CN110472414A - ***漏洞的检测方法、装置、终端设备及介质 - Google Patents

Abstract

本发明提供了一种***漏洞的检测方法、装置及终端设备，适用于信号处理技术领域，该方法包括：获取应用防火墙所采集得到的拦截日志；对拦截日志进行解析处理，提取拦截日志中与攻击事件关联的攻击参数；根据地址信息，确定测试环境中与待攻击对象对应的模拟对象；在测试环境中重放攻击参数，并接收模拟对象基于攻击参数所返回的响应信息；根据响应信息确定攻击参数对待攻击对象所产生的攻击结果，并基于攻击结果识别待攻击对象的***漏洞信息。本发明通过在测试环境中执行关于生产环境历史攻击事件的模拟操作，间接确定出待攻击对象关于攻击参数的攻击结果，实现了对历史攻击事件成功与否的自动化验证，提高了对***漏洞的检测效率及检测准确率。

Description

***漏洞的检测方法、装置、终端设备及介质

技术领域

本发明属于安全技术领域，尤其涉及一种***漏洞的检测方法、装置、终端设备及计算机可读存储介质。

背景技术

WEB应用防火墙是集WEB防护、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备。通常来说，WEB应用防火墙会基于预定的攻击特征来监控所有流经该WEB应用防火墙的网络数据。若在日常监控中发现大量与攻击特征匹配的网络数据，则WEB应用防火墙会对这些网络数据进行拦截或者记录。由于WEB应用防火墙仅具备上述数据拦截以及记录的功能，而无法自动确定当前拦截的网络数据是否会对业务***产生影响，***是否仍然存在被攻击的风险。因此，运维人员往往需要导出此类拦截数据后，再进行人工分析确认。

然而，当WEB应用防火墙采集得到的日志攻击量较大时，运维人员逐项去进行风险验证排查将需要耗费大量的时间，且容易出现人工分析错误的问题，由此导致了WEB***漏洞的检测效率以及检测准确率均较为低下。

发明内容

有鉴于此，本发明实施例提供了一种***漏洞的检测方法、装置、终端设备及计算机可读存储介质，以解决现有WEB***漏洞的检测效率以及检测准确率均较为低下的问题。

本发明实施例的第一方面提供了一种***漏洞的检测方法，包括：

获取WEB应用防火墙所采集得到的拦截日志；

对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数；所述攻击参数包括待攻击对象的地址信息；

根据所述地址信息，确定测试环境中与所述待攻击对象对应的模拟对象；

在所述测试环境中重放所述攻击参数，并接收所述模拟对象基于所述攻击参数所返回的响应信息；

根据所述响应信息确定所述攻击参数对所述待攻击对象所产生的攻击结果，并基于所述攻击结果识别所述待攻击对象的***漏洞信息。

本发明实施例的第二方面提供了一种***漏洞的检测装置，包括：

第一获取单元，用于获取WEB应用防火墙所采集得到的拦截日志；

解析单元，用于对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数；所述攻击参数包括待攻击对象的地址信息；

第一确定单元，用于根据所述地址信息，确定测试环境中与所述待攻击对象对应的模拟对象；

重放单元，用于在所述测试环境中重放所述攻击参数，并接收所述模拟对象基于所述攻击参数所返回的响应信息；

识别单元，用于根据所述响应信息确定所述攻击参数对所述待攻击对象所产生的攻击结果，并基于所述攻击结果识别所述待攻击对象的***漏洞信息。

本发明实施例的第三方面提供了一种终端设备，包括存储器以及处理器，所述存储器存储有可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上述***漏洞的检测方法的步骤。

本发明实施例的第四方面提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述处理器执行所述计算机程序时实现如上述***漏洞的检测方法的步骤。

本发明实施例中，通过读取WEB应用防火墙所采集得到的拦截日志，提取拦截日志中与攻击事件关联的攻击参数，并在待攻击对象对应的模拟对象中重放该类攻击参数，使得***能够在测试环境中实现关于生产环境历史攻击事件的模拟操作；由于模拟对象与待攻击对象相对应，故通过获取模拟对象所返回的响应信息，能够间接确定出待攻击对象关于攻击参数的攻击结果，实现了对历史攻击事件成功与否的自动化验证，避免了运维人员需要人工逐项去分析拦截日志，保证了在出现成功攻击事件的情况之下，运维人员能够快速修复识别得到的***漏洞，因此，提高了对WEB***漏洞的检测效率以及检测准确率；由于攻击参数的测试过程在测试环境自动执行，故减少了对生产环境数据的破坏，保证了***的稳定运行，同时也减少了对重复型漏洞的验证。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的***漏洞的检测方法的实现流程图；

图2是本发明实施例提供的***漏洞的检测方法S102的具体实现流程图；

图3是本发明实施例提供的***漏洞的检测方法S101的具体实现流程图；

图4是本发明另一实施例提供的***漏洞的检测方法的实现流程图；

图5是本发明又一实施例提供的***漏洞的检测方法的实现流程图；

图6是本发明实施例提供的***漏洞的检测装置的结构框图；

图7是本发明实施例提供的终端设备的示意图。

具体实施方式

以下描述中，为了说明而不是为了限定，提出了诸如特定***结构、技术之类的具体细节，以便透彻理解本发明实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本发明。在其它情况中，省略对众所周知的***、装置、电路以及方法的详细说明，以免不必要的细节妨碍本发明的描述。

应当理解的是，虽然术语“第一”、“第二”等在文本中在一些本发明实施例中用来描述各种元素，但是这些元素不应该受到这些术语的限制。这些术语只是用来将一个元素与另一元素区分开。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

图1示出了本发明实施例提供的***漏洞的检测方法的实现流程图，详述如下：

S101：获取WEB应用防火墙所采集得到的拦截日志。

本发明实施例中，WEB应用防火墙用于连接内部业务***以及客户端所属的外部网络。其中，客户端用于向内部业务***发出WEB访问请求，通过将获取得到的响应结果展示于终端界面，使得客户端用户能够实现与内部业务***的交互操作。当客户端需要访问任一内部业务***时，将业务***的网络地址确定为目的地址，并发出基于该目的地址的访问请求，以使访问请求流经上述WEB应用防火墙。其中，WEB应用防火墙内部预置有特定的拦截规则，若检测到访问请求所关联的各项访问参数与拦截规则匹配，则确定当前客户端存在访问异常，故将该访问请求进行拦截后记录于***日志中，以得到拦截日志。

本发明实施例中，读取最近预设时长内所采集到的拦截日志。

特别地，对于上述拦截日志，识别出拦截日志中与预设的各个统计字段相匹配的网络参数，并对识别出的各类网络参数进行分类处理。通过将分类结果记录于预先建立ID资产数据库中，从而实现对企业网络服务资产的有效管理。

例如，提取拦截日志中的各类目的地址，则与每一目的地址对应的内部业务***均为对外提供WEB访问服务的服务器，因此，通过将所有对外提供WEB访问服务的内部业务***的IP地址和/或域名信息进行提取以及统计汇总，使得运维人员能够直观、快速地查看并调整企业内部所隐藏开放的各个站点。

S102：对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数；所述攻击参数包括待攻击对象的地址信息。

本发明实施例中，加载预设的脚本代码，以基于上述脚本代码提取拦截日志中预设的各项字段参数，则提取出的各项字段参数即为与攻击事件关联的攻击参数。其中，脚本代码为运维人员针对漏洞风险拦截规则所预先编写的自动化代码逻辑。

示例性地，拦截日志中的攻击参数包括客户端所请求访问的内部业务***的地址信息及其具体请求实现的***功能信息等。客户端所请求实现的***功能信息例如可以是请求读取任一客户寿险保单的保单金额以及请求查询保单号等。

非法客户端所请求访问的内部业务***即为业务访问过程中的待攻击对象。

作为本发明的一个实施示例，本发明实施例中，采用规则匹配的方式来识别与攻击事件关联的攻击参数。具体地，提取网络参数中的待比对特征；将待比对特征与预先建立的特征库中的攻击请求规则进行比对。其中，攻击请求规则根据历史攻击事件所对应的请求数据包形成，请求数据包用于记录受攻击主机在收到成功攻击之前，其所接收到的信息请求内容。

若待比对特征与攻击响应规则匹配，则判断该网络参数为具有攻击特征的网络参数，即与攻击事件关联的攻击参数。

示例性地，上述攻击请求规则可以是：1、包含预设密码文件的文件名的http格式数据；2、包含关于***安全配置文件的存储路径的URL地址信息；3、与敏感字词关联的正则表达式等。

例如，在识别出拦截日志中的各类网络参数后，若存在任一类型的网络参数包含有预设密码文件的文件名，则表示该项网络参数为异常数据，其主要用于对目标主机进行攻击操作，因此，确定其为与攻击事件关联的攻击参数。

作为本发明的一个实施示例，图2示出了本发明实施例提供的***漏洞的检测方法S102的一具体实现流程，详述如下：

S1021：分别调用预设的多个测试工具，每一所述测试工具对应一攻击事件类型。

本发明实施例中，根据运维人员预先输入的各项逻辑代码，分别安装并运行对应的各个测试工具。每一测试工具与一类攻击事件相对应，以使得在检测到该类攻击事件所关联的攻击参数出现时，通过该测试工具能够快速识别出当前访问事件所属的攻击事件类型。

S1022：对每一所述测试工具，根据其对应的所述攻击事件类型，确定关联该攻击事件类型的数据采集项。

本发明实施例中，对预设的各个测试工具分别进行调用，以利用其中的每一项测试工具，确定与其对应的攻击事件类型相关的数据采集项。数据采集项为测试工具在确定攻击事件类型的过程中所需检测网络参数的字段信息。

S1023：在所述拦截日志中提取与各个所述数据采集项匹配的攻击参数。

根据确定出的各个数据采集项，加载每一数据采集项的模式规则，如正则表达式等，以通过该模式规则，在拦截日志中提取与数据采集项匹配的攻击参数。

S103：根据所述地址信息，确定测试环境中与所述待攻击对象对应的模拟对象。

上述业务***所属的运行环境为生产环境，即正式提供对外服务的运行环境。本发明实施例中，在测试环境中预设有每一业务***所对应的测试***。在业务***的各项功能发布上线至生成运行环境之前，均需要在测试环境中执行业务***的测试操作。

其中，业务***及其对应的测试***具有相同的网络配置以及***配置，以使得业务***及其对应的测试***分别执行相同的计算操作时，能够得到相同的运行结果。将当前待攻击对象所对应的测试***称为与其对应的模拟对象。每一业务***及其测试***的地址信息对应关系均存储于一对应关系表中。

本发明实施例中，对上述步骤S103所提取得到的攻击参数，根据攻击参数中所包含的待攻击对象的地址信息，从预存储的上述对应关系表中，查找出与该地址信息相匹配的模拟对象。

S104：在所述测试环境中重放所述攻击参数，并接收所述模拟对象基于所述攻击参数所返回的响应信息。

本发明实施例中，对提取得到的攻击参数，重新创建关于该攻击参数的访问请求，并将其目的访问地址设置为模拟对象的地址信息。通过在测试环境中发放该访问请求，使得接收到该访问请求的模拟对象能够执行对应访问请求的响应操作，并将响应信息进行返回。

S105：根据所述响应信息确定所述攻击参数对所述待攻击对象所产生的攻击结果，并基于所述攻击结果识别所述待攻击对象的***漏洞信息。

在接收到模拟对象所返回的响应信息时，若响应信息与攻击事件所请求实现的***功能相匹配，则确定模拟对象关于当前所重放的攻击参数的攻击结果为攻击成功。若响应信息与攻击事件所请求实现的***功能不匹配，则确定模拟对象关于当前所重放的攻击参数的攻击结果为攻击失败。

由于模拟对象与待攻击对象的配置完全相同，故将当前攻击参数在模拟对象中进行重放时所得到的攻击结果确定为待攻击对象的实际攻击结果。

本发明实施例中，当攻击结果为攻击成功时，确定当前内部业务***存在对应于当前攻击参数的***漏洞。此时，发出告警提示信息，以提示***运维人员执行漏洞修复操作，以保证在下一次发生相同类型的攻击事件时，即使WEB应用防火墙未对恶意网络数据进行准确拦截，业务***也不会存在被攻击的风险，因此，提高了***安全。

例如，若攻击事件所请求实现的***功能为查看业务***中某一客户的客户信息，而模拟对象所返回的响应信息中正好包含该客户信息，则确定响应信息与攻击事件所请求实现的***功能匹配，***客户信息发生了泄露，因此，确定攻击成功。

本发明实施例中，通过读取WEB应用防火墙所采集得到的拦截日志，提取拦截日志中与攻击事件关联的攻击参数，并在待攻击对象对应的模拟对象中重放该类攻击参数，使得***能够在测试环境中实现关于生产环境历史攻击事件的模拟操作；由于模拟对象与待攻击对象相对应，故通过获取模拟对象所返回的响应信息，能够间接确定出待攻击对象关于攻击参数的攻击结果，实现了对历史攻击事件成功与否的自动化验证，避免了运维人员需要人工逐项去分析拦截日志，保证了在出现成功攻击事件的情况之下，运维人员能够快速修复识别得到的***漏洞，因此，提高了对WEB***漏洞的检测效率以及检测准确率；由于攻击参数的测试过程在测试环境自动执行，故减少了对生产环境数据的破坏，保证了***的稳定运行，同时也减少了对重复型漏洞的验证。

作为本发明的一个实施例，图3示出了本发明实施例提供的***漏洞的检测方法S101的具体实现流程，详述如下：

S1011：检测所述WEB应用防火墙的站点日志记录模块是否处于启动状态。

实际场景中，WEB应用防火墙的***模块在默认条件下可能会存在拦截规则未更新或者站点日志记录功能未启用的情况，由此会导致WEB应用防火墙无法采集得到能够用于进行应用安全分析的拦截日志。为了避免因拦截日志的缺失而导致WEB业务***的漏洞检测准确率下降，本发明实施例中，在进行漏洞安全检测之前，先读取关于WEB应用防火墙的站点日志记录模块是否处于启动状态的配置文件。根据配置文件中预设字段的属性值，判断WEB应用防火墙的站点日志记录模块是否处于启动状态。

若判断结果为是，则执行步骤S1012；若判断结果为否，则执行步骤S1013。

S1012：若所述WEB应用防火墙的站点日志记录模块处于启动状态，则读取所述WEB应用防火墙所采集得到的拦截日志。

若WEB应用防火墙的站点日志记录模块处于启动状态，则表示WEB应用防火墙能够基于最新更新的拦截规则对各客户端所发出的访问请求进行拦截，并生成拦截日志。因此，直接加载WEB应用防火墙在最近预设时长内所采集得到的拦截日志。

S1013：若所述WEB应用防火墙的站点日志记录模块处于禁用状态，则通过预先连接的流量检测***，获取流经所述WEB应用防火墙端口的镜像流量，并基于所述镜像流量创建对应的拦截日志。

若WEB应用防火墙的站点日志记录模块处于禁用状态，则启动预先连接的流量检测***。其中，流量检测***的数据流入端口与WEB应用防火墙的一物理端口相连，且该物理端口为WEB应用防火墙数据输出端口的镜像端口。在WEB应用防火墙中，根据预设的流量镜像配置信息，将流经内部网络的业务***的网络层数据镜像复制至上述流量检测***，使得流量检测***能够用于通过该镜像端口接收WEB应用防火墙数据输出端口的镜像流量。

流量检测***包括但不限于入侵防御***以及入侵检测***等。通过对最近预设时长内流量检测***的镜像流量进行解析处理，同样可生成对应于各项拦截规则的拦截日志。

本发明实施例中，仅在检测到WEB应用防火墙的站点日志记录模块处于启动状态时，才加载WEB应用防火墙所采集得到的拦截日志，保证了后续对拦截日志进行解析处理时，能够得到较为准确的生产业务***的攻击参数由此保证了基于相对准确的攻击参数来检测待攻击对象的漏洞信息时，能够得到更为准确的漏洞检测结果；在站点日志记录模块处于禁用状态时，通过预先连接的流量检测***，获取流经上述WEB应用防火墙端口的镜像流量，并基于镜像流量创建对应的拦截日志，使得WEB应用防火墙的日志记录功能未被启用时，漏洞信息检测***也能够利用备选的另一监测装置来获取拦截日志，避免了因生产环境中的攻击参数未被WEB应用防火墙拦截而忽略了对该部分攻击参数的监测及分析，由此也提高了对业务***漏洞信息的检测准确率。

作为本发明的另一个实施例，如图4所示，在上述S102之前，还包括：

S106：在所述拦截日志中，若任一来源地址的第一请求数据包所对应的拦截数目大于预设阈值，则创建重定向指令，并将所述重定向指令输出为关于所述第一请求数据包的响应信息；所述重定向指令包含所述第一请求数据包所请求访问的地址信息以及重定向地址信息。

本发明实施例中，对上述步骤S101中所获取得到的每一条拦截日志，读取其来源地址字段的属性值，以确定该条拦截日志所对应请求数据包的来源客户端的地址信息。对各条拦截日志进行比对，若检测到来源地址相同的多个请求数据包，则统计其中来源地址相同的请求数据包的拦截数目。

若拦截数目大于预设阈值，则表示该类请求数据包的来源客户端存在分布式拒绝服务(Distributed Denial of Service，DDoS)攻击的潜在风险，因此，为了进一步确认来源客户端是否为异常客户端，对其访问参数进行二次封装处理，以生成关于其访问参数的重定向指令。将该重定向指令作为此次访问请求的响应信息返回至该来源客户端。其中，重定向指令包含有上述请求数据包所请求访问的地址信息以及重定向地址信息。重定向地址信息表示将原访问请求重新定个方向，以使其转到其它网络位置进行访问的过程中，该网络位置所对应的地址信息。重定向地址信息为***预设的地址参数值。

本发明实施例中，在客户端接收到关于其请求数据包的响应信息时，通过对该响应信息进行识别，可读取出重定向指令。正常情况下，客户端将自动执行该重定向指令，以重新向重定向地址发出访问请求，并使该访问请求流经WEB应用防火墙。

S107：在预设时长内所更新得到的所述拦截日志中，若未检测到所述来源地址的第二请求数据包，或所述第二请求数据包未携带所述重定向地址信息，则将关联所述来源地址的所述拦截日志进行滤除。

在客户端为发出非法访问请求的攻击客户端时，若其接收到关于请求数据包的重定向指令，则会对该重定向指令执行抛弃操作，因此，不会发出携带重定向地址信息的访问请求。

本发明实施例中，在预设时长内所更新得到的所述拦截日志中，若未检测到来源地址相同的另一请求数据包，或该请求数据包未携带重定向地址信息，则确认该来源地址所对应的客户端为异常访问客户端，其主要用于消耗待攻击对象的***资源，使其无法提供正常的服务，因此，对关联该来源地址的拦截日志进行滤除，避免了后续在测试环境中会对大量用于消耗***资源的访问请求进行模拟，从而提高了漏洞检测的有效性，由此也提高了测试***的安全性以及运行稳定性。

作为本发明的另一个实施例，在上述各个实施例的基础之上，对识别得到的***漏洞信息作进一步的检测处理。如图5所示，在上述S105之后，还包括：

S108：若检测到所述待攻击对象存在***漏洞，则获取预设时长内所述待攻击对象的访问流量以及所述***漏洞的分类标识。

在通过上述步骤S105确定待攻击对象的***漏洞信息时，若检测结果为待攻击对象存在***漏洞，则根据在测试环境中与其对应的攻击参数所命中的拦截规则，确定该项拦截规则所对应的***漏洞类型。将该***漏洞类型识别为待攻击对象所存在的***漏洞的分类标识。

本发明实施例中，对WEB应用防火墙的***日志进行读取，确定出最近预设时长内关联待攻击对象的访问请求，进而统计出该预设时长内外部客户端对待攻击对象的访问流量。

S109：根据所述访问流量以及所述分类标识，确定所述待攻击对象的漏洞风险等级。

本发明实施例中，获取上述确定出的分类标识所对应预置的第一系数值以及上述访问流量所对应预置的第二系数值。通过预设算法，对第一系数值以及第二系数值进行计算处理，得到运算数值结果。根据预先建立的漏洞风险等级以及运算数值结果的对应关系，确定出待攻击对象的漏洞风险等级。

其中，漏洞风险等级越高，待攻击对象所存在的漏洞风险越大，其安全性越低。

S110：若所述漏洞风险等级达到预设等级，则关闭所述待攻击对象的访问端口并发出漏洞修复提示信息。

若待攻击对象的漏洞风险等级大于或等于预设等级，则表示当前待攻击对象存在极大风险隐患，因此，自动关闭待攻击对象所原本对外开放的访问端口，并发出漏洞修复提示信息。仅在运维人员修复完毕该项***漏洞后，才重新启动该访问端口，从而避免了在运维人员监控不及时或出现漏洞修复困难时，因业务***持续对外提供服务而增大了业务数据出现泄露的风险，因此，提高了业务***的应用安全。

应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

对应于上文实施例的方法，图6示出了本发明实施例提供的***漏洞的检测装置的结构框图，为了便于说明，仅示出了与本发明实施例相关的部分。图6示例的***漏洞的检测装置可以是前述实施例提供的***漏洞的检测方法的执行主体。

参照图6，该***漏洞的检测装置包括：

第一获取单元61，用于获取WEB应用防火墙所采集得到的拦截日志。

解析单元62，用于对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数；所述攻击参数包括待攻击对象的地址信息。

第一确定单元63，用于根据所述地址信息，确定测试环境中与所述待攻击对象对应的模拟对象。

重放单元64，用于在所述测试环境中重放所述攻击参数，并接收所述模拟对象基于所述攻击参数所返回的响应信息。

识别单元65，用于根据所述响应信息确定所述攻击参数对所述待攻击对象所产生的攻击结果，并基于所述攻击结果识别所述待攻击对象的***漏洞信息。

可选地，所述第一获取单元61包括：

检测子单元，用于检测所述WEB应用防火墙的站点日志记录模块是否处于启动状态。

读取子单元，用于若所述WEB应用防火墙的站点日志记录模块处于启动状态，则读取所述WEB应用防火墙所采集得到的拦截日志。

获取子单元，用于若所述WEB应用防火墙的站点日志记录模块处于禁用状态，则通过预先连接的流量检测***，获取流经所述WEB应用防火墙端口的镜像流量，并基于所述镜像流量创建对应的拦截日志。

可选地，所述解析单元62包括：

调用子单元，用于分别调用预设的多个测试工具，每一所述测试工具对应一攻击事件类型。

确定子单元，用于对每一所述测试工具，根据其对应的所述攻击事件类型，确定关联该攻击事件类型的数据采集项。

提取子单元，用于在所述拦截日志中提取与各个所述数据采集项匹配的攻击参数。

可选地，所述***漏洞的检测装置还包括：

创建单元，用于在所述拦截日志中，若任一来源地址的第一请求数据包所对应的拦截数目大于预设阈值，则创建重定向指令，并将所述重定向指令输出为关于所述第一请求数据包的响应信息；所述重定向指令包含所述第一请求数据包所请求访问的地址信息以及重定向地址信息。

滤除单元，用于在预设时长内所更新得到的所述拦截日志中，若未检测到所述来源地址的第二请求数据包，或所述第二请求数据包未携带所述重定向地址信息，则将关联所述来源地址的所述拦截日志进行滤除。

可选地，所述***漏洞的检测装置还包括：

第二获取单元，用于若检测到所述待攻击对象存在***漏洞，则获取预设时长内所述待攻击对象的访问流量以及所述***漏洞的分类标识。

第二确定单元，用于根据所述访问流量以及所述分类标识，确定所述待攻击对象的漏洞风险等级。

提示单元，用于若所述漏洞风险等级达到预设等级，则关闭所述待攻击对象的访问端口并发出漏洞修复提示信息。

本发明实施例中，通过读取WEB应用防火墙所采集得到的拦截日志，提取拦截日志中与攻击事件关联的攻击参数，并在待攻击对象对应的模拟对象中重放该类攻击参数，使得***能够在测试环境中实现关于生产环境历史攻击事件的模拟操作；由于模拟对象与待攻击对象相对应，故通过获取模拟对象所返回的响应信息，能够间接确定出待攻击对象关于攻击参数的攻击结果，实现了对历史攻击事件成功与否的自动化验证，避免了运维人员需要人工逐项去分析拦截日志，保证了在出现成功攻击事件的情况之下，运维人员能够快速修复识别得到的***漏洞，因此，提高了对WEB***漏洞的检测效率以及检测准确率；由于攻击参数的测试过程在测试环境自动执行，故减少了对生产环境数据的破坏，保证了***的稳定运行，同时也减少了对重复型漏洞的验证。

图7是本发明一实施例提供的终端设备的示意图。如图7所示，该实施例的终端设备7包括：处理器70以及存储器71，所述存储器71中存储有可在所述处理器70上运行的计算机程序72。所述处理器70执行所述计算机程序72时实现上述各个***漏洞的检测方法实施例中的步骤，例如图1所示的步骤101至105。或者，所述处理器70执行所述计算机程序72时实现上述各装置实施例中各模块/单元的功能，例如图6所示单元61至65的功能。

所述终端设备7可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述终端设备可包括，但不仅限于，处理器70、存储器71。本领域技术人员可以理解，图7仅仅是终端设备7的示例，并不构成对终端设备7的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述终端设备还可以包括输入发送设备、网络接入设备、总线等。

所称处理器70可以是中央处理单元(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述存储器71可以是所述终端设备7的内部存储单元，例如终端设备7的硬盘或内存。所述存储器71也可以是所述终端设备7的外部存储设备，例如所述终端设备7上配备的插接式硬盘，智能存储卡(Smart Media Card，SMC)，安全数字(Secure Digital，SD)卡，闪存卡(Flash Card)等。进一步地，所述存储器71还可以既包括所述终端设备7的内部存储单元也包括外部存储设备。所述存储器71用于存储所述计算机程序以及所述终端设备所需的其他程序和数据。所述存储器71还可以用于暂时地存储已经发送或者将要发送的数据。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(Read-Only Memory，ROM)、随机存取存储器(RandomAccess Memory，RAM)、电载波信号、电信信号以及软件分发介质等。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使对应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (10)

1.一种***漏洞的检测方法，其特征在于，包括：

获取WEB应用防火墙所采集得到的拦截日志；

对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数；所述攻击参数包括待攻击对象的地址信息；

根据所述地址信息，确定测试环境中与所述待攻击对象对应的模拟对象；

在所述测试环境中重放所述攻击参数，并接收所述模拟对象基于所述攻击参数所返回的响应信息；

根据所述响应信息确定所述攻击参数对所述待攻击对象所产生的攻击结果，并基于所述攻击结果识别所述待攻击对象的***漏洞信息。

2.如权利要求1所述的***漏洞的检测方法，其特征在于，所述获取WEB应用防火墙所采集得到的拦截日志，包括：

检测所述WEB应用防火墙的站点日志记录模块是否处于启动状态；

若所述WEB应用防火墙的站点日志记录模块处于启动状态，则读取所述WEB应用防火墙所采集得到的拦截日志；

若所述WEB应用防火墙的站点日志记录模块处于禁用状态，则通过预先连接的流量检测***，获取流经所述WEB应用防火墙端口的镜像流量，并基于所述镜像流量创建对应的拦截日志。

3.如权利要求1所述的***漏洞的检测方法，其特征在于，所述对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数，包括：

分别调用预设的多个测试工具，每一所述测试工具对应一攻击事件类型；

对每一所述测试工具，根据其对应的所述攻击事件类型，确定关联该攻击事件类型的数据采集项；

在所述拦截日志中提取与各个所述数据采集项匹配的攻击参数。

4.如权利要求1所述的***漏洞的检测方法，其特征在于，在所述对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数之前，还包括：

在所述拦截日志中，若任一来源地址的第一请求数据包所对应的拦截数目大于预设阈值，则创建重定向指令，并将所述重定向指令输出为关于所述第一请求数据包的响应信息；所述重定向指令包含所述第一请求数据包所请求访问的地址信息以及重定向地址信息；

在预设时长内所更新得到的所述拦截日志中，若未检测到所述来源地址的第二请求数据包，或所述第二请求数据包未携带所述重定向地址信息，则将关联所述来源地址的所述拦截日志进行滤除。

5.如权利要求1所述的***漏洞的检测方法，其特征在于，在所述根据所述响应信息确定所述攻击参数对所述待攻击对象所产生的攻击结果，并基于所述攻击结果识别所述待攻击对象的***漏洞信息之后，还包括：

若检测到所述待攻击对象存在***漏洞，则获取预设时长内所述待攻击对象的访问流量以及所述***漏洞的分类标识；

根据所述访问流量以及所述分类标识，确定所述待攻击对象的漏洞风险等级；

若所述漏洞风险等级达到预设等级，则关闭所述待攻击对象的访问端口并发出漏洞修复提示信息。

6.一种***漏洞的检测装置，其特征在于，包括：

第一获取单元，用于获取WEB应用防火墙所采集得到的拦截日志；

解析单元，用于对所述拦截日志进行解析处理，提取所述拦截日志中与攻击事件关联的攻击参数；所述攻击参数包括待攻击对象的地址信息；

第一确定单元，用于根据所述地址信息，确定测试环境中与所述待攻击对象对应的模拟对象；

重放单元，用于在所述测试环境中重放所述攻击参数，并接收所述模拟对象基于所述攻击参数所返回的响应信息；

识别单元，用于根据所述响应信息确定所述攻击参数对所述待攻击对象所产生的攻击结果，并基于所述攻击结果识别所述待攻击对象的***漏洞信息。

7.如权利要求6所述的***漏洞的检测装置，其特征在于，所述第一获取单元包括：

检测子单元，用于检测所述WEB应用防火墙的站点日志记录模块是否处于启动状态；

读取子单元，用于若所述WEB应用防火墙的站点日志记录模块处于启动状态，则读取所述WEB应用防火墙所采集得到的拦截日志；

获取子单元，用于若所述WEB应用防火墙的站点日志记录模块处于禁用状态，则通过预先连接的流量检测***，获取流经所述WEB应用防火墙端口的镜像流量，并基于所述镜像流量创建对应的拦截日志。

8.如权利要求6所述的***漏洞的检测装置，其特征在于，所述解析单元包括：

调用子单元，用于分别调用预设的多个测试工具，每一所述测试工具对应一攻击事件类型；

确定子单元，用于对每一所述测试工具，根据其对应的所述攻击事件类型，确定关联该攻击事件类型的数据采集项；

提取子单元，用于在所述拦截日志中提取与各个所述数据采集项匹配的攻击参数。

9.一种终端设备，包括存储器以及处理器，所述存储器存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至5任一项所述方法的步骤。

10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述方法的步骤。