[发明专利]安全漏洞检测方法及装置

权利要求书

1.一种安全漏洞检测方法，其特征在于，包括：

记录在待测试程序执行第一测试用例的过程中产生的测试信息，其中，所述测试信息包括测试指令；

从所述测试指令中获取所述待测试程序执行所述第一测试用例时的执行逻辑；

基于所述执行逻辑生成第二测试用例；

在所述待测试程序中执行所述第二测试用例；

其中，所述测试信息还包括：所述待测试程序在执行所述第一测试用例的过程中调用的应用程序编程接口API的信息，在记录在待测试程序执行第一测试用例的过程中产生的测试信息之后，所述安全漏洞检测方法还包括：

将所述待测试程序在执行所述第一测试用例的过程中调用的所述API与预设的危险API进行匹配处理，其中，所述预设的危险API为预先获取的用于触发安全漏洞的API；

在所述待测试程序调用的API中存在与所述预设的危险API相匹配的第一API的情况下，确认所述待测试程序中存在所述安全漏洞。

2.根据权利要求1所述的安全漏洞检测方法，其特征在于，

从所述测试指令中获取所述待测试程序执行所述第一测试用例时的执行逻辑包括：从所述测试指令中提取所述待测试程序的一个或多个约束表达式，其中，所述约束表达式用于表示所述待测试程序中的逻辑运算关系；

基于所述执行逻辑生成第二测试用例包括：生成满足所述一个或多个约束表达式的所述第二测试用例。

3.根据权利要求2所述的安全漏洞检测方法，其特征在于，所述生成满足所述一个或多个约束表达式的所述第二测试用例包括：

生成取值满足所述逻辑运算关系的所述第二测试用例。

4.根据权利要求2所述的安全漏洞检测方法，其特征在于，生成满足所述一个或多个约束表达式的所述第二测试用例包括：

检测预设约束数据集合中是否存在所述一个或多个约束表达式，其中，预设约束数据集合中包括一个或多个预设的约束表达式；

在所述预设约束数据集合中不存在所述一个或多个约束表达式中任意一个所述约束表达式的情况下，生成满足不存在于所述预设约束数据集合中的所述约束表达式的所述第二测试用例，并将所述约束表达式保存入所述预设约束数据集合；

在所述预设约束数据集合中存在所有所述约束表达式的情况下，结束安全漏洞检测流程。

5.根据权利要求1至4中任意一项所述的安全漏洞检测方法，其特征在于，所述安全漏洞检测方法还包括：

获取所述待测试程序调用所述第一API的调用信息，生成漏洞报告。

6.一种安全漏洞检测装置，其特征在于，包括：

记录模块，用于记录在待测试程序执行第一测试用例的过程中产生的测试信息，其中，所述测试信息包括测试指令；

第一获取模块，用于从所述测试指令中获取所述待测试程序执行所述第一测试用例时的执行逻辑；

测试用例生成模块，用于基于所述执行逻辑生成第二测试用例；

执行模块，用于在所述待测试程序中执行所述第二测试用例；

其中，所述测试信息还包括：所述待测试程序在执行所述第一测试用例的过程中调用的应用程序编程接口API的信息，所述安全漏洞检测装置还包括：

匹配模块，用于将所述待测试程序在执行所述第一测试用例的过程中调用的所述API与预设的危险API进行匹配处理，其中，所述预设的危险API为预先获取的用于触发安全漏洞的API；

确定模块，用于在所述待测试程序调用的API中存在与所述预设的危险API相匹配的第一API的情况下，确认所述待测试程序中存在所述安全漏洞。

7.根据权利要求6所述的安全漏洞检测装置，其特征在于，

所述第一获取模块包括：提取模块，用于从所述测试指令中提取所述待测试程序的一个或多个约束表达式，其中，所述约束表达式用于表示所述待测试程序中的逻辑运算关系；

所述测试用例生成模块包括：第一生成模块，用于生成满足所述一个或多个约束表达式的所述第二测试用例。