[发明专利]用于安全性测试的计算系统和方法

说明书

本文公开的示例实施例涉及基于动态污点模块来生成扫描策略。使得与应用相关联的动态污点模块启动以用于安全性测试的爬行阶段。从动态污点模块接收报告。动态污点模块被约束。扫描策略是基于报告的。

背景技术

软件安全性测试用来标识应用（诸如网络应用）中的弱点。针对基于网络软件的传统黑盒安全性测试通过使用安全性测试应用来工作，安全性测试应用通常被称为扫描器，其装作是攻击者。在黑盒方法中，扫描器通过作出超文本传输协议（HTTP）请求并且评估HTTP响应或者其不足来探索被测试应用（AUT）以便发现其中该AUT接受输入的所有URL。其中AUT接受输入的URL可以被称为AUT的攻击面（attack surface）。扫描器随后基于攻击面和可能的弱点类别来创建攻击。扫描器通过评估程序的HTTP响应来应用攻击以诊断弱点的存在或者不存在。在黑盒方法中，扫描器无法洞悉AUT的内部工作。

附图说明

以下的具体描述参考各图，其中：

图1是按照一个示例的能够基于来自动态污点模块的弱点列表来执行安全性攻击的系统的方框图；

图2A和2B是按照各种示例的能够基于由动态污点模块生成的弱点列表来攻击应用的应用安全性扫描器的方框图；

图3是按照一个示例的被测试应用的网络应用接口的图；

图4是按照一个示例的用于基于扫描策略来攻击应用的方法的流程图，其中扫描策略是基于由动态污点模块生成的弱点列表的；以及

图5是按照一个示例的能够基于弱点列表来生成对网络应用的攻击的计算设备的方框图。

具体实施方式

本文描述的实施例提供用于执行对应用（诸如网络应用）进行测试的技术。当一个公司希望知道该公司正投入生产的或者将要投入生产的网络应用有多么安全时，该公司通常使用安全性测试解决方案，诸如穿透测试解决方案（例如，扫描器的使用）。公司可能希望将投入生产的应用的副本用作是被测试的应用（AUT）。在质量保证阶段使用将投入生产的应用的AUT确保了生产中使用的应用已经被测试过。

网络应用安全性扫描器是用于找到应用（诸如网络应用）中的安全性弱点的方法。在一些场景下，爬行器（crawler）首先人工地或者自动地确定攻击面。对一些应用而言，攻击面可以是大的。

随后，扫描器仔细检查攻击面列表，并且对于在攻击面列表中的每个入口（entry），可以执行扩展的大量攻击来确定是否会有弱点发生。从攻击面中确定弱点是有挑战性的，因为扫描器可能对在应用中执行的代码具有有限的能见度（visibility）。由于有限的能见度，所以对每个攻击面入口执行一组攻击。进一步地，在某些场景中，被执行的少数攻击发现了弱点。照此，执行了许多攻击而只有少数攻击是成功的。这导致扫描器测试是耗费时间的。对于大型网站，扫描可能会花费数小时或者甚至数天来完成。用户和顾客可能希望较快速的扫描时间。

关于应用的附加洞察力信息可以帮助扫描器作出更加智能的决策，其关于应该执行什么攻击以及哪些攻击是不值得考虑的。降低攻击的数量直接改进了扫描时间。

相应地，提供方法来通过使用动态污点分析以向扫描器报告可能的弱点类别从而加速扫描过程。随后，扫描器可以基于由动态污点分析所确定的弱点类别来选择性地扫描应用。因此，可以通过将攻击面上的扫描限制为基于动态污点分析所确定的特定弱点来降低将被实行的测试数量。照此，总体的扫描可以比不使用来自动态污点分析的信息要更快。

图1是按照一个示例的能够基于来自动态污点模块的弱点列表来执行安全性攻击的系统的方框图。系统100可以包括应用安全性扫描器102和被测试应用（AUT）104。AUT 104可以在一个或者多个计算设备上实施，诸如服务器（例如，Java2平台、企业版本（J2EE）应用服务器、互联网信息服务器等等）。进一步地，AUT 104可以包括动态污点模块110。