[发明专利]一种应用程序安全测试方法和相关装置

权利要求书

1.一种应用程序安全测试方法，其特征在于，所述方法包括：

根据应用程序的外部请求和预设扫描策略生成扫描请求，所述扫描请求携带扫描标记；

在根据所述扫描请求扫描所述应用程序时，若检测到所述应用程序所调用的敏感函数使用的参数信息包括所述扫描标记，将所述敏感函数使用的参数信息上报；

根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，所述预设漏洞分析策略对不同敏感函数使用的参数信息的漏洞分析策略不同。

2.根据权利要求1所述的方法，其特征在于，所述若检测到所述应用程序所调用的敏感函数使用的参数信息包括所述扫描标记，将所述敏感函数使用的参数信息上报，包括：

根据所述应用程序的编程语言，确定所述应用程序所调用的敏感函数；

若检测到所述敏感函数使用的参数信息包括所述扫描标记，将所述敏感函数使用的参数信息上报敏感函数。

3.根据权利要求1所述的方法，其特征在于，所述敏感函数为结构化查询语言SQL查询函数时，所述预设漏洞分析策略为SQL注入漏洞分析策略，所述根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，包括：

若检测到上报的所述SQL查询函数使用的参数信息包括SQL注入标记，将所述参数信息拆分为多个参数子信息，所述SQL注入标记是解析所述扫描标记得到的；

若所述SQL注入标记被拆分在相邻的所述参数子信息中，确定所述应用程序存在漏洞。

4.根据权利要求1所述的方法，其特征在于，所述敏感函数为命令执行函数时，所述预设漏洞分析策略为命令注入漏洞分析策略，所述根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，包括：

若检测到上报的所述命令执行函数使用的参数信息包括命令注入标记，将所述参数信息拆分为多个参数子信息，所述命令注入标记是解析所述扫描标记得到的；

若所述命令注入标记被拆分在相邻的所述参数子信息中，确定所述应用程序存在漏洞。

5.根据权利要求1所述的方法，其特征在于，所述敏感函数为代码执行函数时，所述预设漏洞分析策略为代码注入漏洞分析策略，所述根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，包括：

若检测到上报的所述代码执行函数使用的参数信息包括代码注入标记，确定所述应用程序存在漏洞，所述代码注入标记是解析所述扫描标记得到的。

6.根据权利要求1所述的方法，其特征在于，所述敏感函数为文件操作函数时，所述预设漏洞分析策略为文件操作漏洞分析策略，所述根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，包括：

若检测到上报的所述文件操作函数使用的参数信息包括文件操作标记，获得所述参数信息中的路径信息，所述文件操作标记是解析所述扫描标记得到的；

若所述路径信息和目标路径信息相同，确定所述应用程序存在漏洞，所述目标路径信息是解析所述扫描请求得到的。

7.根据权利要求1所述的方法，其特征在于，所述敏感函数为网络请求函数时，所述预设漏洞分析策略为服务端请求伪造漏洞分析策略，所述根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，包括：

若检测到上报的所述网络请求函数使用的参数信息包括服务端请求伪造标记，且所述参数信息与所述服务端请求伪造标记同源，确定所述应用程序存在漏洞，所述服务端请求伪造标记是解析所述扫描标记得到的。

8.根据权利要求1-7任意一项所述的方法，其特征在于，在所述根据应用程序的外部请求和预设扫描策略生成扫描请求之前，所述方法还包括：

减少所述预设扫描策略的数量。

9.根据权利要求1-7任意一项所述的方法，其特征在于，所述根据应用程序的外部请求和预设扫描策略生成扫描请求，包括：

镜像所述应用程序的外部请求，获得所述外部请求的镜像请求；

根据所述镜像请求和所述预设扫描策略生成所述扫描请求。