本發(fā)明涉及測(cè)試領(lǐng)域，尤其涉及一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法、裝置及測(cè)試工具。

背景技術(shù)：

手機(jī)等移動(dòng)終端的操作系統(tǒng)如安卓(android)系統(tǒng)中一般有幾十種應(yīng)用，供用戶使用。但是這些應(yīng)用是否安全，即是否存在泄露用戶個(gè)人信息如電話號(hào)碼、通信錄、賬戶及密碼等安全隱患，則需要進(jìn)行測(cè)試。

目前，移動(dòng)終端的應(yīng)用安全測(cè)試方式不僅少，而且作用單一。如android系統(tǒng)的應(yīng)用安全測(cè)試大都通過(guò)以下兩種方式實(shí)現(xiàn)：

一種方式是安卓安裝包(androidpackage，apk)形式，測(cè)試時(shí)將測(cè)試程序安裝入手機(jī)，依次點(diǎn)擊apk提供的功能并人工對(duì)其結(jié)果進(jìn)行分析。

另一種方式是通過(guò)通用串行總線(universalserialbus，usb)與手機(jī)相連，通過(guò)在命令行中不斷地輸入命令進(jìn)行測(cè)試。

在實(shí)現(xiàn)本發(fā)明的過(guò)程中，發(fā)明人發(fā)現(xiàn)現(xiàn)有技術(shù)中至少存在如下技術(shù)問(wèn)題：

由于上述兩種測(cè)試方式功能單一且都由人工操作執(zhí)行，導(dǎo)致移動(dòng)終端的應(yīng)用安全測(cè)試繁復(fù)，測(cè)試效率大大降低。如以apk形式對(duì)系統(tǒng)中的幾十種應(yīng)用進(jìn)行測(cè)試，需要進(jìn)行幾十次安裝，導(dǎo)致測(cè)試時(shí)間過(guò)長(zhǎng)，大大降低了測(cè)試效率。第二種則需要人工針對(duì)每項(xiàng)應(yīng)用安全測(cè)試輸入命令，操作不僅繁復(fù)，而且準(zhǔn)確性低，導(dǎo)致測(cè)試效率低下。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法、裝置及測(cè)試工具，能夠提升移動(dòng)終端的應(yīng)用安全測(cè)試效率。

第一方面，本發(fā)明提供一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法，由測(cè)試工具執(zhí)行，包括：

接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令；

根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，其中，所述相應(yīng)的應(yīng)用安全檢測(cè)命令與所述至少兩項(xiàng)應(yīng)用安全檢測(cè)相對(duì)應(yīng)，用于指示所述移動(dòng)終端進(jìn)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)；

接收所述移動(dòng)終端返回的檢測(cè)數(shù)據(jù)，其中，所述檢測(cè)數(shù)據(jù)為所述移動(dòng)終端執(zhí)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)的結(jié)果；

根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患。

可選地，所述接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令，包括：

接收用于進(jìn)行以下檢測(cè)中的至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令：系統(tǒng)掛載檢測(cè)、應(yīng)用運(yùn)行權(quán)限檢測(cè)、日志敏感信息檢測(cè)、文件系統(tǒng)權(quán)限檢測(cè)和安全滲透工具檢測(cè)。

可選地，所述根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端之前，所述方法還包括：

接收配置指令，并根據(jù)所述配置指令配置敏感信息，以用于所述日志敏感信息檢測(cè)。

可選地，所述根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患，包括：

檢查所述檢測(cè)數(shù)據(jù)中是否包含有所述敏感信息，若所述檢測(cè)數(shù)據(jù)中包含有 所述敏感信息，則判定所述移動(dòng)終端的系統(tǒng)存在安全隱患；其中，敏感信息包括電話號(hào)碼、通信內(nèi)容、地理位置、聯(lián)系人信息、賬戶、密碼和日歷活動(dòng)信息中的至少一種信息。

可選地，所述根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，包括：

根據(jù)所述測(cè)試指令，將應(yīng)用權(quán)限檢測(cè)命令和意圖發(fā)送檢測(cè)命令中的至少一種命令發(fā)給所述移動(dòng)終端。

第二方面，本發(fā)明提供一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試裝置，設(shè)置于測(cè)試工具中，包括：

指令接收單元，用于接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令；

指令執(zhí)行單元，用于根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，其中，所述相應(yīng)的應(yīng)用安全檢測(cè)命令與所述至少兩項(xiàng)應(yīng)用安全檢測(cè)相對(duì)應(yīng)，用于指示所述移動(dòng)終端進(jìn)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)；

數(shù)據(jù)接收單元，用于接收所述移動(dòng)終端返回的檢測(cè)數(shù)據(jù)，其中，所述檢測(cè)數(shù)據(jù)為所述移動(dòng)終端執(zhí)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)的結(jié)果；

安全分析單元，用于根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患。

可選地，所述指令接收單元用于：

接收用于進(jìn)行以下檢測(cè)中的至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令：系統(tǒng)掛載檢測(cè)、應(yīng)用運(yùn)行權(quán)限檢測(cè)、日志敏感信息檢測(cè)、文件系統(tǒng)權(quán)限檢測(cè)和安全滲透工具檢測(cè)。

可選地，所述裝置還包括：

配置單元，用于在所述指令執(zhí)行單元根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端之前，接收配置指令，并根據(jù)所述配置指令配置敏感信息，以用于所述日志敏感信息檢測(cè)。

可選地，所述安全分析單元用于：

檢查所述檢測(cè)數(shù)據(jù)中是否包含有所述敏感信息，若所述檢測(cè)數(shù)據(jù)中包含有所述敏感信息，則判定所述移動(dòng)終端的系統(tǒng)存在安全隱患；其中，敏感信息包括電話號(hào)碼、通信內(nèi)容、地理位置、聯(lián)系人信息、賬戶、密碼和日歷活動(dòng)信息中的至少一種信息。

可選地，所述指令執(zhí)行單元用于：

根據(jù)所述測(cè)試指令，將應(yīng)用權(quán)限檢測(cè)命令和意圖發(fā)送檢測(cè)命令中的至少一種命令發(fā)給所述移動(dòng)終端。

第三方面，本發(fā)明提供一種測(cè)試工具，所述測(cè)試工具包括上述用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試裝置。

本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法、裝置及測(cè)試工具，由測(cè)試工具執(zhí)行：接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令；根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，其中，所述相應(yīng)的應(yīng)用安全檢測(cè)命令與所述至少兩項(xiàng)應(yīng)用安全檢測(cè)相對(duì)應(yīng)，用于指示所述移動(dòng)終端進(jìn)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)；接收所述移動(dòng)終端返回的檢測(cè)數(shù)據(jù)，其中，所述檢測(cè)數(shù)據(jù)為所述移動(dòng)終端執(zhí)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)的結(jié)果；根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患。與現(xiàn)有技術(shù)相比，本發(fā)明能夠通過(guò)測(cè)試工具一次進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)，不僅實(shí)現(xiàn)了用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試的自動(dòng)化，而且實(shí)現(xiàn)了測(cè)試方式的功能多樣 化，即一種測(cè)試工具具有多種測(cè)試功能，有效地提升了用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試的效率。

附圖說(shuō)明

圖1為本發(fā)明實(shí)施例提供的一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法的流程圖；

圖2為本發(fā)明實(shí)施例提供的另一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法的流程圖；

圖3為本發(fā)明實(shí)施例提供的一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試裝置的結(jié)構(gòu)示意圖。

具體實(shí)施方式

為使本發(fā)明實(shí)施例的目的、技術(shù)方案和優(yōu)點(diǎn)更加清楚，下面將結(jié)合本發(fā)明實(shí)施例中的附圖，對(duì)本發(fā)明實(shí)施例中的技術(shù)方案進(jìn)行清楚、完整地描述，顯然，所描述的實(shí)施例僅僅是本發(fā)明一部分實(shí)施例，而不是全部的實(shí)施例。基于本發(fā)明中的實(shí)施例，本領(lǐng)域普通技術(shù)人員在沒(méi)有做出創(chuàng)造性勞動(dòng)前提下所獲得的所有其他實(shí)施例，都屬于本發(fā)明保護(hù)的范圍。

本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法中，移動(dòng)終端可以是具有數(shù)據(jù)處理和通信能力的便攜式電子設(shè)備，如手機(jī)、個(gè)人數(shù)據(jù)助理(personaldigitalassistant，pda)、平板電腦等。這些移動(dòng)終端中的操作系統(tǒng)可以是安卓(android)、蘋果公司開(kāi)發(fā)的移動(dòng)操作系統(tǒng)ios、微軟開(kāi)發(fā)的手機(jī)操作系統(tǒng)wp(windowsphone)和windowsmobile等。

本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法由測(cè)試工具執(zhí)行，該測(cè)試工具與待測(cè)試的移動(dòng)終端之間可通過(guò)usb連接。

本發(fā)明實(shí)施例提供的一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法參見(jiàn)圖1，該方法包括：

s11、接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令。

例如，測(cè)試工具上可具備人機(jī)交互接口如鍵盤觸摸屏等，測(cè)試人員可通過(guò)人機(jī)接口進(jìn)行應(yīng)用安全測(cè)試操作來(lái)下達(dá)測(cè)試指令，如打開(kāi)測(cè)試程序，選擇需要測(cè)試的應(yīng)用安全項(xiàng)。測(cè)試工具接收通過(guò)該操作下達(dá)的測(cè)試指令。

示例性的，本操作即所述接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令，可包括：

接收用于進(jìn)行以下檢測(cè)中的至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令：系統(tǒng)掛載檢測(cè)、應(yīng)用運(yùn)行權(quán)限檢測(cè)、日志敏感信息檢測(cè)、文件系統(tǒng)權(quán)限檢測(cè)和安全滲透工具(如drozer)檢測(cè)。即一個(gè)測(cè)試指令可用于進(jìn)行多項(xiàng)應(yīng)用安全檢測(cè)。也就是說(shuō)用戶只需下達(dá)一個(gè)測(cè)試指令即可進(jìn)行多項(xiàng)應(yīng)用安全檢測(cè)。

s12、根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，其中，所述相應(yīng)的應(yīng)用安全檢測(cè)命令與所述至少兩項(xiàng)應(yīng)用安全檢測(cè)相對(duì)應(yīng)，用于指示所述移動(dòng)終端進(jìn)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)。

本實(shí)施例中，待測(cè)試的移動(dòng)終端即與測(cè)試工具通過(guò)usb相連的移動(dòng)終端。

當(dāng)步驟s11中接收的測(cè)試指令用于進(jìn)行系統(tǒng)掛載檢測(cè)和應(yīng)用運(yùn)行權(quán)限檢測(cè)時(shí)，則測(cè)試工具向待測(cè)試的移動(dòng)終端發(fā)送系統(tǒng)掛載檢測(cè)命令和應(yīng)用運(yùn)行權(quán)限檢測(cè)命令；當(dāng)步驟s11中接收的測(cè)試指令用于進(jìn)行日志敏感信息檢測(cè)、文件系統(tǒng)權(quán)限檢測(cè)和安全滲透工具檢測(cè)時(shí)，則測(cè)試工具向待測(cè)試的移動(dòng)終端發(fā)送日志敏感信息檢測(cè)命令、文件系統(tǒng)權(quán)限檢測(cè)命令和安全滲透工具檢測(cè)命令；當(dāng)步驟s11中接收的測(cè)試指令用于進(jìn)行應(yīng)用運(yùn)行權(quán)限檢測(cè)、日志敏感信息檢測(cè)、文件系統(tǒng) 權(quán)限檢測(cè)和安全滲透工具檢測(cè)時(shí)，則測(cè)試工具向待測(cè)試的移動(dòng)終端發(fā)送應(yīng)用運(yùn)行權(quán)限檢測(cè)命令、日志敏感信息檢測(cè)命令、文件系統(tǒng)權(quán)限檢測(cè)命令和安全滲透工具檢測(cè)命令；等等。只要測(cè)試工具向移動(dòng)終端發(fā)送的指令與接收的測(cè)試指令所用于進(jìn)行的應(yīng)用安全測(cè)試項(xiàng)目一一對(duì)應(yīng)即可，這里不再窮舉。

例如，對(duì)基于安卓(android)平臺(tái)(操作系統(tǒng)為安卓的手機(jī))的應(yīng)用安全測(cè)試中，各個(gè)應(yīng)用安全檢測(cè)項(xiàng)的實(shí)現(xiàn)原理大體一致，即以批處理的方式調(diào)用自開(kāi)發(fā)單元或公開(kāi)命令，使手機(jī)執(zhí)行一些必要的操作。

本發(fā)明實(shí)施例中，測(cè)試工具可以批處理方式執(zhí)行上述測(cè)試指令。當(dāng)測(cè)試指令用于進(jìn)行多項(xiàng)應(yīng)用安全檢測(cè)時(shí)，可將一系列命令放入可執(zhí)行文件中，避免了手工每次輸入且執(zhí)行一條命令的弊端，且計(jì)算機(jī)執(zhí)行速度遠(yuǎn)遠(yuǎn)高于手工輸入速度，所以可以大大減少測(cè)試時(shí)間。

當(dāng)進(jìn)行安全滲透工具檢測(cè)時(shí)，本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法中，所述根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，包括：

根據(jù)所述測(cè)試指令，將應(yīng)用權(quán)限檢測(cè)命令和意圖發(fā)送檢測(cè)命令中的至少一種命令發(fā)給所述移動(dòng)終端。

其中，應(yīng)用權(quán)限檢測(cè)命令主要是用來(lái)檢測(cè)移動(dòng)終端操作系統(tǒng)中各個(gè)應(yīng)用是否存在權(quán)限濫用的現(xiàn)象。意圖發(fā)送檢測(cè)命令主要是用來(lái)檢測(cè)安卓目的(androidintent)數(shù)據(jù)發(fā)送機(jī)制中是否存在使用空故意模糊(intentfuzz)時(shí)出現(xiàn)異?，F(xiàn)象。

例如，drozer是開(kāi)源的滲透測(cè)試工具，可對(duì)其進(jìn)行擴(kuò)展，使其具有更多功能，如在應(yīng)用權(quán)限檢測(cè)項(xiàng)中，可開(kāi)發(fā)自定義drozer單元查找所有具有發(fā)送短信權(quán)限的應(yīng)用。

s13、接收所述移動(dòng)終端返回的檢測(cè)數(shù)據(jù)，其中，所述檢測(cè)數(shù)據(jù)為所述移動(dòng)終端執(zhí)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)的結(jié)果。

移動(dòng)終端執(zhí)行上述步驟s12中測(cè)試工具發(fā)送的檢測(cè)命令后，生成檢測(cè)數(shù)據(jù)，并返回給測(cè)試工具，以用于安全分析。

s14、根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患。

例如，對(duì)基于安卓平臺(tái)(操作系統(tǒng)為安卓的手機(jī))的應(yīng)用安全測(cè)試中，測(cè)試工具使用一系列腳本對(duì)批處理命令的結(jié)果(即被測(cè)試手機(jī)返回的檢測(cè)數(shù)據(jù))進(jìn)行分析，判斷是否存在安全威脅。相對(duì)于現(xiàn)有技術(shù)使用代碼處理來(lái)代替人工分析和判斷，既可一勞永逸，節(jié)省時(shí)間，又可達(dá)到準(zhǔn)確的效果。

本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法中，由測(cè)試工具執(zhí)行：接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令；根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，其中，所述相應(yīng)的應(yīng)用安全檢測(cè)命令與所述至少兩項(xiàng)應(yīng)用安全檢測(cè)相對(duì)應(yīng)，用于指示所述移動(dòng)終端進(jìn)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)；接收所述移動(dòng)終端返回的檢測(cè)數(shù)據(jù)，其中，所述檢測(cè)數(shù)據(jù)為所述移動(dòng)終端執(zhí)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)的結(jié)果；根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患。與現(xiàn)有技術(shù)相比，本發(fā)明能夠通過(guò)測(cè)試工具一次進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)，不僅實(shí)現(xiàn)了用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試的自動(dòng)化，而且實(shí)現(xiàn)了測(cè)試方式的功能多樣化，即一種測(cè)試工具具有多種測(cè)試功能，有效地提升了用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試的效率。

例如，本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法以批處理方式實(shí)現(xiàn)安卓系統(tǒng)安全測(cè)試的自動(dòng)化，即能夠融合多種測(cè)試工具和測(cè)試方法， 形成一個(gè)適用于安卓系統(tǒng)安全測(cè)試的項(xiàng)目集合(即達(dá)到了一種工具多種功能的效果)，且將其自動(dòng)化。這樣，測(cè)試人員只需在測(cè)試前修改配置文件，并進(jìn)行少量操作，幾分鐘即可完成對(duì)安卓系統(tǒng)應(yīng)用的安全測(cè)試，減少了測(cè)試過(guò)程中的重復(fù)性操作，并采用一系列腳本對(duì)檢測(cè)數(shù)據(jù)進(jìn)行分析處理，提高了測(cè)試效率。進(jìn)一步地，對(duì)現(xiàn)有滲透工具(如drozer)的擴(kuò)展進(jìn)行開(kāi)發(fā)，使其具有更多測(cè)試功能，如應(yīng)用權(quán)限檢測(cè)功能和內(nèi)容(intent)發(fā)送功能等，進(jìn)一步提升了測(cè)試效率。

可選地，當(dāng)上述測(cè)試指令用于進(jìn)行日志敏感信息檢測(cè)時(shí)，所述根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端之前，本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法還可包括：

接收配置指令，并根據(jù)所述配置指令配置敏感信息，以用于所述日志敏感信息檢測(cè)。

當(dāng)測(cè)試工具發(fā)送給待測(cè)試的移動(dòng)終端的檢測(cè)命令包含日志敏感信息檢測(cè)命令時(shí)，本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法中，所述根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患，可包括：

檢查所述檢測(cè)數(shù)據(jù)中是否包含有所述敏感信息，若所述檢測(cè)數(shù)據(jù)中包含有所述敏感信息，則判定所述移動(dòng)終端的系統(tǒng)存在安全隱患；其中，敏感信息包括電話號(hào)碼、通信內(nèi)容、地理位置、聯(lián)系人信息、賬戶、密碼和日歷活動(dòng)信息中的至少一種信息。

本發(fā)明實(shí)施例提供的另一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法參見(jiàn)圖2。圖2所示方法應(yīng)用于操作系統(tǒng)為安卓的手機(jī)。如圖2所示，該方法包括：

s21、測(cè)試工具接收用于進(jìn)行系統(tǒng)掛載檢測(cè)、應(yīng)用運(yùn)行權(quán)限檢測(cè)、日志敏感信息檢測(cè)、文件系統(tǒng)權(quán)限檢測(cè)和安全滲透工具drozer檢測(cè)的測(cè)試指令。

s22、測(cè)試工具按照的用戶操作配置敏感信息，也即必要關(guān)鍵字信息。

測(cè)試之前需要設(shè)置發(fā)送短信內(nèi)容、收件人號(hào)碼、撥號(hào)號(hào)碼、郵件信息等敏感信息。

s23、系統(tǒng)掛載檢測(cè)。

主程序調(diào)用系統(tǒng)掛載檢測(cè)單元的代碼，檢測(cè)手機(jī)分區(qū)的掛載信息是否合法，并將檢測(cè)結(jié)果寫入指定文件中。

s24、應(yīng)用運(yùn)行權(quán)限檢測(cè)。

主程序調(diào)用應(yīng)用運(yùn)行權(quán)限檢測(cè)單元的代碼，并分析應(yīng)用是否越權(quán)運(yùn)行，并將結(jié)果寫入指定文件。

s25、日志敏感信息檢測(cè)。

測(cè)試者使用配置信息進(jìn)行發(fā)短信、打電話等操作，程序后臺(tái)會(huì)獲取日志信息并分析出日志中是否包含地理位置、通信內(nèi)容等相關(guān)信息。如果檢測(cè)到敏感信息，程序會(huì)將其寫入指定文件中。

s26、文件系統(tǒng)權(quán)限檢測(cè)。

主程序調(diào)用文件系統(tǒng)檢測(cè)單元的代碼，檢測(cè)android內(nèi)核文件系統(tǒng)各個(gè)文件的讀寫權(quán)限是否合理，并將有風(fēng)險(xiǎn)的文件信息寫入指定文件。

s27、drozer檢測(cè)。

主程序調(diào)用開(kāi)源滲透測(cè)試工具drozer，并使其執(zhí)行相關(guān)命令，檢測(cè)系統(tǒng)中是否有debuggable應(yīng)用、是否有不合法的暗碼、是否有存在注入攻擊的provider等。另外，drozer中還集成了一些自開(kāi)發(fā)單元，用來(lái)檢測(cè)系統(tǒng)中各個(gè)應(yīng)用是否存在權(quán)限濫用的現(xiàn)象、是否存在使用空intentfuzz時(shí)出現(xiàn)異?，F(xiàn)象等。

上述步驟s23-步驟s27的順序可調(diào)，本發(fā)明實(shí)施例不做限制。步驟s22的執(zhí) 行順序也無(wú)限定，只需在上述步驟s25之前執(zhí)行即可。

本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試裝置，設(shè)置于測(cè)試工具中，用于執(zhí)行上述實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試方法。

本發(fā)明實(shí)施例提供的一種用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試裝置參見(jiàn)圖3，包括：

指令接收單元31，用于接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令；

指令執(zhí)行單元32，用于根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端，其中，所述相應(yīng)的應(yīng)用安全檢測(cè)命令與所述至少兩項(xiàng)應(yīng)用安全檢測(cè)相對(duì)應(yīng)，用于指示所述移動(dòng)終端進(jìn)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)；

數(shù)據(jù)接收單元33，用于接收所述移動(dòng)終端返回的檢測(cè)數(shù)據(jù)，其中，所述檢測(cè)數(shù)據(jù)為所述移動(dòng)終端執(zhí)行所述至少兩項(xiàng)應(yīng)用安全檢測(cè)的結(jié)果；

安全分析單元34，用于根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患。

本發(fā)明實(shí)施例提供的用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試裝置，通過(guò)指令接收單元接收用于進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令；通過(guò)指令執(zhí)行單元根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端；通過(guò)數(shù)據(jù)接收單元接收所述移動(dòng)終端返回的檢測(cè)數(shù)據(jù)；通過(guò)安全分析單元根據(jù)所述檢測(cè)數(shù)據(jù)判斷所述移動(dòng)終端的系統(tǒng)中的安全隱患。與現(xiàn)有技術(shù)相比，本發(fā)明能夠通過(guò)測(cè)試裝置一次進(jìn)行至少兩項(xiàng)應(yīng)用安全檢測(cè)，不僅實(shí)現(xiàn)了用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試的自動(dòng)化，而且實(shí)現(xiàn)了測(cè)試方式的功能多樣化，即一種測(cè)試工具具有多種測(cè)試功能，有效地提升了用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試的效率。

可選地，所述指令接收單元31用于：

接收用于進(jìn)行以下檢測(cè)中的至少兩項(xiàng)應(yīng)用安全檢測(cè)的測(cè)試指令：系統(tǒng)掛載檢測(cè)、應(yīng)用運(yùn)行權(quán)限檢測(cè)、日志敏感信息檢測(cè)、文件系統(tǒng)權(quán)限檢測(cè)和安全滲透工具檢測(cè)。

可選地，所述裝置還包括：

配置單元，用于在所述指令執(zhí)行單元32根據(jù)所述測(cè)試指令，將相應(yīng)的應(yīng)用安全檢測(cè)命令發(fā)送給待測(cè)試的移動(dòng)終端之前，接收配置指令，并根據(jù)所述配置指令配置敏感信息，以用于所述日志敏感信息檢測(cè)。

可選地，所述安全分析單元34用于：

檢查所述檢測(cè)數(shù)據(jù)中是否包含有所述敏感信息，若所述檢測(cè)數(shù)據(jù)中包含有所述敏感信息，則判定所述移動(dòng)終端的系統(tǒng)存在安全隱患；其中，敏感信息包括電話號(hào)碼、通信內(nèi)容、地理位置、聯(lián)系人信息、賬戶、密碼和日歷活動(dòng)信息中的至少一種信息。

可選地，所述指令執(zhí)行單元32用于：

根據(jù)所述測(cè)試指令，將應(yīng)用權(quán)限檢測(cè)命令和意圖發(fā)送檢測(cè)命令中的至少一種命令發(fā)給所述移動(dòng)終端。

本發(fā)明實(shí)施例還提供一種測(cè)試工具，所述測(cè)試工具包括上述用于移動(dòng)終端系統(tǒng)的應(yīng)用安全測(cè)試裝置。

本領(lǐng)域普通技術(shù)人員可以理解實(shí)現(xiàn)上述實(shí)施例方法中的全部或部分流程，是可以通過(guò)計(jì)算機(jī)程序來(lái)指令相關(guān)的硬件來(lái)完成，所述的程序可存儲(chǔ)于一計(jì)算機(jī)可讀取存儲(chǔ)介質(zhì)中，該程序在執(zhí)行時(shí)，可包括如上述各方法的實(shí)施例的流程。其中，所述的存儲(chǔ)介質(zhì)可為磁碟、光盤、只讀存儲(chǔ)記憶體(read-onlymemory， rom)或隨機(jī)存儲(chǔ)記憶體(randomaccessmemory，ram)等。

以上所述，僅為本發(fā)明的具體實(shí)施方式，但本發(fā)明的保護(hù)范圍并不局限于此，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，可輕易想到的變化或替換，都應(yīng)涵蓋在本發(fā)明的保護(hù)范圍之內(nèi)。因此，本發(fā)明的保護(hù)范圍應(yīng)該以權(quán)利要求的保護(hù)范圍為準(zhǔn)。