[發明專利]一種存儲跨站攻擊腳本漏洞檢測方法、裝置及系統

有效

• 申請號: 201310589239.2
• 申請日: 2013-11-20
• 公開（公告）號: CN104657659B
• 公開（公告）日: 2019-02-05
• 發明（設計）人: 翁家才
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;H04L29/06
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王仲凱

1.一種存儲跨站攻擊腳本漏洞檢測方法，其特征在于，包括：

獲取目標網頁的待檢測參數，所述待檢測參數是指所述目標網頁中能被網站服務器接收并處理的參數；

構造一個特征字符串，該特征字符串內包含可觸發存儲跨站腳本攻擊的字符以及唯一標識符；

將所述特征字符串作為所述待檢測參數的值提交至對應的網站服務器；

等待預定時間后將唯一標識符作為關鍵字提交至搜索引擎，利用所述搜索引擎的網絡爬蟲系統，遍歷所有可能輸出所述提交的參數的值的網頁，并判斷是否有網頁中是否包含所述的唯一標識符；其中，所述所有可能輸出所述提交的參數的值的網頁包括關聯網域內的所有網頁，所述關聯網域為與所述目標網頁至少共用部分數據庫的內容的網域；

以及，

若有網頁中包含所述的唯一標識符則記錄所述待檢測參數存在存儲跨站攻擊腳本漏洞。

2.如權利要求1所述的存儲跨站攻擊腳本漏洞檢測方法，其特征在于，獲取目標網頁的待檢測參數包括：獲取所述目標網頁中用戶可輸入的參數作為所述待檢測參數。

3.如權利要求1所述的存儲跨站攻擊腳本漏洞檢測方法，其特征在于，遍歷所有可能輸出所述提交的參數的值的網頁包括：遍歷與所述目標網頁在同一網域內的所有網頁。

4.如權利要求1所述的存儲跨站攻擊腳本漏洞檢測方法，其特征在于，遍歷所有可能輸出所述提交的參數的值的網頁包括：遍歷與所述目標網頁具有相同的頂級域名的所有網頁。

5.如權利要求1所述的存儲跨站攻擊腳本漏洞檢測方法，其特征在于，遍歷所有可能輸出所述提交的參數的值的網頁是由搜索引擎進行的；判斷是否有網頁中是否包含所述的唯一標識符包括：將所述的唯一標識符提交到所述搜索引擎進行檢索，若檢測到結果則有網頁中包含所述唯一標識符。

6.一種存儲跨站攻擊腳本漏洞檢測裝置，其特征在于，包括：

參數獲取模塊，用于獲取目標網頁的待檢測參數，所述待檢測參數是指所述目標網頁中能被網站服務器接收并處理的參數；

字符串構造模塊，用于構造一個特征字符串，該特征字符串內包含可觸發存儲跨站腳本攻擊的字符以及唯一標識符；

參數提交模塊，用于將所述特征字符串作為所述待檢測參數的值提交至對應的網站服務器；

檢測模塊，用于等待預定時間后將唯一標識符作為關鍵字提交至搜索引擎，利用所述搜索引擎的網絡爬蟲系統，遍歷所有可能輸出所述提交的參數的值的網頁，并判斷是否有網頁中是否包含所述的唯一標識符；其中，所述所有可能輸出所述提交的參數的值的網頁包括關聯網域內的所有網頁，所述關聯網域為與所述目標網頁至少共用部分數據庫的內容的網域；

以及，

漏洞記錄模塊，用于若有網頁中包含所述的唯一標識符則記錄所述待檢測參數存在存儲跨站攻擊腳本漏洞。

7.如權利要求6所述的存儲跨站攻擊腳本漏洞檢測裝置，其特征在于，所述參數獲取模塊用于：獲取所述目標網頁中用戶可輸入的參數作為所述待檢測參數。

8.如權利要求6所述的存儲跨站攻擊腳本漏洞檢測裝置，其特征在于，所述檢測模塊用于：遍歷與所述目標網頁在同一網域內的所有網頁。

9.如權利要求6所述的存儲跨站攻擊腳本漏洞檢測裝置，其特征在于，所述檢測模塊用于：遍歷與所述目標網頁具有相同的頂級域名的所有網頁。

10.一種存儲跨站攻擊腳本漏洞檢測系統，其特征在于，包括：漏洞檢測服務器以及搜索引擎；

所述漏洞檢測服務器用于：獲取目標網頁的待檢測參數；構造一個特征字符串，該特征字符串內包含可觸發存儲跨站腳本攻擊的字符以及唯一標識符；將所述特征字符串作為所述待檢測參數的值提交至所述目標網頁；

所述搜索引擎用于：等待預定時間后將唯一標識符作為關鍵字提交至搜索引擎，利用所述搜索引擎的網絡爬蟲系統，遍歷所有可能輸出所述提交的參數的值的網頁；其中，所述所有可能輸出所述提交的參數的值的網頁包括關聯網域內的所有網頁，所述關聯網域為與所述目標網頁至少共用部分數據庫的內容的網域；

所述漏洞檢測服務器還用于：將所述唯一標識符提交至所述搜索引擎進行檢索，若所述搜索引擎返回的檢索結果中包含至少一個匹配的網頁則記錄所述待檢測參數存在存儲跨站攻擊腳本漏洞。