计算机技术与发展2023，Vol.33Issue(5) ：122-129.DOI:10.3969/j.issn.1673-629X.2023.05.019

基于图网络的Java反序列化漏洞检测方法

Call Chain Detection Method for Java Deserialization Vulnerability Based on Graph Network

胡飞 陈昊 王媛 弋雯 胡颖 刘宝英
计算机技术与发展2023，Vol.33Issue(5) ：122-129.DOI:10.3969/j.issn.1673-629X.2023.05.019
✕
  • 国家科技期刊平台
  • NETL
  • NSTL
  • 维普
  • 万方数据

基于图网络的Java反序列化漏洞检测方法

Call Chain Detection Method for Java Deserialization Vulnerability Based on Graph Network

胡飞 1陈昊 2王媛 1弋雯 1胡颖 3刘宝英1
扫码查看

作者信息

  • 1. 西北大学 信息科学与技术学院,陕西 西安710100
  • 2. 中国劳动关系学院,北京100048
  • 3. 新华社技术通信局,北京100803
  • 折叠

摘要

Java反序列化漏洞由于其很容易被非法利用,已经成为目前最具威胁的软件漏洞之一.在开发过程中,事先对软件所使用的第三方公共组件库进行检测,提前发现并防御潜在的反序列化漏洞尤为重要.目前已有的反序列化漏洞检测,主要有基于规则匹配和基于污点分析两种检测方法,前者采用白名单或者黑名单的方法无法发现未知的反序列化漏洞,而后者因其对漏洞调用链检测能力有限,故漏报和误报率高.为了弥补已有方法的缺陷,提出了一种基于图网络的Java反序列化漏洞调用链检测方法SerialFinder,该方法利用图结构充分表达反序列化漏洞调用链的语义信息,训练图同构网络模型,进而可以检测潜在的反序列化漏洞调用链.SerialFinder在多个第三方组件库进行验证,与业界最先进的Java反序列化漏洞调用链检测方法Gadget Inspector进行对比,结果表明,SerialFinder在三个公共组件库上的平均命中率为64％,比Gadget Inspector高31％.

关键词

漏洞检测/图数据库/Java反序列化/图神经网络/调用链

引用本文复制引用

基金项目

陕西省国际合作计划重点项目(2020KWZ-013)

中国劳动关系学院一般项目(20XYJS007)

出版年

2023
计算机技术与发展
陕西省计算机学会

计算机技术与发展

CSTPCD
影响因子：0.621
ISSN：1673-629X
参考文献量5
段落导航相关论文