基于依赖图的REST API模糊测试方法

摘要

随着REST API在Web服务和云服务中的广泛应用，其安全问题也引起越来越多的关注.模糊测试作为主流的缺陷检测方法之一，已被适用到该领域.但现有的模糊测试方法缺乏有效的探索机制，平等的对待所有API操作和参数，导致难以生成复杂而有效的请求，很难发现API中的深层bug.为解决上述问题，本文提出基于依赖图的REST API模糊测试方法，首先采用动静结合的方式对API间的数据依赖关系进行分析建模，构建加权API依赖图，优先考虑具有更多潜在依赖项的API,提升有效测试用例的生成率；其次，提出对参数的变异价值进行评估的方法，优先对不安全的参数进行测试；最后基于反馈信息验证缺陷的存在性.为测试本文方法的有效性，编码开发了原型系统RESTFuzzer,并与RESTler、RestTestGen、ZAP等现有REST API缺陷检测工具进行比较.实验结果表明，与现有工具相比，测试用例生成的质量更高，并且在实际测试中发现了更多API安全缺陷.

关键词

REST API / API依赖图 / 模糊测试 / 缺陷检测