CN104252598A - 一种检测应用漏洞的方法及装置 - Google Patents

Abstract

本发明公开了一种检测应用漏洞的方法及装置，属于计算机技术领域。所述方法包括：获取待检测的应用，并启动所述待检测的应用；获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据；根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息；如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。本发明通过自动化的对应用中是否明文传输用户输入的信息进行检测，提高了检测应用的效率及准确率。

Description

一种检测应用漏洞的方法及装置

技术领域

本发明涉及计算机技术领域，特别涉及一种检测应用漏洞的方法及装置。

背景技术

随着移动互联网和移动终端的发展，移动终端中的应用的数量呈指数级增长，但是在应用数量增加的同时，应用中的漏洞所引发的安全问题也越来越多，这些漏洞会导致用户隐私被窃取，严重的情况甚至会导致用户受到经济损失。因此，在应用发布给用户使用之前，都需要进行漏洞检测。

现有技术中对应用的漏洞的检测方法一般为测试人员手动进行，例如：检测应用是否采用明文的方式将用户输入的信息（用户名，密码，个人资料等信息）传输至服务器，需要由测试人员人工的方式来查找该应用存在的漏洞。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

通过人工手动的方式进行应用的漏洞检测，耗时较长且效率较低；当检测的内容过多的情况下很容易出现漏检的现象，不利于保护用户的使用安全。

发明内容

为了解决现有技术的问题，本发明实施例提供了一种检测应用漏洞的方法及装置。所述技术方案如下：

一方面，提供了一种检测应用漏洞的方法，所述方法包括：

获取待检测的应用，并启动所述待检测的应用；

获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据；

根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息；

如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。

另一方面，提供了一种检测应用漏洞的装置，所述装置包括：

第一获取模块，用于获取待检测的应用，并启动所述待检测的应用；

第二获取模块，用于获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据；

第一检测模块，用于根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息；

第一确定模块，用于如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。

本发明实施例提供的技术方案带来的有益效果是：

通过自动化的对应用中是否明文传输用户输入的信息进行检测，提高了检测应用的效率及准确率。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例一提供的检测应用漏洞的方法流程图；

图2是本发明实施例二提供的检测应用漏洞的方法流程图；

图3是本发明实施例二提供的另一种检测应用漏洞的方法流程图；

图4是本发明实施例二提供的另一种检测应用漏洞的方法流程图；

图5是本发明实施例二提供的检测应用漏洞的方法中生成检测报告的方法流程图；

图6是本发明实施例三提供的检测应用漏洞的装置结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

实施例一

本发明实施例提供了一种检测应用漏洞的方法，参见图1，方法流程包括：

101：获取待检测的应用，并启动所述待检测的应用；

102：获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据；

103：根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息；

104：如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。

本发明实施例通过自动化的对应用中是否明文传输用户输入的信息进行检测，提高了检测应用的效率及准确率。

实施例二

本发明实施例提供了一种检测应用漏洞的方法，参见图2。

需要说明的是，本发明实施例通过检测Android操作系统中的应用的漏洞为例进行说明。

其中，检测应用漏洞的方法流程包括：

201：获取待检测的应用，并启动所述待检测的应用。

具体的，获取待检测的应用，以及启动待检测的应用的过程在本发明实施例中是通过模拟器进行的。在本发明实施例中是通过Android模拟器实现的，其中，Android模拟器是Android SDK（Software Development Kit，软件开发工具包）自带一个模拟器，它是一个可以运行在电脑上的虚拟设备，可以让开发人员不需使用物理设备即可预览、开发和测试Android应用。

在模拟器中获取待测试的应用的安装包即APK文件，并在模拟器中安装该应用。安装完毕后，启动该应用。

202：获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据。

其中，用户输入的信息的内容可以为：账户、密码、用户身份信息、用户联系方式信息等内容。

获取用户输入的信息的过程可以为：获取测试人员手动在应用中的输入内容的位置的输入的信息；还可以为获取由模拟器自动在应用中的输入内容的位置的输入的信息，其中输入的信息为测试人员预先输入好的信息。

输入后信息后，应用会将用户输入的信息进行保存，一般情况下会将用户输入的信息保存在预先设置好的xml文件中。

在保存后应用通过终端将输入的信息发送至服务器，在此过程中将发给服务器的通信数据进行抓包保存。

203：根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息。

其中，明文传输即为将用户输入的信息并不通过任何加密算法的加密，直接进行传输的方式。

判断终端与服务器之间的通信数据中是否对用户输入的信息进行明文传送的方法具体为：

2031：通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息。

首先对用户输入的信息进行加密，得到加密后的用户输入的信息，用于在通信数据中进行查找是否存在加密后的用户输入的信息。

其中，加密方式可以为多种，例如：MD5（MessageDigestAlgorithmMD5，消息摘要算法第五版）算法，Base64算法等。通过每一种算法会对应生成一个加密后的用户输入的信息。

2032：解析所述通信数据，并在解析出的所述通信数据中查询是否存在所述加密后的用户输入的信息或所述用户输入的信息。

将每一种加密后的用户输入的信息以及未加密的用户输入的信息在解析出的通信数据中进行匹配，查询是否存在加密后的用户输入的信息，或是否存在用户输入的信息。

2033：如果查询到所述户输入的信息，则确定所述待检测的应用是通过明文的方式传输所述用户输入的信息。

进一步的，如果查询到加密后的用户输入的信息，则表示待检测的应用是通过加密的方式传输用户输入的信息。

2034：如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式传输所述用户输入的信息，并确定传输所述用户输入的信息的方式为安全方式。

204：如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。

进一步的，本发明实施例还提供对用户输入的信息是否为明文保存进行检测的方法，如图3所示，该方法包括：

301：获取待检测的应用，并启动所述待检测的应用；

302：获取用户输入的信息。

其中，用户输入的信息的内容可以为：账户、密码、用户身份信息、用户联系方式信息等内容。

获取用户输入的信息的过程可以为：获取测试人员手动在应用中的输入内容的位置的输入的信息；还可以为获取由模拟器自动在应用中的输入内容的位置的输入的信息，其中输入的信息为测试人员预先输入好的信息。

输入信息后，应用会将用户输入的信息进行保存，一般情况下会将用户输入的信息保存在预先设置好的xml文件中。

303：根据所述用户输入的信息，检测所述待检测的应用是否是通过明文的方式保存所述用户输入的信息；

判断终端对用户输入的信息是否进行明文保存的方法具体为：

3031：通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息。

首先对用户输入的信息进行加密，得到加密后的用户输入的信息，用于在通信数据中进行查找是否存在加密后的用户输入的信息。

其中，加密方式可以为多种，例如：MD5（MessageDigestAlgorithmMD5，消息摘要算法第五版）算法，Base64算法等。通过每一种算法会对应生成一个加密后的用户输入的信息。

3032：在所述待检测的应用的文件中，查询是否存在所述加密后的用户输入的信息或所述用户输入的信息。

3033：如果查询到所述户输入的信息，则确定所述待检测的应用是通过明文的方式保存所述用户输入的信息。

3034：如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式保存所述用户输入的信息，并确定保存所述用户输入的信息的方式为安全方式。

304：如果是通过明文的方式保存所述用户输入的信息，则确定所述待检测的应用存在漏洞。

具体的，若移动终端中毒或者被其它恶意软件利用，直接读取保存用户输入的信息xml文件中的明文内容然后远程发送给攻击者，这将会严重影响到用户的信息的安全。

进一步的，本发明实施例还提供对应用组件的权限进行检测的方法，如图4所示，该方法包括：

401：对所述待检测的应用的安装包进行反编译，得到所述待检测的应用的安装文件。

其中，本过程中直接是对应用的安装包进行操作，

402：在所述安装文件中获取保存所述待检测的应用组件权限的权限文件，并在所述权限文件中检测预设的组件对应的权限值是否为预设的权限值。

在安装文件中查找专门保存应用组件权限的权限文件，该文件为一个xml文件。

进一步的，在Android系统的应用中存在多种组件，例如Content Provider、Broadcast Receiver等等，这些组件可能因权限设置不当导致信息泄露或者受到钓鱼欺骗等攻击。由于技术人员在编写应用时对Content Provider组件的权限设置不当，导致第三方软件可读取Content Provider提供的信息，其危害程度取决于Content Provider提供的信息内容，比如联系人、电话、短信等隐私信息就可能包含其中。默认情况下，Content Provider的权限为android:protectionLevel=“normal”，最好的权限设置应为signature或者signatureOrSystem，进而避免被第三方恶意软件利用。

因此，在权限文件中查询预设的组件对应的权限是否为预设的权限值，对于Content Provider组件来说，即判断该组件的权限是否为normal，如果是则执行步骤403。

403：如果查询到所述预设的组件对应的权限值为预设的权限值，则确定所述待检测的应用存在漏洞。

进一步的，本发明实施例还提供对应用漏洞进行检测后，输出分析报告的方法，如图5所示，该方法包括：

501：根据所述待检测的应用的检测结果，获取对应的建议信息。

根据漏洞的类型，预先存储该类型的漏洞的建议信息。

例如：对于漏洞类型为明文的方式传输用户输入的信息的漏洞，该建议信息为：[中危]：存在明文传输内容。

对于漏洞类型为明文的方式保存用户输入的信息的漏洞，该建议信息为：[高危]：在XX行发现明文敏感信息。其中，可以将出现敏感信息的代码行号记录并显示在生成的检测报告中，便于技术人员进行修改。进一步的，对于未出现漏洞的情况，也可以在检测报告中指出，例如：[安全]：在XX行中发现MD5加密信息。

对于漏洞类型为组件权限值的漏洞，该建议信息可以为[中危]：ContentProvider：$ProviderName默认设置为\“normal\”权限，可能导致敏感信息泄露!。

502：根据所述建议信息，为所述待检测的应用生成检测报告。

其中，检测报告中还可以加入一些统计数据，例如对于危险级别的统计，对于漏洞数量的统计，对于应用安全状态的统计等内容。

本发明实施例通过自动化的对应用中是否明文传输用户输入的信息进行检测，提高了检测应用的效率及准确率。进一步的，还可以实现自动化的对应用是否明文保存用户输入的信息进行检测，以及自动化对组件中的权限值进行检测，提高了检测应用的效率及准确率。对于检测后，还可以根据检测的结果生成检测报告，以更加直观的方式提示检测人员应用的检测结果。

实施例三

本发明实施例提供了一种检测应用漏洞的装置，参见图6，该装置包括：

第一获取模块601，用于获取待检测的应用，并启动所述待检测的应用；

第二获取模块602，用于获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据；

第一检测模块603，用于根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息；

第一确定模块604，用于如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。

其中，在具体实施方式中，所述第一检测模块603，包括：

第一加密单元，用于通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息；

第一查询单元，用于解析所述通信数据，并在解析出的所述通信数据中查询是否存在所述加密后的用户输入的信息或所述用户输入的信息；

第一确定单元，用于如果查询到所述用户输入的信息，则确定所述待检测的应用是通过明文的方式传输所述用户输入的信息。

其中，所述第一检测模块603，还包括：

第二确定单元，用于如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式传输所述用户输入的信息，并确定传输所述用户输入的信息的方式为安全方式。

其中，所述装置还包括：

第二检测模块605，用于根据所述用户输入的信息，检测所述待检测的应用是否是通过明文的方式保存所述用户输入的信息；

第二确定模块606，用于如果是通过明文的方式保存所述用户输入的信息，则确定所述待检测的应用存在漏洞。

其中，所述第二检测模块605，包括：

第二加密单元，用于通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息；

第二查询单元，用于在所述待检测的应用的文件中，查询是否存在所述加密后的用户输入的信息或所述用户输入的信息；

第三确定单元，用于如果查询到所述户输入的信息，则确定所述待检测的应用是通过明文的方式保存所述用户输入的信息。

其中，所述第二检测模块还包括：

第四确定单元，用于如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式保存所述用户输入的信息，并确定保存所述用户输入的信息的方式为安全方式。

其中，所述装置还包括：

反编译模块607，用于对所述待检测的应用的安装包进行反编译，得到所述待检测的应用的安装文件；

第三检测模块608，用于在所述安装文件中获取保存所述待检测的应用组件权限的权限文件，并在所述权限文件中检测预设的组件对应的权限值是否为预设的权限值；

第三确定模块609，用于如果查询到所述预设的组件对应的权限值为预设的权限值，则确定所述待检测的应用存在漏洞。

其中，所述装置还包括：

第三获取模块610，用于根据所述待检测的应用的检测结果，获取对应的建议信息；

检测报告生成模块611，用于根据所述建议信息，为所述待检测的应用生成检测报告。

本发明实施例通过自动化的对应用中是否明文传输用户输入的信息进行检测，提高了检测应用的效率及准确率。进一步的，还可以实现自动化的对应用是否明文保存用户输入的信息进行检测，以及自动化对组件中的权限值进行检测，提高了检测应用的效率及准确率。对于检测后，还可以根据检测的结果生成检测报告，以更加直观的方式提示检测人员应用的检测结果。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种检测应用漏洞的方法，其特征在于，所述方法包括：

获取待检测的应用，并启动所述待检测的应用；

获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据；

根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息；

如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。

2.根据权利要求1所述的方法，其特征在于，所述根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息，包括：

通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息；

解析所述通信数据，并在解析出的所述通信数据中查询是否存在所述加密后的用户输入的信息或所述用户输入的信息；

如果查询到所述用户输入的信息，则确定所述待检测的应用是通过明文的方式传输所述用户输入的信息。

3.根据权利要求2所述的方法，其特征在于，所述在解析出的所述通信数据中查询是否存在所述加密后的用户输入的信息或所述用户输入的信息之后，所述方法还包括：

如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式传输所述用户输入的信息，并确定传输所述用户输入的信息的方式为安全方式。

4.根据权利要求1所述的方法，其特征在于，所述根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息之后，所述方法还包括：

根据所述用户输入的信息，检测所述待检测的应用是否是通过明文的方式保存所述用户输入的信息；

如果是通过明文的方式保存所述用户输入的信息，则确定所述待检测的应用存在漏洞。

5.根据权利要求4所述的方法，其特征在于，所述根据所述用户输入的信息，检测所述待检测的应用是否是通过明文的方式保存所述用户输入的信息，包括：

通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息；

在所述待检测的应用的文件中，查询是否存在所述加密后的用户输入的信息或所述用户输入的信息；

如果查询到所述户输入的信息，则确定所述待检测的应用是通过明文的方式保存所述用户输入的信息。

6.根据权利要求5所述的方法，其特征在于，所述查询是否存在所述加密后的用户输入的信息或所述用户输入的信息之后，所述方法还包括：

如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式保存所述用户输入的信息，并确定保存所述用户输入的信息的方式为安全方式。

7.根据权利要求1所述的方法，其特征在于，所述根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息之后，所述方法还包括：

对所述待检测的应用的安装包进行反编译，得到所述待检测的应用的安装文件；

在所述安装文件中获取保存所述待检测的应用组件权限的权限文件，并在所述权限文件中检测预设的组件对应的权限值是否为预设的权限值；

如果查询到所述预设的组件对应的权限值为预设的权限值，则确定所述待检测的应用存在漏洞。

8.根据权利要求1至7中任一项所述的方法，其特征在于，所述确定所述待检测的应用存在漏洞之后，所述方法还包括：

根据所述待检测的应用的检测结果，获取对应的建议信息；

根据所述建议信息，为所述待检测的应用生成检测报告。

9.一种检测应用漏洞的装置，其特征在于，所述装置包括：

第一获取模块，用于获取待检测的应用，并启动所述待检测的应用；

第二获取模块，用于获取用户输入的信息，将所述用户输入的信息发送给服务器，并捕获与所述服务器之间的通信数据；

第一检测模块，用于根据所述用户输入的信息和所述通信数据，检测所述待检测的应用是否是通过明文的方式传输所述用户输入的信息；

第一确定模块，用于如果是通过明文的方式传输所述用户输入的信息，则确定所述待检测的应用存在漏洞。

10.根据权利要求9所述的装置，其特征在于，所述第一检测模块，包括：

第一加密单元，用于通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息；

第一查询单元，用于解析所述通信数据，并在解析出的所述通信数据中查询是否存在所述加密后的用户输入的信息或所述用户输入的信息；

第一确定单元，用于如果查询到所述用户输入的信息，则确定所述待检测的应用是通过明文的方式传输所述用户输入的信息。

11.根据权利要求10所述的装置，其特征在于，所述第一检测模块，还包括：

第二确定单元，用于如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式传输所述用户输入的信息，并确定传输所述用户输入的信息的方式为安全方式。

12.根据权利要求9所述的装置，其特征在于，所述装置还包括：

第二检测模块，用于根据所述用户输入的信息，检测所述待检测的应用是否是通过明文的方式保存所述用户输入的信息；

第二确定模块，用于如果是通过明文的方式保存所述用户输入的信息，则确定所述待检测的应用存在漏洞。

13.根据权利要求12所述的装置，其特征在于，所述第二检测模块，包括：

第二加密单元，用于通过预设算法转换对所述用户输入的信息进行加密，生成加密后的用户输入的信息；

第二查询单元，用于在所述待检测的应用的文件中，查询是否存在所述加密后的用户输入的信息或所述用户输入的信息；

第三确定单元，用于如果查询到所述户输入的信息，则确定所述待检测的应用是通过明文的方式保存所述用户输入的信息。

14.根据权利要求13所述的装置，其特征在于，所述第二检测模块还包括：

第四确定单元，用于如果查询到所述加密后的用户输入的信息，则确定所述待检测的应用是通过非明文的方式保存所述用户输入的信息，并确定保存所述用户输入的信息的方式为安全方式。

15.根据权利要求9所述的装置，其特征在于，所述装置还包括：

反编译模块，用于对所述待检测的应用的安装包进行反编译，得到所述待检测的应用的安装文件；

第三检测模块，用于在所述安装文件中获取保存所述待检测的应用组件权限的权限文件，并在所述权限文件中检测预设的组件对应的权限值是否为预设的权限值；

第三确定模块，用于如果查询到所述预设的组件对应的权限值为预设的权限值，则确定所述待检测的应用存在漏洞。

16.根据权利要求9至15中任一项所述的装置，其特征在于，所述装置还包括：

第三获取模块，用于根据所述待检测的应用的检测结果，获取对应的建议信息；

检测报告生成模块，用于根据所述建议信息，为所述待检测的应用生成检测报告。