[發(fā)明專利]一種web框架注入漏洞檢測(cè)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202010591709.9
• 申請(qǐng)日: 2020-06-24
• 公開(kāi)（公告）號(hào): CN111770079B
• 公開(kāi)（公告）日: 2022-09-02
• 發(fā)明（設(shè)計(jì)）人: 田杰;張?chǎng)?/a>;符春輝;吳驍
• 申請(qǐng)（專利權(quán)）人: 綠盟科技集團(tuán)股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 侯林林

1.一種web框架注入漏洞檢測(cè)方法，其特征在于，所述方法包括：

向全球廣域網(wǎng)web應(yīng)用發(fā)送第一探測(cè)請(qǐng)求，所述第一探測(cè)請(qǐng)求中包括觸發(fā)異常響應(yīng)的隨機(jī)字符串；當(dāng)從所述web應(yīng)用接收的第一響應(yīng)內(nèi)容中包括所述觸發(fā)異常響應(yīng)的隨機(jī)字符串時(shí)，確定所述web應(yīng)用的潛在框架注入漏洞注入點(diǎn)；

根據(jù)所述觸發(fā)異常響應(yīng)的隨機(jī)字符串在所述第一響應(yīng)內(nèi)容中出現(xiàn)的位置和所述第一響應(yīng)內(nèi)容，生成待閉合的標(biāo)簽組；

根據(jù)所述待閉合的標(biāo)簽組生成探測(cè)代碼，將所述探測(cè)代碼注入到所述潛在框架注入漏洞注入點(diǎn)后，向所述web應(yīng)用發(fā)送包括所述探測(cè)代碼的第二探測(cè)請(qǐng)求；獲取與所述第二探測(cè)請(qǐng)求對(duì)應(yīng)的第二響應(yīng)內(nèi)容，根據(jù)所述第二響應(yīng)內(nèi)容確定所述web應(yīng)用的數(shù)據(jù)處理特點(diǎn)集合；

根據(jù)所述數(shù)據(jù)處理特點(diǎn)集合和所述待閉合的標(biāo)簽組生成框架代碼；將所述框架代碼注入到所述潛在框架注入漏洞注入點(diǎn)后，向所述web應(yīng)用發(fā)送包括所述框架代碼的第三探測(cè)請(qǐng)求；獲取與所述第三探測(cè)請(qǐng)求對(duì)應(yīng)的第三響應(yīng)內(nèi)容，當(dāng)從所述第三響應(yīng)內(nèi)容中確定所述框架代碼被執(zhí)行時(shí)，確定所述web應(yīng)用存在框架注入漏洞。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述觸發(fā)異常響應(yīng)的隨機(jī)字符串為普通隨機(jī)字符串、觸發(fā)異常響應(yīng)字符串的組合；

所述根據(jù)所述觸發(fā)異常響應(yīng)的隨機(jī)字符串在所述第一響應(yīng)內(nèi)容中出現(xiàn)的位置和所述第一響應(yīng)內(nèi)容，生成待閉合的標(biāo)簽組，包括：

對(duì)所述第一響應(yīng)內(nèi)容進(jìn)行字符串分割，確定所述觸發(fā)異常響應(yīng)的隨機(jī)字符串在所述第一響應(yīng)內(nèi)容中出現(xiàn)位置之后的n-1個(gè)字符串；n為所述普通隨機(jī)字符串在所述第一響應(yīng)內(nèi)容中出現(xiàn)的次數(shù)加上1；

根據(jù)所述n-1個(gè)字符串，生成所述待閉合的標(biāo)簽組。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述根據(jù)所述n-1個(gè)字符串，生成所述待閉合的標(biāo)簽組，包括：

針對(duì)所述n-1個(gè)字符串中的第一字符串，所述第一字符串為所述n-1個(gè)字符串中的任意一個(gè)；獲取所述第一字符串對(duì)應(yīng)的m個(gè)初始超級(jí)文本標(biāo)記語(yǔ)言 HTML標(biāo)簽，將m個(gè)初始HTML標(biāo)簽進(jìn)行前向相同相消，得到去重后的第一標(biāo)簽集合；所述m為正整數(shù)；

對(duì)所述n-1個(gè)字符串對(duì)應(yīng)的n-1個(gè)第一標(biāo)簽集合進(jìn)行消重后，與預(yù)設(shè)標(biāo)簽集合取交集，得到所述待閉合的標(biāo)簽組。

4.根據(jù)權(quán)利要求1至3任一項(xiàng)所述的方法，其特征在于，所述根據(jù)所述數(shù)據(jù)處理特點(diǎn)集合和所述待閉合的標(biāo)簽組生成框架代碼，包括：

根據(jù)所述數(shù)據(jù)處理特點(diǎn)集合填充框架注入漏洞探測(cè)規(guī)則模板中的標(biāo)簽，生成框架注入漏洞探測(cè)規(guī)則；其中，所述框架注入漏洞探測(cè)規(guī)則模板包括協(xié)議標(biāo)識(shí)、框架標(biāo)識(shí)、隨機(jī)域名、符號(hào)標(biāo)識(shí)；

根據(jù)所述框架注入漏洞探測(cè)規(guī)則、所述待閉合的標(biāo)簽組和所述觸發(fā)異常響應(yīng)字符串生成所述框架代碼。

5.根據(jù)權(quán)利要求1至3任一項(xiàng)所述的方法，其特征在于，所述根據(jù)所述待閉合的標(biāo)簽組生成探測(cè)代碼，包括：

根據(jù)所述待閉合的標(biāo)簽組和所述觸發(fā)異常響應(yīng)字符串、多組隨機(jī)數(shù)，以及探測(cè)web應(yīng)用對(duì)輸入數(shù)據(jù)處理特點(diǎn)的規(guī)則組，生成探測(cè)代碼；所述規(guī)則組用于探測(cè)至少一個(gè)web應(yīng)用對(duì)輸入數(shù)據(jù)處理的特點(diǎn)。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，由所述多組隨機(jī)數(shù)和所述規(guī)則組組成的拼接字符串的長(zhǎng)度不超過(guò)所述框架代碼中漏洞探測(cè)規(guī)則的最大長(zhǎng)度。

7.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述根據(jù)所述第二響應(yīng)內(nèi)容確定所述web應(yīng)用的數(shù)據(jù)處理特點(diǎn)集合，包括：

從所述第二響應(yīng)內(nèi)容中獲取所述多組隨機(jī)數(shù)和所述探測(cè)web應(yīng)用對(duì)輸入數(shù)據(jù)處理特點(diǎn)的規(guī)則組對(duì)應(yīng)的響應(yīng)內(nèi)容；

根據(jù)所述多組隨機(jī)數(shù)和所述探測(cè)web應(yīng)用對(duì)輸入數(shù)據(jù)處理特點(diǎn)的規(guī)則組，得到所述數(shù)據(jù)處理特點(diǎn)集合。