；向数据库发送查询请求，查询请求包括：漏洞标识；接收数据库返回的与选定的漏洞信息相关的历史漏洞修复信息。

在一些实施例中，该方法还包括：显示新建修复信息触发区；响应于新建修复信息触发区的触发，接收输入的修复信息；将输入的修复信息与对应的漏洞信息进行关联存储。

在一些实施例中，将输入的修复方案与对应的漏洞信息进行关联存储包括：向数据库发送写入请求，写入请求包括输入的修复信息和对应的漏洞信息的漏洞标识，以便数据库将输入的修复信息和对应的漏洞信息的漏洞标识进行关联存储；接收数据库返回的写入结果，并进行显示。

在一些实施例中，将与选定的漏洞信息相关的历史漏洞修复信息进行显示包括：在与选定的漏洞信息相关的历史漏洞修复信息包括多项的情况下，按照创建时间与当前时间的时间差由小到大的顺序，将各项历史漏洞修复信息进行排序并显示；或者，按照使用频率由大到小的顺序将各项历史漏洞修复信息进行排序并显示。

在一些实施例中，历史漏洞修复信息包括：漏洞成因信息、污点追踪信息、解决方案信息中至少一项。

根据本公开的另一些实施例，提供的一种漏洞处理装置，包括：信息获取模块，用于获取源代码经过审计后得到的漏洞信息；响应于历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息；显示模块，用于对漏洞信息进行显示；响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，操作区包括历史修复信息触发区；将与选定的漏洞信息相关的历史漏洞修复信息进行显示。

在一些实施例中，信息获取模块用于响应于历史修复信息触发区的触发，获取选定的漏洞信息对应的漏洞标识；向数据库发送查询请求，查询请求包括：漏洞标识；接收数据库返回的与选定的漏洞信息相关的历史漏洞修复信息。

在一些实施例中，显示模块还用于显示新建修复信息触发区；该装置还包括：信息接收模块，用于响应于新建修复信息触发区的触发，接收输入的修复信息；存储模块，用于将输入的修复信息与对应的漏洞信息进行关联存储。

在一些实施例中，存储模块用于向数据库发送写入请求，写入请求包括输入的修复信息和对应的漏洞信息的漏洞标识，以便数据库将输入的修复信息和对应的漏洞信息的漏洞标识进行关联存储；接收数据库返回的写入结果；显示模块还用于将数据库返回的写入结果进行显示。

在一些实施例中，显示模块还用于在与选定的漏洞信息相关的历史漏洞修复信息包括多项的情况下，按照创建时间与当前时间的时间差由小到大的顺序，将各项历史漏洞修复信息进行排序并显示；或者，按照使用频率由大到小的顺序将各项历史漏洞修复信息进行排序并显示。

在一些实施例中，历史漏洞修复信息包括：漏洞成因信息、污点追踪信息、解决方案信息中至少一项。

根据本公开的又一些实施例，提供的一种漏洞处理装置，包括：处理器；以及耦接至处理器的存储器，用于存储指令，指令被处理器执行时，使处理器执行如前述任意实施例的漏洞处理方法。

根据本公开的再一些实施例，提供的一种非瞬时性计算机可读存储介质，其上存储有计算机程序，其中，该程序被处理器执行时实现前述任意实施例的漏洞处理方法。

本公开中将源代码经过审计后得到的漏洞信息进行显示，响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，操作区包括历史修复信息触发区，通过历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息，并进行显示。本公开通过扩展代码审计软件的功能，增加历史修复信息触发区和显示功能，可以实现一键获取历史修复信息作为本次漏洞修复的参考。基于同样的漏洞的修复方法具有关联性和相似性，通过历史修复信息可以提高漏洞的修复效率。

通过以下参照附图对本公开的示例性实施例的详细描述，本公开的其它特征及其优点将会变得清楚。

附图说明

为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出本公开的一些实施例的漏洞处理方法的流程示意图。

图2示出本公开的另一些实施例的漏洞处理方法的流程示意图。

图3示出本公开的一些实施例的漏洞处理装置的结构示意图。

图4示出本公开的另一些实施例的漏洞处理装置的结构示意图。

图5示出本公开的又一些实施例的漏洞处理装置的结构示意图。

具体实施方式

下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本公开一部分实施例，而不是全部的实施例。以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本公开及其应用或使用的任何限制。基于本公开中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

本公开提出一种漏洞处理方法，下面结合图1进行描述。

图1为本公开漏洞处理方法一些实施例的流程图。如图1所示，该实施例的方法包括：步骤S102～S108。

在步骤S102中，获取源代码经过审计后得到的漏洞信息并进行显示。

在代码审计之前，可以显示创建工程触发区，触发区例如为按键等形式。接收上传的源代码。源代码可以是通过本地上传或与版本控制工具集成的方式上传。代码审计软件可以自动对源代码进行审计，审计方法应用现有方式，在此不再赘述。源代码经过审计后可以得到漏洞信息，漏洞信息例如包括：漏洞标识(或名称、类型)，还可以包括：漏洞风险级别，漏洞对应的代码位置，漏洞的污点追踪信息等信息。可以按照预设排序方法对漏洞信息进行排序并显示。例如，按照风险级别由高到低的顺序或者按照漏洞对应的代码位置由上到下的顺序进行排序，不限于所举示例。

在步骤S104中，响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，操作区包括历史修复信息触发区。

可以通过点击或圈选漏洞信息等方式触发显示选定的漏洞信息的操作区，同时还可以显示选定的漏洞的详情信息。漏洞的详情信息例如可以包括漏洞对应的一行或多行代码行。可以以新页面新窗口的形式显示漏洞信息的操作区和详情信息，也可以在同一页面不同区域同时显示漏洞信息列表、选定的漏洞信息的操作区以及选定的漏洞的详情信息。在选定多项漏洞信息的情况下，在不同窗口或不同区域分别显示相应的操作区。

操作区、历史修复信息触发区可以以按键的形式呈现。操作区还可以包括：审计日志触发区、漏洞描述信息触发区等。响应于触发不同的触发区可以显示相应的内容。

在步骤S106中，响应于历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息。

例如，用户可以通过点击等方式对历史修复信息触发区进行触发。触发区也可以通过语音、手势等其他方式进行触发。在一些实施例中，响应于历史修复信息触发区的触发，获取选定的漏洞信息对应的漏洞标识。向数据库发送查询请求，查询请求包括：漏洞标识。接收数据库返回的与选定的漏洞信息相关的历史漏洞修复信息。历史修复信息触发区可以关联数据库的链接(例如，URL链接)，可以实现一键触发历史漏洞修复信息的显示。如果数据库中没有查询到与选定的漏洞信息相关的历史漏洞修复信息，则可以显示无历史信息。

或者，漏洞信息操作区可以包括多个触发区，响应于一项或多项漏洞信息的选定，向数据库发送查询请求，查询请求包括：漏洞标识。接收数据库返回的与选定的漏洞信息对应的各个触发区相关的信息，当一个触发区被触发时则可以将相关的信息进行显示。如果某一个或多个触发区没有相关的信息，则可以将该触发区设置为不可触发。

在步骤S108中，将与选定的漏洞信息相关的历史漏洞修复信息进行显示。

历史漏洞修复信息包括：漏洞成因信息、污点追踪信息、解决方案信息中至少一项。污点追踪信息例如包括漏洞的爆发点、来源信息等。漏洞成因信息和解决方案信息可以自定义。

在一些实施例中，在与选定的漏洞信息相关的历史漏洞修复信息包括多项的情况下，按照创建时间与当前时间的时间差由小到大的顺序，将各项历史漏洞修复信息进行排序并显示；或者，按照使用频率由大到小的顺序将各项历史漏洞修复信息进行排序并显示，不限于所举示例。在与选定的漏洞信息相关的历史漏洞修复信息包括多项的情况下，可以接收用户选择的本次漏洞修复所使用的历史漏洞修复信息，可以通过点击、输入等方式选择，将该历史漏洞修复信息在数据库中对应的使用次数增加一次，根据数据库中的记录可以确定各项历史漏洞修复信息的使用频率。用户还可以对历史漏洞修复信息进行评分，按照平均评分由高到低的顺序将各项历史漏洞修复信息进行排序并显示。

上述实施例中将源代码经过审计后得到的漏洞信息进行显示，响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，操作区包括历史修复信息触发区，通过历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息，并进行显示。上述实施例通过扩展代码审计软件的功能，增加历史修复信息触发区和显示功能，可以实现一键获取历史修复信息作为本次漏洞修复的参考。基于同样的漏洞的修复方法具有关联性和相似性，通过历史修复信息可以提高漏洞的修复效率。

下面结合图2描述本公开漏洞处理方法的另一些实施例。

图2为本公开漏洞处理方法另一些实施例的流程图。如图2所示，该实施例的方法还包括：步骤S202～S206。

在步骤S202中，显示新建修复信息触发区。

可以在漏洞信息的操作区显示新建修复信息触发区。用户可以在没有历史修复信息的情况下新建修复信息，也可以在本次修复与历史修复信息差别较大的情况下新建修复信息。

在步骤S204中，响应于新建修复信息触发区的触发，接收输入的修复信息。

响应于新建修复信息触发区的触发，可以显示修复信息输入区，接收输入的修复信息。

在步骤S206中，将输入的修复信息与对应的漏洞信息进行关联存储。

在一些实施例中，向数据库发送写入请求，写入请求包括输入的修复信息和对应的漏洞信息的漏洞标识，数据库将输入的修复信息和对应的漏洞信息的漏洞标识进行关联存储；接收数据库返回的写入结果，并进行显示。污点追踪信息等自动获得的信息，可以作为输入的修复信息自动加入写入请求，发送至数据库和对应的漏洞信息的漏洞标识进行关联存储。

在一些实施例中，用户还可以对历史漏洞修复信息进行修改。响应于一项历史漏洞修复信息对应的修改触发区的触发(例如在每项历史漏洞修复信息后设置修改按键)，将历史漏洞修复信息以可编辑的方式进行显示；接收修改信息，将修改后的历史漏洞修复信息与对应的漏洞信息进行关联存储。例如，向数据库发送修改请求，修改请求包括修改后的历史漏洞修复信息和对应的漏洞信息的漏洞标识，数据库将修改后的历史漏洞修复信息和对应的漏洞信息的漏洞标识进行关联存储；接收数据库返回的修改结果，并进行显示。

在一些实施例中，用户还可以对历史漏洞修复信息进行删除。响应于一项历史漏洞修复信息对应的删除触发区的触发(例如在每项历史漏洞修复信息后设置删除按键)，将对应的历史漏洞修复信息删除。例如，向数据库发送删除请求，修改请求包括对应的漏洞标识，以及历史漏洞修复信息的标识，数据库将漏洞标识以及历史漏洞修复信息的标识，将对应的历史漏洞修复信息删除；接收数据库返回的删除结果，并进行显示。

在一些实施例中，数据库可以对历史漏洞修复信息进行生命周期管理。例如，将存储超过预设时长的历史漏洞修复信息进行删除。或者，将预设时间段内使用频率低于阈值的历史漏洞修复信息进行删除。

上述实施例的方法，在代码审计软件中增加修复信息新建、删除等功能，实现了修复信息的积累、共享和管理，提高漏洞修复效率。

本公开还提供一种漏洞处理装置，下面结合图3进行描述。

图3为本公开漏洞处理装置的一些实施例的结构图。如图3所示，该实施例的装置30包括：信息获取模块310，显示模块320。

信息获取模块310，用于获取源代码经过审计后得到的漏洞信息；响应于历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息。

在一些实施例中，信息获取模块310用于响应于历史修复信息触发区的触发，获取选定的漏洞信息对应的漏洞标识；向数据库发送查询请求，查询请求包括：漏洞标识；接收数据库返回的与选定的漏洞信息相关的历史漏洞修复信息。

显示模块320，用于对漏洞信息进行显示；响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，操作区包括历史修复信息触发区；将与选定的漏洞信息相关的历史漏洞修复信息进行显示。

在一些实施例中，显示模块320还用于显示新建修复信息触发区。该装置30还包括：信息接收模块330，用于响应于新建修复信息触发区的触发，接收输入的修复信息。存储模块340，用于将输入的修复信息与对应的漏洞信息进行关联存储。

在一些实施例中，存储模块340用于向数据库发送写入请求，写入请求包括输入的修复信息和对应的漏洞信息的漏洞标识，以便数据库将输入的修复信息和对应的漏洞信息的漏洞标识进行关联存储；接收数据库返回的写入结果。显示模块320还用于将数据库返回的写入结果进行显示。

在一些实施例中，显示模块320还用于在与选定的漏洞信息相关的历史漏洞修复信息包括多项的情况下，按照创建时间与当前时间的时间差由小到大的顺序，将各项历史漏洞修复信息进行排序并显示；或者，按照使用频率由大到小的顺序将各项历史漏洞修复信息进行排序并显示。

在一些实施例中，历史漏洞修复信息包括：漏洞成因信息、污点追踪信息、解决方案信息中至少一项。

本公开的实施例中的漏洞处理装置可各由各种计算设备或计算机***来实现，下面结合图4以及图5进行描述。

图4为本公开漏洞处理装置的一些实施例的结构图。如图4所示，该实施例的装置40包括：存储器410以及耦接至该存储器410的处理器420，处理器420被配置为基于存储在存储器410中的指令，执行本公开中任意一些实施例中的漏洞处理方法。

其中，存储器410例如可以包括***存储器、固定非易失性存储介质等。***存储器例如存储有操作***、应用程序、引导装载程序(Boot Loader)、数据库以及其他程序等。

图5为本公开漏洞处理装置的另一些实施例的结构图。如图5所示，该实施例的装置50包括：存储器510以及处理器520，分别与存储器410以及处理器420类似。还可以包括输入输出接口530、网络接口540、存储接口550等。这些接口530，540，550以及存储器510和处理器520之间例如可以通过总线560连接。其中，输入输出接口530为显示器、鼠标、键盘、触摸屏等输入输出设备提供连接接口。网络接口540为各种联网设备提供连接接口，例如可以连接到数据库服务器或者云端存储服务器等。存储接口550为SD卡、U盘等外置存储设备提供连接接口。

本领域内的技术人员应当明白，本公开的实施例可提供为方法、***、或计算机程序产品。因此，本公开可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本公开可采用在一个或多个其中包含有计算机可用程序代码的计算机可用非瞬时性存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本公开是参照根据本公开实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解为可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本公开的较佳实施例，并不用以限制本公开，凡在本公开的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本公开的保护范围之内。

Claims (14)

1.一种漏洞处理方法，包括：

获取源代码经过审计后得到的漏洞信息并进行显示；

响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，所述操作区包括历史修复信息触发区；

响应于所述历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息；

将与选定的漏洞信息相关的历史漏洞修复信息进行显示。

2.根据权利要求1所述的漏洞处理方法，其中，

所述响应于所述历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息包括：

响应于所述历史修复信息触发区的触发，获取选定的漏洞信息对应的漏洞标识；

向数据库发送查询请求，所述查询请求包括：所述漏洞标识；

接收数据库返回的与选定的漏洞信息相关的历史漏洞修复信息。

3.根据权利要求1所述的漏洞处理方法，还包括：

显示新建修复信息触发区；

响应于新建修复信息触发区的触发，接收输入的修复信息；

将所述输入的修复信息与对应的漏洞信息进行关联存储。

4.根据权利要求3所述的漏洞处理方法，其中，

所述将所述输入的修复方案与对应的漏洞信息进行关联存储包括：

向数据库发送写入请求，所述写入请求包括输入的修复信息和对应的漏洞信息的漏洞标识，以便所述数据库将输入的修复信息和对应的漏洞信息的漏洞标识进行关联存储；

接收所述数据库返回的写入结果，并进行显示。

5.根据权利要求1所述的漏洞处理方法，其中，

所述将与选定的漏洞信息相关的历史漏洞修复信息进行显示包括：

在与选定的漏洞信息相关的历史漏洞修复信息包括多项的情况下，按照创建时间与当前时间的时间差由小到大的顺序，将各项历史漏洞修复信息进行排序并显示；或者，按照使用频率由大到小的顺序将各项历史漏洞修复信息进行排序并显示。

6.根据权利要求1-5任一项所述的漏洞处理方法，其中，

所述历史漏洞修复信息包括：漏洞成因信息、污点追踪信息、解决方案信息中至少一项。

7.一种漏洞处理装置，包括：

信息获取模块，用于获取源代码经过审计后得到的漏洞信息；响应于所述历史修复信息触发区的触发，获取与选定的漏洞信息相关的历史漏洞修复信息；

显示模块，用于对漏洞信息进行显示；响应于一项或多项漏洞信息的选定，显示选定的漏洞信息操作区，所述操作区包括历史修复信息触发区；将与选定的漏洞信息相关的历史漏洞修复信息进行显示。

8.根据权利要求7所述的漏洞处理装置，其中，

所述信息获取模块用于响应于所述历史修复信息触发区的触发，获取选定的漏洞信息对应的漏洞标识；向数据库发送查询请求，所述查询请求包括：所述漏洞标识；接收数据库返回的与选定的漏洞信息相关的历史漏洞修复信息。

9.根据权利要求7所述的漏洞处理装置，其中，

所述显示模块还用于显示新建修复信息触发区；

所述装置还包括：

信息接收模块，用于响应于新建修复信息触发区的触发，接收输入的修复信息；

存储模块，用于将所述输入的修复信息与对应的漏洞信息进行关联存储。

10.根据权利要求9所述的漏洞处理装置，其中，

所述存储模块用于向数据库发送写入请求，所述写入请求包括输入的修复信息和对应的漏洞信息的漏洞标识，以便所述数据库将输入的修复信息和对应的漏洞信息的漏洞标识进行关联存储；接收所述数据库返回的写入结果；

所述显示模块还用于将所述数据库返回的写入结果进行显示。

11.根据权利要求7所述的漏洞处理装置，其中，

所述显示模块还用于在与选定的漏洞信息相关的历史漏洞修复信息包括多项的情况下，按照创建时间与当前时间的时间差由小到大的顺序，将各项历史漏洞修复信息进行排序并显示；或者，按照使用频率由大到小的顺序将各项历史漏洞修复信息进行排序并显示。

12.根据权利要求7-11任一项所述的漏洞处理装置，其中，

所述历史漏洞修复信息包括：漏洞成因信息、污点追踪信息、解决方案信息中至少一项。

13.一种漏洞处理装置，包括：

处理器；以及

耦接至所述处理器的存储器，用于存储指令，所述指令被所述处理器执行时，使所述处理器执行如权利要求1-6任一项所述的漏洞处理方法。

14.一种非瞬时性计算机可读存储介质，其上存储有计算机程序，其中，该程序被处理器执行时实现权利要求1-6任一项所述方法的步骤。

Images