[發(fā)明專利]一種基于云端數(shù)據(jù)的XSS漏洞檢測方法

有效

• 申請?zhí)枺?/td>: 202110139121.4
• 申請日: 2021-02-01
• 公開（公告）號: CN112866274B
• 公開（公告）日: 2022-08-16
• 發(fā)明（設(shè)計）人: 王丹;降云鵬;趙文兵
• 申請（專利權(quán)）人: 北京工業(yè)大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京思海天達知識產(chǎn)權(quán)代理有限公司 11203
• 代理人: 劉萍

1.一種XSS漏洞檢測方法，其特征在于，使用以下步驟篩選最終的測試用例：

獲取測試用例所用的攻擊向量內(nèi)容與當前系統(tǒng)時間；

計算攻擊向量的特征值；

在服務器數(shù)據(jù)庫中查詢?nèi)颗c特征值有關(guān)的記錄，根據(jù)記錄與系統(tǒng)時間計算時序帶權(quán)評分；

在服務器端，遍歷查詢到與特征值有關(guān)的記錄，計算每個特征為攻擊向量帶來的強度貢獻；

在服務器端，根據(jù)每個特征為攻擊向量帶來的強度貢獻，計算整體的攻擊向量強度，將其與最后一次使用的時間一同返回到客戶端；

客戶端根據(jù)將攻擊向量強度與最后一次的使用的時間與標準進行對比，決定是否將其加入最終的測試用例。

2.如權(quán)利要求1所述的漏洞檢測方法，其特征在于，所述”與特征值有關(guān)的記錄”，是根據(jù)如下方法進行存儲的：

客戶端從公開信息中頁面爬取記載的記錄所對應的條目，或客戶端進行一次模擬檢測時所用的變量存儲下來以xml或json文本方式記錄，以解析對應格式的文本的方式獲取進行一次攻擊所用的攻擊向量，攻擊的時間，受攻擊的網(wǎng)站，及攻擊是否成功的結(jié)果；

客戶端根據(jù)攻擊向量內(nèi)容，計算攻擊向量的特征值；

從服務器數(shù)據(jù)庫中獲取攻擊評分；

在服務器數(shù)據(jù)庫中記錄攻擊產(chǎn)生的時間，受攻擊的網(wǎng)站，攻擊向量的特征值，攻擊評分與攻擊是否成功的結(jié)果。

3.如權(quán)利要求1或者2所述的漏洞檢測方法，其特征在于，所述攻擊向量內(nèi)容是包含欲提交到服務器的含惡意字符串的文本，以及進行文本提交所用的標簽類型與屬性兩種參數(shù)；

所述計算攻擊向量的特征值E為一個二元組，包含混淆特征值V與注入位置特征值P；V是一個二進制數(shù)，每一位的可能取值代表是否存在一種混淆判定方法；混淆判定方法指的是一段程序片段，輸入攻擊向量字符串，將原字符串進行逆混淆后再與原字符串進行對比；相同輸出0，代表不存在該種混淆特征，不相同輸出1，代表存在該種混淆方法；而P是一個正整數(shù)，每一個P的可能取值代表一種進行攻擊時使用的標簽與屬性的組合；所述計算攻擊向量的特征值指分別計算V與P，兩者即組成所得的特征值E；

計算V是通過如下方法進行的：

計算時，相關(guān)文件存入特定文件夾中，然后程序讀入列表獲取存在的全部的混淆特征及計算每一位需要判定哪種混淆方法，利用程序語言的動態(tài)導入功能可以按照列表讀取全部混淆特征判定方法，按照列表的順序依次調(diào)用；第一個判定的方法獲得的結(jié)果直接存儲為總結(jié)果，再這之后每執(zhí)行完畢一次混淆特征判定方法后，將總結(jié)果利用移位運算符左移一位，與先前的總結(jié)果按位或合成；遍歷完畢全部的混淆特征判定方法，可得最終的混淆特征值V；

計算P是通過如下方法進行的：

查詢數(shù)據(jù)庫中記錄的進行攻擊時使用的標簽與屬性的組合表中是否存在與當前攻擊相同的組合，是則將對應id記為P的值；不是則新建記錄并返回新建記錄的id的方式記為P的值；

所述的服務器端采用云端服務器；服務器端可由一個和多個服務器組成，提供統(tǒng)一的接口與多個客戶端進行交互，用于將多個客戶端的漏洞檢測結(jié)果進行收集與集中，并統(tǒng)一進行運算處理；結(jié)果的收集需包含存儲權(quán)利要求2方法中在服務器數(shù)據(jù)庫中記錄步驟中的全部內(nèi)容，運算處理需包含計算攻擊向量的特征值，攻擊評分與時序攻擊評分；集中指多個客戶端利用權(quán)利要求2所述方法將漏洞檢測記錄上傳到同一服務器端中，與多個客戶端利用權(quán)利要求1所述方法進行漏洞檢測時，需連接到同一服務器端；權(quán)利要求1所述方法中查詢漏洞檢測記錄的服務器端與權(quán)利要求2所述方法中寫入漏洞檢測記錄的服務器端相同；即利用權(quán)利要求2所述方法生成的漏洞檢測記錄，將用在權(quán)利要求1的漏洞檢測方法中計算時序帶權(quán)評分，強度貢獻。