[發明專利]一種Web漏洞檢測方法、裝置、電子設備及存儲介質

有效

• 申請號: 201810021071.8
• 申請日: 2018-01-09
• 公開（公告）號: CN108268775B
• 公開（公告）日: 2020-12-11
• 發明（設計）人: 鄭堃
• 申請（專利權）人: 北京知道創宇信息技術股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 張海洋

本發明涉及一種Web漏洞檢測方法、裝置、電子設備及存儲介質，屬于漏洞檢測技術領域。該Web漏洞檢測方法應用于網絡設備，方法包括：獲取目標URL清單；獲得與目標URL清單相對應的所有Web應用；對所有Web應用進行漏洞檢測，得到Web漏洞檢測結果。該方法通過獲取內容更全面、完整性更高的目標URL清單，再基于該目標URL清單獲得與目標URL清單相對應的所有Web應用，然后再對所有Web應用進行漏洞檢測。而不再是通過爬蟲技術直接去獲取Web網站或Web系統的URL清單，解決了傳統Web漏洞掃描器的爬蟲效率低下，無法獲取孤島鏈接或者隱藏很深的鏈接的問題，進而能高效和準確地找到更多的潛在漏洞。

技術領域

本發明屬于漏洞檢測技術領域，具體涉及一種Web漏洞檢測方法、裝置、電子設備及存儲介質。

背景技術

目前的漏洞掃描器(例如，Acunetix Web Vulnerability Scanner，W3AF等)均是通過爬蟲的方式去爬取待檢測的Web網站或Web系統的統一資源定位符(Uniform ResourceLocator，URL)，再根據URL的爬取結果對目標進行Web漏洞檢測。由于Web漏洞掃描器的漏洞檢測能力主要取決于URL清單的檢出率，檢出率越高，Web漏洞掃描器的漏洞檢測能力則越強，也就意味著能發現更多的Web漏洞，而當前的Web漏洞掃描器的URL清單檢出率主要取決于爬蟲的能力，如果爬蟲不能發現更多隱蔽的URL，就不會進行后續的Web漏洞檢測。比如：有的URL是孤島鏈接或者隱藏很深的鏈接，而通過爬蟲的方式一般是發現不了Web網站或Web系統中的這些URL。

發明內容

鑒于此，本發明的目的在于提供一種Web漏洞檢測方法、裝置、電子設備及存儲介質，以有效地改善上述問題。

本發明的實施例是這樣實現的：

第一方面，本發明實施例提供了一種Web漏洞檢測方法，應用于網絡設備，所述方法包括：獲取目標URL清單；獲得與所述目標URL清單相對應的所有Web應用；對所述所有Web應用進行漏洞檢測，得到Web漏洞檢測結果。

進一步地，結合上述第一方面提供的實施例，在所述對所述所有Web應用進行漏洞檢測，得到Web漏洞檢測結果之后，所述方法還包括：基于所述Web漏洞檢測結果生成檢測報告。

進一步地，結合上述第一方面提供的實施例，在所述獲取目標URL清單之前，所述方法還包括：獲取Web漏洞掃描清單；從流量訪問數據庫中獲得與所述Web漏洞掃描清單相對應的所有URL清單；對所述所有URL清單進行分類整理，得到所述目標URL清單。

進一步地，結合上述第一方面提供的實施例，所述Web漏洞掃描清單包括：多個域名，所述從流量訪問數據庫中獲得與所述Web漏洞掃描清單相對應的所有URL清單，包括：從所述流量訪問數據庫中獲得與所述多個域名相對應的多個URL清單。

進一步地，結合上述第一方面提供的實施例，所述對所述所有URL清單進行分類，包括：根據域名分類規則對所述所有URL清單進行分類。

進一步地，結合上述第一方面提供的實施例，對所述所有Web應用進行漏洞檢測，得到Web漏洞檢測結果，包括：對所述所有Web應用的類型進行識別；針對所述所有Web應用中的任一類Web應用，選用與該類Web應用相對應的漏洞檢測規則對所述該類Web應用進行漏洞檢測，得到檢測結果。

進一步地，結合上述第一方面提供的實施例，在所述獲取目標URL清單之后，所述方法還包括：判斷所述目標URL清單是否有效；在為是時，執行所述獲得與所述目標URL清單相對應的所有Web應用的步驟。