[发明专利]一种对协议实现进行安全测试的方法及装置

摘要

本发明提供了一种对协议实现进行安全测试的方法及装置。方法包括：将协议规范映射为第一协议状态模型；向第一协议状态模型引入非法状态形成第二协议状态模型；利用断言来表征第一协议状态模型/第二协议状态模型的测试目标，利用文法约束来表征此模型合法输入报文的文法规则；对第二协议状态模型执行行为变异操作生成变异的协议状态模型并执行模型检测，将得到的违反断言的反例映射为测试序列；对测试序列执行文法变异操作生成包含变异的测试报文的测试序列，将其中包含有效变异报文的作为测试用例；利用测试用例对协议实现进行模糊测试，以检测协议实现中存在的安全漏洞。采用本发明实施例能以高效及低成本实现协议安全测试。

主权项

一种对协议实现进行安全测试的方法，该方法包括：将所述协议实现所基于的协议规范映射为第一协议状态模型；向所述第一协议状态模型引入非法状态以形成第二协议状态模型；其中，所述非法状态与所述协议实现中存在的安全故障相对应；利用断言来表征所述第一协议状态模型和/或第二协议状态模型的测试目标；利用文法约束来表征所述第二协议状态模型和/或第一协议状态模型的合法输入报文的文法规则；对所述第二协议状态模型执行行为变异操作，生成变异的协议状态模型；根据所述断言对所述变异的协议状态模型执行模型检测，生成一个或多个违反所述断言的反例，将所述反例映射为测试序列；对所述测试序列执行文法变异操作，生成包含变异报文的变异测试序列，每个测试序列生成包含一个或多个变异报文的变异测试序列；根据所述文法约束对所述变异测试序列中的变异报文执行文法检测，得到所述变异报文中违反所述文法约束的有效变异报文，将包含所述有效变异报文的变异测试序列作为测试用例；及，利用所述测试用例对所述协议实现进行模糊测试，以检测所述协议实现中是否存在与所述一个或多个测试用例对应的安全漏洞。