一种安全漏洞检测的方法以及装置制造方法及图纸

本发明专利技术实施例公开了一种安全漏洞检测的方法，包括：确定待检测应用程序；将所述待检测应用程序安装至与所述服务器相连的检测终端，使得所述检测终端运行所述待检测应用程序；获取所述待检测应用程序在运行过程中产生的数据文件；从所述应用程序的数据文件中提取目标关键信息；判断所述目标关键信息是否满足预置的漏洞确认条件，若是，则所述服务器确定所述待检测应用程序存在安全漏洞。本发明专利技术实施例还提供一种服务器。本发明专利技术实施例可以在应用程序运行的过程中对生成的数据文件进行漏洞检测，从而极大地减小了不安全的数据文件对用户信息安全所构成的威胁，提升了方案的安全性和实用性。

Method and device for detecting security vulnerabilities

The embodiment of the invention discloses a method, a security vulnerability detection: to determine detection application; the test application installed to the detection terminal connected to the server, so that the detection terminal operation of the detected application; obtaining the test application in the running process the data in the file; extracting key information from the application data file; determining whether the target key information meets the preset conditions if, then confirm the vulnerability, the server determines the detection application security vulnerabilities. The embodiment of the invention also provides a server. The embodiment of the invention can generate data file for vulnerability detection in application operation, which greatly reduces the security data files of a user information security threats, improve the safety and practicability of the scheme.

【技术实现步骤摘要】
一种安全漏洞检测的方法以及装置
本专利技术涉及应用程序测试领域，尤其涉及一种安全漏洞检测的方法以及装置。
技术介绍
随着移动互联网与智能手机的普及，移动客户端应用安全正变得越来越重要，苹果研发操作系统(英文全称：iphoneOperationSystem，英文缩写：iOS)目前将近占据了国内智能手机操作系统的30％的份额，一般而言，iOS应用的安全性高于安卓应用，但是很多iOS用户会使用越狱工具来获取手机的最高权限，这将导致一系列安全问题。目前业界研究iOS应用漏洞审计的工具主要由开放安全(英文全称：OpenSecurity)公司开发的开源应用程序(英文全称：Application，英文缩写：APP)安全审计框架(英文全称：MobileSecurityFramework，英文缩写：MobSF)，这个框架提供了iOS在线上传和审计的功能，输出的报告内容包含了iOS应用信息，应用代码分析，应用文件分析内容等，可直接点击报告中的文件列表来查看苹果程序应用文件(英文全称：iPhoneApplication，英文缩写：IPA)包的文件内容。然而通过现有的安全审计框架无法检测到iOS应用运行中生本文档来自技高网...

【技术保护点】
一种安全漏洞检测的方法，其特征在于，包括：服务器确定待检测应用程序；所述服务器将所述待检测应用程序安装至与所述服务器相连的检测终端，使得所述检测终端运行所述待检测应用程序；所述服务器获取所述待检测应用程序在运行过程中产生的数据文件；所述服务器从所述应用程序的数据文件中提取目标关键信息；所述服务器判断所述目标关键信息是否满足预置的漏洞确认条件，若是，则所述服务器确定所述待检测应用程序存在安全漏洞。

【技术特征摘要】
1.一种安全漏洞检测的方法，其特征在于，包括：服务器确定待检测应用程序；所述服务器将所述待检测应用程序安装至与所述服务器相连的检测终端，使得所述检测终端运行所述待检测应用程序；所述服务器获取所述待检测应用程序在运行过程中产生的数据文件；所述服务器从所述应用程序的数据文件中提取目标关键信息；所述服务器判断所述目标关键信息是否满足预置的漏洞确认条件，若是，则所述服务器确定所述待检测应用程序存在安全漏洞。2.根据权利要求1所述的方法，其特征在于，所述目标关键信息包括目标关键字；所述服务器判断所述目标关键信息是否满足预置的漏洞确认条件，包括：所述服务器将所述目标关键字与所述预存储的关键字进行比对；若所述目标关键字与所述预存储的关键字一致，则所述服务器确定所述目标关键信息满足所述漏洞确认条件。3.根据权利要求1所述的方法，其特征在于，所述目标关键信息包括文件保护级别；所述服务器判断所述目标关键信息是否满足预置的漏洞确认条件，包括：所述服务器判断所述文件保护级别是否低于预置级别；若所述文件保护级别低于预置级别，则所述服务器确定所述目标关键信息满足所述漏洞确认条件。4.根据权利要求1所述的方法，其特征在于，所述目标关键信息包括用户隐私数据；所述服务器判断所述目标关键信息是否满足预置的漏洞确认条件，包括：所述服务器判断所述用户隐私数据与预置数据库中隐私数据是否匹配；若所述用户隐私数据与预置数据库中隐私数据不匹配，则所述服务器确定所述目标关键信息满足所述漏洞确认条件。5.根据权利要求4所述的方法，其特征在于，所述服务器判断所述用户隐私数据与预置数据库中隐私数据是否匹配之前，所述方法还包括：所述服务器通过钩子函数HOOK获取所述待检测应用程序在运行过程中产生的网络请求；所述服务器从所述应用程序的网络请求中提取所述用户隐私数据。6.根据权利要求1至5中任一项所述的方法，其特征在于，所述服务器判断所述目标关键信息是否满足预置的漏洞确认条件，包括：所述服务器根据第一预置检测内容判断所述目标关键信息是否满足预置的漏洞确认条件，其中，所述第一预置检测内容为自定义配置的所述应用程序的漏洞确认规则。7.根据权利要求1所述的方法，其特征在于，所述服务器获取所述待检测应用程序在运行过程中产生的数据文件之前，所述方法还包括：所述服务器获取所述待检测应用程序的二进制文件；所述服务器通过预设命令获取所述二进制文件的目标文件信息；所述服务器判断所述目标文件信息是否满足预置的漏洞确认条件，若是，则所述服务器确定所述待检测应用程序存在安全漏洞。8.根据权利要求7所述的方法，其特征在于，所述服务器判断所述目标文件信息是否满足预置的漏洞检测条件，包括：所述服务器根据第二预置检测内容判断所述目标文件信息是否满足预置的漏洞确认条件，其中，所述第二预置检测内容为自定义配置的所述应用程序的动态漏洞确认规则。9.一种服务器，其特征在于，包括：确定模块，用于确定待检测应用程序；安装模块，用于将所述确定模块确定的所述待检测应用程序安装至与所述服务器相连的检测终端，使得所述检测终端运行所述待检测应用程序；获取模块，用于所述安装模块将所述待检测应用程序安装至与所述服务器相连的检测终端之后，获取...

【专利技术属性】
技术研发人员：伍惠宇，林桠泉，马传雷，胡珀，
申请(专利权)人：腾讯科技深圳有限公司，
类型：发明
国别省市：广东,44