[發(fā)明專利]漏洞檢測方法、裝置、終端設(shè)備以及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202010085153.6
• 申請日: 2020-02-10
• 公開（公告）號: CN111343154A
• 公開（公告）日: 2020-06-26
• 發(fā)明（設(shè)計(jì)）人: 彭冬煒
• 申請（專利權(quán)）人: OPPO廣東移動通信有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F16/951
• 代理公司: 深圳市世紀(jì)恒程知識產(chǎn)權(quán)代理事務(wù)所 44287
• 代理人: 胡海國

本發(fā)明公開了一種漏洞檢測方法、裝置、終端設(shè)備以及存儲介質(zhì)，其方法包括：搜索目標(biāo)網(wǎng)頁，對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊測試，得到測試結(jié)果；若所述測試結(jié)果為所述目標(biāo)網(wǎng)頁存在漏洞，則獲取所述目標(biāo)網(wǎng)頁的漏洞信息，并通過預(yù)設(shè)的漏洞評分系統(tǒng)對所述漏洞信息進(jìn)行評分。本發(fā)明通過專用的網(wǎng)絡(luò)漏洞掃描工具，測試網(wǎng)站安全，并通過預(yù)設(shè)的漏洞評分系統(tǒng)對掃描出來的漏洞進(jìn)行打分評測，實(shí)現(xiàn)漏洞評分標(biāo)準(zhǔn)的統(tǒng)一化，提升了漏洞檢測準(zhǔn)確性，并降低了溝通成本。

技術(shù)領(lǐng)域

本發(fā)明涉及信息安全技術(shù)領(lǐng)域，尤其涉及一種漏洞檢測方法、裝置、終端設(shè)備以及存儲介質(zhì)。

背景技術(shù)

目前，網(wǎng)頁漏洞評分大都是依據(jù)漏洞評審人員的經(jīng)驗(yàn)判斷，或是按照公司自創(chuàng)的評分標(biāo)準(zhǔn)判斷，還有從乙方廠商得到相關(guān)漏洞的評分。這種依據(jù)漏洞評審人員的經(jīng)驗(yàn)判斷的方式，帶有很大的主觀性，說服力不強(qiáng)；而一些公司自研的漏洞評分標(biāo)準(zhǔn)，在其公司內(nèi)部和客戶中實(shí)施沒什么阻礙，但是，若將該評分標(biāo)準(zhǔn)放到業(yè)內(nèi)，在同其他廠商交流時(shí)，會因?yàn)椴煌墓緦ν粋€(gè)漏洞可能得出不同評級，而不能達(dá)到統(tǒng)一意見，容易產(chǎn)生分歧，引發(fā)爭議，進(jìn)而增加了溝通的成本。

發(fā)明內(nèi)容

本發(fā)明的主要目的在于提供一種漏洞檢測方法、裝置、終端設(shè)備以及存儲介質(zhì)，旨在實(shí)現(xiàn)漏洞評分標(biāo)準(zhǔn)的統(tǒng)一化，提升漏洞檢測準(zhǔn)確性，降低溝通成本。

為實(shí)現(xiàn)上述目的，本發(fā)明提供一種漏洞檢測方法，包括：

搜索目標(biāo)網(wǎng)頁，對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊測試，得到測試結(jié)果；

若所述測試結(jié)果為所述目標(biāo)網(wǎng)頁存在漏洞，則獲取所述目標(biāo)網(wǎng)頁的漏洞信息，并通過預(yù)設(shè)的漏洞評分系統(tǒng)對所述漏洞信息進(jìn)行評分。

可選地，所述搜索目標(biāo)網(wǎng)頁，對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊測試，得到測試結(jié)果的步驟包括：

接收用戶輸入的目標(biāo)網(wǎng)站的域名；

根據(jù)所述目標(biāo)網(wǎng)站的域名搜索所述目標(biāo)網(wǎng)站，基于爬蟲技術(shù)獲得所述目標(biāo)網(wǎng)站的網(wǎng)頁應(yīng)用結(jié)構(gòu)；

對所述目標(biāo)網(wǎng)站的網(wǎng)頁應(yīng)用結(jié)構(gòu)進(jìn)行分析，獲得目標(biāo)網(wǎng)頁；

對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊測試，判斷所述目標(biāo)網(wǎng)頁是否存在漏洞，獲得測試結(jié)果。

可選地，所述對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊測試，判斷所述目標(biāo)網(wǎng)頁是否存在漏洞，獲得測試結(jié)果的步驟包括：

向所述目標(biāo)網(wǎng)站發(fā)送對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊測試的請求數(shù)據(jù)包，所述請求數(shù)據(jù)包中攜帶對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊的惡意參數(shù)；

獲取所述目標(biāo)網(wǎng)站針對所述請求數(shù)據(jù)包的響應(yīng)情況，基于所述響應(yīng)情況判斷所述目標(biāo)網(wǎng)頁是否存在漏洞，獲得測試結(jié)果。

可選地，所述獲取所述目標(biāo)網(wǎng)站針對所述請求數(shù)據(jù)包的響應(yīng)情況，基于所述響應(yīng)情況判斷所述目標(biāo)網(wǎng)頁是否存在漏洞的步驟包括：

若接收到所述目標(biāo)網(wǎng)站的響應(yīng)消息，則判定所述目標(biāo)網(wǎng)頁存在漏洞；或者，若接收到所述目標(biāo)網(wǎng)站的響應(yīng)消息，則對所述響應(yīng)消息進(jìn)行分析驗(yàn)證，根據(jù)分析驗(yàn)證結(jié)果判斷所述目標(biāo)網(wǎng)頁是否存在漏洞。

可選地，所述請求數(shù)據(jù)包基于預(yù)設(shè)的掃描規(guī)則庫設(shè)置有多種攻擊方式，每一種攻擊方式包括相應(yīng)的對所述目標(biāo)網(wǎng)頁進(jìn)行惡意攻擊的惡意參數(shù)。

可選地，所述若所述測試結(jié)果為所述目標(biāo)網(wǎng)頁存在漏洞，則獲取所述目標(biāo)網(wǎng)頁的漏洞信息，并通過預(yù)設(shè)的漏洞評分系統(tǒng)對所述漏洞信息進(jìn)行評分的步驟包括：

若所述測試結(jié)果為所述目標(biāo)網(wǎng)頁存在漏洞，則根據(jù)所述目標(biāo)網(wǎng)頁、目標(biāo)網(wǎng)頁的頁面參數(shù)以及所述請求數(shù)據(jù)包攜帶的惡意參數(shù)，比對預(yù)設(shè)的漏洞庫，獲取所述目標(biāo)網(wǎng)頁的漏洞信息；

將所述漏洞信息輸入預(yù)設(shè)的漏洞評分系統(tǒng)，由所述漏洞評分系統(tǒng)基于預(yù)設(shè)的評分標(biāo)準(zhǔn)對所述漏洞信息進(jìn)行評分，得到評分結(jié)果。