[發明專利]注入漏洞檢測方法及裝置

有效

• 申請號: 201810450905.7
• 申請日: 2018-05-11
• 公開（公告）號: CN108667840B
• 公開（公告）日: 2021-09-10
• 發明（設計）人: 牛保龍;楊勇;胡珀;劉志穎;李相垚;易楠;陳劍;洪旭升;苗軍
• 申請（專利權）人: 騰訊科技(深圳)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/57;G06F16/2455
• 代理公司: 深圳市隆天聯鼎知識產權代理有限公司 44232
• 代理人: 劉抗美;胡明

1.一種注入漏洞檢測方法，其特征在于，包括：

接收應用程序根據攜帶探測標記的參數發起的網頁訪問請求，所述網頁訪問請求指示所述應用程序請求訪問的網頁；

從所述網頁訪問請求中提取得到攜帶所述探測標記的參數；

將攜帶所述探測標記的參數注入所述業務數據庫，通過注入的參數進行所述業務數據庫的查詢；

監控所述業務數據庫的查詢過程，獲取查詢過程中生成的已執行數據庫語句；

對包含所述探測標記的已執行數據庫語句進行語法分析，得到用于指示所述網頁是否存在注入漏洞的檢測結果。

2.如權利要求1所述的方法，其特征在于，所述監控所述業務數據庫的查詢過程，獲取查詢過程中生成的已執行數據庫語句，包括：

對所述業務數據庫的查詢過程進行監控，生成描述所述查詢過程的行為日志；

從所述行為日志中提取得到所述已執行數據庫語句。

3.如權利要求1所述的方法，其特征在于，所述對包含所述探測標記的已執行數據庫語句進行語法分析，得到用于指示所述網頁是否存在注入漏洞的檢測結果，包括：

根據所述探測標記進行所述已執行數據庫語句的過濾，得到包含所述探測標記的已執行數據庫語句；

由包含所述探測標記的已執行數據庫語句中獲得目標數據庫語句；

在所述目標數據庫語句中檢測所述探測標記是否存在于指定字符串之外，得到所述檢測結果，所述檢測結果指示了所述網頁是否存在注入漏洞。

4.如權利要求3所述的方法，其特征在于，所述由包含所述探測標記的已執行數據庫語句中獲得目標數據庫語句，包括：

對包含所述探測標記的已執行數據庫語句進行起始語句位置查找；

在包含所述探測標記的已執行數據庫語句中確定所述探測標記的語句位置；

將所述起始語句位置與所述探測標記的語句位置之間的字符串作為所述目標數據庫語句。

5.如權利要求3所述的方法，其特征在于，所述在所述目標數據庫語句中檢測所述探測標記是否存在于指定字符串之外，得到所述檢測結果，包括：

對所述目標數據庫語句中指定字符串以及所述指定字符串相關聯的字符串進行數量統計；

根據數量統計結果判斷所述目標數據庫語句是否滿足語法規則；

如果為否，則所述檢測結果指示所述網頁存在注入漏洞。

6.一種注入漏洞檢測裝置，其特征在于，包括：

請求接收模塊，用于接收應用程序根據攜帶探測標記的參數發起的網頁訪問請求，所述網頁訪問請求指示所述應用程序請求訪問的網頁；

參數提取模塊，用于從所述網頁訪問請求中提取得到攜帶所述探測標記的參數；

參數注入模塊，用于將攜帶所述探測標記的參數注入所述業務數據庫，通過注入的參數進行所述業務數據庫的查詢；

查詢監控模塊，用于監控所述業務數據庫的查詢過程，獲取查詢過程中生成的已執行數據庫語句；

語法分析模塊，用于對包含所述探測標記的已執行數據庫語句進行語法分析，得到用于指示所述網頁是否存在注入漏洞的檢測結果。

7.如權利要求6所述的裝置，其特征在于，所述查詢監控模塊包括：

日志生成單元，用于對所述業務數據庫的查詢過程進行監控，生成描述所述查詢過程的行為日志；

語句提取單元，用于從所述行為日志中提取得到所述已執行數據庫語句。

8.如權利要求6所述的裝置，其特征在于，所述語法分析模塊包括：

語句過濾單元，用于根據所述探測標記進行所述已執行數據庫語句的過濾，得到包含所述探測標記的已執行數據庫語句；

目標確定單元，用于由包含所述探測標記的已執行數據庫語句中獲得目標數據庫語句；

漏洞檢測單元，用于在所述目標數據庫語句中檢測所述探測標記是否存在于指定字符串之外，得到所述檢測結果，所述檢測結果指示了所述網頁是否存在注入漏洞。