[发明专利]有针对性的安全测试

权利要求书

1.一种计算机实现的方法，包括：

在计算设备上对包括脚本代码的多个网页的源代码进行静态分析；

在所述计算设备上基于所述静态分析识别包括潜在脆弱性的网页；

在所述计算设备上基于所述静态分析识别不包括潜在脆弱性的网页；

在所述计算设备上使用一组测试有效载荷对包括所述潜在脆弱性的网页进行动态分析；以及

在所述计算设备上使用该组测试有效载荷的子组对不包括所述潜在脆弱性的网页进行动态分析，该子组包括比该组测试有效载荷更少的测试有效载荷。

2.根据权利要求1所述的计算机实现的方法，还包括从网络服务器接收所述多个网页。

3.根据权利要求1所述的计算机实现的方法，其中所述多个网页与网络应用相关联。

4.根据权利要求1所述的计算机实现的方法，其中对所述多个网页的源代码进行静态分析包括通过所述多个网页的源代码来构建表示数据流的模型。

5.根据权利要求1所述的计算机实现的方法，其中所述潜在脆弱性包括基于一组安全规则的数据流违规。

6.根据权利要求1所述的计算机实现的方法，其中对所述多个网页的源代码进行静态分析包括静态污点分析。

7.根据权利要求1所述的计算机实现的方法，其中动态分析包括在脚本引擎上运行所述脚本代码。

8.一种计算机程序产品，包括计算机可读介质，所述计算机可读介质具有在其上存储的多条指令，当所述多条指令由处理器运行时，所述多条指令使所述处理器执行操作，所述操作包括：

对包括脚本代码的多个网页的源代码进行静态分析；

基于所述静态分析识别包括潜在脆弱性的网页；

基于所述静态分析识别不包括有潜在脆弱性的网页；

使用一组测试有效载荷对包括所述潜在脆弱性的网页进行动态分析；以及

使用该组测试有效载荷的子组对不包括所述潜在脆弱性的网页进行动态分析，该子组包括比该组测试有效载荷更少的测试有效载荷。

9.根据权利要求8所述的计算机程序产品，还包括用于从网络服务器接收所述多个网页的指令。

10.根据权利要求8所述的计算机程序产品，其中所述多个网页与网络应用相关联。

11.根据权利要求8所述的计算机程序产品，其中用于对所述多个网页的源代码进行静态分析的指令包括用于通过所述多个网页的源代码来构建表示数据流的模型的指令。

12.根据权利要求8所述的计算机程序产品，其中所述潜在脆弱性包括基于一组安全规则的数据流违规。

13.根据权利要求8所述的计算机程序产品，其中用于对所述多个网页的源代码进行静态分析的指令包括用于静态污点分析的指令。

14.根据权利要求8所述的计算机程序产品，其中用于动态分析的指令包括用于在脚本引擎上运行所述脚本代码的指令。

15.一种系统，包括：

处理器以及与所述处理器耦接的存储器；

第一软件模块，所述第一软件模块部署在所述存储器中并且在所述处理器上运行，所述第一软件模块配置为对包括脚本代码的多个网页的源代码进行静态分析；

第二软件模块，所述第二软件模块部署在所述存储器中并且在所述处理上运行，所述第二软件模块配置为基于所述静态分析识别包括潜在脆弱性的网页；

第三软件模块，所述第三软件模块部署在所述存储器中并且在所述处理器上运行，所述第三软件模块配置为基于所述静态分析识别不包括有潜在脆弱性的网页；

第四软件模块，所述第四软件模块部署在所述存储器中并且在所述处理器上运行，所述第四软件模块配置为使用一组测试有效载荷对包括所述潜在脆弱性的网页进行动态分析；以及

第五软件模块，所述第五软件模块部署在所述存储器中并且在所述处理器上运行，所述第五软件模块配置为使用该组测试有效载荷的子组对不包括所述潜在脆弱性的网页进行动态分析，该子组包括比该组测试有效载荷更少的测试有效载荷。

16.根据权利要求15所述的系统，还包括第六软件模块，所述第六软件模块被配置为从网络服务器接收所述多个网页。

17.根据权利要求15所述的系统，其中所述多个网页与网络应用相关联。