[发明专利]安全测试方法、装置、计算机设备和存储介质

权利要求书

1.一种安全测试方法，其特征在于，应用于用户终端，所述方法包括：

根据待测试应用程序的输入参数，生成模拟网络报文，并将所述模拟网络报文传输至用户终端内的虚拟服务器程序；

在所述模拟网络报文传输至所述虚拟服务器程序的过程中，拦截所述模拟网络报文；

对所述模拟网络报文进行处理，并基于处理后的模拟网络报文对所述待测试应用程序进行安全测试；

其中，所述对所述模拟网络报文进行处理，并基于处理后的模拟网络报文对所述待测试应用程序进行安全测试，包括：

对所述模拟网络报文中的输入参数进行修改，并将修改后的模拟网络报文传输至所述虚拟服务器程序；

接收所述虚拟服务器程序返回的所述修改后的模拟网络报文，并对所述修改后的模拟网络报文进行解析，得到修改后的输入参数；

根据所述修改后的输入参数，生成测试网络报文，并基于所述测试网络报文对所述待测试应用程序进行安全测试。

2.根据权利要求1所述的方法，所述基于所述测试网络报文对所述待测试应用程序进行安全测试，包括：

将所述测试网络报文发送至与所述待测试应用程序对应的目标服务器；

接收所述目标服务器响应于所述测试网络报文的测试结果，并根据所述测试结果对所述待测试应用程序进行安全测试。

3.根据权利要求2所述的方法，其特征在于，所述根据所述测试结果对所述待测试应用程序进行安全测试，包括：

若所述测试结果为测试失败，则确定所述待测试应用程序安全；

若所述测试结果为测试成功，则确定所述待测试应用程序存在安全漏洞。

4.根据权利要求1所述的方法，其特征在于，所述根据待测试应用程序的输入参数，生成模拟网络报文，包括：

跟踪所述待测试应用程序的输入参数；

根据所述输入参数生成所述模拟网络报文。

5.根据权利要求4所述的方法，其特征在于，所述跟踪所述待测试应用程序的输入参数，包括：

跟踪所述待测试应用程序的参数调用链，并根据所述参数调用链获取与所述输入参数对应的目标函数的函数名；其中，所述目标函数用于将所述输入参数组装成目标网络报文，并发送至与所述应用程序对应的目标服务器；

根据所述目标函数的函数名获取所述待测试应用程序的输入参数。

6.根据权利要求5所述的方法，其特征在于，所述根据所述目标函数的函数名获取所述待测试应用程序的输入参数，包括：

采用HOOK钩子函数对所述目标函数的函数名进行处理，得到所述输入参数。

7.根据权利要求4所述的方法，其特征在于，所述根据所述输入参数生成所述模拟网络报文，包括：

对所述输入参数进行序列化处理，得到所述模拟网络报文。

8.一种安全测试装置，其特征在于，应用于用户终端，所述装置包括：

生成模块，用于根据待测试应用程序的输入参数，生成模拟网络报文，并将所述模拟网络报文传输至用户终端内的虚拟服务器程序；

拦截模块，用于在所述模拟网络报文传输至所述虚拟服务器程序的过程中，拦截所述模拟网络报文；

测试模块，用于对所述模拟网络报文进行处理，并基于处理后的模拟网络报文对所述待测试应用程序进行安全测试；

其中，所述测试模块包括修改单元、解析单元和测试单元；

所述修改单元，用于对所述模拟网络报文中的输入参数进行修改，并将修改后的模拟网络报文传输至所述虚拟服务器程序；

所述解析单元，用于接收所述虚拟服务器程序返回的所述修改后的模拟网络报文，并对所述修改后的模拟网络报文进行解析，得到修改后的输入参数；

所述测试单元，用于根据所述修改后的输入参数，生成测试网络报文，并基于所述测试网络报文对所述待测试应用程序进行安全测试。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。