CN110022247A - 一种app数据加密传输的测试方法 - Google Patents

Abstract

本发明公开了一种APP数据加密传输的测试方法，属于计算机领域。该方法包括以下步骤：S1：已知APP的加解密方式和对应的key,并通过工具的web页面进行配置，工具生成唯一的http代理端口号和账号密码；S2：手机代理设置为工具生成的代理IP和对应的端口号；S3：模拟正常用户使用APP的各种功能，工具自动存储传输过程中的请求包和响应包，并解析传递的参数；S4：模拟正常用户使用完后，访问工具的web页面，查看本APP的所有已解密的请求数据和响应数据；S5：通过工具的web页面直接分析请求流量、对数据包进行修改重放。本发明可以直接分析APP与服务端通信的流量，进行相应的服务端接口测试。

Description

一种APP数据加密传输的测试方法

技术领域

本发明涉及计算机领域，涉及一种APP数据加密传输的测试方法。

背景技术

目前APP与服务器端通信基本采用加密算法来加密传输的数据包，防止数据包在传输的过程中被串改。但APP传输加密的方式一般都是硬编码在apk和服务端，可以通过逆向被获取。

为了保证服务端的安全性，需要截获APP与服务端之间的通信，进行改包和重放操作，由于数据包被加密，即使安全人员取得了加解密方式，也需要每个包进行加解密操作才能进行安全性测试，因此需要使用多个工具协调测试导致测试效率低，不方便进行接口分析。

发明内容

针对现有技术中的缺陷，本发明提供一种APP数据加密传输的测试方法，主要解决安全人员测试传输被加密的APP的安全性时，需要使用多种方式重复操作，影响测试效率的问题。

为达到上述目的，本发明提供如下技术方案：

一种APP数据加密传输的测试方法，该方法包括以下步骤：

已知APP的加解密方式和对应的key，并通过工具的web页面进行配置，工具生成唯一的http代理端口号和账号密码；

手机代理设置为工具生成的代理IP和对应的端口号；

模拟正常用户使用APP的各种功能，工具自动存储传输过程中的请求包和响应包，并解析传递的参数；

模拟正常用户使用完成后，访问工具的web页面，查看本APP的所有已解密的请求数据和响应数据；

通过工具的web页面直接分析请求流量、对数据包进行修改重放。

进一步，所述APP的加解密方式包括对称性加密、非对称性加密和自定义算法加密。

进一步，所述http代理端口号为http代理服务器的网络位置，用于突破自身IP访问限制、访问一些单位或团体内部资源、代理服务器、IP封锁、提高访问速度和隐藏真实IP。

进一步，所述请求包和响应包是在HTTP通信机制中完成的，具体包括以下步骤：

建立TCP连接；

Web浏览器向Web服务器发送请求命令；

Web浏览器发送请求头信息；

Web服务器应答；

Web服务器发送应答头信息；

Web服务器向浏览器发送数据；

Web服务器关闭TCP连接。

进一步，所述请求数据的结构包括请求行、消息头和消息正文；

所述响应数据的结构包括：状态行、消息头和响应正文。

一种计算机装置，包括存储器、处理器及储存在存储器上并能够在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述的方法。

一种计算机可读存储介质，其上储存有计算机程序，所述计算机程序被处理器执行时实现所述的方法。

本发明的有益效果体现在：本发明能够提升效率，通过此工具可以直接分析APP与服务端通信的流量，并直接进行相应的服务端接口测试。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。在所有附图中，类似的元件或部分一般由类似的附图标记标识。附图中，各元件或部分并不一定按照实际的比例绘制。

图1为本发明流程图。

具体实施方式

下面将结合附图对本发明技术方案的实施例进行详细的描述。以下实施例仅用于更加清楚地说明本发明的技术方案，因此只作为示例，而不能以此来限制本发明的保护范围。

需要注意的是，除非另有说明，本申请使用的技术术语或者科学术语应当为本发明所属领域技术人员所理解的通常意义。

如图1所示，为一种APP数据加密传输的测试方法，该方法包括以下步骤：

S1：已知APP的加解密方式和对应的key,并通过工具的web页面进行配置，工具生成唯一的http代理端口号和账号密码；

S2：手机代理设置为工具生成的代理IP和对应的端口号；

S3：模拟正常用户使用APP的各种功能，工具自动存储传输过程中的请求包和响应包，并解析传递的参数；

S4：模拟正常用户使用完成后，访问工具的web页面，查看本APP的所有已解密的请求数据和响应数据；

S5：通过工具的web页面直接分析请求流量、对数据包进行修改重放。

在具体的应用场景中，首先，安全人员已知APP的加解密方式，此时需要对APP请求的服务端接口进行安全性测试，通过app测试系统的web页面配置好相应的记录请求包的规则、加解密方式、加解密key，APP测试系统调用系统命令生成一个唯一的随机端口号给安全人员。

安全人员安装好需要测试的APP，并连接WiFi。WiFi网络需要和APP测试系统网络互通，并在手机上设置WiFi代理的域名和端口号到APP测试系统。

安全人员模拟正常用户使用所有需要测试的功能，APP测试平台收到请求流量后，对流量进行解密操作，并解析对应的http请求包，并把相应的明文信息存入数据库之中，然后使用原本的包发送至APP服务器端，接收到APP服务器端返回的包之后，进行解密操作，并解析存入数据库之中。

HTTP通信机制是在一次完整的HTTP通信过程中，Web浏览器与Web服务器之间将完成下列7个步骤：

(1)建立TCP连接

在HTTP工作开始之前，Web浏览器首先要通过网络与Web服务器建立连接，该连接是通过TCP来完成的，该协议与IP协议共同构建Internet，即著名的TCP/IP协议族，因此Internet又被称作是TCP/IP网络。HTTP是比TCP更高层次的应用层协议，根据规则，只有低层协议建立之后才能，才能进行更层协议的连接，因此，首先要建立TCP连接，一般TCP连接的端口号是80

(2)Web浏览器向Web服务器发送请求命令

一旦建立了TCP连接，Web浏览器就会向Web服务器发送请求命令

例如：GET/sample/hello.jsp HTTP/1.1

(3)Web浏览器发送请求头信息

浏览器发送其请求命令之后，还要以头信息的形式向Web服务器发送一些别的信息，之后浏览器发送了一空白行来通知服务器，它已经结束了该头信息的发送。

(4)Web服务器应答

客户机向服务器发出请求后，服务器会客户机回送应答，

HTTP/1.1 200OK

应答的第一部分是协议的版本号和应答状态码

(5)Web服务器发送应答头信息

正如客户端会随同请求发送关于自身的信息一样，服务器也会随同应答向用户发送关于它自己的数据及被请求的文档。

(6)Web服务器向浏览器发送数据

Web服务器向浏览器发送头信息后，它会发送一个空白行来表示头信息的发送到此为结束，接着，它就以Content-Type应答头信息所描述的格式发送用户所请求的实际数据

(7)Web服务器关闭TCP连接

一般情况下，一旦Web服务器向浏览器发送了请求数据，它就要关闭TCP连接，然后如果浏览器或者服务器在其头信息加入了这行代码

Connection:keep-alive

TCP连接在发送后将仍然保持打开状态，于是，浏览器可以继续通过相同的连接发送请求。保持连接节省了为每个请求建立新连接所需的时间，还节约了网络带宽。

请求数据包结构：

(1)请求行：请求行在请求数据包的第一行，包含请求类型(get/post)、请求资源路径、协议的版本和类型。

(2)消息头：若干消息头样式(w3c定义的一些有特殊意义的键值对)，如content-type＝text/html，charset＝utf-8等，服务器端和客户端都会遵循消息头的约定，也可以通过代码设置。

(3)消息正文：如果请求方式为post，请求参数和值就会放在这里，如果为get那么请求参数和值就会包含在资源路径上。

响应数据包：

(1)状态行：包含两部分内容的协议的版本和类型，状态码(500表示程序出错，404找不到资源路径，200正常运行)。

(2)消息头：同上。

(3)响应正文：服务器返回给浏览器的处理结果。

代理服务器是介于浏览器和Web服务器之间的一台服务器，有了它之后，浏览器不是直接到Web服务器去取回网页而是向代理服务器发出请求，Request信号会先送到代理服务器，由代理服务器来取回浏览器所需要的信息并传送给你的浏览器。而且，大部分代理服务器都具有缓冲的功能，就好象一个大的Cache，它有很大的存储空间，它不断将新取得数据储存到它本机的存储器上，如果浏览器所请求的数据在它本机的存储器上已经存在而且是最新的，那么它就不重新从Web服务器取数据，而直接将存储器上的数据传送给用户的浏览器，这样就能显著提高浏览速度和效率。

主要的功能有：

1.突破自身IP访问限制，访问国外站点。如：教育网、169网等网络用户可以通过代理访问国外网站。

2.访问一些单位或团体内部资源，如某大学FTP(前提是该代理地址在该资源的允许访问范围之内)，使用教育网内地址段免费

代理服务器，就可以用于对教育网开放的各类FTP下载上传，以及各类资料查询共享等服务。

3.突破IP封锁：网络用户有很多网站是被限制访问的，这种限制是人为的，不同Serve对地址的封锁是不同的。

4.提高访问速度：通常代理服务器都设置一个较大的硬盘缓冲区，当有外界的信息通过时，同时也将其保存到缓冲区中，当其他用户再访问相同的信息时，则直接由缓冲区中取出信息，传给用户，以提高访问速度。

5.隐藏真实IP：上网者也可以通过这种方法隐藏自己的IP，免受攻击。

安全人员使用完正常的功能后，登录app测试系统，查看明文的请求和响应的数据。

通过APP测试系统的web界面安全人员可以修改之前记录的APP传输包，并重放测试，APP测试系统自动的进行加密并重放到APP服务器端，并解密显示APP服务器端的响应数据。

对于App传输数据加密，一般会考虑三个方面：

1)可用性：客户端和服务端都可逆向破解；

2)较高的安全性：不容易被破解；

3)效率性：加密性能及资源占用方面不是很高；

针对以上三个方面需求，目前最多有以下几种加密方式：

1)对称性加密。如DES、AES、3DES等。这些加密方式的算法基本已公开，因此其特点为密钥/生成密钥的方法固定，因此这种加密方式的优点为性能效率较好，而且也较大的提升了解密的成本；但由于密钥固定，因此缺点也很明显了，则是在客户端和服务端上都能找到密钥或密钥的生成方法。因此其突破口为通过逆向客户端来寻找密钥。另外，这种加密方式可同时用于请求包和返回包。

2)非对称性加密。如RSA、Rabin等。这些加密方式的算法基本也已经公开，因此其特点为有一对公钥和私钥：客户端上保存公钥，用于加密；服务端上保存私钥，用于解密。因此这种加密方式的优点为安全性较高，客户端上只有用于加密的公钥，而没有用于解密的私钥；而弱点则为加解密效率不高，性能资源占用较大，所以目前很多App还是选用对称性加密。由于客户端上没有解密数据包的私钥，因此需要使用其他方法获取数据包明文才能进行数据包篡改。(获取方法后续详述)另外，由于只有一对公钥和私钥，所以这种加密方式一般只会出现在请求包，而返回包则一般为明文返回。

3)自定义算法加密。有少数App开发的技术人员还会使用自定义算法来对数据包进行加密，算法五花八门，大多为各种常见的编码(如Base64)和字节位移运算等混杂。这种加密方式的优点为效率较高，但缺点为算法硬编码在客户端中，只要通过逆向即可解密出来。

应当认识到，本发明的实施例可以由计算机硬件、硬件和软件的组合、或者通过存储在非暂时性计算机可读存储器中的计算机指令来实现或实施。所述方法可以使用标准编程技术-包括配置有计算机程序的非暂时性计算机可读存储介质在计算机程序中实现，其中如此配置的存储介质使得计算机以特定和预定义的方式操作——根据在具体实施例中描述的方法和附图。每个程序可以以高级过程或面向对象的编程语言来实现以与计算机系统通信。然而，若需要，该程序可以以汇编或机器语言实现。在任何情况下，该语言可以是编译或解释的语言。此外，为此目的该程序能够在编程的专用集成电路上运行。

此外，可按任何合适的顺序来执行本文描述的过程的操作，除非本文另外指示或以其他方式明显地与上下文矛盾。本文描述的过程(或变型和/或其组合)可在配置有可执行指令的一个或多个计算机系统的控制下执行，并且可作为共同地在一个或多个处理器上执行的代码(例如，可执行指令、一个或多个计算机程序或一个或多个应用)、由硬件或其组合来实现。所述计算机程序包括可由一个或多个处理器执行的多个指令。

进一步，所述方法可以在可操作地连接至合适的任何类型的计算平台中实现，包括但不限于个人电脑、迷你计算机、主框架、工作站、网络或分布式计算环境、单独的或集成的计算机平台、或者与带电粒子工具或其它成像装置通信等等。本发明的各方面可以以存储在非暂时性存储介质或设备上的机器可读代码来实现，无论是可移动的还是集成至计算平台，如硬盘、光学读取和/或写入存储介质、RAM、ROM等，使得其可由可编程计算机读取，当存储介质或设备由计算机读取时可用于配置和操作计算机以执行在此所描述的过程。此外，机器可读代码，或其部分可以通过有线或无线网络传输。当此类媒体包括结合微处理器或其他数据处理器实现上文所述步骤的指令或程序时，本文所述的发明包括这些和其他不同类型的非暂时性计算机可读存储介质。当根据本发明所述的APP数据加密传输的测试方法和技术编程时，本发明还包括计算机本身。

计算机程序能够应用于输入数据以执行本文所述的功能，从而转换输入数据以生成存储至非易失性存储器的输出数据。输出信息还可以应用于一个或多个输出设备如显示器。在本发明优选的实施例中，转换的数据表示物理和有形的对象，包括显示器上产生的物理和有形对象的特定视觉描绘。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。

Claims (7)

1.一种APP数据加密传输的测试方法，其特征在于：该方法包括以下步骤：

已知APP的加解密方式和对应的key，并通过工具的web页面进行配置，工具生成唯一的http代理端口号和账号密码；

将手机代理设置为工具生成的代理IP和对应的端口号；

模拟正常用户使用APP的各种功能，工具自动存储传输过程中的请求包和响应包，并解析传递的参数；

模拟正常用户使用完成后，访问工具的web页面，查看本APP的所有已解密的请求数据和响应数据；

通过工具的web页面直接分析请求流量、对数据包进行修改重放。

2.根据权利要求1所述的一种APP数据加密传输的测试方法，其特征在于：所述APP的加解密方式包括对称性加密、非对称性加密和自定义算法加密。

3.根据权利要求1所述的一种APP数据加密传输的测试方法，其特征在于：所述http代理端口号为http代理服务器的网络位置，用于突破自身IP访问限制、访问一些单位或团体内部资源、代理服务器、IP封锁、提高访问速度和隐藏真实IP。

4.根据权利要求1所述的一种APP数据加密传输的测试方法，其特征在于：所述请求包和响应包是在HTTP通信机制中完成的，具体包括以下步骤：

建立TCP连接；

Web浏览器向Web服务器发送请求命令；

Web浏览器发送请求头信息；

Web服务器应答；

Web服务器发送应答头信息；

Web服务器向浏览器发送数据；

Web服务器关闭TCP连接。

5.根据权利要求1所述的一种APP数据加密传输的测试方法，其特征在于：所述请求数据的结构包括请求行、消息头和消息正文；

所述响应数据的结构包括：状态行、消息头和响应正文。

6.一种计算机装置，包括存储器、处理器及储存在存储器上并能够在处理器上运行的计算机程序，其特征在于：所述处理器执行所述计算机程序时实现如权利要求1-5任一项所述的方法。

7.一种计算机可读存储介质，其上储存有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1-5任一项所述的方法。