基于动态污点分析的判定开源组件漏洞可利用性 方法研究

信息安全研究 ›› 2025, Vol. 11 ›› Issue (E2): 285-.

• 2025“数字经济与网络安全”论文集 • 上一篇下一篇

基于动态污点分析的判定开源组件漏洞可利用性方法研究

王勇张恒陈广勇王雪

```
(公安部第三研究所上海200031)
```

出版日期:2025-12-27 发布日期:2025-12-29
通讯作者: 王勇助理研究员.主要研究方向为网络安全、数据安全、供应链安全. wangyong@gass.ac.cn
作者简介:王勇助理研究员.主要研究方向为网络安全、数据安全、供应链安全. wangyong@gass.ac.cn 张恒硕士，研究实习员.主要研究方向为网络安全、数据安全、供应链安全. zhangheng@gass.ac.cn 陈广勇硕士，副研究员.主要研究方向为人工智能安全、网络安全等级保护和关键信息基础设施保护. chenguangyong@gass.ac.cn 王雪硕士，研究实习员.主要研究方向为网络安全，数据安全、供应链安全. wangxue@gass.ac.cn

基金资助:

2025年度公安部技术研究计划基本科研业务费项目(2025JSYJC03)

Online:2025-12-27 Published:2025-12-29

摘要/Abstract

摘要： 开源组件已成为现代软件开发中的关键构成部分，但其安全问题频发，严重影响软件供应链的整体安全.近年来，CVE和国家信息安全漏洞库中开源组件漏洞数量持续上升，给软件更新和维护带来显著挑战.由于开源组件广泛依赖于上下游函数关系，实际漏洞是否可被利用取决于运行时是否存在真实传播路径，传统基于静态软件成分分析的漏洞判断方法难以准确评估其可利用性.为解决该问题，提出一种基于动态污点分析的开源组件漏洞可利用性判定方法.该方法通过插桩技术对目标系统进行动态运行监控，自动识别从攻击输入点到漏洞函数的污点传播路径，结合运行态数据进行关键路径追踪与利用条件验证.实验在包含真实漏洞的开源组件环境下开展，结果显示该方法可有效识别具有实际可利用路径的漏洞，显著降低误报率.该方法为开源组件漏洞管理提供了针对性的检测手段，有助于提升软件供应链安全保障能力.

关键词: 漏洞可利用性, 污点分析, 开源组件, 软件供应链安全, 插桩技术, 漏洞检测, 路径追踪

中图分类号:

TP309

王勇, 张恒, 陈广勇, 王雪, . 基于动态污点分析的判定开源组件漏洞可利用性方法研究[J]. 信息安全研究, 2025, 11(E2): 285-.

[1]	杜君, 毛庆梅, 靳佑鼎, 杜雪涛, 张晨, 项立洋, . 基于可信计算3.0的软件供应链安全防护架构研究[J]. 信息安全研究, 2025, 11(E2): 80-.
[2]	姜玮, 杨洋, . 软件供应链安全治理框架的构建及实证探究[J]. 信息安全研究, 2025, 11(E2): 179-.
[3]	闫雪, 张柏恺, 段伟恒, . 基于知识图谱的视频设备固件供应链漏洞检测技术研究[J]. 信息安全研究, 2025, 11(E2): 205-.
[4]	储昭武, 阮子禅, 王文君, . 政务系统软件供应链安全风险与治理#br#[J]. 信息安全研究, 2025, 11(E1): 85-.
[5]	李扬, 马自强, 苗莉, 姚梓豪, . 结合模糊测试和污点分析的幽灵漏洞检测[J]. 信息安全研究, 2025, 11(9): 822-.
[6]	潘琪亮, 李明, 皮振中, 黄利文, 方中奎, . 基于DeepSpeed框架构建信息安全领域通用人工智能模型的探索[J]. 信息安全研究, 2024, 10(E1): 155-.
[7]	黄长江, 冯景瑜, 王侃, 安宇航, 翟天旭, 苏恒涛, . 融合LSTM目录获取的Web漏洞检测方案[J]. 信息安全研究, 2024, 10(9): 824-.
[8]	王江, 姜伟, 张璨, . 开源软件供应链安全风险分析研究[J]. 信息安全研究, 2024, 10(9): 862-.
[9]	陈洪森, 方勇, 郝城凌, 杨运涛, 张棋, . 基于小样本学习的源码漏洞检测[J]. 信息安全研究, 2024, 10(5): 440-.
[10]	罗乐琦, 张艳硕, 王志强, 文津, 薛培阳, . 基于BERT模型的源代码漏洞检测技术研究[J]. 信息安全研究, 2024, 10(4): 294-.
[11]	沈学利, 李明峰, . 基于混合模型和注意力机制的智能合约重入漏洞检测方法[J]. 信息安全研究, 2024, 10(11): 1056-.
[12]	邱勤, 夏羿, 王国宇, 申屠欣欣, 马禹昇, 郑国忠, 王雪珊, . 基于SBOM的软件供应链安全关键技术的研究[J]. 信息安全研究, 2023, 9(E2): 66-.
[13]	闫一非, 文斌, 张逢, . 基于图神经网络的智能合约源码漏洞检测[J]. 信息安全研究, 2023, 9(E1): 55-.
[14]	周建华, 李丰, 湛蓝蓝, 杜跃进, 霍玮, . 一种基于无害处理识别的嵌入式设备漏洞检测方法[J]. 信息安全研究, 2023, 9(10): 954-.
[15]	王旭阳, 秦玉海, 任思远, . 基于机器学习的Android混合应用代码注入攻击漏洞检测[J]. 信息安全研究, 2023, 9(10): 940-.

基于动态污点分析的判定开源组件漏洞可利用性方法研究

PDF

可视化

摘要/Abstract

引用本文

使用本文

参考文献

相关文章 15

编辑推荐

Metrics

基于动态污点分析的判定开源组件漏洞可利用性 方法研究

PDF

可视化

摘要/Abstract

引用本文

使用本文

参考文献

相关文章 15

编辑推荐

Metrics

基于动态污点分析的判定开源组件漏洞可利用性方法研究