[发明专利]安全测试方法和装置

说明书

技术领域

本申请涉及计算机技术领域，具体涉及信息安全领域，尤其涉及 安全测试方法和装置。

背景技术

应用程序运行时，由于需要供第三方调用或其他原因，会暴露一 些组件接口。这些组件可以被另一个应用进行调用，不适当的配置可 能会造成组件被其他应用恶意启动而产生风险，即组件暴露风险。

现有技术在测试应用程序的组件暴露风险时，需要在有源代码的 情况下方可执行，使得测试方法的应用受到限制。因此，需要提高对 组件暴露风险进行测试时的灵活性。

发明内容

本申请的目的在于提出一种改进的安全测试方法和装置，来解决 以上背景技术部分提到的技术问题。

第一方面，本申请提供了一种安全测试方法，所述方法包括：确 定待测试应用中的暴露组件，其中所述暴露组件用于供外部应用调用 以使所述待测试应用对外提供服务；使用预先构造的、用于触发所述 暴露组件产生异常的参数调用所述暴露组件；测试调用过程中所述待 测试应用是否存在拒绝服务。

在一些实施例中，所述异常包括以下任意一种：空指针异常、类 型转换异常、数组溢出异常、类未定义异常、访问不存在组件异常。

在一些实施例中，所述确定待测试应用中的暴露组件，包括：解 析所述待测试应用的信息描述文件以获取所述待测试应用的暴露组件 的组件标识。

在一些实施例中，所述待测试应用为安卓应用。

在一些实施例中，所述信息描述文件为AndroidManifest.xml文件。

在一些实施例中，在所述检测调用过程中所述待测试应用是否存 在拒绝服务之后，所述方法还包括：若调用过程中所述待测试应用存 在拒绝服务，则生成用于指示所述待测试应用存在组件暴露风险的提 示信息。

在一些实施例中，在所述检测调用过程中所述待测试应用是否存 在拒绝服务之后，所述方法还包括：若调用过程中所述待测试应用存 在拒绝服务，则收集执行测试所生成的日志信息；解析所述日志信息 以对所述待测试应用进行问题定位。

第二方面，本申请提供了一种安全测试装置，所述装置包括：确 定单元，用于确定待测试应用中的暴露组件，其中所述暴露组件用于 供外部应用调用以使所述待测试应用对外提供服务；调用单元，用于 使用预先构造的、用于触发所述暴露组件产生异常的参数调用所述暴 露组件；测试单元，用于测试调用过程中所述待测试应用是否存在拒 绝服务。

在一些实施例中，所述异常包括以下任意一种：空指针异常、类 型转换异常、数组溢出异常、类未定义异常、访问不存在组件异常。

在一些实施例中，所述确定单元进一步用于：解析所述待测试应 用的信息描述文件以获取所述待测试应用的暴露组件的组件标识。

在一些实施例中，所述待测试应用为安卓应用。

在一些实施例中，所述信息描述文件为AndroidManifest.xml文件。

在一些实施例中，所述装置还包括：生成单元，用于若调用过程 中所述待测试应用存在拒绝服务，则生成用于指示所述待测试应用存 在组件暴露风险的提示信息。

在一些实施例中，所述装置还包括：收集单元，用于若调用过程 中所述待测试应用存在拒绝服务，则收集执行测试所生成的日志信息； 解析单元，用于解析所述日志信息以对所述待测试应用进行问题定位。

本申请提供的安全测试方法和装置，通过构造异常参数来启动待 测试应用中的暴露组件，以对待测试应用是否存在拒绝服务进行检测， 不需要借助源代码，提高了组件暴露风险测试的应用范围。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描 述，本申请的其它特征、目的和优点将会变得更明显：

图1是本申请可以应用于其中的示例性系统架构图；

图2是根据本申请的安全测试方法的一个实施例的流程图；

图3是根据本申请的安全测试方法的一个应用场景的示意图；

图4是根据本申请的安全测试方法的又一个实施例的流程图；

图5是根据本申请的安全测试装置的一个实施例的结构示意图；

图6是适于用来实现本申请实施例的终端设备或服务器的计算机 系统的结构示意图。

具体实施方式