[發明專利]用于文件上傳漏洞的檢測方法和檢測裝置

有效

• 申請號: 202110397528.7
• 申請日: 2021-04-13
• 公開（公告）號: CN113114680B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 吳鴻霖;呂博良;卓越;姜城
• 申請（專利權）人: 中國工商銀行股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/06
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 趙婷

本公開提供了一種用于文件上傳漏洞的檢測方法，屬于信息安全領域。所述方法包括：獲取網站的訪問請求；當所述訪問請求為文件上傳請求時，基于所述訪問請求構造至少一個漏洞攻擊報文；將所述漏洞攻擊報文發送至所述網站，以獲得所述網站針對所述漏洞攻擊報文反饋的測試響應報文；比較所述測試響應報文與原始響應報文，其中，所述原始響應報文為所述網站針對所述訪問請求反饋的響應報文；以及當比較結果表征所述測試響應報文與所述原始響應報文的差異性滿足預定條件時，確定所述網站存在漏洞。本公開的實施例還提供了一種用于文件上傳漏洞的檢測裝置、電子設備、及計算機可讀存儲介質。

技術領域

本公開屬于信息安全技術領域；更具體地，涉及一種用于文件上傳漏洞的檢測方法和檢測裝置。

背景技術

在現代互聯網的web應用程序當中，為了提高業務效率，往往有上傳文件的功能，但是這也會提高web應用受到攻擊的風險，如果web應用存在文件上傳漏洞，那么攻擊者就可以利用這個漏洞進行攻擊，進而造成控制整個網站，甚至控制服務器的危害。

發明內容

有鑒于此，本公開實施例提供了一種用于文件上傳漏洞的檢測方法、檢測裝置、電子設備、以及計算機可讀存儲介質。

本公開實施例的一個方面提供了一種用于文件上傳漏洞的檢測方法。所述檢測方法包括：獲取網站的訪問請求；當所述訪問請求為文件上傳請求時，基于所述訪問請求構造至少一個漏洞攻擊報文；將所述漏洞攻擊報文發送至所述網站，以獲得所述網站針對所述漏洞攻擊報文反饋的測試響應報文；比較所述測試響應報文與原始響應報文，其中，所述原始響應報文為所述網站針對所述訪問請求反饋的響應報文；以及當比較結果表征所述測試響應報文與所述原始響應報文的差異性滿足預定條件時，確定所述網站存在漏洞。

根據本公開的實施例，所述預定條件包括：所述測試響應報文和所述原始響應報文的格式一致，且所述測試響應報文和所述原始響應報文的差異度小于或等于閾值。

根據本公開的實施例，所述比較所述測試響應報文與原始響應報文包括：比較所述測試響應報文和所述原始響應報文的格式及大小。

根據本公開的實施例，所述比較所述測試響應報文與原始響應報文還包括：在所述測試響應報文和所述原始響應報文的格式及大小均一致時，根據報文的格式計算所述差異度。

根據本公開的實施例，所述根據報文的格式計算所述差異度包括：當報文的格式為HTML時，根據所述測試響應報文和所述原始響應報文的DOM樹和CSS-DOM樹的編輯距離計算所述差異度；當報文的格式為XML時，根據所述原始響應報文和所述測試響應報文的DOM樹的編輯距離計算所述差異度；或者當報文的格式為字符串或二進制數據時，根據所述原始響應報文和所述測試響應報文的SimHash值計算所述差異度。

根據本公開的實施例，所述方法還包括：當比較結果表征所述測試響應報文和所述原始響應報文的格式或大小至少一項不一致時，確定所述網站不存在漏洞。

根據本公開的實施例，所述方法還包括當所述差異度大于所述閾值時，確定所述網站不存在漏洞。

根據本公開的實施例，當所述訪問請求為文件上傳請求時，基于所述訪問請求構造至少一個漏洞攻擊報文包括通過以下至少一種方式獲得至少一個所述漏洞攻擊報文：使用測試用文件擴展名替換所述訪問請求的報文中的文件擴展名；根據所述訪問請求的報文中的文件擴展名，生成與該文件擴展名對應的惡意代碼，并將該惡意代碼插入到所述訪問請求的報文中的文件信息中；或者根據所述訪問請求的報文中的文件擴展名，生成一個文件大小大于預定值的具有該文件擴展名的上傳文件，并以該上傳文件替換所述訪問請求的報文中的文件。