传统用CodeQL进行漏洞挖掘,生成的结果误报较多,影响效率;那么,如果融入ChatGPT和RASP呢?
3月21日,由Informa Markets主办的2023 INSEC WORLD 世界信息安全大会以“聚焦安全 打造多元新格局“为主题,在西安国际会展中心会议楼拉开帷幕。作为一次汇聚各界意见领袖和技术专家的行业开年盛会,大会邀请到逾50位海内外优秀行业大咖分享安全实践经验及最新技术。
深信服创新研究院技术专家高勇杰受邀在「漏洞与攻防安全」分论坛中的进行演讲,分享议题《CodeQL漏洞挖掘之旅》。议题详细讲解CodeQL使用思路,以及一个区别于主流使用的利用CodeQL进行半自动化挖掘漏洞的方式。结合当下热门的chatGPT工具,分享了在CodeQL的使用和工作方式的新感悟,可以有效提升漏洞挖掘效率。
区别于主流使用CodeQL的漏洞挖掘方式
在演讲中,高勇杰使用SecExample开源靶场进行实际案例的演示,讲解不将CodeQL作为扫描工具使用,而是利用CodeQL的分析能力,协助进行代码审计,尽可能的减少在代码审计时的工作量。
CodeQL+ChatGPT+RASP,实现高效自动化
高勇杰总结道,CodeQL目前还存在着一些缺陷,例如QL规则需要不断迭代、扫描结果存在误报等等,仅使用CodeQL也无法完成完整的代码审计流程闭环等问题。
针对以上问题,高勇杰也分享了一套借助ChatGPT与RASP技术的全自动化漏洞挖掘方式,不仅可解决QL规则的迭代、扫描规则误报问题,且完成了代码审计流程的闭环。
CodeQL做初步审计,提取关键代码块后交由ChatGPT验证,并基于RASP技术避免了POC生成不稳定对结果的影响,使结果更加稳定、可靠。最终实现高效、精准的漏洞挖掘。
深信服千里目安全技术中心-创新研究院一直致力于安全和云计算领域的核心技术前沿研究,推动技术创新变革与落地,拥有安全和云计算领域500+ 专利,实现攻击和检测技术的相互赋能,并及时把能力输入到业务线中,实现自身产品的迭代优化。未来,深信服千里目安全技术中心也将不断提高专业技术造诣, 洞察网络安全威胁,持续为网络安全赋能。
（免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。 ）
