公开(公告)号：CN118297176A

公开(公告)日：2024-07-05

申请号：CN202410126506.0

申请日：2024-01-29

申请人： 阿里巴巴(中国)有限公司

发明人： 陈维森 ,  陈思依 ,  何君尧 ,  卢一宁 ,  刘翔宇 ,  李奇

IPC分类号： G06N20/00 ,  G06F11/36

摘要： 本申请提供一种模型训练方法、漏洞检测方法、装置、设备及介质，涉及信息安全技术领域。在该模型训练方法中，通过根据样本应用程序的代码，确定样本应用程序的多个第一API的入口，与每个第一API相关的代码切片上下文和入参元字段。根据多个第一API的入口以及真实的HTTP流量包的host和API路径，确定该HTTP流量包对应的第二API。根据业务知识、HTTP流量包、HTTP流量包的host、与第二API相关的代码切片上下文和入参元字段，构建训练集。根据训练集进行模型训练，获取HTTP流量包生成模型。其中，业务知识用于指示构建HTTP流量包的方式，本技术方案有效的提高了漏洞检测的检出率和覆盖率。

公开(公告)号：CN118260763A

公开(公告)日：2024-06-28

申请号：CN202410241544.0

申请日：2024-03-04

申请人： 阿里巴巴(中国)有限公司

发明人： 何君尧 ,  杨可静 ,  陈思依 ,  林子敏 ,  李奇 ,  卢一宁

IPC分类号： G06F21/57 ,  G06F11/36 ,  G06F18/241

摘要： 本申请公开一种CSRF风险的检测方法、系统、装置、电子设备和计算机存储介质，所述方法包括：对待检测的源代码数据进行静态分析扫描；若静态分析扫描中发现存在第一异常特征的代码位置，则获取所述代码位置的代码切片；所述第一异常特征至少包括：疑似存在CSRF风险特征但代码又无法进一步展开进行静态分析；将所述代码切片输入到算法模型中分析，所述算法模型用于根据所述代码切片判断无法展开的代码是否存在第二CSRF风险缺陷；根据各个CSRF风险缺陷以及CSRF风险校验机制覆盖范围，综合判断所述源代码数据是否存在CSRF风险。所述CSRF风险的检测方法能够通过代码切片和算法模型判断在静态分析中无法展开的代码是否存在CSRF风险，有效提升了CSRF风险的识别和召回能力。

公开(公告)号：CN117932604A

公开(公告)日：2024-04-26

申请号：CN202410011944.2

申请日：2024-01-03

申请人： 阿里巴巴(中国)有限公司

发明人： 林子敏 ,  鲁璐 ,  裴开明 ,  李奇 ,  卢一宁

IPC分类号： G06F21/56

摘要： 本申请实施例公开了一种安全检测方法、装置、设备和和计算机可读存储介质。主要技术方案包括：对目标程序进行静态分析，得到静态分析结果；利用所述静态分析结果生成测试用例；将生成的测试用例提供给所述目标程序执行，并获取所述目标程序执行所述测试用例的上下文信息；基于所述上下文信息进行风险识别，得到所述目标程序的风险信息。本申请在对目标程序进行静态分析的基础上生成测试用例，并利用目标程序执行测试用例所得到的上下文信息，进行风险识别，从而实现应用程序的安全检测，且检测结果更准确。