[发明专利]一种应用程序安全测试方法和相关装置

说明书

本申请实施例公开了一种应用程序安全测试方法和相关装置，获取应用程序的外部请求，利用预设扫描策略生成携带扫描标记的扫描请求。在利用扫描请求对应用程序进行扫描过程中，检测应用程序所调用的敏感函数使用的参数信息是否包括扫描标记，若是，上报敏感函数使用的参数信息。利用根据敏感函数所对应的预设漏洞分析策略，对上报的敏感函数使用的参数信息进行分析。无需等待应用程序对扫描请求的请求响应，在扫描过程中检测到应用程序所调用的敏感函数使用的参数信息包括扫描标记，表示该敏感函数为可能存在漏洞的敏感函数，进一步对该敏感函数使用的参数信息进行漏洞分析，从而判断应用程序是否存在漏洞，实现应用程序安全测试。

技术领域

本申请涉及安全测试领域，特别是涉及一种应用程序安全测试方法和相关装置。

背景技术

随着应用程序的快速发展，在开发应用程序之后，由于开发过程中一时疏忽、所采用编程语言的局限性或编译的缺陷等等，任何一款应用程序都不可避免地存在一定漏洞，影响应用程序的安全性；因此，对应用程序进行安全测试，确定应用程序的漏洞，对于后续漏洞修复提高应用程序的安全性而言十分必要。

目前，应用程序安全测试方式是采集应用程序的外部请求，提交至动态应用程序安全测试(Dynamic Application Security Testing，DAST)扫描器，DAST扫描器生成扫描请求发送至应用程序，应用程序响应扫描请求得到请求响应返回至DAST扫描器，DAST扫描器根据请求响应才能判断应用程序是否存在漏洞，以实现应用程序安全测试。

然而，上述应用程序安全测试方式，严重依赖应用程序对扫描请求的请求响应，在网络延迟、算法缺陷等的情况下，导致判断应用程序是否存在漏洞容易出现错误等；即，上述应用程序安全测试方式不够准确。

发明内容

为了解决上述技术问题，本申请提供了一种应用程序安全测试方法和相关装置，即使在网络延迟、算法缺陷等的情况下，也能够准确判断应用程序是否存在漏洞，从而提高应用程序安全测试的准确性。

本申请实施例公开了如下技术方案：

一方面，本申请提供一种应用程序安全测试方法，所述方法包括：

根据应用程序的外部请求和预设扫描策略生成扫描请求，所述扫描请求携带扫描标记；

在根据所述扫描请求扫描所述应用程序时，若检测到所述应用程序所调用的敏感函数使用的参数信息包括所述扫描标记，将所述敏感函数使用的参数信息上报；

根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，所述预设漏洞分析策略对不同敏感函数使用的参数信息的漏洞分析策略不同。

另一方面，本申请提供一种应用程序安全测试装置，所述装置包括：生成单元、上报单元和分析单元；

所述生成单元，用于根据应用程序的外部请求和预设扫描策略生成扫描请求，所述扫描请求携带扫描标记；

所述上报单元，用于在根据所述扫描请求扫描所述应用程序时，若检测到所述应用程序所调用的敏感函数使用的参数信息包括所述扫描标记，将所述敏感函数使用的参数信息上报；

所述分析单元，用于根据预设漏洞分析策略分析上报的所述敏感函数使用的参数信息，所述预设漏洞分析策略对不同敏感函数使用的参数信息的漏洞分析策略不同。

另一方面，本申请提供一种用于应用程序安全测试的设备，所述设备包括处理器以及存储器：

所述存储器用于存储程序代码，并将所述程序代码传输给所述处理器；

所述处理器用于根据所述程序代码中的指令执行上述方面所述的方法。

另一方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质用于存储计算机程序，所述计算机程序用于执行上述方面所述的方法。