[发明专利]一种基于消息组合变异的服务脆弱性测试方法

摘要

本发明的目的是提供一种基于SOAP消息变异的Web服务脆弱性测试方法，利用变异后的SOAP消息作为测试用例，将其运行后的结果与原始消息的响应结果对比分析，故可发现Web服务中存在的安全漏洞，及时对其进行修复，从一定程度上提高服务安全性，改善服务质量。本专利主要解决在当前对于多参数SOAP消息每次只能进行一次变异的局限性。系统由四个部分组成，最上层负责解析WSDL文档，第二层对消息进行变异，第三层产生测试用例，最后分析测试结果，给出测试报告。最主要的是消息变异和测试用例生成两个部分。经检验证明本专利技术1.与单一变异的测试用例相比，组合测试用例能够检测的错误更多；2.检测出同样多个错误组合测试用例所需的个数更少。

主权项

一种基于消息组合变异的服务脆弱性测试方法，其特征在于该测试方法的具体实现步骤如下：步骤1)向服务提供者获得服务和服务描述语言WSDL文件；步骤2)对服务描述语言WSDL文件进行解析获得原始的简单对象访问协议SOAP消息；步骤3)通过系统映射命名空间的代理类得到与服务名相同的类对象，同样方法可以读取简单对象访问协议SOAP消息包含的所有方法、参数名称和参数的类型；步骤4)若服务只有一个参数，调用模糊数据变异算法，否则转步骤5；步骤4.1)若参数为字符串型，将随机字符串利用变异算子FVS和算子LSV生成格式化字符串和超长字符串；步骤4.2)若参数类型为数值型，调用平均分布随机数算法平均分布随机数ADFA生成一个随机数，采用算子IIV生成边界值测试用例；步骤4.3)若参数类型为对象型，给对象的每个域赋随机值，并结合变异算子SDN对每个域做增加删除节点处理；步骤5)调用组合变异算法，生成组合变异测试用例；步骤5.1)分析服务中相关的的方法和参数；步骤5.2)若参数为字符串则调用变异算子集MS1；步骤5.3)若参数为数值型则调用变异算子集MS2；步骤5.4)若参数为布尔型则调用变异算子集MS3；步骤5.5)分析参数的变异类型；步骤5.5.1)若为数据值变异类型，则调用基于变异算子模型的测试用例生成算法生成测试用例；步骤5.5.2)若为交换节点值VEE或者交换节点顺序EXE，则随机选择两组组合生成测试用例；步骤5.5.3)若为删除节点和子节点SDN,将节点值置为空SNN,修改字符串长度ML，则随机选择一组组合生成测试用例；步骤6)合并测试用例，生成测试用例集；步骤7)执行原始简单对象访问协议SOAP消息，保存响应结果；步骤8)执行变异的简单对象访问协议SOAP消息，保存响应结果；步骤9)分析器分析步骤8)与步骤9)结果判断是否存在安全漏洞；步骤10)系统出具安全性报告。