[發明專利]一種基于JavaAgent的JavaWEB應用程序漏洞檢測方法

在審

• 申請號: 201910116359.8
• 申請日: 2019-02-13
• 公開（公告）號: CN109857669A
• 公開（公告）日: 2019-06-07
• 發明（設計）人: 范丙華
• 申請（專利權）人: 杭州孝道科技有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36;G06F21/57
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于JavaAgent的JavaWEB應用程序漏洞檢測方法，其特征在于，包括如下步驟：將Javaagent程序安裝到目標服務器，使用黑盒探測軟件向目標服務器發送帶有特征payload的請求報文，Javaagent程序在有害執行點嘗試捕獲payload的特征，如果捕獲到，則證明該輸入點存在安全風險，之后將所述有害執行點進行科學分類，再與已知的漏洞類型相關聯，即可檢測出相應的漏洞類型。

2.根據權利要求1所述的基于JavaAgent的JavaWEB應用程序漏洞檢測方法，其特征在于，所述Javaagent程序采用JavaAgent技術實現動態字節碼的邏輯插樁，步驟為：定義插樁點，插樁點即為敏感方法，定義特征匹配規則。

3.根據權利要求2所述的基于JavaAgent的JavaWEB應用程序漏洞檢測方法，其特征在于，所述定義特征匹配規則，即在插樁點捕獲有安全風險的特征，如果發現特征完全一致，則認為所述插樁點被外部輸入的數據控制執行一些行為。

4.根據權利要求2所述的基于JavaAgent的JavaWEB應用程序漏洞檢測方法，其特征在于，所述敏感方法包括執行一個命令。

5.根據權利要求2所述的基于JavaAgent的JavaWEB應用程序漏洞檢測方法，其特征在于，所述敏感方法包括打開一個文件。

6.根據權利要求1或2所述的基于JavaAgent的JavaWEB應用程序漏洞檢測方法，其特征在于，所述javaAgent程序是一個JVM“插件”，即一種在不影響程序正常編譯的情況下，在字節碼的層面對類和方法進行相應的修改。

7.根據權利要求1所述的基于JavaAgent的JavaWEB應用程序漏洞檢測方法，其特征在于，所述科學分類的方法為：將有害執行點的按照其功能或行為分類。