一種測(cè)試系統(tǒng)中信息的獲取方法、裝置及測(cè)試系統(tǒng)的制作方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，尤其涉及一種測(cè)試系統(tǒng)中信息的獲取方法、裝置及測(cè)試系統(tǒng)。
【背景技術(shù)】
[0002]測(cè)試系統(tǒng)在對(duì)應(yīng)用程序進(jìn)行測(cè)試的過程中，可根據(jù)不同維度對(duì)該應(yīng)用程序進(jìn)行測(cè)試，如通過靜態(tài)測(cè)試或通過動(dòng)態(tài)測(cè)試等。其中，靜態(tài)測(cè)試不實(shí)際運(yùn)行該應(yīng)用程序，僅檢測(cè)該應(yīng)用程序現(xiàn)存的程序代碼、界面或文檔中的漏洞。舉例說明，靜態(tài)測(cè)試通過對(duì)應(yīng)用程序的安裝包的自身屬性進(jìn)行掃描，若該安裝包配置了允許備份(英文mllowBackup)的屬性，則可通過靜態(tài)測(cè)試檢測(cè)出該安裝包存在導(dǎo)致備份隱私泄露的漏洞，若該安裝包配置了運(yùn)行信任所有的目標(biāo)主機(jī)的屬性，則可通過靜態(tài)測(cè)試檢測(cè)出可能引起中間人攻擊的漏洞。也可對(duì)該應(yīng)用程序執(zhí)行動(dòng)態(tài)測(cè)試，即實(shí)際運(yùn)行該應(yīng)用程序，模擬輸入相應(yīng)的測(cè)試數(shù)據(jù)，通過監(jiān)測(cè)獲取在此過程中應(yīng)用程序所產(chǎn)生的請(qǐng)求，并通過對(duì)獲取的請(qǐng)求進(jìn)行測(cè)試，以判斷該請(qǐng)求是否產(chǎn)生預(yù)期外的響應(yīng)，若產(chǎn)生預(yù)期外的響應(yīng)，則表明存在漏洞。
[0003]然而，由于當(dāng)前的測(cè)試系統(tǒng)僅能夠通過靜態(tài)測(cè)試檢測(cè)應(yīng)用程序安裝包的網(wǎng)絡(luò)屬性中的漏洞，而無(wú)法檢測(cè)到應(yīng)用程序在模擬運(yùn)行時(shí)向網(wǎng)絡(luò)發(fā)送的動(dòng)態(tài)請(qǐng)求包，從而無(wú)法動(dòng)態(tài)測(cè)試應(yīng)用程序與網(wǎng)絡(luò)的交互漏洞，導(dǎo)致應(yīng)用程序與網(wǎng)絡(luò)的交互測(cè)試不完整，該應(yīng)用程序存在運(yùn)行隱患。

【發(fā)明內(nèi)容】

[0004]本發(fā)明實(shí)施例提供了一種測(cè)試系統(tǒng)中信息的獲取方法、裝置及測(cè)試系統(tǒng)。能夠更加深度的挖掘該應(yīng)用程序的網(wǎng)絡(luò)交互部分的漏洞。
[0005]本發(fā)明的實(shí)施例第一方面提供了一種測(cè)試系統(tǒng)中信息的獲取方法，該方法可包括:
[0006]在虛擬機(jī)系統(tǒng)上加載應(yīng)用程序后，獲取所述應(yīng)用程序包含的用戶界面中的網(wǎng)絡(luò)請(qǐng)求控件；
[0007]將按照所述網(wǎng)絡(luò)請(qǐng)求控件的類型模擬出的輸入信息輸入至所述網(wǎng)絡(luò)請(qǐng)求控件中；
[0008]當(dāng)所述應(yīng)用程序向局域網(wǎng)內(nèi)的預(yù)設(shè)的代理服務(wù)器發(fā)送所述網(wǎng)絡(luò)請(qǐng)求控件產(chǎn)生的第一網(wǎng)絡(luò)請(qǐng)求包后，接收所述代理服務(wù)器發(fā)送的反饋信息，所述反饋信息表示所述代理服務(wù)器已獲取到所述第一網(wǎng)絡(luò)請(qǐng)求包。
[0009]作為可選的實(shí)施例，還包括:
[0010]解析所述應(yīng)用程序的安裝包；
[0011]獲取所述安裝包中的反匯編文件；
[0012]從所述反匯編文件中提取第二網(wǎng)絡(luò)請(qǐng)求包，所述第二網(wǎng)絡(luò)請(qǐng)求包用于請(qǐng)求所述應(yīng)用程序的更新版本。
[0013]作為可選的實(shí)施例，所述從所述反匯編文件中提取第二網(wǎng)絡(luò)請(qǐng)求包之后還包括:
[0014]檢測(cè)所述第二網(wǎng)絡(luò)請(qǐng)求包中是否存在包含預(yù)設(shè)關(guān)鍵字的硬編輯信息；
[0015]若檢測(cè)到存在所述包含預(yù)設(shè)關(guān)鍵字的硬編輯信息，則確定所述應(yīng)用程序的網(wǎng)絡(luò)請(qǐng)求存在漏洞。
[0016]作為可選的實(shí)施例，所述接收所述代理服務(wù)器發(fā)送的反饋信息之后還包括:
[0017]向所述代理服務(wù)器發(fā)送用于獲取所述第一網(wǎng)絡(luò)請(qǐng)求包的獲取請(qǐng)求；
[0018]接收所述代理服務(wù)器發(fā)送的所述第一網(wǎng)絡(luò)請(qǐng)求包。
[0019]作為可選的實(shí)施例，還包括:
[0020]根據(jù)所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包構(gòu)建至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包；
[0021]將所述至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包依次發(fā)送至網(wǎng)絡(luò)服務(wù)器，以檢測(cè)所述應(yīng)用程序與所述網(wǎng)絡(luò)服務(wù)器的交互中是否存在漏洞。
[0022]作為可選的實(shí)施例，所述根據(jù)所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包構(gòu)建至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包包括:
[0023]判斷所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包是否采用HTTP協(xié)議；
[0024]若判斷的結(jié)果為是，則檢測(cè)所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包中包含的請(qǐng)求命令，所述請(qǐng)求命令包括HTTPGET命令或HTTPPOST命令；
[0025]若檢測(cè)到所述請(qǐng)求命令為HTTPGET命令，則構(gòu)建至少一個(gè)與所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包中的URL信息類型相同的模擬URL信息，所述至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包中的任意一個(gè)請(qǐng)求包包括所述構(gòu)建的所述至少一個(gè)URL信息中的任意一個(gè)URL信息。
[0026]作為可選的實(shí)施例，所述將所述至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包發(fā)送至網(wǎng)絡(luò)服務(wù)器之后還包括:
[0027]若模擬網(wǎng)絡(luò)請(qǐng)求包用于請(qǐng)求用戶信息，當(dāng)接收到所述網(wǎng)絡(luò)服務(wù)器反饋的與所述應(yīng)用程序不關(guān)聯(lián)的用戶信息時(shí)，確定所述應(yīng)用程序與所述網(wǎng)絡(luò)服務(wù)器的交互存在漏洞；
[0028]若模擬網(wǎng)絡(luò)請(qǐng)求包用于請(qǐng)求短信驗(yàn)證碼，當(dāng)接收到所述網(wǎng)絡(luò)服務(wù)器針對(duì)所有模擬網(wǎng)絡(luò)請(qǐng)求包反饋的短信驗(yàn)證碼時(shí)，確定所述應(yīng)用程序與所述網(wǎng)絡(luò)服務(wù)器的交互存在漏洞。
[0029]本發(fā)明的實(shí)施例第二方面提供了一種測(cè)試系統(tǒng)中信息的獲取裝置，該裝置可包括:
[0030]控件獲取模塊，用于在虛擬機(jī)系統(tǒng)上加載應(yīng)用程序后，獲取所述應(yīng)用程序包含的用戶界面中的網(wǎng)絡(luò)請(qǐng)求控件；
[0031 ]輸入模塊，用于將按照所述網(wǎng)絡(luò)請(qǐng)求控件的類型模擬出的輸入信息輸入至所述網(wǎng)絡(luò)請(qǐng)求控件中；
[0032]信息接收模塊，用于當(dāng)所述應(yīng)用程序向局域網(wǎng)內(nèi)的預(yù)設(shè)的代理服務(wù)器發(fā)送所述網(wǎng)絡(luò)請(qǐng)求控件產(chǎn)生的第一網(wǎng)絡(luò)請(qǐng)求包后，接收所述代理服務(wù)器發(fā)送的反饋信息，所述反饋信息表示所述代理服務(wù)器已獲取到所述第一網(wǎng)絡(luò)請(qǐng)求包。
[0033]作為可選的實(shí)施例，還包括:
[0034]解析模塊，用于解析所述應(yīng)用程序的安裝包；
[0035]文件獲取模塊，用于獲取所述安裝包中的反匯編文件；
[0036]提取模塊，用于從所述反匯編文件中提取第二網(wǎng)絡(luò)請(qǐng)求包，所述第二網(wǎng)絡(luò)請(qǐng)求包用于請(qǐng)求所述應(yīng)用程序的更新版本。
[0037]作為可選的實(shí)施例，還包括:
[0038]信息檢測(cè)模塊，用于在所述提取模塊從所述反匯編文件中提取第二網(wǎng)絡(luò)請(qǐng)求包之后，檢測(cè)所述第二網(wǎng)絡(luò)請(qǐng)求包中是否存在包含預(yù)設(shè)關(guān)鍵字的硬編輯信息；
[0039]第一確定模塊，用于若所述信息檢測(cè)模塊檢測(cè)到存在所述包含預(yù)設(shè)關(guān)鍵字的硬編輯信息，則確定所述應(yīng)用程序的網(wǎng)絡(luò)請(qǐng)求存在漏洞。
[0040]作為可選的實(shí)施例，還包括:
[0041]代理發(fā)送模塊，用于向所述代理服務(wù)器發(fā)送用于獲取所述第一網(wǎng)絡(luò)請(qǐng)求包的獲取請(qǐng)求；
[0042]請(qǐng)求包接收模塊，用于接收所述代理服務(wù)器發(fā)送的所述第一網(wǎng)絡(luò)請(qǐng)求包。
[0043]作為可選的實(shí)施例，還包括:
[0044]構(gòu)建模塊，用于根據(jù)所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包構(gòu)建至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包；
[0045]網(wǎng)絡(luò)發(fā)送模塊，用于將所述至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包依次發(fā)送至網(wǎng)絡(luò)服務(wù)器，以檢測(cè)所述應(yīng)用程序與所述網(wǎng)絡(luò)服務(wù)器的交互中是否存在漏洞。
[0046]作為可選的實(shí)施例，所述構(gòu)建模塊包括:
[0047]判斷單元，用于判斷所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包是否采用HTTP協(xié)議；
[0048]命令檢測(cè)單元，用于當(dāng)所述判斷單元判斷的結(jié)果為是時(shí)，則檢測(cè)所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包中包含的請(qǐng)求命令，所述請(qǐng)求命令包括HTTPGET命令或HTTPPOST 命令；
[0049]構(gòu)建單元，用于當(dāng)所述命令檢測(cè)單元檢測(cè)到所述請(qǐng)求命令為HTTPGET命令，則構(gòu)建至少一個(gè)與所述第一網(wǎng)絡(luò)請(qǐng)求包或所述第二網(wǎng)絡(luò)請(qǐng)求包中的URL信息類型相同的模擬URL信息，所述至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包中的任意一個(gè)請(qǐng)求包包括所述構(gòu)建的所述至少一個(gè)URLfg息中的任意^hURL彳目息。
[0050]作為可選的實(shí)施例，在所述網(wǎng)絡(luò)發(fā)送模塊將所述至少一個(gè)模擬網(wǎng)絡(luò)請(qǐng)求包發(fā)送至網(wǎng)絡(luò)服務(wù)器之后還包括:
[0051 ]第二確定模塊，用于若模擬網(wǎng)絡(luò)請(qǐng)求包用于請(qǐng)求用戶信息，當(dāng)接收到所述網(wǎng)絡(luò)服務(wù)器反饋的與所述應(yīng)用程序不關(guān)聯(lián)的用戶信息時(shí)，確定所述應(yīng)用程序與所述網(wǎng)絡(luò)服務(wù)器的交互存在漏洞；
[0052]第三確定模塊，用于若模擬網(wǎng)絡(luò)請(qǐng)求包用于請(qǐng)求短信驗(yàn)證碼，當(dāng)接收到所述網(wǎng)絡(luò)服務(wù)器針對(duì)所有模擬網(wǎng)絡(luò)請(qǐng)求包反饋的短信驗(yàn)證碼時(shí)，確定所述應(yīng)用程序與所述網(wǎng)絡(luò)服務(wù)器的交互存在漏洞。
[0053]本發(fā)明的實(shí)施例第三方面提供了一種測(cè)試系統(tǒng)中信息的獲取裝置，包括收發(fā)器、存儲(chǔ)器及處理器，其中所述存儲(chǔ)器存儲(chǔ)一組程序代碼，且所述處理器調(diào)用所述存儲(chǔ)器中存儲(chǔ)的程序代碼，用于執(zhí)行以下操作:
[0054]在虛擬機(jī)系統(tǒng)上加載應(yīng)用程序后，獲取所述應(yīng)用程序包含的用戶界面中的網(wǎng)絡(luò)請(qǐng)求控件；
[0055]將按照所述網(wǎng)絡(luò)請(qǐng)求控件的類型模擬出的輸入信息輸入至所述網(wǎng)絡(luò)請(qǐng)求控件中；
[0056]所述收發(fā)器用于當(dāng)所述應(yīng)用程序向局域網(wǎng)內(nèi)的預(yù)設(shè)的代理服務(wù)器發(fā)送所述網(wǎng)絡(luò)請(qǐng)求控件產(chǎn)生的第一網(wǎng)絡(luò)請(qǐng)求包后，接收所述代理服務(wù)器發(fā)送的反饋信息，所述反饋信息表示所述代理服務(wù)器已獲取到所述第一網(wǎng)絡(luò)請(qǐng)求包。
[0057]本發(fā)明的實(shí)施例第四方面提供了一種測(cè)試系統(tǒng)，包括至少一個(gè)測(cè)試機(jī)和服務(wù)器，其中:
[0058]—個(gè)測(cè)試機(jī)用于在虛擬機(jī)系統(tǒng)上加載應(yīng)用程序后，獲取所述應(yīng)用程序包含的用戶界面中的網(wǎng)絡(luò)請(qǐng)求控件，將按照所述網(wǎng)絡(luò)請(qǐng)求控件的類型模擬出的輸入信息輸入至所述網(wǎng)絡(luò)請(qǐng)求控件中，向所述服務(wù)器發(fā)送所述網(wǎng)絡(luò)請(qǐng)求控件產(chǎn)生的第一網(wǎng)絡(luò)請(qǐng)求包；
[0059]所述服務(wù)器用于捕獲并保存所述測(cè)試機(jī)發(fā)送的所述第一網(wǎng)絡(luò)請(qǐng)求包，并在獲取到所述第一網(wǎng)絡(luò)請(qǐng)求包后向所述測(cè)試機(jī)發(fā)送反饋信息；
[0060]其中，所述第一網(wǎng)絡(luò)請(qǐng)求包支持被所述測(cè)試系統(tǒng)中的所有測(cè)試機(jī)下載，用于測(cè)試所述應(yīng)用程序的網(wǎng)絡(luò)交互是否存在漏洞。
[0061]本發(fā)明實(shí)施例中，通過在虛擬機(jī)系統(tǒng)上加載應(yīng)用程序，可獲取該應(yīng)用程序包含的用戶界面中的網(wǎng)絡(luò)請(qǐng)求控件，并可根據(jù)該網(wǎng)絡(luò)請(qǐng)求控件的控件類型模擬出對(duì)應(yīng)的輸入信息，并將該輸入信息輸入至網(wǎng)絡(luò)請(qǐng)求控件中，以觸發(fā)該網(wǎng)絡(luò)請(qǐng)求控件產(chǎn)生網(wǎng)絡(luò)請(qǐng)求，并可通過預(yù)設(shè)的局域網(wǎng)內(nèi)的代理服務(wù)器截獲針對(duì)該網(wǎng)絡(luò)請(qǐng)求控件的第一網(wǎng)絡(luò)請(qǐng)求包，當(dāng)接收到該代理服務(wù)器發(fā)送的反饋信息時(shí)，則可確定該應(yīng)用程序中的第一網(wǎng)絡(luò)請(qǐng)求包已被獲取到，從而可實(shí)現(xiàn)動(dòng)態(tài)測(cè)試應(yīng)用程序的網(wǎng)絡(luò)交互是否存在漏洞，從而能夠更加深度的挖掘該應(yīng)用程序的網(wǎng)絡(luò)交互部分的漏洞。
【附圖說明】
[0062]為了更清楚地說明本發(fā)明實(shí)施例的技術(shù)方案，下面將對(duì)實(shí)施例描述中所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖是本發(fā)明的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出