[发明专利]一种应用漏洞检测方法及系统

说明书

本发明提供一种应用漏洞检测方法及系统，该方法包括：基于预设的混合应用分析规则，分析待检测混合应用的开发框架，得到所述待检测混合应用所使用的目标开发框架类型；基于所述目标开发框架类型对应的各个预设数据输入源，确定所述待检测混合应用中含有的各目标数据输入源；基于预设的调用路径分析工具，对所述各目标数据输入源进行分析，得到所述各目标数据输入源的各个调用路径；基于预设的漏洞检测规则，检测所述各目标数据输入源的各个调用路径上存在的漏洞。本发明通过判定混合应用所使用的开发框架类型，对所述开发框架类型对应的数据输入源的调用路径上存在的漏洞进行检测，使漏洞检测过程可以调整模式并且提高漏洞检测的准确性。

技术领域

本发明涉及网络技术领域，更具体地，涉及一种应用漏洞检测方法及系统。

背景技术

目前，为了开发出终端可移植性更好的应用，降低应用的开发成本，很多开发者开始使用全新的开发方式：混合应用。这种开发方式基于标准的网页开发(web)语言：超文本标记语言(HTML5)、层叠样式表(CSS3)和Java脚本语言(JavaScript)，这些web语言具有跨终端运行能力，并且各个终端为Web语言提供了访问终端底层资源的接口，使其具有和原生应用媲美的能力。

混合应用不仅使得应用中的正常代码能力更强，也使得应用中恶意代码的能力更强，恶意代码能够访问终端的底层资源，并对终端系统造成严重的破坏，学术界把恶意代码这种攻击方式称为“代码注入攻击”。现有的应用漏洞检测方法是遵循不信任一切外界输入的原则，对于网站的数据输入源，如网站中的用户表单输入、统一资源定位符(URL)链接等等进行跟踪检测，如果这些数据输入源中的执行路径中存在漏洞，这些数据输入源中含有的恶意代码就有可能被执行，从而造成代码注入攻击。

但是现有的应用漏洞检测方法一般只针对简单的数据输入源进行漏洞检测，而混合应用能够调用底层资源实现扫描二维码、读取通讯录、扫描和读取无线连接(wifi)列表、读取短信等操作，其输入数据源的种类更多，受攻击面更广，所以现有的应用漏洞检测方法无法完全覆盖混合应用中的数据输入源，也就不能全面的检测出其中的代码注入攻击漏洞，并且现有的应用漏洞检测方法不能识别混合应用的开发框架类型，也就不能根据开发框架类型去调整检测逻辑。

发明内容

本发明提供一种克服上述问题或者至少部分地解决上述问题的一种应用漏洞检测方法及系统。

根据本发明的一个方面，提供一种应用漏洞检测方法，包括：

S1、基于预设的混合应用分析规则，分析待检测混合应用的开发框架，得到所述待检测混合应用所使用的目标开发框架类型；

S2、基于所述目标开发框架类型对应的各个预设数据输入源，确定所述待检测混合应用中含有的各目标数据输入源；

S3、基于预设的调用路径分析工具，对所述各目标数据输入源进行分析，得到所述各目标数据输入源的各个调用路径；

S4、基于预设的漏洞检测规则，检测所述各目标数据输入源的各个调用路径上存在的漏洞。

其中，S1包括：

确定所述待检测混合应用的开发框架所使用的开发框架各目标特征；

根据所述开发框架各目标特征以及各开发框架类型对应的各预设开发框架特征，确定所述待检测混合应用所使用的目标开发框架类型；

其中，所述预设开发框架特征包括：所述开发框架配置文件的约定名称、所述开发框架中约定的目录结构、所述开发框架中底层应用程序编程接口的名称和所述开发框架中特定关键字符。

其中，S2包括：