[發(fā)明專利]服務(wù)器漏洞檢測方法、裝置、設(shè)備和存儲(chǔ)介質(zhì)

在審

• 申請?zhí)枺?/td>: 201910268893.0
• 申請日: 2019-04-04
• 公開（公告）號(hào): CN110311886A
• 公開（公告）日: 2019-10-08
• 發(fā)明（設(shè)計(jì)）人: 王延輝;張馳
• 申請（專利權(quán)）人: 平安科技（深圳）有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/12
• 代理公司: 北京市京大律師事務(wù)所 11321
• 代理人: 劉挽瀾

本申請涉及漏洞檢測技術(shù)領(lǐng)域，尤其涉及一種服務(wù)器漏洞檢測方法、裝置、設(shè)備和存儲(chǔ)介質(zhì)，包括：接收服務(wù)器漏洞檢測命令，發(fā)送所述服務(wù)器漏洞檢測命令至數(shù)個(gè)待檢測服務(wù)器；獲取所述待檢測服務(wù)器的二級(jí)域名，從預(yù)設(shè)的域名服務(wù)器中，抽取所述二級(jí)域名對應(yīng)的三級(jí)域名；對所述三級(jí)域名采用預(yù)設(shè)的加密算法進(jìn)行加密；獲取所述待檢測服務(wù)器執(zhí)行所述服務(wù)器漏洞檢測命令后得到的響應(yīng)數(shù)據(jù)，將所述響應(yīng)數(shù)據(jù)和加密后的所述三級(jí)域名發(fā)送至漏洞檢測服務(wù)器；接收所述漏洞檢測服務(wù)器的反饋信息，判斷所述待檢測服務(wù)器存在漏洞，否則不存在漏洞。本申請?jiān)谛枰M(jìn)行漏洞檢測的服務(wù)器不產(chǎn)生回顯信息的條件下對服務(wù)器漏洞進(jìn)行有效檢測。

技術(shù)領(lǐng)域

本申請涉及漏洞檢測技術(shù)領(lǐng)域，尤其涉及一種服務(wù)器漏洞檢測方法、裝置、 設(shè)備和存儲(chǔ)介質(zhì)。

背景技術(shù)

很多網(wǎng)站應(yīng)用都提供了從其他的服務(wù)器上獲取數(shù)據(jù)的功能。使用用戶指定 的統(tǒng)一資源定位符，web應(yīng)用可以獲取圖片，下載文件，讀取文件內(nèi)容等。對于 這些服務(wù)器是否存在著漏洞。通常采用對回顯信息進(jìn)行分析的方式來判斷度服 務(wù)器是否存在著漏洞。

然而這種方式對于服務(wù)器不產(chǎn)生回顯的命令時(shí)，無法對服務(wù)器是否存在漏 洞進(jìn)行判斷，并且對于回顯信息進(jìn)行分析往往需要與回顯內(nèi)容匹配的檢測技術(shù) 方案才能有效的將服務(wù)器存在的漏洞檢測出來。

發(fā)明內(nèi)容

基于此，有必要針對服務(wù)器不產(chǎn)生回顯的命令時(shí)，無法對服務(wù)器是否存在 漏洞進(jìn)行判斷的問題，提供一種服務(wù)器漏洞檢測方法、裝置、設(shè)備和存儲(chǔ)介質(zhì)。

一種服務(wù)器漏洞檢測方法，包括：

接收服務(wù)器漏洞檢測命令，發(fā)送所述服務(wù)器漏洞檢測命令至數(shù)個(gè)待檢測服務(wù) 器；

獲取所述待檢測服務(wù)器的二級(jí)域名，從預(yù)設(shè)的域名服務(wù)器中，抽取所述二級(jí) 域名對應(yīng)的三級(jí)域名；

對所述三級(jí)域名采用預(yù)設(shè)的加密算法進(jìn)行加密；

獲取所述待檢測服務(wù)器執(zhí)行所述服務(wù)器漏洞檢測命令后得到的響應(yīng)數(shù)據(jù)，將 所述響應(yīng)數(shù)據(jù)和加密后的所述三級(jí)域名發(fā)送至漏洞檢測服務(wù)器；

接收所述漏洞檢測服務(wù)器的反饋信息，若所述反饋信息中含有所述三級(jí)域 名，則提取所述反饋信息中的檢測參數(shù)值，否則所述待檢測服務(wù)器存在漏洞， 若所述檢測參數(shù)值大于預(yù)設(shè)閾值，則所述待檢測服務(wù)器存在漏洞，否則不存在 漏洞。

在一個(gè)可能的實(shí)施例中，所述接收服務(wù)器漏洞檢測命令，發(fā)送所述服務(wù)器漏 洞檢測命令至數(shù)個(gè)待檢測服務(wù)器，包括：

接收所述服務(wù)器漏洞檢測命令，提取所述服務(wù)器漏洞檢測命令中的待檢測服 務(wù)器的一級(jí)域名；

將待測網(wǎng)絡(luò)中所有帶有所述一級(jí)域名的服務(wù)器作為所述待檢測服務(wù)器，發(fā)送 所述服務(wù)器漏洞檢測命令至各所述待檢測服務(wù)器。

在一個(gè)可能的實(shí)施例中，所述獲取所述待檢測服務(wù)器的二級(jí)域名，從預(yù)設(shè)的 域名服務(wù)器中，抽取所述二級(jí)域名對應(yīng)的三級(jí)域名，包括：

獲取所述待檢測服務(wù)器的二級(jí)域名，從所述二級(jí)域名中提取與所述第一域名 不同的字符段；

將所述字符段進(jìn)行編碼轉(zhuǎn)換后得到編碼字符串，抽取所述編碼字符串的首三 位字符；

遍歷所述預(yù)設(shè)的域名服務(wù)器中的域名列表，抽取所述首三位字符對應(yīng)的三級(jí) 域名。

在一個(gè)可能的實(shí)施例中，所述獲取所述待檢測服務(wù)器執(zhí)行所述服務(wù)器漏洞檢 測命令后得到的響應(yīng)數(shù)據(jù)，將所述響應(yīng)數(shù)據(jù)和加密后的所述三級(jí)域名發(fā)送至漏 洞檢測服務(wù)器的步驟之前，所述方法還包括：

獲取所述待檢測服務(wù)器的有效載荷，根據(jù)所述有效載荷，得到所述待檢測服 務(wù)器執(zhí)行所述服務(wù)器漏洞檢測命令后的響應(yīng)時(shí)間；