[發明專利]一種網頁端的文件上傳漏洞檢測方法和裝置

有效

• 申請號: 202011148876.2
• 申請日: 2020-10-23
• 公開（公告）號: CN112446030B
• 公開（公告）日: 2023-01-06
• 發明（設計）人: 趙淼
• 申請（專利權）人: 蘇州浪潮智能科技有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F21/56
• 代理公司: 北京連和連知識產權代理有限公司 11278
• 代理人: 楊帆;李紅蕭

本發明公開了一種網頁端的文件上傳漏洞檢測方法和裝置，方法包括：獲取符合文件上傳接口要求的第一文件擴展名；生成具有第一文件擴展名的文件以使用頁面自動化工具將文件上傳到文件上傳接口，并使用抓包工具截獲文件上傳接口的文件上傳請求；加載常用文件名擴展庫并從中選取不同于第一文件擴展名的第二文件擴展名來替換文件上傳請求中的第一文件擴展名，重新上傳經過修改的文件上傳請求；響應于接收到文件上傳請求的成功響應信息而基于文件上傳接口所對應的默認文件路徑發送文件執行請求，并響應于接收到文件執行請求的執行特征信息而判定存在文件上傳漏洞。本發明能夠大大提高安全測評工作效率和文件上傳接口的覆蓋度。

技術領域

本發明涉及安全領域，更具體地，特別是指一種網頁端的文件上傳漏洞檢測方法和裝置。

背景技術

隨著大數據、云計算和人工智能技術的發展，各大互聯網企業研發的Web(網頁端)應用經過不斷的升級更新，功能不斷完善。文件上傳功能作為Web端的一個正常的業務需求和最基本的功能，也越來越多的用于Web應用的用戶交互接口。然而文件上傳功能一直以來都存在許多安全風險，通常是由于對上傳文件的類型、內容沒有進行嚴格的過濾、檢查，使得攻擊者可以通過上傳惡意文件獲取服務器權限，因此文件上傳漏洞帶來的危害常常是毀滅性的。文件上傳漏洞的利用是有限制條件的，首先當然是要能夠成功上傳惡意文件，其次上傳文件必須能夠被執行。

傳統的文件上傳漏洞檢測方法檢測率低，無法覆蓋至所有的Web應用的文件上傳接口，并且有的文件上傳接口在頁面上明確說明沒有對所上傳的文件進行類型限制。

針對現有技術中漏洞檢測率低、文件上傳接口覆蓋少的問題，目前尚無有效的解決方案。

發明內容

有鑒于此，本發明實施例的目的在于提出一種網頁端的文件上傳漏洞檢測方法和裝置，能夠遍歷所有文件上傳接口自動化檢驗，大大提高安全測評工作效率和文件上傳接口的覆蓋度。

基于上述目的，本發明實施例的第一方面提供了一種網頁端的文件上傳漏洞檢測方法，包括執行以下步驟：

基于網頁端的提示信息使用頁面自動化工具確定需要執行文件擴展名校驗的文件上傳接口，并獲取符合文件上傳接口要求的第一文件擴展名；

生成具有第一文件擴展名的文件以使用頁面自動化工具將文件上傳到文件上傳接口，并使用抓包工具截獲文件上傳接口的文件上傳請求；

加載常用文件名擴展庫并從中選取不同于第一文件擴展名的第二文件擴展名來替換文件上傳請求中的第一文件擴展名，重新上傳經過修改的文件上傳請求；

響應于接收到文件上傳請求的成功響應信息而基于文件上傳接口所對應的默認文件路徑發送文件執行請求，并響應于接收到文件執行請求的執行特征信息而判定存在文件上傳漏洞。

在一些實施方式中，獲取符合文件上傳接口要求的第一文件擴展名包括：獲取符合文件上傳接口要求的文件類型，并基于文件類型確定一個或多個第一文件擴展名。

在一些實施方式中，從常用文件名擴展庫中選取不同于第一文件擴展名的第二文件擴展名包括：從常用文件名擴展庫中移除一個或多個第一文件擴展名，并從剩余的擴展名中每次選定一個作為第二文件擴展名。

在一些實施方式中，使用第二文件擴展名來替換文件上傳請求中的第一文件擴展名，重新上傳經過修改的文件上傳請求包括：分別以每次選定的第二文件擴展名替換文件上傳請求中的第一文件擴展名，并分別針對每次選定的第二文件擴展名重新上傳經過修改的文件上傳請求，直到選定過的第二文件擴展名已經遍歷剩余的擴展名為止。

在一些實施方式中，生成具有第一文件擴展名的文件包括：基于隨機數發生器生成唯一標識信息，并將唯一標識信息寫入文件；接收到文件執行請求的執行特征信息包括：接收到文件執行請求的執行響應信息，并且在執行響應信息中執行字符匹配獲得了作為文件的執行特征的唯一標識信息。