[發明專利]一種基于云計算的Web漏洞掃描方法

有效

• 申請號: 201710337779.X
• 申請日: 2017-05-15
• 公開（公告）號: CN107026871B
• 公開（公告）日: 2020-08-25
• 發明（設計）人: 張昊辰;杜磊;許艷;王瀟瑾;王子晴
• 申請（專利權）人: 安徽大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 合肥興東知識產權代理有限公司 34148
• 代理人: 胡東升

本發明公開了一種基于云計算的Web漏洞掃描方法，該方法具有云計算中“軟件即服務”特征。具體過程為當用戶通過訪問網頁提交IP或域名請求服務時，為防止掃描器被惡意利用，用戶掃描前需下載一個加密過的文件并存放于網站根目錄，控制器在探測到該文件存在并確認無誤后才會繼續掃描，用戶的請求被控制器封裝成任務后，添加進數據庫服務器，節點池在探測到掃描任務出現后，根據既定掃描策略提取具體的掃描指令，完成指令后返回結果并循環此步驟。本專利解決了彈性計算下節點掃描如何按需彈性調度，以及父子節點間通信問題。漏洞掃描節點具有高自由度，當系統遇到性能瓶頸或性能過剩時，可以自由增減節點來實現計算資源的有效利用。

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種基于云計算的Web漏洞掃描方法。

背景技術

如今的網絡發展迅速而廣泛，各式各樣的網站，全球遍布的服務器。然而萬事都會有疏忽，不可避免的會在這些網站、服務器、主機上存在著千奇百怪的、意想不到的漏洞。

所謂漏洞就是存在于軟件或系統配置中可以被利用的弱點。漏洞的成因有很多種，但最常見的是因為沒有及時安裝補丁，供應商們會經常發布補丁程序來修補已知的問題或漏洞。沒有安裝補丁的軟件或系統往往會加快黑客滲透測試的過程，因為那些未打補丁的漏洞允許攻擊者遠程執行代碼，可能會對被攻擊者造成巨大的損失。

因此保護企業或個人網絡服務器的安全是一項很重要的事情，但是由于個人用戶往往缺乏經驗或者不會檢測或修復漏洞、無力購買服務器漏洞檢測的軟件或服務，所以個人用戶難以實現對服務器漏洞的檢測與修復。

傳統的Web漏洞掃描方法，一般是由單機或多節點系統構建而成，單機掃描器面臨掃描速度過慢，速度和準確率較低，無法隨時開展掃描的問題；多節點掃描器面臨成本較高，個人用戶難以承擔的問題。如何構建一個掃描速度快，可隨時開展掃描的，低成本的多節點Web漏洞掃描系統是一個待解決的問題。

發明內容

本發明的目的在于提供一種基于云計算的Web漏洞掃描方法，以實現隨時、快速、低成本的多節點掃描。

本發明提供了一種基于云計算的Web漏洞掃描方法，包括以下步驟：A、用戶訪問網頁來提交待掃描目標的IP地址或域名和請求服務，并且將待掃描目標寫入待掃描消息隊列中；B、控制單元在查詢到待掃描消息列隊中有新的待掃描目標時，將待掃描目標取出，根據用戶狀態及具體指令，將目標類型進行劃分，并根據策略補全掃描任務，將其從一個IP地址或域名擴大為一個包含具體掃描指令的列表，并添加進待測試消息隊列；C、節點池中的各掃描節點在探測到待掃描消息隊列中有新的任務時，根據預定策略從待掃描消息列隊中提取具體掃描指令并完成；D、當節點池完成所有任務時，控制單元向網頁發送請求，當網頁完成掃描結果提取后，控制單元將該已掃描目標的相關資源回收。

本發明還提供了一種基于云計算的Web漏洞掃描方法，包括以下步驟：提供一種網頁，所述網頁用于供用戶訪問來提交待掃描目標的IP地址或域名和請求服務，并且將待掃描目標寫入待掃描消息隊列中；提供一種控制單元，所述控制單元用于在查詢到待掃描消息列隊中有新的待掃描目標時，將待掃描目標取出，根據用戶狀態及具體指令，將目標類型進行劃分，并根據策略補全掃描任務，將其從一個IP地址或域名擴大為一個包含具體掃描指令的列表，并添加進待測試消息隊列；提供一種具有多掃描節點的節點池，所述節點池中的各掃描節點用于在探測到待測試消息隊列中有新的任務時，根據預定策略從待掃描消息列隊中提取具體掃描指令并完成；其中，所述網頁在接受用戶請求服務后，由所述控制單元將用戶請求包裝成任務并添加至待測試消息列隊中，隨后由所述節點池根據預定策略完成待測試消息列隊中的任務并將掃描結果寫入數據庫中，當所述節點池完成所有任務時，由所述控制單元向網頁發送請求，當網頁完成掃描結果提取后，由所述控制單元將該已掃描目標的相關資源回收。

進一步地，上述網頁要求用戶在掃描前下載一個加密過的文件并存放于網站根目錄，所述控制單元在探測到該文件并確認無誤后才繼續掃描。