[发明专利]应用程序的测试方法、系统及装置

说明书

本发明涉及信息安全领域的一种应用程序的测试方法、系统及装置，测试方法包括：生成具有测试标识的测试信息，所述测试标识用于在被所述应用程序识别到时，禁止所述应用程序保存所述测试信息；向所述应用程序发送所述测试信息，使所述应用程序识别所述测试标识，并根据所述测试信息进行漏洞检测。这种应用程序的测试方法、系统及装置能保证对漏洞的测试数据不影响除漏洞测试以外的其他检测的状态与结果，并且不会占用应用程序的空间，也不会影响应用程序的存储区原有的数据。

技术领域

本发明涉及信息安全的测试技术领域，具体涉及一种应用程序的测试方法、系统及装置。

背景技术

目前,随着科技的发展以及人们需求的扩展，应用程序越来越多，然而应用程序不可避免地会产生漏洞，可以通过对应用程序进行测试以检测是否存在漏洞。

然而，现有技术中对应用程序进行测试时会使测试时用到的数据写入应用程序的存储区，不仅占用空间，还会影响存储区原有的数据，并影响除漏洞测试外的其他的检测的正常运行。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的应用程序的测试方法、系统及装置。

根据本发明的第一个方面，提供了一种应用程序的测试方法，包括：生成具有测试标识的测试信息，所述测试标识用于在被所述应用程序识别到时，禁止所述应用程序保存所述测试信息；向所述应用程序发送所述测试信息，使所述应用程序识别所述测试标识，并根据所述测试信息进行漏洞检测。

可选地，生成具有测试标识的测试信息包括：获取所述应用程序的资产数据；将所述资产数据代入数据库，以生成与所述资产数据对应的所述测试信息，其中，所述数据库内预存有不同的资产数据与不同的测试信息间的对应关系。

可选地，所述资产数据包括所述应用程序的业务报文、所使用的第三方框架、所部署的容器以及所部署的中间件中至少一种。

可选地，所述测试方法还包括：在所述应用程序识别到所述测试标识后，将所述测试标识存入所述应用程序的HTTP请求入口函数的线程共享变量中。

可选地，所述测试方法还包括：判断所述应用程序的漏洞检测函数是否会在未经安全处理的用户命令下执行；若所述漏洞检测函数会在未经安全处理的用户命令下执行，则发出输出警告的信号。

可选地，所述漏洞检测函数包括数据库操作代码、命令执行函数、文件读写函数、表达式执行函数以及反序列函数中至少一种。

可选地，所述安全处理包括过滤以及转义中至少一种。

可选地，所述未经安全处理的用户命令包括：从所述应用程序的HTTP请求入口函数到执行之间的过程未经所述安全处理的用户命令。

根据本发明的第二个方面，还提供了一种应用程序的测试系统，包括计算机可读存储介质、处理器和存储在所述计算机可读存储介质上并可在所述处理器上运行的程序，所述程序被所述处理器执行时实现上述任一所述的测试方法。

根据本发明的第三个方面，还提供了一种应用程序的测试装置，包括：生成模块，用于生成具有测试标识的测试信息，所述测试标识用于在被所述应用程序识别到时，禁止所述应用程序保存所述测试信息；测试模块，用于向所述应用程序发送所述测试信息，使所述应用程序识别所述测试标识，并根据所述测试信息进行漏洞检测。

本发明实施例提供的这种应用程序的测试方法、测试系统及测试装置能在自动完成对漏洞的测试的同时，有效区分对漏洞的测试的数据与其他检测的数据，保证对漏洞的测试产生的数据不会真正进入被测应用程序的数据库、文件等数据存储区，能保证对漏洞的测试数据不影响除漏洞测试以外的其他检测的状态与结果，并且不会占用应用程序的空间，也不会影响应用程序的存储区原有的数据。这种应用程序的测试方法、测试系统及测试装置可以减少人工参与，可以自动对应用程序的安全漏洞进行检测。

附图说明