CN110717184A

CN110717184A - 一种分布式安全测试系统

Info

Publication number: CN110717184A
Application number: CN201910934113.1A
Authority: CN
Inventors: 杨华; 温泉; 李宁; 王晓菲; 杨亦松; 张茜; 贾龙飞
Original assignee: Beijing Institute of Computer Technology and Applications
Current assignee: Beijing Institute of Computer Technology and Applications
Priority date: 2019-09-27
Filing date: 2019-09-27
Publication date: 2020-01-21

Abstract

本发明涉及一种分布式安全测试系统，其中，包括：测试模板模块用于提供网络测试模板，用于选择测试模板，并能够根据测试结果生成新的模板；工具选择模块用于发送指令给控制管理模块，以调用测试工具供选择；进度展示模块，用于实时展示当前收集到的信息以及测试的进度信息，并提示下一步的操作；信息收集模块用于收集测试目标的信息；策略制定模块用于根据收集到的信息制定测试策略；安全测试模块用于按照漏洞分析阶段排好序逐一发送到目标主机；数据保存模块用于将收集到的信息以及整个测试过程日志进行保存，保存测试过程生成的测试模板到数据库；测试工具模块集成安全测试工具供选择以及控制管理模块调用。

Description

一种分布式安全测试系统

技术领域

本发明涉及一种安全系统测试技术，特别涉及一种分布式安全测试系统。

背景技术

随着计算机技术的不断发展，计算机网络的使用率也在不断上升，一台网络设备甚至会用到多种互联网技术。但是计算机网络在给人们生活带来便利的同时，计算机网络安全问题也频频发生。因此，发现网络中存在的安全隐患，对于改善计算机网络环境有着十分重要的现实意义。随着行业的发展，安全测试技术逐渐在安全领域发展起来，安全测试工具也不断涌现，但是目前安全测试工具存在功能不集中、自动化程度低以及功能扩展难等问题。本发明针对以上问题，提出了一种分布式的安全测试系统，通过多测试工具的集成，不仅更加灵活方便，同时根据需要集成安全测试工具，具有可扩展性，采用图形化界面方便测试人员的学习，节省学习时间。

发明内容

本发明的目的在于提供一种分布式安全测试系统，用于解决上述现有技术的问题。

本发明一种分布式安全测试系统，其中，包括：人机交互模块、控制管理模块、数据库和测试工具模块；人机交互模块包括进度展示模块、测试模板模块以及工具选择模块；控制管理模块包括信息收集模块、策略制定模块、安全测试模块以及数据保存模块；测试模板模块用于提供网络测试模板，用于选择测试模板，并能够根据测试结果生成新的模板；工具选择模块用于发送指令给控制管理模块，以调用测试工具供选择；进度展示模块，用于实时展示当前收集到的信息以及测试的进度信息，并提示下一步的操作；信息收集模块用于收集测试目标的信息；策略制定模块用于根据收集到的信息制定测试策略；安全测试模块用于在渗透攻击时，根据在所获取的渗透攻击以及在威胁建模所匹配到的最佳攻击载荷，按照漏洞分析阶段排好序逐一发送到目标主机；数据保存模块用于将收集到的信息以及整个测试过程日志进行保存，保存测试过程生成的测试模板到数据库；测试工具模块集成安全测试工具供选择以及控制管理模块调用。

根据本发明的分布式安全测试系统的一实施例，其中，测试工具模块包括云平台测试工具模块、Web测试工具模块、WiFi测试工具模块和数据库测试工具模块；云平台测试工具收集测试目标的相关信息，对收集到的测试目标的相关信息进行分析，以确定适合于测试目标的渗透测试方案，基于所述渗透测试方案，调用云端资源池中相关渗透测试脚本对测试目标执行渗透测试操作；Web测试工具的功能包括web漏洞扫描、SQL注入检测以及破解管理员用户密码；Wifi测试工具的功能包括WiFi密码的破解、wifi热点主机端的IP、目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务以及漏洞信息；数据库测试工具的功能包括权限控制检测、SQL注入检测、URL安全测试、XSS、CSRF、URL跳转漏洞检测以及数据库漏洞扫描。

根据本发明的分布式安全测试系统的一实施例，其中，信息收集模块收集测试目标的信息包括用来获取被测试目标的IP地址类型、目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务以及漏洞。

根据本发明的分布式安全测试系统的一实施例，其中，控制管理模块还包括：报告生成模块，生成测试报告对整个测试任务总结，报告包括测试目标主机的基本信息、采取的攻击方式以及测试目标存在的系统漏洞，并且根据目标主机的漏洞等级以及数量给出综合评分。

根据本发明的分布式安全测试系统的一实施例，其中，还包括：插件管理器，将测试工具以插件进程的形式进行调用，需要调用某个工具时，从插件工厂获取任务相对应的插件进程实例，并启动插件进程。

根据本发明的分布式安全测试系统的一实施例，其中，信息收集模块收集的测试目标的信息包括用来获取被测试目标的IP地址类型、目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务以及漏洞信息。

根据本发明的分布式安全测试系统的一实施例，其中，策略制定模块的测试策略，包括需要用到的测试工具、找到最佳测试路径、以及测试工具运行顺序。

根据本发明的分布式安全测试系统的一实施例，其中，测试过程完成之后从数据库里获取本次安全测试的详细信息以及安全测试结果，由控制管理模块完成测试结果融合与测试结果分析评估，生成详细的安全测试报告，通过操作界面返回给用户。

本发明提出了一种分布式的安全测试系统，通过多测试工具的集成，不仅更加灵活方便，同时根据需要集成安全测试工具，具有可扩展性，采用图形化界面方便测试人员的学习，节省学习时间。

附图说明

图1所示为分布式安全测试系统的示意图；

图2所示为分布式安全测试系统的工作流程图。

具体实施方式

为使本发明的目的、内容、和优点更加清楚，下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。

图1所示为分布式安全测试系统的示意图，如图1所示，分布式安全测试系统包括：人机交互模块1、控制管理模块2和测试工具模块3。人机交互模块1包括进度展示模块13，测试模板模块11，工具选择模块12，控制管理模块2包括信息收集模块21、策略制定模块22、安全测试模块23、数据保存模块24，测试工具模块3包括云平台测试工具模块31，Web测试工具模块32、WiFi测试工具模块33和数据库测试工具模块34等常用的测试工具，并且支持新的测试工具的接入。主要采用的技术有Acctiviti工作流技术、人机交互技术、安全测试工具协同技术以及安全测试过程控制技术。插件管理器4功能是通过插件进程调用相关的工具。

如图1所示，人机交互模块1是实现测试人员通过图像化操作实现简单化操作流程的保证，人机交互模块1的功能包括测试结果的展示、测试人员命令的实现、以及操作人员测试工具的选择等。

测试模板模块11提供常用的网络测试模板的功能，测试人员在测试之前可以根据所测目标选择已有的模板进行测试，每次测试之后，系统会根据本次测试生成新的模板。

如图1所示，工具选择模块12，测试人员通过发送指令给控制管理模块2，控制管理模块2通过信息收集和策略制定模块22可以调用测试工具供测试者选择。

如图1所示，进度展示模块13，可以实时展示目前收集到的信息以及测试的进度等信息以及告知测试人员下一步的操作，同时测试人员可以根据目前信息做出包括中止、删除等决策。

如图1所示，控制信息管理模块2是整个系统的核心工作模块，它负责连接测试人员以及测试工具模块3包括安全测试的全部流程，并且将搜集到的数据及时保存到数据库以及生成测试模板到数据库，方便人机交互界面的调用。

如图1所示，信息收集模块21功能主要是收集测试目标的信息，包括用来获取被测试目标的IP地址类型(服务器、PC、移动终端设备)、目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务，以及漏洞等信息。信息收集模块21本身包含Metasploit等常用的测试工具，同时支持调用测试平台工具模块进行信息收集。

如图1所示，策略制定模块22功能是根据收集到的信息制定测试策略，包括需要用到的测试工具、找到最佳测试路径、以及测试工具运行顺序等功能。

如图1所示，安全测试模块23在渗透攻击阶段系统首先根据在情报搜集阶段所获取的渗透攻击以及在威胁建模阶段所匹配到的最佳攻击载荷，按照漏洞分析阶段排好序逐一发送到目标主机，在此过程，测试人员根据对目标主机的渗透结果决定是否终止发送，一旦回连成功，即可立即终止，防止目标发现后查杀。

如图1所示，数据保存模块24负责将收集到的信息以及整个测试过程日志进行保存，同时保存测试过程生成的测试模板到数据库。

如图1所示，报告生成模块25过测试报告对整个测试任务总结，而报告的信息主要的来源是前面阶段的所产生的中间结果信息。报告包括测试目标主机的基本信息、采取的攻击方式以及测试目标可能存在的系统漏洞，并且根据目标主机的漏洞等级以及数量给出综合评分，让测试人员能够更加直观地了解测试目标地健康状况。同时报告可以根据测试工具分块展示。

如图1所示，测试工具模块3功能是集成了常用的安全测试工具供测试人员选择以及控制管理模块2调用，采用插件管理器4的Activiti流使调用过程更加灵活，自动化程度更高，同时该模块还支持接入新的安全测试工具。

如图1所示，云平台测试工具31功能是通过平台收集测试目标的相关信息；对收集到的测试目标的相关信息进行分析，以确定适合于测试目标的渗透测试方案；基于所述渗透测试方案，调用云端资源池中相关渗透测试脚本对测试目标执行渗透测试操作。

如图1所示，Web测试工具32功能包括web漏洞扫描，SQL注入检测，破解管理员用户密码等功能。

如图1所示，Wifi测试工具33功能包括WiFi密码的破解，wifi热点主机端的IP，目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务，以及漏洞等信息。

如图1所示，数据库测试工具34功能包括权限控制检测、SQL注入检测、URL安全测试、XSS(跨站脚本攻击)、CSRF(跨站请求伪造)、URL跳转漏洞检测以及数据库漏洞扫描。

系统的自动化主要是由工作流技术实现的，工作流技术核心为BPMN2.0规范和Activiti工作流引擎，原理是控制管理模块先根据数据库中的BPMN2.0规范将一个特定的安全测试流程定义为XML文件，安全测试系统运行时Activiti工作流引擎首先对根据BPMN规范定义好的XML文件进行解析，分析各个XML文件对应的操作之间的关联关系，将这种关联关系通过数据库表的形式存储在数据库中，保存为模板，并且提供了目前所有主流数据库的存储支持。在工作流执行过程中，每个操作人员对当前执行流程所产生的结果都会产生XML文件存储数据库中，即数据库表中相对应的数据会随着操作人员的操作而发生改变，这样整个工作流的执行流程就会按照事先定义好或者操作人员现编写的XML文件规范依次执行。每次测试过程都可以将操作过程中产生数据另存为模板，供下次测试使用。

本系统将安全测试工具以模块的形式组织起来，以插件进程的形式通过封装用插件管理器进行调用。需要调用某个工具时，控制管理管模块从插件管理器获取任务相对应的插件进程实例，并启动插件进程。比如任务类型是Web漏洞扫描，那么它会通过插件管理器运行Web测试工具插件进程，然后调用Web测试工具。当有新的测试工具和渗透相关的利用代码需要集成到本系统的时候，只需要实现插件管理器定义的接口即可，由于插件管理的存在，如果后期系统需要集成其他的测试工具时，系统核心架构不需要做任何调整就能将新的测试工具加入工具库中，并能正常使用。

测试过程完成之后从数据库里获取本次安全测试的详细信息以及安全测试结果，由控制管理模块完成测试结果融合与测试结果分析评估，生成详细的安全测试报告，通过操作界面返回给用户，从而完成本次安全测试任务。

如图1所示，分布式安全测试系统的工作包括：

控制管理模块2对测试目标进行信息收集，存储到数据库中，并显示到进度展示模块13上；

测试人员在进度展示模块13中查看收集的信息，并根据测试策略选择测试模板，或者选择测试工具并制定测试策略；控制管理模块会自动加载XML文件，或者选择测试工具并制定测试策略，测试人员的操作会按照BMNP2.0规范生成XML文件；

控制管理模块2通过Activiti引擎识别XML文件，自动按照链接关系运行测试过程并通过插件管理器4调用测试工具进行测试；

数据保存模块24将采集到的信息以及整个测试过程进行保存并生成测试模板模块11保存到数据库，测试人员选择是否保存；

报告生成模块25按照测试工具的测试结果生成测试报告，完成测试。

报告生成模块25通过测试报告对整个测试任务总结，而报告的信息主要的来源是前面阶段的所产生的中间结果信息。报告包括测试目标主机的基本信息、采取的攻击方式以及测试目标可能存在的系统漏洞，并且根据目标主机的漏洞等级以及数量给出综合评分，让测试人员能够更加直观地了解测试目标地健康状况。同时报告可以根据测试工具分块展示。

图2所示为分布式安全测试系统的工作流程图，如图2所示，分布式安全测试系统的工作流程包括：

控制管理模块2对测试目标进行信息收集，存储到数据库中，并显示到进度展示模块上；

测试人员在进度展示模块中查看步骤1中搜集的信息，并根据测试策略选择测试模板模块11，控制管理模块2会自动加载XML文件，或者选择测试工具并制定测试策略，测试人员的操作会按照BMNP2.0规范生成XML文件。

控制管理模块2通过Activiti引擎识别XML文件，自动按照链接关系运行测试过程并通过插件管理器4调用测试工具进行测试

数据保存模块24将采集到的信息以及整个测试过程生成的XML文件保存到数据库，测试人员选择是否保存为模板；

报告生成模块25合并测试工具的测试结果生成测试报告，完成测试。

如图1所示，一种典型的物联网结构，包括执行器：通过物理过程控制事物，如空调机组，门锁，窗帘；网关：用于收集传感器信息和控制中心；传感器：用于检测环境，例如光，运动，温度，湿度，水/电量；云：Web界面或API托管用于收集数据的云端web应用和大型数据集分析。一般来说，就是用来做信息与其他方资源共享时，移动(app)：移动设备大多使用的，在设备上的应用程序，以实现手机端控制IoT环境来进行互动。

对于该物联网进行安全测试，首先信息收集模块21采集到该网络连接到云平台和移动设备，进度展示模块13显示出这些基本信息，测试人员通过人机交互界面访问数据库中测试模板没有发现类似的测试模板，选择云平台测试工具模块31、web测试工具模块32、WiFi测试工具模块33等工具，制定测试策略，包括测试基本信息(ip、连接设备、开放端口等)检测、漏洞扫描、SQL注入检测、wifi密码破解等测试过程，控制管理模块2会生成XML文件，Activiti识别XML文件，工作流开始运行，期间通过插件管理器4调用所需的工具，测试完成后将数据通过数据保存模块保存到数据库，将该过程保存为测试模板，并将各个工具测试的结果合并成测试报告。

本发明提出的分布式安全测试系统采用人机交互的界面，缩短测试人员学习周期，同时分布式的集成了多种测试工具，能够通过组合各个安全测试工具完成对传统计算机网络、物联网、移动网络等网络技术的渗透测试功能，可以根据需要选择专门的渗透测试工具，同时支持渗透测试工具的后续接入。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变形，这些改进和变形也应视为本发明的保护范围。

Claims

1.一种分布式安全测试系统，其特征在于，包括：人机交互模块、控制管理模块、数据库和测试工具模块；人机交互模块包括进度展示模块、测试模板模块以及工具选择模块；控制管理模块包括信息收集模块、策略制定模块、安全测试模块以及数据保存模块；

测试模板模块用于提供网络测试模板，用于选择测试模板，并能够根据测试结果生成新的模板；

工具选择模块用于发送指令给控制管理模块，以调用测试工具供选择；

进度展示模块，用于实时展示当前收集到的信息以及测试的进度信息，并提示下一步的操作；

信息收集模块用于收集测试目标的信息；

策略制定模块用于根据收集到的信息制定测试策略；

安全测试模块用于在渗透攻击时，根据在所获取的渗透攻击以及在威胁建模所匹配到的最佳攻击载荷，按照漏洞分析阶段排好序逐一发送到目标主机；

数据保存模块用于将收集到的信息以及整个测试过程日志进行保存，保存测试过程生成的测试模板到数据库；

测试工具模块集成安全测试工具供选择以及控制管理模块调用。

2.如权利要求1所述的分布式安全测试系统，其特征在于，测试工具模块包括云平台测试工具模块、Web测试工具模块、WiFi测试工具模块和数据库测试工具模块；

云平台测试工具收集测试目标的相关信息，对收集到的测试目标的相关信息进行分析，以确定适合于测试目标的渗透测试方案，基于所述渗透测试方案，调用云端资源池中相关渗透测试脚本对测试目标执行渗透测试操作；

Web测试工具的功能包括web漏洞扫描、SQL注入检测以及破解管理员用户密码；

Wifi测试工具的功能包括WiFi密码的破解、wifi热点主机端的IP、目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务以及漏洞信息；

数据库测试工具的功能包括权限控制检测、SQL注入检测、URL安全测试、XSS、CSRF、URL跳转漏洞检测以及数据库漏洞扫描。

3.如权利要求1所述的分布式安全测试系统，其特征在于，信息收集模块收集测试目标的信息包括用来获取被测试目标的IP地址类型、目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务以及漏洞。

4.如权利要求1所述的分布式安全测试系统，其特征在于，控制管理模块还包括：报告生成模块，生成测试报告对整个测试任务总结，报告包括测试目标主机的基本信息、采取的攻击方式以及测试目标存在的系统漏洞，并且根据目标主机的漏洞等级以及数量给出综合评分。

5.如权利要求1所述的分布式安全测试系统，其特征在于，还包括：插件管理器，将测试工具以插件进程的形式进行调用，需要调用某个工具时，从插件工厂获取任务相对应的插件进程实例，并启动插件进程。

6.如权利要求1所述的分布式安全测试系统，其特征在于，信息收集模块收集的测试目标的信息包括用来获取被测试目标的IP地址类型、目标主机的操作系统及版本号、当前用户名以及开放端口和对应的服务以及漏洞信息。

7.如权利要求1所述的分布式安全测试系统，其特征在于，策略制定模块的测试策略，包括需要用到的测试工具、找到最佳测试路径、以及测试工具运行顺序。

8.如权利要求1所述的分布式安全测试系统，其特征在于，测试过程完成之后从数据库里获取本次安全测试的详细信息以及安全测试结果，由控制管理模块完成测试结果融合与测试结果分析评估，生成详细的安全测试报告，通过操作界面返回给用户。