[發明專利]一種網絡安全漏洞的檢測方法及裝置

有效

• 申請號: 201410108152.3
• 申請日: 2014-03-21
• 公開（公告）號: CN104933368B
• 公開（公告）日: 2018-05-22
• 發明（設計）人: 王金錠;李杰;譚曉光;王岳
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王仲凱

本發明適用于網絡技術領域，提供了一種網絡安全漏洞的檢測方法及裝置，包括：解析應用程序安裝包，獲取所述應用程序的源代碼；根據預存儲在漏洞代碼庫中的漏洞代碼的行數，將所述應用程序的源代碼與預存儲的每段所述漏洞代碼進行逐一比對，所述漏洞代碼包括滿足預設漏洞規則的代碼；根據比對結果判斷所述應用程序的源代碼中是否存在與任一所述漏洞代碼匹配的代碼段；若所述應用程序的源代碼中存在與任一所述漏洞代碼匹配的代碼段，則確定所述應用程序存在網絡安全漏洞。在本發明中，在后臺自動地完成對應用程序的網絡安全漏洞檢測的整個檢測過程，無需再額外人工地配置檢測環境或者監聽檢測數據，大大地提高了網絡安全漏洞檢測的檢測效率。

技術領域

本發明屬于網絡技術領域，尤其涉及一種網絡安全漏洞的檢測方法及裝置。

背景技術

隨著移動互聯網的迅速發展，運行于移動操作系統之上的應用程序幾乎都需要與服務器之間進行不同程度的網絡通信，且網絡通信的相關數據可能涉及到了用戶隱私，因此，出于對用戶個人信息安全的考慮，通常會在交易支付、即時通信等相關應用程序中使用更為安全的超文本傳輸安全協議（Hyper Text Transfer Protocol Secure，HTTPS），來保障用戶的隱私數據不被非法截獲。

HTTPS是超文件傳輸協議（Hyper Text Transfer Protocol，HTTP）和安全套接層/傳輸層安全（Secure Sockets Layer/Transport Layer Security，SSL/TLS）的結合，其提供加密通信及對服務器身份的鑒定，通過數字證書來判斷與應用程序進行網絡通信的服務器是否可信。然而，在實際開發過程中，由于開發者對相關系統接口的使用不規范，很多時候忽略了對服務器提供的數字證書有效性的檢測，從而導致應用程序中存在網絡安全漏洞，引發了HTTPS加密通信過程中用戶隱私數據的泄漏。

目前，對于應用程序中HTTPS安全漏洞的檢測只能通過人工審計的方式來進行，且必須要額外建立網絡抓包環境，通過設置代理來監聽網絡數據包的截獲情況，導致檢測過程效率低下。

發明內容

本發明實施例的目的在于提供一種網絡安全漏洞的檢測方法，解決目前的網絡安全漏洞檢測方法檢測效率低下的問題。

本發明實施例是這樣實現的，一種網絡安全漏洞的檢測方法，包括：

解析應用程序安裝包，獲取所述應用程序的源代碼；

根據預存儲在漏洞代碼庫中的漏洞代碼的行數，將所述應用程序的源代碼與預存儲的每段所述漏洞代碼進行逐一比對，所述漏洞代碼包括滿足預設漏洞規則的代碼；

根據比對結果判斷所述應用程序的源代碼中是否存在與任一所述漏洞代碼匹配的代碼段；

若所述應用程序的源代碼中存在與任一所述漏洞代碼匹配的代碼段，則確定所述應用程序存在網絡安全漏洞。

本發明實施例的另一目的在于提供一種網絡安全漏洞的檢測裝置，包括：

獲取單元，用于解析應用程序安裝包，獲取所述應用程序的源代碼；

匹配單元，用于根據預存儲在漏洞代碼庫中的漏洞代碼的行數，將所述應用程序的源代碼與預存儲的每段所述漏洞代碼進行逐一比對，所述漏洞代碼包括滿足預設漏洞規則的代碼；

判斷單元，用于根據比對結果判斷所述應用程序的源代碼中是否存在與任一所述漏洞代碼匹配的代碼段；

確定單元，用于若所述應用程序的源代碼中存在與任一所述漏洞代碼匹配的代碼段，則確定所述應用程序存在網絡安全漏洞。