CN111400722A - 扫描小程序的方法、装置、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种扫描小程序的方法、装置、计算机设备和存储介质。所述方法包括：获取小程序和爬虫程序；将所述爬虫程序的代码注入所述小程序的代码中，并通过所述爬虫程序对所述小程序进行触发操作，获取目标数据；对所述目标数据进行安全扫描，得到扫描结果。采用本方法能够更准确对小程序的安全性进行扫描，从而更好地对小程序进行防护。

Description

扫描小程序的方法、装置、计算机设备和存储介质

技术领域

本申请涉及计算机技术领域，特别是涉及一种扫描小程序的方法、装置、计算机设备和存储介质。

背景技术

随着计算机技术的发展，出现了小程序技术。小程序指的是基于宿主程序实现的一种不需要下载安装即可使用的应用。在小程序的运行过程中，存在与宿主程序之间的交互，也存在与服务器之间的交互；当小程序存在漏洞时，很容易泄露用户的私密信息或者其他的重要信息，导致小程序在运行过程中安全性低的问题，因此需要对小程序进行扫描。

然而，目前的扫描小程序的方法，存在扫描不准确的问题。

发明内容

基于此，有必要针对上述技术问题，提供一种能够提高准确性的扫描小程序的方法、装置、计算机设备和存储介质。

一种扫描小程序的方法，所述方法包括：

获取小程序和爬虫程序；

将所述爬虫程序的代码注入所述小程序的代码中，并通过所述爬虫程序对所述小程序进行触发操作，获取目标数据；

对所述目标数据进行安全扫描，得到扫描结果。

一种扫描小程序的装置，所述装置包括：

获取模块，用于获取小程序和爬虫程序；

触发操作模块，用于将所述爬虫程序的代码注入所述小程序的代码中，并通过所述爬虫程序对所述小程序进行触发操作，获取目标数据；

扫描模块，用于对所述目标数据进行安全扫描，得到扫描结果。

一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。

一种计算机可读存储介质，存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法的步骤。

上述扫描小程序的方法、装置、计算机设备和存储介质，获取小程序和爬虫程序；将爬虫程序的代码注入小程序的代码中，并通过爬虫程序对小程序进行触发操作，获取目标数据；通过目标数据可以获取到小程序的相关信息，因此对目标数据进行安全扫描，得到扫描结果，可以更准确地对小程序的安全性进行扫描。

附图说明

图1为一个实施例中扫描小程序的方法的应用环境图；

图2为一个实施例中扫描小程序的方法的流程示意图；

图3为一个实施例中对第一目标数据和第二目标数据进行安全扫描步骤的流程示意图；

图4为一个实施例中小程序的基础架构图；

图5为一个实施例中对第服务器的端口以及端口的服务信息进行安全扫描步骤的流程示意图；

图6为另一个实施例中扫描小程序的方法的流程示意图；

图7为一个实施例中安全报告的示意图；

图8为一个实施例中安全报告中的漏洞详情的示意图；

图9为一个实施例中扫描小程序的装置的结构框图；

图10为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请提供的扫描小程序方法，可以应用于如图1所示的应用环境中。其中，终端102通过网络与服务器104进行通信。当终端102打开小程序时，从服务器104中获取小程序；终端获取爬虫程序；将爬虫程序的代码注入小程序的代码中，并通过爬虫程序对所述小程序进行触发操作，获取目标数据；对目标数据进行安全扫描，得到扫描结果。其中，服务器104可以是独立的物理服务器，也可以是多个物理服务器构成的服务器集群或者分布式系统，还可以是提供云服务、云数据库、云计算、云函数、云存储、网络服务、云通信、中间件服务、域名服务、安全服务、CDN、以及大数据和人工智能平台等基础云计算服务的云服务器。终端102可以是智能手机、平板电脑、笔记本电脑、台式计算机、智能音箱、智能手表等，但并不局限于此。终端102以及服务器104可以通过有线或无线通信方式进行直接或间接地连接，本申请在此不做限制。

云技术(Cloud technology)是指在广域网或局域网内将硬件、软件、网络等系列资源统一起来，实现数据的计算、储存、处理和共享的一种托管技术。

云技术(Cloud technology)基于云计算商业模式应用的网络技术、信息技术、整合技术、管理平台技术、应用技术等的总称，可以组成资源池，按需所用，灵活便利。云计算技术将变成重要支撑。技术网络系统的后台服务需要大量的计算、存储资源，如视频网站、图片类网站和更多的门户网站。伴随着互联网行业的高度发展和应用，将来每个物品都有可能存在自己的识别标志，都需要传输到后台系统进行逻辑处理，不同程度级别的数据将会分开处理，各类行业数据皆需要强大的系统后盾支撑，只能通过云计算来实现。

云安全(Cloud Security)是指基于云计算商业模式应用的安全软件、硬件、用户、机构、安全云平台的总称。云安全融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，并发送到服务端进行自动分析和处理，再把病毒和木马的解决方案分发到每一个客户端。

云安全主要研究方向包括：1.云计算安全，主要研究如何保障云自身及云上各种应用的安全，包括云计算机系统安全、用户数据的安全存储与隔离、用户接入认证、信息传输安全、网络攻击防护、合规审计等；2.安全基础设施的云化，主要研究如何采用云计算新建与整合安全基础设施资源，优化安全防护机制，包括通过云计算技术构建超大规模安全事件、信息采集与处理平台，实现对海量信息的采集与关联分析，提升全网安全事件把控能力及风险控制能力；3.云安全服务，主要研究各种基于云计算平台为用户提供的安全服务，如防病毒服务等。通过云安全技术可以更安全地对小程序运行时所提供的服务、小程序的服务器环境、小程序的存储数据等进行安全防护。

在一个实施例中，如图2所示，提供了一种扫描小程序的方法，以该方法应用于图1中的终端为例进行说明，包括以下步骤：

步骤202，获取小程序和爬虫程序。

小程序指的是基于宿主程序实现的一种不需要下载安装即可使用的应用程序。宿主程序可以是微信、支付宝、或者其他的应用程序等。

终端打开小程序的宿主程序，从宿主程序中获取小程序，并运行小程序。在一种实施方式中，可以从宿主程序的小程序集合中获取到小程序。其中，小程序集合可以是用户历史上所使用过的小程序的集合，也可以是用户所收藏的小程序的集合，不限于此。

在另一种实施方式中，可以通过宿主程序调用终端的摄像头，从而打开摄像头对小程序对应的扫描码进行扫描，从而获取小程序。其中，扫描码可以是条形码、二维码等。

终端获取到小程序之后，接收小程序生成的运行指令，基于该运行指令运行获取到小程序的代码，对小程序的代码进行解析，从而运行小程序。

爬虫程序指的是按照一定的规则、自动抓取小程序的数据的程序。爬虫程序可以通过开发人员设计得到。例如，爬虫程序可以采集小程序的页面中的图片、文本、视频等数据；爬虫程序也可以模拟用户的行为在输入框中输入数据，爬虫程序还可以模拟用户的行为点击小程序的页面中的按钮，从而跳转至小程序的下一个页面中，不限于此。

步骤204，将爬虫程序的代码注入小程序的代码中，并通过爬虫程序对小程序进行触发操作，获取目标数据。

通过爬虫程序对小程序进行触发操作，可以包括对小程序的页面中的数据进行采集、对小程序的页面中的输入框中输入数据、对小程序的页面中的按钮进行点击、对小程序所调用的接口以及调用的数据进行采集，等等。

目标数据指的是爬虫程序对小程序进行触发操作之后所产生的数据。例如，对小程序的页面中的数据进行采集，可以采集到的目标数据为小程序的页面中所包括的元素，如图片、文本、视频、音频等；对小程序的页面中的输入框中输入数据以及对小程序的页面中的按钮进行点击，可以采集到的目标数据时所输入的数据以及网络请求等CGI(CommonGateway Interface，通用网关接口)数据。其中，CGI是一种重要的网络技术，可以让一个客户端，从浏览器向执行在网络服务器上的程序请求数据，并描述服务器和请求处理程序之间传输数据标准。

具体地，小程序的代码包括第一渲染层代码和第一逻辑层代码，爬虫程序的代码包括第二渲染层代码和第二逻辑层代码。将爬虫程序的第二渲染层代码注入至小程序的第一渲染层代码的尾部；调用v8引擎(JavaScript引擎)接口将爬虫程序的第二逻辑层代码注入小程序的第一逻辑层代码中。

渲染层用于将数据表现出来，例如将各个元素显示在界面中。逻辑层用于生成数据以及对数据进行处理，例如传递数据、对数据进行校验、调用接口等。第一渲染层代码指的是小程序的渲染层的代码。第一逻辑层代码指的是小程序的逻辑层的代码。第二渲染层代码指的是爬虫程序的渲染层的代码。第二逻辑层代码指的是爬虫程序的逻辑层的代码。

步骤206，对目标数据进行安全扫描，得到扫描结果。

在终端中，可以安装有宿主程序和扫描应用程序。宿主程序中包括有小程序，小程序运行于宿主程序中。扫描应用程序用于对目标数据进行安全扫描，从而得到扫描结果。在扫描应用程序中，可以包括有一个或者至少两个扫描项，每一个扫描项具有特定的扫描功能。每一个扫描项可以依据该扫描项所定义的规则对目标数据进行修改、编码、解码等操作。

例如，扫描项A可以对代码进行安全扫描，检测代码中是否包括有测试接口标识、密钥等数据；扫描项B可以对网络请求中的数据进行安全扫描，从而判断小程序生成的网络请求中是否包含漏洞；扫描项C可以对与小程序进行交互的服务器的端口进行扫描，从而判断小程序所使用的服务器的环境安全。

上述扫描小程序的方法，获取小程序和爬虫程序；将爬虫程序的代码注入小程序的代码中，并通过爬虫程序对小程序进行触发操作，获取目标数据；通过目标数据可以获取到小程序的相关信息，因此对目标数据进行安全扫描，得到扫描结果，可以更准确地对小程序的安全性进行扫描。

在一个实施例中，如图3所示，通过爬虫程序对小程序进行触发操作，获取目标数据，包括：

步骤302，通过爬虫程序获取小程序生成的网络请求，并获取网络请求中的第一目标数据。

第一目标数据指的是网络请求中所包括的数据。例如，第一目标数据可以包括网络请求所对应的服务器的标识、网络请求的网址、网络请求所请求的服务和数据等其中的至少一种。

具体地，通过爬虫程序采用hook技术可以截获小程序中所生成的网络请求，从而获取网络请求中的第一目标数据。其中，hook(钩子)技术是一种特殊的消息处理机制，它可以监视系统或者进程中的各种事件消息，截获发往目标窗口的消息并进行处理。hook技术可以用来监视系统中特定事件的发生，完成特定功能，如屏幕取词，监视日志，截获键盘以及鼠标的输入等等。

步骤304，通过爬虫程序截获小程序从宿主程序中所获取的第二目标数据；第二目标数据是小程序加载时从宿主程序的后台服务器中所获取的小程序的代码。

可以理解的是，小程序运行于宿主程序中，当在宿主程序中第一次加载小程序时，通过宿主程序从宿主程序的后台服务器中获取小程序的代码。

具体地，当终端获取到小程序的加载指令时，获取小程序的宿主程序的用户标识，并将小程序的加载指令和宿主程序的用户标识发送至宿主程序的后台服务器中；该宿主程序的用户标识用于指示后台服务器判断该用户标识是否具有权限访问该小程序；接收后台服务器发送的该小程序的资源包；小程序的资源包是后台服务器判断该用户标识具有权限访问该小程序时发送的；该小程序的资源包中包括小程序的代码。

终端获取到该小程序的资源包之后，可以对该资源包进行解析，获取到该小程序的代码。终端在获取到该小程序的资源包之后，基于该资源包创建小程序的进程，运行该小程序。

当后台服务器判断该用户标识不具有权限访问该小程序时，生成提示信息并返回至终端。提示信息中可以包括该用户标识不具有权限访问该小程序的文本信息，还可以包括该用户标识获取到访问该小程序的权限的操作。

同样地，爬虫程序可以采用hook技术可以截获小程序从宿主程序中所获取的第二目标数据，即小程序的代码。

对目标数据进行安全扫描，得到扫描结果，包括：

步骤306，对第一目标数据进行安全扫描，得到第一扫描结果。

第一扫描结果指的是对第一目标数据进行安全扫描得到的结果。

终端中包括有扫描应用程序，扫描应用程序可以包括有一个或者至少两个扫描项，每一个扫描项具有特定的扫描功能。通过扫描应用程序中的各个扫描项分别对第一目标数据进行安全扫描，可以得到每个扫描项得到的扫描结果，再将每个扫描项得到的扫描结果汇总得到第一扫描结果。

步骤308，对第二目标数据进行安全扫描，得到第二扫描结果。

第二扫描结果指的是对第二目标数据进行安全扫描得到的结果。

通过扫描应用程序中的各个扫描项分别对第二目标数据进行安全扫描，可以得到每个扫描项得到的扫描结果，再将每个扫描项得到的扫描结果汇总得到第二扫描结果。

对第二目标数据进行安全扫描，得到第二扫描结果，具体地，将第二目标数据与参考安全数据进行匹配，得到匹配结果；基于匹配结果得到第二扫描结果。

参考安全数据指的是用于与第二目标数据即小程序的代码进行匹配的数据。通过匹配结果可以确定第二目标数据即小程序的代码的安全性，再基于匹配结果可以得到第二扫描结果。

例如，通过终端的扫描应用程序中测试接口扫描项，将小程序的代码与各个测试接口标识进行匹配，当小程序的代码中匹配到“https://10.x.x.x/test/addyyy”测试接口标识时，表示小程序的代码中包括了该测试接口标识，则存在内部测试接口暴露的安全风险，因此第二扫描结果中可以增加一条漏洞信息，即小程序的代码中存在内部测试接口暴露的风险。其中，各个测试接口标识是参考安全数据。

在一种实施方式中，终端可以采用扫描应用程序中的每一个扫描项分别对第一目标数据进行安全扫描，得到第一扫描结果；终端可以采用扫描应用程序中的每一个扫描项分别对第二目标数据进行安全扫描，得到第二扫描结果。

在另一种实施方式中，可以从扫描应用程序的各个扫描项中确定第一扫描项和第二扫描项；采用第一扫描项对第一目标数据进行安全扫描，得到第一扫描结果；采用第二扫描项对第二目标数据进行安全扫描，得到第二扫描结果。

第一扫描项用于对第一目标数据进行扫描，第二扫描项用于对第二目标数据进行扫描。在终端中可以预先设置扫描项与数据的对应关系，将第一目标数据与该对应关系进行匹配，可以确定第一目标数据对应的第一扫描项；将第二目标数据与该对应关系进行匹配，可以确定第二目标数据对应的第二扫描项。

例如，在终端中预先设置扫描项与数据的对应关系为：扫描项A1-数据B1，扫描项A2-数据B2，扫描项A3-数据B3，当第一目标数据为B1时，则第一扫描项为A1，当第二目标数据为B3时，则第二扫描项为A3。

在本实施例中，通过爬虫程序获取小程序生成的网络请求，并获取网络请求中的第一目标数据；通过爬虫程序截获小程序从宿主程序中所获取的第二目标数据；第二目标数据是小程序加载时从宿主程序的后台服务器中所获取的小程序的代码；分别对第一目标数据和第二目标数据进行安全扫描，可以准确地对小程序的安全性进行扫描。

在一个实施例中，如图4所示为小程序的基础架构图，402为宿主程序，宿主程序中包括Native API(本地接口)，通过Native API可以与小程序进行通信，通过Native API也可以与宿主程序的后台服务器的开放接口进行通信；404为小程序，小程序中包括逻辑层模块(UI:webview)和渲染层模块(Logic:javascript)，逻辑层模块和渲染层模块可以进行通信；小程序的逻辑层模块也可以与宿主程序402的Native API进行通信；406为第三方服务器，即小程序生成的网络请求对应的服务器，第三方服务器406与小程序404可以通过Websocket协议、http协议、https协议进行通信；408为宿主程序的后台服务器，包括开放接口，通过开放接口可以与宿主程序402进行通信，通过开放接口也可以与第三方服务器406进行通信。当宿主程序402为微信应用程序时，则宿主程序402的后台服务器408为微信服务器。

当第一次加载小程序时，通过宿主程序402向宿主程序的后台服务器408获取小程序的资源包，解析资源包从而创建小程序404。

在一个实施例中，通过爬虫程序获取小程序生成的网络请求，包括：通过爬虫程序从小程序生成的页面中获取各个元素的数据；元素的数据包括元素的类型；当元素的类型为输入类型时，通过爬虫程序获取输入数据；将输入数据输入元素中，生成小程序的网络请求。

在小程序的页面中，可以包括各种元素，如图片、文本、链接、视频、导航栏等。通过爬虫程序遍历小程序的页面中的各个元素，并获取各个元素的数据。元素的数据可以包括元素的类型，还可以包括元素的数据量大小、元素的位置、元素的大小等。其中，元素的类型例如输入类型、图片类型、文本类型、链接类型等。

获取小程序生成的页面中各个元素的数据，元素的数据包括元素的类型；从各个元素的数据中筛选出元素的类型为输入类型的元素。当元素的类型为输入类型时，则需要对该元素输入数据，从而可以获取生成的网络请求。例如，该元素的类型为登录按钮，则需要对该元素输入登录指令，可以点击或者滑动方块至预设位置等，从而生成登录页面的网络请求。又如，该元素的类型为链接，则需要对该元素输入点击指令，可以点击或者执行预设的操作，从而生成下一个页面的网络请求。又如，该元素的类型为地址输入框，则需要对该元素输入地址信息，从而生成下一个页面的网络请求。

爬虫程序可以遍历小程序的每一个页面，以及每一个页面中的每一个元素，从每一个元素中筛选出输入类型的元素，从而获取到小程序所生成的所有的网络请求。

在本实施例中，通过爬虫程序从小程序生成的页面中获取各个元素的数据；元素的数据包括元素的类型；当元素的类型为输入类型时，通过爬虫程序模拟用户行为获取输入数据，再将输入数据输入元素中，可以获取到生成小程序的网络请求，从而可以获取到小程序更完整的数据，更准确对小程序进行安全扫描。

在一个实施例中，对第一目标数据进行安全扫描，得到第一扫描结果，包括：对第一目标数据进行修改，得到修改数据，并将修改数据发送至网络请求对应的服务器；接收服务器基于修改数据返回的返回数据；基于返回数据得到第一扫描结果。

修改数据指的是对第一目标数据进行修改之后得到的数据。返回数据指的是服务器在接收到修改数据之后所生成的并返回至终端的数据。

在一种实施方式中，为了提高扫描的效率，可以从第一目标数据中提取出关键数据，对关键数据进行修改，得到修改数据。可以理解的是，当第一目标数据的数据量较大时，从第一目标数据中提取出关键数据，对关键数据进行安全扫描，可以提高扫描的效率。

可以理解的是，当服务器中具有网络防火墙时，可以拦截到具有漏洞的网络请求或者数据，从而生成不包含漏洞的返回数据返回至终端；当服务器中不具有网络防火墙时，无法拦截到具有漏洞的网络请求或者数据，则返回数据中仍存在包含有漏洞的数据。因此，终端可以基于服务器返回的返回数据确定第一扫描结果，可以更准确地对第一目标数据所处的服务器环境进行安全扫描。

在一个实施例中，对第一目标数据进行修改，得到修改数据，包括：在第一目标数据中插入风险代码，得到修改数据。基于返回数据得到第一扫描结果，包括：当返回数据中包含风险代码时，确定小程序的服务器环境的安全性为第一安全性；当返回数据中不包含风险代码时，确定小程序的服务器环境的安全性为第二安全性；第二安全性高于第一安全性。

小程序的服务器环境指的是小程序与服务器进行交互的应用环境。风险代码指的是包含风险的代码。例如，风险代码可以是密钥、宿主程序测试接口的标识、用户的隐私数据、恶意代码等其中的至少一种。当第一目标数据中包括有风险代码时，则小程序在运行的过程中存在数据丢失、运行错误等问题。例如，小程序的资源包中包括有密钥时，则小程序在加载的过程中可能造成密钥丢失；小程序的代码中包括有宿主程序测试接口的标识，则小程序在加载的过程中可能会泄露宿主程序测试接口的标识，从而造成宿主程序内部数据的丢失。

因此，终端中的扫描应用程序在第一目标数据中插入风险代码，得到修改数据，并将修改数据发送至网络请求对应的服务器，判断服务器是否具有检测小程序数据的安全性的功能。

当返回数据中包含风险代码时，表示服务器中不包含网络防火墙，即不具有检测小程序数据的安全性的功能，则小程序的服务器环境的安全性低。当返回数据中不包含风险代码时，表示服务器中包含网络防火墙，可以对小程序数据的安全性进行检测，小程序的服务器环境的安全性高。也就是说，第二安全性高于第一安全性。

例如，在第一目标数据中插入风险代码“<img src＝alert(1)/>”，得到修改数据，并将修改数据发送至网络请求对应的服务器，当接收的返回数据中包含风险代码“<imgsrc＝alert(1)/>”时，确定小程序的服务器环境的安全性为第一安全性；当接收的返回数据中不包含风险代码“<img src＝alert(1)/>”时，确定小程序的服务器环境的安全性为第二安全性；第二安全性高于第一安全性。

在本实施例中，通过判断服务器返回的返回数据是否包含风险代码，可以确定小程序的服务器环境的安全性，从而可以更全面、更准确地对小程序进行安全扫描。并且，在第一目标数据中插入风险代码，得到修改数据，将修改数据发送至服务器中，根据服务器返回的返回数据可以判断出服务器对一些业务请求的处理是否得当，从而可以得到与小程序进行交互的服务器的业务逻辑安全性。

在一个实施例中，如图5所示，获取网络请求中的第一目标数据之后，还包括：

步骤502，从第一目标数据中获取网络请求对应的服务器的标识。

在网络请求中包括有服务器的标识，还可以包括有服务器的网址、服务器的位置、服务器的设备提供者等等。可以理解的是，服务器的标识具有唯一性，根据服务器的标识可以唯一查找到该服务器。

步骤504，根据服务器的标识查找到服务器，获取服务器的端口，以及端口的服务信息。

服务器的端口指的是服务器与外界进行通讯的出口。服务器包含有一个或者至少两个端口，不同的端口可以提供不同的服务，也可以提供相同的服务。当识别出端口提供的服务时，则可以从该端口获取到服务信息。例如，端口A可以提供Web(网络)服务，端口A的服务信息为Web信息；端口B可以提供FTP(File Transfer Protocol，文件传输协议)服务，端口B的服务信息为FTP信息；端口C可以提供SMTP(Simple Mail Transfer Protocol，简单邮件传输协议)服务，端口C的服务信息为SMTP信息。

具体地，判断端口提供的服务的方式，包括：连接服务器的端口；获取各个服务请求，并将各个服务请求发送至该服务器的端口；接收该服务器的端口返回的各个信息，将返回的各个信息分别与各个服务请求所对应的参考信息进行匹配；基于返回的信息与参考信息相匹配的服务请求，判断该端口提供的服务。

例如，服务请求为FTP登录指令，将该FTP登录指令发送至服务器的端口，接收该服务器的端口返回的信息，当该信息与FTP登录指令所对应的参考信息相匹配时，则该服务器的端口所提供的服务为FTP服务。

步骤506，对服务器的端口，以及端口的服务信息进行安全扫描，得到第三扫描结果。

第三扫描结果指的是对服务器的端口，以及端口的服务信息进行安全扫描得到的结果。通过第三扫描结果可以判断出小程序的服务器环境的安全性。

在一种实施方式中，在终端中的扫描应用程序中包含有至少一个扫描项，每一个扫描项具有特定的功能。当扫描项为FTP的弱口令测试扫描项时，对服务器的端口进行弱口令攻击，若攻击成功，则该端口的安全性低；若攻击不成功，则该端口的安全性高。其中，弱口令(weak password)指的是容易被猜测到或被破解工具破解的口令。

在本实施例中，从第一目标数据中获取网络请求对应的服务器的标识；根据服务器的标识查找到服务器，获取服务器的端口，以及端口的服务信息；则罗对服务器的端口，以及端口的服务信息进行安全扫描，从而可以判断出小程序的服务器环境的安全性，可以更准确对小程序的安全性进行扫描。

在一个实施例中，上述方法还包括：通过爬虫程序实时监控小程序的宿主程序的接口，并获取宿主程序的接口所调用的数据；宿主程序的接口所调用的数据是小程序运行过程中所请求的数据；对所调用的数据进行安全扫描，得到第四扫描结果。

宿主程序的接口(Application Programming Interface，API)是一些预先定义的函数，或指软件系统不同组成部分衔接的约定。第四扫描结果指的是对宿主程序的接口所调用的数据进行安全扫描得到的结果。通过第四扫描结果可以确定小程序从宿主程序中所请求的数据的安全性。

可以理解的是，小程序是基于宿主程序运行的，当小程序在运行的过程中需要请求数据时，通过宿主程序的接口进行调用数据。例如，小程序为具有支付功能的外卖小程序，在该外卖小程序中下单之后进行支付时，需要通过宿主程序的接口获取账户余额，从而判断是否该余额是否足够进行支付。

在小程序运行的过程中，通过爬虫程序实时监控宿主程序的接口，并获取宿主程序的接口所调用的数据，通过终端中的扫描器对所调用的数据进行安全扫描，可以检测出所调用的数据是否安全，从而更准确地对小程序进行扫描。

例如，当宿主程序的接口所调用的数据中包括参数“secret_key”时，则对宿主程序的接口所调用的数据进行安全扫描，可以扫描到宿主程序的接口所调用的数据中包括有参数“secret_key”，因此判断宿主程序的接口使用不规范，从而导致私钥泄露，则可以规范对该宿主程序的接口的使用，从而避免密钥的泄露，提高小程序的安全性。

在一个实施例中，终端中安装有宿主程序和扫描应用程序，宿主程序中包括有小程序，小程序基于宿主程序运行，将爬虫程序的代码注入小程序的代码之后，通过爬虫程序获取第一目标数据、第二目标数据即小程序的代码以及获取宿主程序的接口所调用的数据，将第一目标数据、第二目标数据即小程序的代码以及获取宿主程序的接口所调用的数据进行编码，得到编码数据，并将编码数据发送至扫描应用程序。

编码方式可以是Base64编码方式。将数据进行编码之后再进行传输，可以提高数据在传输过程中的安全性。当扫描应用程序接收到编码数据之后，对编码数据进行解码，可以得到第一目标数据、第二目标数据即小程序的代码以及获取宿主程序的接口所调用的数据。小程序也可以将编码数据存储在本地存储器中如缓存，当需要用到该编码数据时，从本地存储器中获取。

在一个实施例中，如图6所示，在终端中安装有宿主程序606和扫描应用程序618，小程序612基于宿主程序606运行。602是Web前端，可以是上述终端中的Web前端，也可以是其他终端中的Web前端。

Web前端602执行步骤604，请求开始扫描，并将扫描请求发送至宿主程序606中。宿主程序执行步骤608，收到扫描请求；执行步骤610，拉起小程序。步骤610具体可以是：在宿主程序的运行过程中，获取小程序拉起代码，将小程序拉起代码注入宿主程序的进程中；通过小程序拉起代码获取小程序的信息，并将小程序的信息输入拉起小程序的接口中，从而拉起小程序。其中，小程序的信息包括小程序的标识(appid)、用户标识(userid)等。当宿主程序收到结束指令时，根据结束指令关系调用kill函数结束小程序的进程。

小程序612被拉起之后，获取爬虫程序，执行步骤614，将爬虫程序的代码主图小程序的代码中；执行步骤616，通过所述爬虫程序对所述小程序进行触发操作，获取目标数据，并将目标数据发送至扫描应用程序618。

扫描应用程序618接收到目标数据时，执行步骤620，对目标数据进行安全扫描；执行步骤622，得到扫描结果，生成安全报告；执行步骤624，通知扫描完成，并将扫描完成的信息发送至Web前端602。Web前端602接收到扫描完成的通知时，执行步骤626，确定扫描完成；执行步骤628，获取安全报告，并将获取指令发送至扫描应用程序618。扫描应用程序618获取到获取指令时，执行步骤630，查询安全报告，并将安全报告发送至Web前端602。Web前端602接收到安全报告时，执行步骤632，展示安全报告。

在一个实施例中，基于第一扫描结果、第二扫描结果、第三扫描结果和第四扫描结果，生成小程序的安全报告。在安全报告中可以包括小程序的安全评分、小程序存在的漏洞、漏洞详情等。

在一个实施例中，安全报告如图7所示，安全报告可以分为三个部分，分别包括1、安全评分；2、漏洞列表；3、扫描详情。如图7所示，对小程序进行安全扫描得到的安全评分为50分。在安全评分中，还可以包括漏洞统计，如图7所示，小程序中存在3个高危漏洞。

如图7所示，在漏洞列表中，分别包括漏洞ID，漏洞标题和危险等级。漏洞ID为1的漏洞存在代码未加固的问题，危险等级高；漏洞ID为2的漏洞存在访问外部链接的问题，危险等级高；漏洞ID为3的漏洞存在存储型XSS的问题，危险等级高。

如图7所示，在扫描详情中，分别包括测试项、风险等级和测试结果。其中，在通用web安全中，对反射型XSS进行安全扫描，风险等级为中，测试结果为安全；对存储型XSS进行安全扫描，风险等级为高，测试结果为存在风险(发现一处)；对DOM XSS进行安全扫描，风险等级为中，测试结果为安全。

在另一个实施例中，如图8所示为漏洞“访问外部链接”的详情示意图。漏洞“访问外部链接”的严重等级：高危。漏洞风险项：通用web安全/URL跳转/重定向漏洞。漏洞描述：接口：https://xxx.com；方法：GET；数据类型：Unknow；漏洞说明：对请求头部参数“X-Forwarded-For”进行测试，当修改为恶意IP或地址，恶意IP或地址可收到请求数据；请求数据：GET/HTTP/1.1。漏洞影响面：攻击者可构造恶意链接，对后台服务器进行fuzz测试，引发不确定的功绩行为。修复建议：完善后台外部请求策略。

应该理解的是，虽然图2、图3和图5的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2、图3和图5中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图9所示，提供了一种扫描小程序的装置900，该装置可以采用软件模块或硬件模块，或者是二者的结合成为计算机设备的一部分，该装置具体包括：获取模块902、触发操作模块904和扫描模块906，其中：

获取模块902，用于获取小程序和爬虫程序。

触发操作模块904，用于将爬虫程序的代码注入小程序的代码中，并通过爬虫程序对小程序进行触发操作，获取目标数据。

扫描模块906，用于对目标数据进行安全扫描，得到扫描结果。

上述扫描小程序的装置，获取小程序和爬虫程序；将爬虫程序的代码注入小程序的代码中，并通过爬虫程序对小程序进行触发操作，获取目标数据；通过目标数据可以获取到小程序的相关信息，因此对目标数据进行安全扫描，得到扫描结果，可以更准确地对小程序的安全性进行扫描。

在一个实施例中，上述触发操作模块904还用于通过爬虫程序获取小程序生成的网络请求，并获取网络请求中的第一目标数据；通过爬虫程序截获小程序从宿主程序中所获取的第二目标数据；第二目标数据是小程序加载时从宿主程序的后台服务器中所获取的小程序的代码。上述扫描模块906还用于对第一目标数据进行安全扫描，得到第一扫描结果；对第二目标数据进行安全扫描，得到第二扫描结果。

在一个实施例中，上述触发操作模块904还用于通过爬虫程序从小程序生成的页面中获取各个元素的数据；元素的数据包括元素的类型；当元素的类型为输入类型时，通过爬虫程序获取输入数据；将输入数据输入元素中，生成小程序的网络请求。

在一个实施例中，上述扫描模块906还用于对第一目标数据进行修改，得到修改数据，并将修改数据发送至网络请求对应的服务器；接收服务器基于修改数据返回的返回数据；基于返回数据得到第一扫描结果。

在一个实施例中，上述扫描模块906还用于在第一目标数据中插入风险代码，得到修改数据；当返回数据中包含风险代码时，确定小程序的服务器环境的安全性为第一安全性；当返回数据中不包含风险代码时，确定小程序的服务器环境的安全性为第二安全性；第二安全性高于第一安全性。

在一个实施例中，上述扫描模块906还用于从第一目标数据中获取网络请求对应的服务器的标识；根据服务器的标识查找到服务器，获取服务器的端口，以及端口的服务信息；对服务器的端口，以及端口的服务信息进行安全扫描，得到第三扫描结果。

在一个实施例中，上述扫描模块906还用于通过爬虫程序实时监控小程序的宿主程序的接口，并获取宿主程序的接口所调用的数据；宿主程序的接口所调用的数据是小程序运行过程中所请求的数据；对所调用的数据进行安全扫描，得到第四扫描结果。

关于扫描小程序的装置的具体限定可以参见上文中对于扫描小程序的方法的限定，在此不再赘述。上述扫描小程序的装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是终端，其内部结构图可以如图10所示。该计算机设备包括通过系统总线连接的处理器、存储器、通信接口、显示屏和输入装置。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的通信接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、运营商网络、NFC(近场通信)或其他技术实现。该计算机程序被处理器执行时以实现一种扫描小程序的方法。该计算机设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该计算机设备的输入装置可以是显示屏上覆盖的触摸层，也可以是计算机设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。

本领域技术人员可以理解，图10中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，还提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现上述各方法实施例中的步骤。

在一个实施例中，提供了一种计算机可读存储介质，存储有计算机程序，该计算机程序被处理器执行时实现上述各方法实施例中的步骤。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-Only Memory，ROM)、磁带、软盘、闪存或光存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic Random Access Memory，DRAM)等。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种扫描小程序的方法，其特征在于，所述方法包括：

获取小程序和爬虫程序；

将所述爬虫程序的代码注入所述小程序的代码中，并通过所述爬虫程序对所述小程序进行触发操作，获取目标数据；

对所述目标数据进行安全扫描，得到扫描结果。

2.根据权利要求1所述的方法，其特征在于，所述通过所述爬虫程序对所述小程序进行触发操作，获取目标数据，包括：

通过所述爬虫程序获取所述小程序生成的网络请求，并获取所述网络请求中的第一目标数据；

通过所述爬虫程序截获所述小程序从宿主程序中所获取的第二目标数据；所述第二目标数据是所述小程序加载时从所述宿主程序的后台服务器中所获取的所述小程序的代码；

所述对所述目标数据进行安全扫描，得到扫描结果，包括：

对所述第一目标数据进行安全扫描，得到第一扫描结果；

对所述第二目标数据进行安全扫描，得到第二扫描结果。

3.根据权利要求2所述的方法，其特征在于，所述通过所述爬虫程序获取所述小程序生成的网络请求，包括：

通过所述爬虫程序从所述小程序生成的页面中获取各个元素的数据；所述元素的数据包括所述元素的类型；

当所述元素的类型为输入类型时，通过所述爬虫程序获取输入数据；

将所述输入数据输入所述元素中，生成所述小程序的网络请求。

4.根据权利要求2所述的方法，其特征在于，所述对所述第一目标数据进行安全扫描，得到第一扫描结果，包括：

对所述第一目标数据进行修改，得到修改数据，并将所述修改数据发送至所述网络请求对应的服务器；

接收所述服务器基于所述修改数据返回的返回数据；

基于所述返回数据得到第一扫描结果。

5.根据权利要求4所述的方法，其特征在于，所述对所述第一目标数据进行修改，得到修改数据，包括：

在所述第一目标数据中插入风险代码，得到修改数据；

所述基于所述返回数据得到第一扫描结果，包括：

当所述返回数据中包含所述风险代码时，确定所述小程序的服务器环境的安全性为第一安全性；

当所述返回数据中不包含所述风险代码时，确定所述小程序的服务器环境的安全性为第二安全性；所述第二安全性高于所述第一安全性。

6.根据权利要求2所述的方法，其特征在于，所述获取所述网络请求中的第一目标数据之后，还包括：

从所述第一目标数据中获取所述网络请求对应的服务器的标识；

根据所述服务器的标识查找到所述服务器，获取所述服务器的端口，以及所述端口的服务信息；

对所述服务器的端口，以及所述端口的服务信息进行安全扫描，得到第三扫描结果。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

通过所述爬虫程序实时监控所述小程序的宿主程序的接口，并获取所述宿主程序的接口所调用的数据；所述宿主程序的接口所调用的数据是所述小程序运行过程中所请求的数据；

对所调用的数据进行安全扫描，得到第四扫描结果。

8.一种扫描小程序的装置，其特征在于，所述装置包括：

获取模块，用于获取小程序和爬虫程序；

触发操作模块，用于将所述爬虫程序的代码注入所述小程序的代码中，并通过所述爬虫程序对所述小程序进行触发操作，获取目标数据；

扫描模块，用于对所述目标数据进行安全扫描，得到扫描结果。

9.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述的方法的步骤。

10.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的方法的步骤。

Images