[發明專利]一種檢測Web應用的方法和系統

有效

• 申請號: 201410244361.0
• 申請日: 2014-06-04
• 公開（公告）號: CN105141647B
• 公開（公告）日: 2018-09-21
• 發明（設計）人: 王明博;華錦芝
• 申請（專利權）人: 中國銀聯股份有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08
• 代理公司: 中國專利代理(香港)有限公司 72001
• 代理人: 鄭冀之;湯春龍

1.一種檢測Web應用的方法，其特征在于，所述方法包括：

預分析所述Web應用的過程：

通過在Web服務器中設置的第一裝置獲取所述Web服務器中的Web應用基本信息，以及將該Web應用基本信息發送至第二裝置，該Web應用基本信息包括Web應用文件目錄結構、Web應用腳本語言類型，

通過獨立于所述Web服務器設置的第二裝置通過HTTP協議遍歷所述Web服務器中的Web應用生成第一URL集合，

通過所述第二裝置比較所述Web應用文件目錄結構和所述第一URL集合生成第二URL集合，

通過所述第二裝置根據所述第二URL集合確定Web應用功能點、該Web應用功能點涉及的Web應用功能點URL、該Web應用功能點源文件，其中，Web應用功能點指具有特定功能的Web應用接口，

通過所述第二裝置根據所述Web應用基本信息確定漏洞模板集合，漏洞模板是檢測特定漏洞的描述腳本。

2.如權利要求1所述的方法，其特征在于，對一個Web應用功能點的分析包括以下過程：

通過所述第一裝置根據指令對所述Web應用功能點的源文件進行代碼安全分析得到關于該Web應用功能點明確不可能存在的漏洞、可能存在的漏洞、明確存在的漏洞、對應于明確存在的漏洞的攻擊載荷，

通過所述第二裝置根據關于該Web應用功能點明確不可能存在的漏洞、可能存在的漏洞、明確存在的漏洞、對應于明確存在的漏洞的攻擊載荷，從漏洞模板集合確定適用于該Web應用功能點的漏洞模板子集。

3.如權利要求2所述的方法，其特征在于，對該一個Web應用功能點的檢測包括以下過程：

通過所述第二裝置，根據該Web應用功能點涉及的Web應用功能點URL和該Web應用功能點的漏洞模板子集生成作為攻擊載荷的HTTP請求，并向所述Web應用發送該HTTP請求，

由所述第二裝置接收該HTTP請求的HTTP響應，并根據該HTTP響應分析和驗證Web漏洞。

4.如權利要求3所述的方法，其特征在于，所述方法包括：

通過所述第一裝置實時監控Web服務器日志、Web服務器資源狀況、來自網絡的SQL查詢語句得到監控信息，

在一個Web應用功能點的檢測的過程包括：

由所述第二裝置接收該HTTP請求的HTTP響應，

由所述第二裝置從所述第一裝置接收監控信息，

由所述第二裝置根據該HTTP響應和該監控信息分析和驗證Web漏洞。

5.一種檢測Web應用的系統，其特征在于，包括：

在Web服務器中設置的第一裝置和通過獨立于所述Web服務器設置的第二裝置，其中，

第一裝置被配置為所述Web服務器中的Web應用基本信息，以及將該Web應用基本信息發送至所述第二裝置，該Web應用基本信息包括Web應用文件目錄結構、Web應用腳本語言類型，

第二裝置被配置為通過HTTP協議遍歷所述Web服務器中的Web應用生成第一URL集合，

所述第二裝置被配置為比較所述Web應用文件目錄結構和所述第一URL集合生成第二URL集合，

所述第二裝置被配置為根據所述第二URL集合確定Web應用功能點、該Web應用功能點涉及的Web應用功能點URL、該Web應用功能點源文件，其中，Web應用功能點指具有特定功能的Web應用接口，

所述第二裝置被配置為根據所述Web應用基本信息確定漏洞模板集合，漏洞模板是檢測特定漏洞的描述腳本。

6.如權利要求5所述的系統，其特征在于，

所述第一裝置被配置為根據指令對所述Web應用功能點的源文件進行代碼安全分析得到關于該Web應用功能點明確不可能存在的漏洞、可能存在的漏洞、明確存在的漏洞、對應于明確存在的漏洞的攻擊載荷，

所述第二裝置被配置為根據關于該Web應用功能點明確不可能存在的漏洞、可能存在的漏洞、明確存在的漏洞、對應于明確存在的漏洞的攻擊載荷，從漏洞模板集合確定適用于該Web應用功能點的漏洞模板子集。