應(yīng)用程序漏洞檢測(cè)方法、裝置及服務(wù)器的制造方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及互聯(lián)網(wǎng)技術(shù)領(lǐng)域，具體涉及一種應(yīng)用程序漏洞檢測(cè)方法、裝置及服務(wù)器。
【背景技術(shù)】
[0002]隨著Android系統(tǒng)在智能設(shè)備領(lǐng)域市場(chǎng)份額的增加，Android應(yīng)用的需求越來越大，越來越多的開發(fā)者加入到Android應(yīng)用開發(fā)陣營(yíng)，這些開發(fā)者良莠不齊，有的開發(fā)方安全意識(shí)缺乏，導(dǎo)致Android應(yīng)用中存在各種安全漏洞。
[0003]公知的是，漏洞帶來的最大問題即是木馬，木馬通常會(huì)利用計(jì)算機(jī)程序漏洞侵入后竊取文件和用戶信息。木馬是一種具有隱藏性的、自發(fā)性的可被用來進(jìn)行惡意行為的程序。歷史上對(duì)計(jì)算機(jī)木馬的定義是，試圖以有用程序的假面具欺騙用戶允許其運(yùn)行的一類滲透。請(qǐng)注意，過去的木馬確實(shí)是這樣，但現(xiàn)在它們已無需偽裝自己。它們唯一的目的就是盡可能輕松地滲透并完成其惡意目標(biāo)。從而利用這些漏洞泄露用戶隱私甚至給用戶造成財(cái)產(chǎn)損失。
[0004]因此，目前需要本領(lǐng)域技術(shù)人員迫切解決的一個(gè)技術(shù)問題就是:提供一種在開發(fā)方發(fā)布應(yīng)用前對(duì)其應(yīng)用進(jìn)行漏洞檢測(cè)的機(jī)制。

【發(fā)明內(nèi)容】

[0005]鑒于上述問題，提出了本發(fā)明以便提供一種克服上述問題或者至少部分地解決上述問題的應(yīng)用程序漏洞檢測(cè)方法、相應(yīng)的應(yīng)用程序漏洞檢測(cè)裝置和服務(wù)器。
[0006]根據(jù)本發(fā)明的一個(gè)方面，提供了一種應(yīng)用程序漏洞檢測(cè)方法，其包括:
[0007]獲取待檢測(cè)的應(yīng)用程序的安裝包文件，提取所述安裝包文件的靜態(tài)特征，通過將所述安裝包文件的靜態(tài)特征與預(yù)先存儲(chǔ)的漏洞靜態(tài)特征進(jìn)行匹配，得到靜態(tài)檢測(cè)結(jié)果；
[0008]將所述安裝包文件傳遞給終端設(shè)備，以使所述終端設(shè)備安裝所述安裝包文件對(duì)應(yīng)的應(yīng)用程序；
[0009]將所述終端設(shè)備實(shí)際運(yùn)行所述應(yīng)用程序所產(chǎn)生的動(dòng)態(tài)特征與預(yù)先存儲(chǔ)的漏洞動(dòng)態(tài)特征進(jìn)行匹配，得到動(dòng)態(tài)檢測(cè)結(jié)果；
[0010]結(jié)合所述靜態(tài)檢測(cè)結(jié)果和所述動(dòng)態(tài)檢測(cè)結(jié)果，檢測(cè)所述應(yīng)用程序是否具有漏洞，進(jìn)而確定對(duì)所述應(yīng)用程序的安全審計(jì)結(jié)果。
[0011]根據(jù)本發(fā)明的另一方面，提供了一種應(yīng)用程序漏洞檢測(cè)裝置，其包括:
[0012]提取模塊，適于獲取待檢測(cè)的應(yīng)用程序的安裝包文件，提取所述安裝包文件的靜態(tài)特征；
[0013]靜態(tài)掃描模塊，適于通過將所述安裝包文件的靜態(tài)特征與預(yù)先存儲(chǔ)的漏洞靜態(tài)特征進(jìn)行匹配，得到靜態(tài)檢測(cè)結(jié)果；
[0014]傳遞模塊，適于將所述安裝包文件傳遞給終端設(shè)備，以使所述終端設(shè)備安裝所述安裝包文件對(duì)應(yīng)的應(yīng)用程序；
[0015]動(dòng)態(tài)掃描模塊，適于將所述終端設(shè)備實(shí)際運(yùn)行所述應(yīng)用程序所產(chǎn)生的動(dòng)態(tài)特征與預(yù)先存儲(chǔ)的漏洞動(dòng)態(tài)特征進(jìn)行匹配，得到動(dòng)態(tài)檢測(cè)結(jié)果；
[0016]檢測(cè)模塊，適于結(jié)合所述靜態(tài)檢測(cè)結(jié)果和所述動(dòng)態(tài)檢測(cè)結(jié)果，檢測(cè)所述應(yīng)用程序是否具有漏洞，進(jìn)而確定對(duì)所述應(yīng)用程序的安全審計(jì)結(jié)果。
[0017]根據(jù)本發(fā)明的另一方面，提供了服務(wù)器，包括應(yīng)用程序漏洞檢測(cè)裝置，用于對(duì)應(yīng)用程序開發(fā)方所上傳的應(yīng)用程序進(jìn)行安全審計(jì)。
[0018]根據(jù)本發(fā)明提供的方案，通過對(duì)安裝包文件進(jìn)行靜態(tài)檢測(cè)，在終端設(shè)備側(cè)對(duì)運(yùn)行的應(yīng)用程序進(jìn)行動(dòng)態(tài)檢測(cè)，來檢測(cè)安裝包文件是否存在漏洞，進(jìn)而確定對(duì)應(yīng)用程序的安全審計(jì)結(jié)果，在完全真實(shí)的終端設(shè)備環(huán)境下對(duì)終端設(shè)備進(jìn)行動(dòng)態(tài)檢測(cè)，與終端設(shè)備模擬器相比，檢測(cè)過程更加穩(wěn)定，審計(jì)結(jié)果更加準(zhǔn)確；此外，可以幫助開發(fā)方查找安裝包文件中存在的安全漏洞等問題，從而保證應(yīng)用程序的整體質(zhì)量，防止泄露用戶隱私或給用戶造成財(cái)產(chǎn)損失。
[0019]上述說明僅是本發(fā)明技術(shù)方案的概述，為了能夠更清楚了解本發(fā)明的技術(shù)手段，而可依照說明書的內(nèi)容予以實(shí)施，并且為了讓本發(fā)明的上述和其它目的、特征和優(yōu)點(diǎn)能夠更明顯易懂，以下特舉本發(fā)明的【具體實(shí)施方式】。
【附圖說明】
[0020]通過閱讀下文優(yōu)選實(shí)施方式的詳細(xì)描述，各種其他的優(yōu)點(diǎn)和益處對(duì)于本領(lǐng)域普通技術(shù)人員將變得清楚明了。附圖僅用于示出優(yōu)選實(shí)施方式的目的，而并不認(rèn)為是對(duì)本發(fā)明的限制。而且在整個(gè)附圖中，用相同的參考符號(hào)表示相同的部件。在附圖中:
[0021]圖1示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的應(yīng)用程序安全審計(jì)功能的智能調(diào)度系統(tǒng)的結(jié)構(gòu)示意圖；
[0022]圖2示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的應(yīng)用程序漏洞檢測(cè)方法的流程圖；
[0023]圖3示出了根據(jù)本發(fā)明另一個(gè)實(shí)施例的應(yīng)用程序漏洞檢測(cè)方法的流程圖；
[0024]圖4示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的應(yīng)用程序漏洞檢測(cè)裝置的結(jié)構(gòu)示意圖；
[0025]圖5示出了根據(jù)本發(fā)明另一個(gè)實(shí)施例的應(yīng)用程序漏洞檢測(cè)裝置的結(jié)構(gòu)示意圖；
[0026]圖6示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的服務(wù)器的結(jié)構(gòu)示意圖。
【具體實(shí)施方式】
[0027]下面將參照附圖更詳細(xì)地描述本公開的示例性實(shí)施例。雖然附圖中顯示了本公開的示例性實(shí)施例，然而應(yīng)當(dāng)理解，可以以各種形式實(shí)現(xiàn)本公開而不應(yīng)被這里闡述的實(shí)施例所限制。相反，提供這些實(shí)施例是為了能夠更透徹地理解本公開，并且能夠?qū)⒈竟_的范圍完整的傳達(dá)給本領(lǐng)域的技術(shù)人員。
[0028]由于開發(fā)方在應(yīng)用程序開發(fā)過程中缺乏安全意識(shí)，或者由于應(yīng)用程序代碼本身存在的問題，導(dǎo)致應(yīng)用中存在各種安全漏洞，從而給應(yīng)用的使用者造成不必要的困擾或者財(cái)產(chǎn)損失，本發(fā)明的發(fā)明人基于此，研宄在開發(fā)方開發(fā)完成某一應(yīng)用程序后，該應(yīng)用程序發(fā)布前，對(duì)開發(fā)方所開發(fā)的應(yīng)用程序進(jìn)行漏洞檢測(cè)，進(jìn)行安全審計(jì)，以防止由于應(yīng)用程序存在漏洞而給使用者造成困擾或財(cái)產(chǎn)損失。
[0029]圖1示出了本發(fā)明所適用的具有應(yīng)用程序安全審計(jì)功能的智能調(diào)度系統(tǒng)架構(gòu)圖，如圖1所示，該系統(tǒng)包括:任務(wù)調(diào)度服務(wù)器101、至少一臺(tái)安全審計(jì)服務(wù)器102以及多個(gè)終端設(shè)備103 ;每臺(tái)安全審計(jì)服務(wù)器包括至少一個(gè)審計(jì)節(jié)點(diǎn)104，每個(gè)審計(jì)節(jié)點(diǎn)唯一對(duì)應(yīng)于一個(gè)終端設(shè)備。該智能調(diào)度系統(tǒng)的主要功能是將應(yīng)用程序開發(fā)方所提交的應(yīng)用程序進(jìn)行安全審計(jì)，確定應(yīng)用程序中是否具有漏洞，并可以根據(jù)漏洞情況得到安全審計(jì)分析結(jié)果反饋給應(yīng)用程序開發(fā)方，以指導(dǎo)應(yīng)用程序開發(fā)方修補(bǔ)相應(yīng)的漏洞。
[0030]具體地，任務(wù)調(diào)度服務(wù)器101適于:接收應(yīng)用程序開發(fā)方所提交的應(yīng)用程序的安裝包文件，為每個(gè)應(yīng)用程序創(chuàng)建對(duì)應(yīng)的處理任務(wù)，將處理任務(wù)分配給對(duì)應(yīng)的審計(jì)節(jié)點(diǎn)。其中，任務(wù)調(diào)度服務(wù)器101在接收到應(yīng)用程序開發(fā)方所提交的應(yīng)用程序的安裝包文件后，為每個(gè)應(yīng)用程序創(chuàng)建對(duì)應(yīng)的處理任務(wù)，并權(quán)衡安全審計(jì)服務(wù)器中各個(gè)審計(jì)節(jié)點(diǎn)的負(fù)載，根據(jù)審計(jì)節(jié)點(diǎn)的負(fù)載情況，將處理任務(wù)分配給對(duì)應(yīng)的審計(jì)節(jié)點(diǎn)，保證在部分審計(jì)節(jié)點(diǎn)處于空閑時(shí)優(yōu)先將處理任務(wù)分配給空閑的審計(jì)節(jié)點(diǎn)。審計(jì)節(jié)點(diǎn)104適于:接收任務(wù)調(diào)度服務(wù)器分配的處理任務(wù)，將處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件傳遞給與審計(jì)節(jié)點(diǎn)對(duì)應(yīng)的終端設(shè)備，以使終端設(shè)備安裝該安裝包文件；以及，對(duì)處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件進(jìn)行安全審計(jì)，得到對(duì)應(yīng)用程序的安全審計(jì)結(jié)果。具體地，審計(jì)節(jié)點(diǎn)104對(duì)處理任務(wù)對(duì)應(yīng)的應(yīng)用程序的安裝包文件進(jìn)行靜態(tài)檢測(cè)，以及對(duì)安裝有安裝包文件的終端設(shè)備進(jìn)行動(dòng)態(tài)檢測(cè)，結(jié)合靜態(tài)檢測(cè)結(jié)果，和/或，動(dòng)態(tài)檢測(cè)結(jié)果得到對(duì)應(yīng)程序的安全審計(jì)結(jié)果。終端設(shè)備103適于:安裝審計(jì)節(jié)點(diǎn)傳遞的應(yīng)用程序的安裝包文件，實(shí)際運(yùn)行應(yīng)用程序。
[0031]在圖1所示的系統(tǒng)中，核心的審計(jì)功能是由審計(jì)節(jié)點(diǎn)來完成的，下面通過幾個(gè)具體的實(shí)施例對(duì)審計(jì)節(jié)點(diǎn)所采用的應(yīng)用程序檢測(cè)方法進(jìn)行詳細(xì)介紹。
[0032]圖2示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的應(yīng)用程序漏洞檢測(cè)方法的流程圖。如圖2所示，該方法包括以下步驟:
[0033]步驟S200，獲取待檢測(cè)的應(yīng)用程序的安裝包文件，提取安裝包文件的靜態(tài)特征，通過將安裝包文件的靜態(tài)特征與預(yù)先存儲(chǔ)的漏洞靜態(tài)特征進(jìn)行匹配，得到靜態(tài)檢測(cè)結(jié)果。
[0034]漏洞靜態(tài)特征是在不運(yùn)行代碼的方式下，通過詞法檢測(cè)、語法檢測(cè)、控制流等技術(shù)對(duì)應(yīng)用程序的安裝包文件的程序代碼進(jìn)行靜態(tài)檢測(cè)，其中，詞法分析主要是從左到右一個(gè)字符一個(gè)字符地讀入源程序，即對(duì)構(gòu)成源程序的字符流進(jìn)行掃描然后根據(jù)構(gòu)詞規(guī)則識(shí)別單詞，語法分析是在詞法分析的基礎(chǔ)上將單詞序列組合成各類語法短語，控制流用于控制Transact-SQL語句、語句塊和存儲(chǔ)過程的執(zhí)行流，以驗(yàn)證代碼是否滿足規(guī)范性、安全性、可靠性