[发明专利]有针对性的安全测试

说明书

背景技术

客户端脚本语言允许例如通过在客户计算设备上运行的网络浏览器来创建并实现可通过网络接收并在客户计算设备上运行的计算机程序。在某些情况下，客户端脚本允许动态的网络内容(web content)，其中网页(web page)可根据用户输入、环境条件或其它变量而具有变化的内容。

网络应用可利用客户端脚本来提供能够在客户计算设备上的网络浏览器应用中运行的应用。网络应用可使应用的功能和操作能够被移至客户计算设备，而非严格驻留于服务器计算设备。由于网络应用可经常在网络浏览器中运行，所以网络应用可跨很多操作系统平台兼容。这可避免应用开发人员针对不同客户类型创建应用的不同版本的需要。

发明内容

根据一实施方式，一种方法可包括在计算设备上对包括脚本代码的多个网页的源代码进行静态分析。可以基于所述静态分析将网页识别为包括潜在脆弱性。可基于所述静态分析识别不包括潜在脆弱性的网页。可使用一组测试有效载荷来对包括潜在脆弱性的网页进行动态分析。可使用该组测试有效载荷的子组对不包括潜在脆弱性的网页进行动态分析，该子组包括比该组测试有效载荷更少的测试有效载荷。

可包括有下面各特征中的一个或多个特征。所述多个网页可从网络服务器接收。所述多个网页可与网络应用相关联。

对所述多个网页的源代码进行静态分析可包括通过所述多个网页的源代码构建表示数据流的模型。所述潜在脆弱性可包括基于一组安全规则的数据流违规。对所述多个网页的源代码进行静态分析可包括静态污点分析。动态分析可包括在脚本引擎上运行所述脚本代码。

根据另一实施方式，一种计算机程序产品，包括计算机可读介质，所述计算机可读介质具有在其上存储的多条指令。当所述多条指令由处理器运行时，所述多条指令可使所述处理器执行操作，所述操作包括：对包括脚本代码的多个网页的源代码进行静态分析。可基于所述静态分析来识别包括潜在脆弱性的网页。可基于所述静态分析来识别不包括潜在脆弱性的网页。可通过使用一组测试有效载荷来对包括所述潜在脆弱性的网页进行动态分析。可通过使用该组测试有效载荷的子组来对不包括所述潜在脆弱性的网页进行动态分析，该子组包括比该组测试有效载荷更少的测试有效载荷。

可包括有下面各特征中的一个或多个特征。可包括用于从网络服务器接收所述多个网页的指令。所述多个网页可与网络应用相关联。

用于对所述多个网页的源代码进行静态分析的指令可包括用于通过所述多个网页的源代码来构建表示数据流的模型。所述潜在脆弱性可包括基于一组安全规则的数据流违规。

用于对所述多个网页的源代码进行静态分析的指令可包括用于静态污点分析的指令。用于动态分析的指令可包括用于在脚本引擎上运行所述脚本代码的指令。

根据再一实施方式，一种系统可包括处理器以及与所述处理器耦接的存储器。第一软件模块可部署在所述存储器中并且在所述处理器上运行。所述第一软件模块可配置为对包括脚本代码的多个网页的源代码进行静态分析。第二软件模块可部署在所述存储器中并且在所述处理上运行。所述第二软件模块可配置为基于所述静态分析识别包括潜在脆弱性的网页。第三软件模块可部署在所述存储器中并且在所述处理器上运行。所述第三软件模块可配置为基于所述静态分析识别不包括潜在脆弱性的网页。第四软件模块可部署在所述存储器中并且在所述处理器上运行。所述第四软件模块可配置为使用一组测试有效载荷对包括所述潜在脆弱性的网页进行动态分析。第五软件模块可部署在所述存储器中并且在所述处理器上运行。所述第五软件模块可配置为使用该组测试有效载荷的子组来对不包括所述潜在脆弱性的网页进行动态分析，该子组包括比该组测试有效载荷更少的测试有效载荷。

可包括有下面各特征中的一个或多个特征。第六软件模块可配置为从网络服务器接收所述多个网页。所述多个网页可与网络应用相关联。

被配置为对所述多个网页的源代码进行静态分析的所述第一软件模块可配置为通过所述多个网页的源代码来构建表示数据流的模型。所述潜在脆弱性可包括基于一组安全规则的数据流违规。

被配置为对所述多个网页的源代码进行静态分析的所述第一软件模块可配置为进行静态污点分析。被配置为进行动态分析的所述第四软件模块可配置为在脚本引擎上运行所述脚本代码。

下文的附图和描述阐述了一个或多个实施方式的细节。其它特征将通过该描述、附图以及权利要求变得明显。

附图说明

图1图解地示出了与分布式计算网络耦接的分析处理。