[發明專利]一種上傳接口識別方法、識別服務器及系統

有效

• 申請號: 201710233531.9
• 申請日: 2017-04-11
• 公開（公告）號: CN108696488B
• 公開（公告）日: 2022-04-15
• 發明（設計）人: 鄭興;胡珀;郭晶;張強;范宇河;王放;楊勇;唐文韜
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王仲凱

本發明實施例提供一種上傳接口識別方法、識別服務器及系統，該方法包括：識別服務器獲取待識別請求包，所述待識別請求包包含于頁面客戶端發往頁面服務器的請求包中；解析所述待識別請求包的內容特征；判斷所述內容特征是否與上傳請求包設定的內容特征相應；若所述內容特征與上傳請求包設定的內容特征相應，確定所述待識別請求包為上傳請求包，將所述上傳請求包指示的接口地址確定為與上傳接口對應。本發明實施例可實現較為全面的上傳請求包的識別，從而提升識別出的上傳接口的全面性，減少漏檢的概率。

技術領域

本發明涉及數據處理技術領域，具體涉及一種上傳接口識別方法、識別服務器及系統。

背景技術

目前大部分頁面(如網站、web程序等提供的頁面)都支持文件上傳功能，用戶在使用文件上傳功能時，可通過頁面提供的上傳接口上傳用戶頭像、相冊照片以及附件等文件；然而方便的文件上傳功能極有可能成為黑客利用的入口點，從而出現文件上傳漏洞(FileUpload Attack)。

文件上傳漏洞是指黑客通過上傳接口，向通過網站、web程序訪問的目錄上傳危險文件，這些危險文件可以在遠程服務器上執行腳本，達到控制服務器的目的；可見，文件上傳漏洞嚴重威脅網站、web程序的使用安全，因此識別頁面所存在的文件上傳漏洞極為必要。

為識別頁面所存在的文件上傳漏洞，需要先識別出頁面中的上傳接口，然后通過操作該上傳接口識別出該上傳接口是否對應有文件上傳漏洞；因此頁面中的上傳接口識別，作為文件上傳漏洞識別的前置步驟，其識別的全面性，對于后續文件上傳漏洞識別的全面性而言至關重要。

現有的識別上傳接口的方式主要是通過web爬蟲技術爬取頁面，然后判斷爬取的頁面中是否存在input type＝file(輸入類型為文件)的標簽，來判斷頁面中是否存在上傳接口，即頁面中若存在input type＝file的標簽，則認為頁面中存在上傳接口，否則，認為頁面中不存在上傳接口。

然而，input type＝file僅是頁面中上傳接口的一種常見實現形式，通過判斷頁面中的input type＝file標簽來實現上傳接口識別的方式，可能會漏檢以其他形式實現的上傳接口，導致上傳接口的漏檢概率提升，使得上傳接口識別的全面性較低。

發明內容

有鑒于此，本發明實施例提供一種上傳接口識別方法、識別服務器及系統，以降低上傳接口的漏檢概率，提升上傳接口識別的全面性。

為實現上述目的，本發明實施例提供如下技術方案：

一種上傳接口識別方法，其特征在于，包括：

獲取待識別請求包，所述待識別請求包包含于頁面客戶端發往頁面服務器的請求包中；

解析所述待識別請求包的內容特征；

判斷所述內容特征是否與上傳請求包設定的內容特征相應；

若所述內容特征與上傳請求包設定的內容特征相應，確定所述待識別請求包為上傳請求包，將所述上傳請求包指示的接口地址確定為與上傳接口對應。

一種識別服務器，其特征在于，包括：

待識別請求包獲取模塊，用于獲取待識別請求包，所述待識別請求包包含于頁面客戶端發往頁面服務器的請求包中；

內容特征解析模塊，用于解析所述待識別請求包的內容特征；

上傳請求包判斷模塊，用于判斷所述內容特征是否與上傳請求包設定的內容特征相應；

上傳接口識別確定模塊，用于若所述內容特征與上傳請求包設定的內容特征相應，確定所述待識別請求包為上傳請求包，將所述上傳請求包指示的接口地址確定為與上傳接口對應。

一種上傳接口識別系統，其特征在于，包括：