[發明專利]漏洞檢測方法、裝置、計算機設備及存儲介質

有效

• 申請號: 201711294659.2
• 申請日: 2017-12-08
• 公開（公告）號: CN107832622B
• 公開（公告）日: 2019-03-12
• 發明（設計）人: 何雙寧
• 申請（專利權）人: 平安科技（深圳）有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 廣州華進聯合專利商標代理有限公司 44224
• 代理人: 李文淵

本發明涉及一種漏洞檢測方法、裝置、計算機設備及存儲介質。該方法包括：將漏洞檢測數據拼接至待檢測網頁的網址中；根據拼接后的網址向待檢測網頁對應的第一網站服務器發起網頁數據獲取請求；接收第一網站服務器返回的與網頁數據獲取請求對應的響應數據；獲取網址的源數據；根據響應數據和源數據得到與網址具有漏洞檢測數據傳遞關系的關聯網址集合；讀取關聯網址集合中的關聯網址，向關聯網址對應的第二網站服務器發起請求；獲取第二網站服務器返回的響應文檔；根據響應文檔和漏洞檢測數據進行網頁安全漏洞檢測。上述漏洞檢測方法、裝置、計算機設備及存儲介質能夠減小網頁安全漏洞漏檢的概率。

技術領域

本發明涉及計算機技術領域，特別是涉及一種漏洞檢測方法、裝置、計算機設備及存儲介質。

背景技術

存儲型跨站腳本攻擊漏洞是一種較為常見的網頁應用中的計算機安全漏洞。現有的存儲型跨站腳本攻擊漏洞的檢測方案中，通常先將用于觸發漏洞的檢測規則存儲到網站的服務器端，等待用戶瀏覽網頁或是通過網頁爬蟲爬取網站時根據檢測規則檢測跨站腳本攻擊漏洞。但是，用戶隨機瀏覽的網頁和通過網頁爬蟲爬取的網頁往往不是我們需要進行漏洞檢測的網頁。因此，目前存儲型跨站腳本攻擊漏洞的檢測方案具有一定的盲目性，容易產生漏洞漏報問題。

發明內容

基于此，有必要針對上述漏洞檢測中出現的容易產生漏洞漏報的問題，提供一種漏洞檢測方法、裝置、計算機設備及存儲介質。

一種漏洞檢測方法，所述方法包括：

將漏洞檢測數據拼接至待檢測網頁的網址中；

根據拼接后的網址向所述待檢測網頁對應的第一網站服務器發起網頁數據獲取請求；接收所述第一網站服務器返回的與所述網頁數據獲取請求對應的響應數據；

獲取所述網址的源數據；

根據所述響應數據和所述源數據得到與所述網址具有漏洞檢測數據傳遞關系的關聯網址集合；

讀取所述關聯網址集合中的關聯網址，向所述關聯網址對應的第二網站服務器發起請求；

獲取所述第二網站服務器返回的響應文檔；

根據所述響應文檔和所述漏洞檢測數據進行網頁安全漏洞檢測。

在其中一個實施例中，所述根據所述響應數據和所述源數據得到與所述網址具有所述漏洞檢測數據傳遞關系的關聯網址集合的步驟，包括：

當所述響應數據為對象標記數據時，獲取跳轉關鍵字表；

從所述對象標記數據中查找與所述跳轉關鍵字表中的跳轉關鍵字相匹配的字符對；

根據查找出的字符對生成跳轉網址；

獲取所述源數據中的源網址；

根據所述跳轉網址和所述源網址生成關聯網址集合。

在其中一個實施例中，所述根據所述響應數據和所述源數據得到與所述網址具有所述漏洞檢測數據傳遞關系的關聯網址集合的步驟，包括：

當所述響應數據為超文本文檔時，從所述響應數據中提取出網址跳轉標簽；

根據所述拼接后的網址與所述網址跳轉標簽生成目標跳轉網址；

獲取所述源數據中的源網址；

根據所述目標跳轉網址和所述源網址生成關聯網址集合。

在其中一個實施例中，所述根據所述響應數據和所述源數據得到與所述網址具有所述漏洞檢測數據傳遞關系的關聯網址集合的步驟，包括：

當所述響應數據為超文本文檔且所述超文本文檔中不存在網址跳轉標簽時，觸發超文本文檔事件得到第一文檔節點樹；