CN104765682A - 跨站脚本漏洞的线下检测方法和*** - Google Patents

Abstract

本发明提供一种跨站脚本漏洞的线下检测方法和***，该方法包括：控制装置获取功能测试服务器的IP和功能测试项目虚拟化网址HOST；资源隔离装置将目标功能测试环境进行资源隔离，打包标准化的资源隔离镜像，部署到安全测试环境；转发装置部署在目标功能测试环境中，将符合功能测试项目的网络流量转发到调度装置；调度装置将转发的网络流量进行数据封装，并将封装后的测试数据分发到测试装置；测试装置发送安全测试请求至将安全测试环境，将安全测试环境返回的页面进行解析以找出跨站脚本安全漏洞，并发送到控制装置；控制装置根据功能测试服务器的IP和功能测试项目HOST，确定安全漏洞所归属的安全测试项目。该方法提高了安全测试的覆盖率和自动化程度。

Description

跨站脚本漏洞的线下检测方法和***

技术领域

本发明涉及计算机安全技术领域，尤其涉及跨站脚本漏洞(XSS)检测的方法和***。

背景技术

目前在Web程序项目的安全测试工作中，安全测试人员除了要对程序进行安全测试，还要对程序的逻辑有充分的了解，才能尽可能对程序的安全测试进行覆盖。安全测试的覆盖率始终低于功能测试的覆盖率，导致不能测试所有可能的程序分支，出现线上安全漏洞。

现有技术一的技术方案如下：

获取目标页面的源代码并提取其中的脚本代码，遍历所有脚本代码，利用预先定义的脏数据入口获取脚本代码中所有脏数据入口及脏数据入口传递的变量；再次遍历所有脚本代码，获取所述脚本代码中的输出函数，并提取输出函数的参数与脏数据入口及脏数据入口传递的变量进行匹配，若能匹配，则确定有漏洞存在。

现有技术一的缺点在于：

现在Web2.0网站已成主流，大量的网页都是由脚本代码动态生成的网页，跨站脚本可能存在于网页的任何地方，仅仅通过源代码进行遍历是不能对目前的网页进行全部漏洞检测覆盖。

跨网站脚本XSS的防御技术在网络上五花八门，通过对输出脏数据进行简单的匹配是无法获得所有存在漏洞的网页，容易造成误报和漏报。XSS：跨网站脚本(Cross-sitescripting，通常简称为XSS或跨站脚本或跨站脚本攻击)是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。

现有技术二的技术方案如下：

基于爬虫方式抓取页面所有URL(统一资源定位符，Uniform Resource Locator)进行验证攻击测试。

现有技术二的缺点在于：

1、爬虫可能抓取大量无用的页面，且无法定制页面；这样，在拥有添加、删除、修改操作的功能点上，使用多个漏洞验证脚本会产生大量的垃圾数据，且会删除掉正常的内容；这不仅消耗大量的时间，而且会降低业务逻辑覆盖率。

2、爬虫的抓取率无法控制，并且现在很多Web 2.0的页面是需要经过浏览器解析或者需要交互才产生请求操作，这些URL是无法通过爬虫获取到的。

3、综上，爬虫的测试覆盖率不能达到目前技术下的安全测试需求。

发明内容

本发明的目的在于，提供一种跨站脚本漏洞的线下检测方法和***，以将功能测试与安全测试进行隔离，提升安全测试的覆盖率。

为达上述目的，本发明一方面提供了一种跨站脚本漏洞的线下检测方法，其包括：

自动化检测***前端控制装置接收安全测试指令，获取功能测试服务器的IP和功能测试项目虚拟化网址HOST；

自动化测试环境资源隔离装置接受所述自动化检测***前端控制装置的控制指令，将目标功能测试环境进行资源隔离，打包标准化的资源隔离镜像，部署到安全测试环境中；

网络流量转发装置接收所述自动化检测***前端控制装置的控制指令，部署在目标功能测试环境中，将符合功能测试项目的网络流量转发到分布式调度装置；

所述分布式调度装置将各个目标功能测试环境上的网络流量转发装置转发的网络流量进行数据封装，并将封装后的数据包分发到跨站脚本漏洞安全测试装置；

所述跨站脚本漏洞安全测试装置接收所述分布式调度装置分发过来的封装后的数据包，将所述封装后的数据包还原成所述符合功能测试项目的网络流量，发送携带所述符合功能测试项目的网络流量的安全测试请求至已被资源隔离的所述安全测试环境，然后将所述安全测试环境返回的页面进行解析后，找出跨站脚本安全漏洞，并将发现的安全漏洞发送到所述自动化检测***前端控制装置；

所述自动化检测***前端控制装置根据所述功能测试服务器的IP和功能测试项目HOST，确定所述安全漏洞所归属的安全测试项目。

为达上述目的，本发明另一方面提供了一种跨站脚本漏洞的线下检测***，其包括：

自动化检测***前端控制装置，用于接收安全测试指令，获取功能测试服务器的IP和功能测试项目虚拟化网址HOST；

自动化测试环境资源隔离装置，用于接收所述自动化检测***前端控制装置的控制指令，将目标功能测试环境进行资源隔离，打包标准化的资源隔离镜像，部署到安全测试环境中；

网络流量转发装置，用于接收所述自动化检测***前端控制装置的控制指令，部署在目标功能测试环境中，将符合功能测试项目的网络流量转发到分布式调度装置；

所述分布式调度装置，用于将各个目标功能测试环境上的网络流量转发装置转发的网络流量进行数据封装，并将封装后的数据包分发到跨站脚本漏洞安全测试装置；

所述跨站脚本漏洞安全测试装置，用于接收所述分布式调度装置分发过来的封装后的数据包，将所述封装后的数据包还原成所述符合功能测试项目的网络流量，发送携带所述符合功能测试项目的网络流量的安全测试请求至已被资源隔离的所述安全测试环境，然后将所述安全测试环境返回的页面进行解析后，找出跨站脚本安全漏洞，并将发现的跨站脚本安全漏洞发送到所述自动化检测***前端控制装置；

所述自动化检测***前端控制装置，还用于根据所述功能测试服务器的IP和功能测试项目HOST，确定所述安全漏洞所归属的安全测试项目。

本发明提供的上述技术方案的有益技术效果在于：由于采用了基于资源隔离的跨站脚本漏洞线下检测方法，使得线下跨级脚本安全测试实现了全部自动化操作，并且脏数据不对目标功能测试环境造成影响，可以使安全测试与功能测试同步进行，大大提高了安全测试的覆盖率和自动化程度。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的实施例的一种基于资源隔离的跨站脚本漏洞的线下检测***的功能框图；

图2为本发明的实施例的基于资源隔离的跨站脚本漏洞的线下检测方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的实施例通过抓取功能测试人员的测试访问请求，将功能测试的覆盖率直接转移到安全测试，大大提升了安全测试的覆盖率。并通过测试环境的资源隔离，将功能测试与安全测试进行隔离，安全测试的脏数据不影响功能测试的环境，并且可以进一步降低安全测试所消耗的计算资源和人力资源。在功能测试的同时，进行安全测试，提升了安全测试的进度。以下将本发明的实施例中涉及的技术术语解释如下：

HOST：软件测试使用的虚拟化网址，通过IP和域名写入服务器的/etc/hosts实现。通过该服务器访问写入的域名，会指向/etc/hosts文件中与该域名绑定的IP。

资源隔离：资源隔离技术是使用LXC(Linux Container)，基于进程容器(Processcontainer)的轻量级虚拟化解决方案。将各种应用程序和他们所依赖的运行环境打包成标准的container/image，进而发布到不同的平台上运行。

实施例一

图1为本发明的实施例的一种基于资源隔离的跨站脚本漏洞的线下检测***的功能框图。如图1所示，该***包括：自动化检测***前端控制装置110、自动化测试环境资源隔离装置120、网络流量转发装置130、分布式调度装置140、跨站脚本漏洞安全测试装置150。

自动化检测***前端控制装置110，用于接收安全测试指令，获取功能测试服务器的IP和功能测试项目HOST(虚拟化网址)。具体实施时，自动化检测***前端控制装置110接收安全测试人员的指令，输入功能测试服务器的IP和功能测试项目HOST、安全测试项目编号(可选)。该装置110即会发送特定控制指令，控制其他装置完成指定动作。并接收跨站脚本漏洞安全测试装置150发送来的漏洞数据，根据IP和HOST的唯一性，将漏洞信息指向到归属的安全测试项目中，实现全部自动化。其中，安全测试项目编号的作用是用于确定安全测试项目的具体内容。

自动化测试环境资源隔离装置120，用于接受自动化检测***前端控制装置110的控制指令，将目标功能测试环境进行资源隔离，打包标准化的资源隔离镜像，部署到安全测试环境中。通过在自动化检测***前端控制装置110的控制下，将目标功能测试环境进行资源隔离和将目标功能测试环境进行标准化打包，发送到安全测试服务器上进行安装，从而实现了测试环境的资源隔离，安全测试不对功能测试造成数据污染。

网络流量转发装置130，用于接收自动化检测***前端控制装置110的控制指令，部署在目标功能测试环境中(即部署到功能测试的服务器上)，将符合功能测试项目的网络流量转发到分布式调度装置140。

分布式调度装置140，用于将各个目标功能测试环境上的网络流量转发装置130转发的网络流量进行数据封装，并将封装后的测试数据分发到跨站脚本漏洞安全测试装置150(即分发测试请求)。这里的重新封装是指封装为符合跨站脚本漏洞安全测试装置150处理的数据模块。具体而言，封装是指将功能测试的http请求，按照一定规则封装成跨站脚本漏洞安全测试装置接口需要的数据包。跨站脚本漏洞安全测试装置150能够将该数据包重新还原成http请求，并通过安全测试请求发送至被资源隔离的安全测试环境。

跨站脚本漏洞安全测试装置150，用于接收分布式调度装置140分发过来的封装后的数据包，将该封装后的数据包还原成符合功能测试项目的网络流量，发送携带该符合功能测试项目的网络流量的安全测试请求至已被资源隔离的安全测试环境，然后将安全测试环境返回的页面进行解析后，找出跨站脚本安全漏洞，将发现的跨站脚本安全漏洞发送到自动化检测***前端控制装置110；即将漏洞的详细信息发送至自动化检测***前端控制装置110。

自动化检测***前端控制装置110，还用于根据功能测试服务器的IP和功能测试项目HOST，确定安全漏洞所归属的安全测试项目。具体地，该自动化检测***前端控制装置110根据单测试环境IP下HOST唯一性，将漏洞直接定位到安全测试项目编号，并在前端页面上进行展示，等待人工进行查看。

进一步地，该自动化测试环境资源隔离装置120，具体可用于将目标功能测试环境进行容器虚拟化的资源隔离。具体实施时，自动化测试环境资源隔离装置120将目标功能测试环境进行虚拟化的资源隔离，并打包发送到安全测试的服务器上进行容器虚拟化部署，将目标功能测试环境完整复制到安全测试服务器。其中，上述目标功能测试环境可以是基于Linux***搭建的测试环境。

进一步地，该跨站脚本漏洞安全测试装置150，具体可用于对安全测试环境返回的网页源码数据进行DOM(Document Object Model，文档对象模型)树检测，如果发现新增了安全测试的靶点DOM树，则判定/认为存在跨站脚本安全漏洞，否则，不存在跨站脚本安全漏洞。这种检测方式的优点在于检测速度快，准确度高，跨站脚本漏洞安全测试装置150包含的网页源码解析模块自带DOM树检测，能在解析完成后同时给出DOM树的检测结果。

进一步地，该跨站脚本漏洞安全测试装置150，还用于还原处理后得到的符合功能测试项目的网络流量进行安全测试数据拼接处理，并将拼接处理后的数据携带在安全测试请求中发送至被资源隔离的安全测试环境。在本实施例中，跨站脚本漏洞的检测方式是在http包的各处(URL，referer，cookie)等，拼接测试使用的安全测试数据(业内术语叫payload)，通过在返回的页面中寻找是否存在相应的测试预期内容来判断是否存在跨站脚本漏洞。

上述技术方案的有益技术效果在于：

由于采用了基于资源隔离的跨站脚本漏洞线下检测***，使得线下跨级脚本安全测试实现了全部自动化操作，并且脏数据不对目标功能测试环境造成影响，可以使安全测试与功能测试同步进行，大大提高了安全测试的覆盖率和自动化程度。

实施例二

本发明的实施例提供了一种基于资源隔离的跨站脚本漏洞的线下检测方法，从而自动化地完成线下安全测试。

图2为本发明的实施例的基于资源隔离的跨站脚本漏洞的线下检测方法的流程图。结合参阅图1和图2，该方法包括如下处理步骤：

步骤210：自动化检测***前端控制装置接收安全测试指令，获取功能测试服务器的IP和功能测试项目HOST(虚拟化网址)；

具体地，在本步骤中，功能测试人员会将程序的功能测试的项目编号、测试环境的HOST和服务器IP输入到自动化检测***前端控制装置中。

步骤220：自动化测试环境资源隔离装置接受自动化检测***前端控制装置的控制指令，将目标功能测试环境进行资源隔离，打包标准化的资源隔离镜像，部署到安全测试环境中；

步骤230：网络流量转发装置接收自动化检测***前端控制装置的控制指令，部署在目标功能测试环境中，将符合功能测试项目的网络流量转发到分布式调度装置；该目标功能测试环境包括基于Linux***搭建的测试环境。

步骤240：分布式调度装置将各个目标功能测试环境上的网络流量转发装置转发的网络流量进行数据封装，并将封装后的数据包分发到跨站脚本漏洞安全测试装置；

步骤250：跨站脚本漏洞安全测试装置接收分布式调度装置分发过来的封装后的数据包，将该封装后的数据包还原成上述符合功能测试项目的网络流量，发送携带该符合功能测试项目的网络流量的安全测试请求至已被资源隔离的安全测试环境，然后将安全测试环境返回的页面进行解析后，找出跨站脚本安全漏洞，并将发现的安全漏洞发送到自动化检测***前端控制装置；

步骤260：自动化检测***前端控制装置根据功能测试服务器的IP和功能测试项目HOST，确定安全漏洞所归属的安全测试项目。***还将安全测试结果发送到安全测试的前端页面。安全测试人员对自动化安全测试的结果进行再次检查，确认无误，将安全测试结果进行存档并进行修复。

较佳地，在步骤220中，自动化测试环境资源隔离装置将目标功能测试环境进行资源隔离的处理包括：自动化测试环境资源隔离装置将目标功能测试环境进行容器虚拟化的资源隔离。也即在本步骤中使用资源隔离技术，将功能测试的环境进行容器虚拟化的资源隔离，并将打包的资源隔离镜像安装到安全测试环境。

较佳地，步骤250的具体处理过程可包括：对安全测试环境返回的网页源码数据进行DOM树检测，如果发现新增了安全测试的靶点DOM树，则判定存在跨站脚本安全漏洞，否则，不存在跨站脚本安全漏洞。这种检测方式的优点在于检测速度快，准确度高。

进一步地，该方法还包括如下步骤：跨站脚本漏洞安全测试装置对还原后的上述符合功能测试项目的网络流量进行安全测试数据拼接处理，并将拼接处理后的数据携带在安全测试请求中发送至安全测试环境。

上述技术方案的有益技术效果在于：

由于采用了基于资源隔离的跨站脚本漏洞线下检测方法，使得线下跨级脚本安全测试实现了全部自动化操作，并且脏数据不对目标功能测试环境造成影响，可以使安全测试与功能测试同步进行，大大提高了安全测试的覆盖率和自动化程度。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，或者二者的结合来实施。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该软件模块或计算机软件产品可以存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。存储介质可以是随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质。

以上实施例仅用以说明本发明实施例的技术方案，而非对其限制；尽管参照前述实施例对本发明实施例进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明实施例各实施例技术方案的精神和范围。

Claims (10)

1.一种跨站脚本漏洞的线下检测方法，其特征在于，包括：

自动化检测***前端控制装置接收安全测试指令，获取功能测试服务器的IP和功能测试项目虚拟化网址HOST；

自动化测试环境资源隔离装置接收所述自动化检测***前端控制装置的控制指令，将目标功能测试环境进行资源隔离，打包标准化的资源隔离镜像，部署到安全测试环境中；

网络流量转发装置接收所述自动化检测***前端控制装置的控制指令，部署在目标功能测试环境中，将符合功能测试项目的网络流量转发到分布式调度装置；

所述分布式调度装置将各个目标功能测试环境上的网络流量转发装置转发的网络流量进行数据封装，并将封装后的数据包分发到跨站脚本漏洞安全测试装置；

所述跨站脚本漏洞安全测试装置接收所述分布式调度装置分发过来的封装后的数据包，将所述封装后的数据包还原成所述符合功能测试项目的网络流量，发送携带所述符合功能测试项目的网络流量的安全测试请求至已被资源隔离的所述安全测试环境，然后将所述安全测试环境返回的页面进行解析后，找出跨站脚本安全漏洞，并将发现的安全漏洞发送到所述自动化检测***前端控制装置；

所述自动化检测***前端控制装置根据所述功能测试服务器的IP和功能测试项目HOST，确定所述安全漏洞所归属的安全测试项目。

2.根据权利要求1所述的方法，其特征在于，所述自动化测试环境资源隔离装置将目标功能测试环境进行资源隔离的处理包括：

所述自动化测试环境资源隔离装置将目标功能测试环境进行容器虚拟化的资源隔离。

3.根据权利要求1所述的方法，其特征在于，所述跨站脚本漏洞安全测试装置将所述安全测试环境返回的页面进行解析后，找出跨站脚本安全漏洞的处理包括：

对所述安全测试环境返回的网页源码数据进行文档对象模型DOM树检测，如果发现新增了安全测试的靶点DOM树，则判定存在跨站脚本安全漏洞，否则，不存在跨站脚本安全漏洞。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：所述跨站脚本漏洞安全测试装置对还原后的所述符合功能测试项目的网络流量进行安全测试数据拼接处理，并将拼接处理后的数据携带在所述安全测试请求中发送至所述安全测试环境。

5.根据权利要求1所述的方法，其特征在于，所述目标功能测试环境包括基于Linux***搭建的测试环境。

6.一种跨站脚本漏洞的线下检测***，其特征在于，包括：

自动化检测***前端控制装置，用于接收安全测试指令，获取功能测试服务器的IP和功能测试项目虚拟化网址HOST；

自动化测试环境资源隔离装置，用于接收所述自动化检测***前端控制装置的控制指令，将目标功能测试环境进行资源隔离，打包标准化的资源隔离镜像，部署到安全测试环境中；

网络流量转发装置，用于接收所述自动化检测***前端控制装置的控制指令，部署在目标功能测试环境中，将符合功能测试项目的网络流量转发到分布式调度装置；

所述分布式调度装置，用于将各个目标功能测试环境上的网络流量转发装置转发的网络流量进行数据封装，并将封装后的数据包分发到跨站脚本漏洞安全测试装置；

所述跨站脚本漏洞安全测试装置，用于接收所述分布式调度装置分发过来的封装后的数据包，将所述封装后的数据包还原成所述符合功能测试项目的网络流量，发送携带所述符合功能测试项目的网络流量的安全测试请求至已被资源隔离的所述安全测试环境，然后将所述安全测试环境返回的页面进行解析后，找出跨站脚本安全漏洞，并将发现的跨站脚本安全漏洞发送到所述自动化检测***前端控制装置；

所述自动化检测***前端控制装置，还用于根据所述功能测试服务器的IP和功能测试项目HOST，确定所述安全漏洞所归属的安全测试项目。

7.根据权利要求6所述的***，其特征在于，所述自动化测试环境资源隔离装置，具体用于将目标功能测试环境进行容器虚拟化的资源隔离。

8.根据权利要求6所述的***，其特征在于，所述跨站脚本漏洞安全测试装置，具体用于对所述安全测试环境返回的网页源码数据进行文档对象模型DOM树检测，如果发现新增了安全测试的靶点DOM树，则判定存在跨站脚本安全漏洞，否则，不存在跨站脚本安全漏洞。

9.根据权利要求6所述的***，其特征在于，所述跨站脚本漏洞安全测试装置，还用于对还原后的所述符合功能测试项目的网络流量进行安全测试数据拼接处理，并将拼接处理后的数据携带在所述安全测试请求中发送至所述安全测试环境。

10.根据权利要求6所述的***，其特征在于所述目标功能测试环境包括基于Linux***搭建的测试环境。