[发明专利]提供应用安全审计功能的系统及方法

摘要

本发明公开了一种提供应用安全审计功能的系统及方法。其中系统包括任务调度服务器、至少一台安全审计服务器，包括至少一个审计节点以及多个终端设备；任务调度服务器适于接收开发方所提交的应用程序的安装包文件，为每个应用程序创建对应的处理任务，将处理任务分配给对应的审计节点；审计节点适于接收分配的处理任务，将处理任务对应的安装包文件传递给与审计节点对应的终端设备，以使终端设备安装安装包文件；终端设备适于安装审计节点传递的应用程序的安装包文件，实际运行应用程序。本发明通过云服务的方式将审计结果提供给应用程序开发方，简单易用，与客户端工具相比省去繁琐的环境配置与部署；在真实环境下进行检测，审计结果更加准确。

主权项

一种提供应用安全审计功能的系统，其包括：任务调度服务器、至少一台安全审计服务器以及多个终端设备；每台安全审计服务器包括至少一个审计节点，每个审计节点唯一对应于一个终端设备；所述任务调度服务器适于：接收应用程序开发方所提交的应用程序的安装包文件，为每个应用程序创建对应的处理任务，将处理任务分配给对应的审计节点；所述审计节点适于：接收所述任务调度服务器分配的处理任务，将所述处理任务对应的应用程序的安装包文件传递给与所述审计节点对应的终端设备，以使所述终端设备安装所述安装包文件；所述终端设备适于：安装所述审计节点传递的应用程序的安装包文件，实际运行所述应用程序；所述审计节点包括：提取模块，适于提取所述处理任务对应的应用程序的安装包文件的静态特征；其中，所述提取模块进一步包括：反编译处理单元，适于对所述安装包文件进行反编译处理，得到反编译代码；提取单元，适于从所述反编译代码中提取所述安装包文件的静态特征；静态扫描模块，适于通过将所述安装包文件的静态特征与预先存储的漏洞静态特征进行匹配，得到静态检测结果；传递模块，适于将所述安装包文件传递给终端设备，以使所述终端设备安装所述安装包文件对应的应用程序；动态扫描模块，适于将所述终端设备实际运行所述应用程序所产生的动态特征与预先存储的漏洞动态特征进行匹配，得到动态检测结果；分析模块，适于对所述反编译代码进行数据流分析得到用于实现漏洞攻击的信息，其中，所述漏洞攻击的信息包括：应用程序潜在的攻击点和攻击应用程序所需的参数；漏洞攻击模块，适于根据所述用于实现漏洞攻击的信息，通过智能的构造攻击参数对所述终端设备进行漏洞攻击，接收所述终端设备反馈的针对所述漏洞攻击的日志输出结果；所述检测模块适于：结合所述静态检测结果、所述动态检测结果和所述日志输出结果，检测所述应用程序是否具有漏洞。