技术特征：
1.一种应用软件网络安全的检测方法，其特征在于，包括：对于应用软件进行静态分析，解析应用软件的各个组件，获取组件的接口以及组件之间调用函数；根据应用软件组件之间的调用函数，确定应用软件的内部运行流程；查询内部运行流程中关键信息经过的组件，确定相应组件的接口的安全防护措施，据此查询其中存在可疑漏洞的组件；根据每个组件的可疑漏洞的种类，编写用于攻击相应组件的可疑漏洞的测试用例；使用测试用例对应用软件的相应组件进行动态分析，并检测组件的输出，根据输出的内容和漏洞的种类判断测试用例的攻击是否有效，若有效，则组件的可疑漏洞为实际漏洞。2.根据权利要求1所述的应用软件网络安全的检测方法，其特征在于，所述根据应用软件组件之间的调用函数，确定应用软件的内部运行流程，包括：确定应用软件与外界进行数据交互的接口所在的对外交互组件，根据对外交互组件的调用函数查询调用的组件、调用的功能和交互的数据类型，继续根据查询得到的组件的调用函数查询调用的组件、调用的功能和交互的数据类型，由此遍历应用软件的所有组件，形成应用软件的内部运行流程；所述内部运行流程，包括组件之间调用的功能和交互的数据类型。3.根据权利要求2所述的应用软件网络安全的检测方法，其特征在于，所述关键信息包括：安全验证信息、身份信息和资产信息。4.根据权利要求3所述的应用软件网络安全的检测方法，其特征在于，所述查询内部运行流程中关键信息经过的组件，包括：根据应用软件的内部运行流程，确定用于验证、对外交互、记录、存储和展示所述关键信息的关键组件。5.根据权利要求4所述的应用软件网络安全的检测方法，其特征在于，所述确定相应组件的接口的安全防护措施，据此查询其中存在可疑漏洞的组件，包括：查询应用软件组件与关键组件接口交互数据的路径中的安全防护措施，若安全防护措施与安全防护措施组合相比，缺少一种及以上的安全防护措施，或安全防护措施低于相应的标准安全等级，则认定组件存在可疑漏洞；所述安全防护措施组合：信息加密、安全验证、信息完整性识别和恶意程序识别。6.根据权利要求5所述的应用软件网络安全的检测方法，其特征在于，所述根据每个组件的可疑漏洞的种类，编写用于攻击相应组件的可疑漏洞的测试用例，包括：根据应用软件组件与关键组件接口交互数据的路径中，缺少的安全防护措施，以及低于标准安全等级的安全防护措施，确定可疑漏洞的种类，编写用于攻击相应组件的可疑漏洞的测试用例。7.根据权利要求6所述的应用软件网络安全的检测方法，其特征在于，所述根据输出的内容和漏洞的种类判断测试用例的攻击是否有效，包括：在信息加密漏洞的测试用例运行中，若关键信息被窃取，则认定攻击有效；在安全验证漏洞的测试用例运行中，若关键信息被篡改，则认定攻击有效；在信息完整性识别的测试用例运行中，若关键信息被篡改，则认定攻击有效；在恶意程序识别的测试用例运行中，若恶意程序有效运行，则认定攻击有效。
8.一种应用软件网络安全的检测平台，其特征在于，包括：静态分析引擎、攻击模拟单元和动态沙盒，其中：所述静态分析引擎，用于对于应用软件进行静态分析，解析应用软件的各个组件，获取组件的接口以及组件之间调用函数；根据应用软件组件之间的调用函数，确定应用软件的内部运行流程；查询内部运行流程中关键信息经过的组件，确定相应组件的接口的安全防护措施，据此查询其中存在可疑漏洞的组件；所述模拟单元，用于根据每个组件的可疑漏洞的种类，编写用于攻击相应组件的可疑漏洞的测试用例；所述动态沙盒，用于使用测试用例对应用软件的相应组件进行动态分析，并检测组件的输出，根据输出的内容和漏洞的种类判断测试用例的攻击是否有效，若有效，则组件的可疑漏洞为实际漏洞。
技术总结
本发明公开了一种应用软件网络安全的检测平台和方法，所述平台中，静态分析引擎用于对于应用软件进行静态分析，解析应用软件的各个组件，获取组件的接口以及组件之间调用函数，根据应用软件组件之间的调用函数，确定应用软件的内部运行流程；查询其中存在可疑漏洞的组件；所述模拟单元，用于根据每个组件的可疑漏洞的种类，编写用于攻击相应组件的可疑漏洞的测试用例；所述动态沙盒，用于使用测试用例对应用软件的相应组件进行动态分析，并检测组件的输出，根据输出的内容和漏洞的种类判断测试用例的攻击是否有效，若有效，则组件的可疑漏洞为实际漏洞。采用上述技术方案，可以快速有效的检测到应用软件中，存在漏洞的组件和漏洞的类型。漏洞的类型。漏洞的类型。
技术研发人员：汪德嘉 吴皓
受保护的技术使用者：江苏通付盾科技有限公司
技术研发日：2022.06.17
技术公布日：2022/11/1