[發明專利]一種框架注入漏洞檢測方法、裝置、設備及介質

在審

• 申請號: 202011079653.5
• 申請日: 2020-10-10
• 公開（公告）號: CN112069509A
• 公開（公告）日: 2020-12-11
• 發明（設計）人: 王梓嬙;亢陽陽
• 申請（專利權）人: 杭州安恒信息安全技術有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F16/955;G06F16/951;G06F16/958
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 丁曼曼

1.一種框架注入漏洞檢測方法，其特征在于，包括：

獲取包含目標統一資源定位符的請求數據包；

通過對所述請求數據包進行修改，以得到嵌入了用于檢測框架注入漏洞的檢測語句的修改后請求數據包；

向網站服務器發送所述修改后請求數據包，并接收所述網站服務器反饋的與所述修改后請求數據包對應的響應數據包；

基于所述響應數據包判斷所述目標統一資源定位符是否存在框架注入漏洞。

2.根據權利要求1所述的框架注入漏洞檢測方法，其特征在于，所述獲取包含目標統一資源定位符的請求數據包，包括：

獲取目標統一資源定位符；

訪問所述目標統一資源定位符，并獲取在訪問所述目標統一資源定位符時，生成的包含所述目標統一資源定位符的請求數據包。

3.根據權利要求2所述的框架注入漏洞檢測方法，其特征在于，所述獲取目標統一資源定位符，包括：

利用爬蟲技術獲取目標網頁包含的所有統一資源定位符，以得到所述目標統一資源定位符。

4.根據權利要求3所述的框架注入漏洞檢測方法，其特征在于，所述通過對所述請求數據包進行修改，以得到嵌入了用于檢測框架注入漏洞的檢測語句的修改后請求數據包，包括：

從所述請求數據包中確定出可替換目標字段；

將預設數量的所述可替換目標字段修改為所述檢測語句，以得到所述修改后請求數據包。

5.根據權利要求4所述的框架注入漏洞檢測方法，其特征在于，所述可替換目標字段包括所述目標統一資源定位符中的參數名和參數值，以及數據包頭部信息中的參數值和參數名。

6.根據權利要求1至5任一項所述的框架注入漏洞檢測方法，其特征在于，所述基于所述響應數據包判斷所述目標統一資源定位符是否存在框架注入漏洞，包括：

判斷所述響應數據包中是否存在與所述檢測語句對應的特征信息；

若存在與所述檢測語句對應的所述特征信息，則判定所述目標統一資源定位符存在所述框架注入漏洞。

7.一種框架注入漏洞檢測裝置，其特征在于，包括：

獲取模塊，用于獲取包含目標統一資源定位符的請求數據包；

數據修改模塊，用于通過對所述請求數據包進行修改，以得到嵌入了用于檢測框架注入漏洞的檢測語句的修改后請求數據包；

發送接收模塊，用于向網站服務器發送所述修改后請求數據包，并接收所述網站服務器反饋的與所述修改后請求數據包對應的響應數據包；

判斷模塊，用于基于所述響應數據包判斷所述目標統一資源定位符是否存在框架注入漏洞。

8.根據權利要求7所述的框架注入漏洞檢測裝置，其特征在于，所述數據修改模塊，包括：

可替換目標字段確定模塊，用于從所述請求數據包中確定出可替換目標字段；

修改子模塊，用于將預設數量的所述可替換目標字段修改為所述檢測語句，以得到所述修改后請求數據包。

9.一種電子設備，其特征在于，包括：

存儲器，用于保存計算機程序；

處理器，用于執行所述計算機程序，以實現如權利要求1至6任一項所述的框架注入漏洞檢測方法。

10.一種計算機可讀存儲介質，其特征在于，用于存儲計算機程序；其中計算機程序被處理器執行時實現如權利要求1至6任一項所述的框架注入漏洞檢測方法。