[發明專利]EL表達式注入漏洞檢測方法、裝置及電子設備

在審

• 申請號: 201710788259.0
• 申請日: 2017-09-04
• 公開（公告）號: CN107590387A
• 公開（公告）日: 2018-01-16
• 發明（設計）人: 王梓嬙;范淵;黃進
• 申請（專利權）人: 杭州安恒信息技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/57
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙)11371
• 代理人: 徐彥圣

技術領域

本發明涉及信息安全技術領域，尤其是涉及一種EL表達式注入漏洞檢測方法、裝置及電子設備。

背景技術

EL(Expression Language)提供了在JSP(Java Server Pages，java服務器頁面)中簡化表達式的方法，使JSP寫起來更加簡單。EL表達式通常是JSP中用來在顯示層中顯示數據的標簽，可以提高頁面的耦合度。由于其方便好用，被其他框架所借鑒并發展，最常見的兩個例子是OGNL(Struts使用)語言和SPEL(Spring使用)。EL注入漏洞，使得攻擊者可以訪問Web應用Application和session等敏感信息，另外在OGNL和SPEL中則可以執行系統命令。

漏洞的原理如下：首先編寫一段存在漏洞的JSP代碼，在其中使用Spring標簽如：<％@tagliburi＝"http://www.testelinjection.com/tags"prefix＝"spring"％><spring:message text＝"${param.a}"></spring:message>。

這里使用message標簽，text屬性用EL表達式從請求參數中取值，這樣當訪問http://localhost/tag.jsp？a＝${applicationScope}，${applicationScope}這個字符串時，就會被當做EL表達式執行。

現有對于注入漏洞的檢測都是對于SQL注入漏洞、命令注入漏洞等的檢測，尚未提出針對EL表達式注入漏洞進行檢測的有效方案。

發明內容

有鑒于此，本發明的目的在于提供一種EL表達式注入漏洞檢測方法、裝置及電子設備，能夠對獲取到的目標檢測參數構造相應的EL表達式，并生成新的網頁的URL，進而通過新的URL獲取到網頁內容，進一步判斷該網頁內容中是否存在EL表達式的執行結果，實現待檢測網頁是否存在使EL表達式注入漏洞的準確判斷，進而解決EL表達式注入防護的問題。

第一方面，本發明實施例提供了一種EL表達式注入漏洞檢測方法，包括：

獲取待檢測網頁的目標檢測參數；

構造目標檢測參數對應的EL表達式；EL表達式中包括可執行的檢測語句；

根據EL表達式以及待檢測網頁的URL，生成新的URL；

基于新的URL，獲取新的網頁內容；

判斷新的網頁內容中是否包含EL表達式的執行結果；

如果是，則判斷待檢測網頁存在EL表達式注入漏洞。

結合第一方面，本發明實施例提供了第一方面的第一種可能的實施方式，其中，獲取待檢測網頁的目標檢測參數，包括：

獲取待檢測網頁的URL；

從URL中檢索出位于第一目標字符之后的目標表達式，其中，第一目標字符為用于表示問號的字符，目標表達式的數量至少為一個，且在每個目標表達式中均包括第二目標字符，第二目標字符為用于表示等號的字符；

從每個目標表達式中提取出位于第二目標字符之前的字符，作為目標檢測參數，得到至少一個目標檢測參數。

結合第一方面，本發明實施例提供了第一方面的第二種可能的實施方式，其中，構造目標檢測參數對應的EL表達式，包括：

獲取隨機生成的多個數字；

將多個數字進行數學運算組合，得到表達式A；

基于表達式A構造EL表達式，其中，EL表達式的表達方式為：${A}。

結合第一方面，本發明實施例提供了第一方面的第三種可能的實施方式，其中，根據EL表達式以及待檢測網頁的URL，生成新的URL，包括：

在每個目標表達式中，檢索出位于第二目標字符之后的目標字符；

利用EL表達式對目標字符進行替換，生成新的URL。

結合第一方面，本發明實施例提供了第一方面的第四種可能的實施方式，其中，基于新的URL，獲取新的網頁內容，包括：

根據新的URL，向待檢測網頁的服務器發送HTTP請求；

接收服務器對HTTP請求的響應內容，并基于響應內容得到新的網頁內容。

第二方面，本發明實施例提供一種EL表達式注入漏洞檢測裝置，包括：

參數獲取單元，用于獲取待檢測網頁的目標檢測參數；

表達式構造單元，用于構造目標檢測參數對應的EL表達式；EL表達式中包括可執行的檢測語句；