[發明專利]漏洞檢測方法、裝置、終端設備以及存儲介質

在審

• 申請號: 202010085153.6
• 申請日: 2020-02-10
• 公開（公告）號: CN111343154A
• 公開（公告）日: 2020-06-26
• 發明（設計）人: 彭冬煒
• 申請（專利權）人: OPPO廣東移動通信有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/951
• 代理公司: 深圳市世紀恒程知識產權代理事務所 44287
• 代理人: 胡海國

1.一種漏洞檢測方法，其特征在于，包括：

搜索目標網頁，對所述目標網頁進行惡意攻擊測試，得到測試結果；

若所述測試結果為所述目標網頁存在漏洞，則獲取所述目標網頁的漏洞信息，并通過預設的漏洞評分系統對所述漏洞信息進行評分。

2.根據權利要求1所述的漏洞檢測方法，其特征在于，所述搜索目標網頁，對所述目標網頁進行惡意攻擊測試，得到測試結果的步驟包括：

接收用戶輸入的目標網站的域名；

根據所述目標網站的域名搜索所述目標網站，基于爬蟲技術獲得所述目標網站的網頁應用結構；

對所述目標網站的網頁應用結構進行分析，獲得目標網頁；

對所述目標網頁進行惡意攻擊測試，判斷所述目標網頁是否存在漏洞，獲得測試結果。

3.根據權利要求2所述的漏洞檢測方法，其特征在于，所述對所述目標網頁進行惡意攻擊測試，判斷所述目標網頁是否存在漏洞，獲得測試結果的步驟包括：

向所述目標網站發送對所述目標網頁進行惡意攻擊測試的請求數據包，所述請求數據包中攜帶對所述目標網頁進行惡意攻擊的惡意參數；

獲取所述目標網站針對所述請求數據包的響應情況，基于所述響應情況判斷所述目標網頁是否存在漏洞，獲得測試結果。

4.根據權利要求3所述的漏洞檢測方法，其特征在于，所述獲取所述目標網站針對所述請求數據包的響應情況，基于所述響應情況判斷所述目標網頁是否存在漏洞的步驟包括：

若接收到所述目標網站的響應消息，則判定所述目標網頁存在漏洞；或者，若接收到所述目標網站的響應消息，則對所述響應消息進行分析驗證，根據分析驗證結果判斷所述目標網頁是否存在漏洞。

5.根據權利要求3所述的漏洞檢測方法，其特征在于，所述請求數據包基于預設的掃描規則庫設置有多種攻擊方式，每一種攻擊方式包括相應的對所述目標網頁進行惡意攻擊的惡意參數。

6.根據權利要求3所述的漏洞檢測方法，其特征在于，所述若所述測試結果為所述目標網頁存在漏洞，則獲取所述目標網頁的漏洞信息，并通過預設的漏洞評分系統對所述漏洞信息進行評分的步驟包括：

若所述測試結果為所述目標網頁存在漏洞，則根據所述目標網頁、目標網頁的頁面參數以及所述請求數據包攜帶的惡意參數，比對預設的漏洞庫，獲取所述目標網頁的漏洞信息；

將所述漏洞信息輸入預設的漏洞評分系統，由所述漏洞評分系統基于預設的評分標準對所述漏洞信息進行評分，得到評分結果。

7.根據權利要求6所述的漏洞檢測方法，其特征在于，所述漏洞評分系統基于預設的評分標準對所述漏洞信息進行評分，得到評分結果的步驟包括：

所述漏洞評分系統基于預設的評分標準對所述漏洞信息進行分析，獲取所述漏洞的屬性信息，所述屬性信息包括漏洞的原始屬性；所述漏洞的原始屬性包括：所述漏洞的攻擊途徑、攻擊復雜度、權限要求、用戶交互、影響范圍、機密性影響、完整性影響、可用性影響；

基于所述漏洞的機密性影響、完整性影響、可用性影響，計算得到影響度分值；

基于所述漏洞的攻擊途徑、攻擊復雜度、權限要求、用戶交互，計算得到可利用度分值；

基于所述影響度分值和可利用度分值計算得到基礎分值，作為所述漏洞的第一評分結果。

8.根據權利要求7所述的漏洞檢測方法，其特征在于，所述屬性信息還包括漏洞的時間屬性，所述漏洞的時間屬性包括漏洞的利用度、補丁水平、報告可信度，所述漏洞評分系統基于預設的評分標準對所述漏洞信息進行評分，得到評分結果的步驟還包括：

基于所述基礎分值及所述漏洞的利用度、補丁水平和報告可信度計算得到時間評價分值，作為所述漏洞的第二評分結果。