CN110995684A

CN110995684A - 漏洞检测方法及装置

Info

Publication number: CN110995684A
Application number: CN201911172240.9A
Authority: CN
Inventors: 李鹏轩
Original assignee: Xi'an Clover Cyber Technology Co ltd
Current assignee: Xi'an Clover Cyber Technology Co ltd
Priority date: 2019-11-26
Filing date: 2019-11-26
Publication date: 2020-04-10
Anticipated expiration: 2039-11-26
Also published as: CN110995684B

Abstract

本公开提供一种漏洞检测方法及装置，涉及信息安全技术领域，能够解决现有漏洞检测出现误报的问题。具体技术方案为：以漏洞请求包和漏洞验证包的响应的差异内容为对比基础，判断差异内容中是否包含特定的漏洞验证字符串来进行漏洞检测。本发明用于漏洞检测。

Description

漏洞检测方法及装置

技术领域

本公开涉及信息安全技术领域，尤其涉及漏洞检测方法及装置。

背景技术

在对web漏洞的检测过程中，一般通过构造并发送可触发漏洞的HTTP请求包，检测响应结果中是否有特定的字符串的方式进行漏洞验证。但是这种方式存在一定的弊端：当页面中本来就包含用于漏洞验证的特定字符串时，即使漏洞不存在，响应中也包含了特定的字符串，使得漏洞的验证结果始终为真，导致在漏洞检测时出现误报的问题。

发明内容

本公开实施例提供一种漏洞检测方法及装置，能够解决现有漏洞检测出现误报的问题。所述技术方案如下：

根据本公开实施例的第一方面，提供一种漏洞检测方法，该方法包括：

获取待检测统一资源定位符URL；

生成用于访问待检测URL的漏洞请求包和漏洞验证包；

采用漏洞请求包对待检测URL进行访问，并获取与待检测URL对应的目标服务器反馈的第一响应信息；

采用漏洞验证包对待检测URL进行访问，并获取目标服务器反馈的第二响应信息；

获取第一响应信息和第二响应信息的差异信息；

在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞。

本公开以漏洞请求包和漏洞验证包的响应的差异内容为对比基础，判断差异内容中是否包含特定的漏洞验证字符串来进行漏洞检测，能够有效规避漏洞误报情况，提高检测准确率。

在一个实施例中，该方法还包括：

获取第一响应信息和第二响应信息的差异信息包括：

获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量；

计算第二数量与第一数量的差值；

在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞包括：

在第二数量与第一数量的差值大于零时，确定待验证URL存在漏洞。

在一个实施例中，获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量包括：

判断第一响应信息和第二响应信息中是否包含漏洞验证字符串；

在第一响应信息和第二响应信息中包含漏洞验证字符串时，获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量。

在一个实施例中，该方法还包括：在第二数量和第一数量的差值等于零时，确定待检测URL不存在漏洞。

在一个实施例中，获取第一响应信息和第二响应信息的差异信息包括：

判断第一响应信息和第二响应信息是否相同；

在不相同时，获取第一响应信息和第二响应信息的差异信息。

根据本公开实施例的第二方面，提供一种漏洞检测装置，包括：

第一获取模块，用于获取待检测统一资源定位符URL；

生成模块，用于生成用于访问待检测URL的漏洞请求包和漏洞验证包；

访问模块，用于采用漏洞请求包对待检测URL进行访问，并获取与待检测URL对应的目标服务器反馈的第一响应信息；

访问模块，用于采用漏洞验证包对待检测URL进行访问，并获取目标服务器反馈的第二响应信息；

第二获取模块，用于获取第一响应信息和第二响应信息的差异信息；

确定模块，用于在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞。

在一个实施例中，该漏洞检测装置还包括：计算模块；

第二获取模块，用于获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量；

计算模块，用于计算第二数量与第一数量的差值；

确定模块，用于在第二数量与第一数量的差值大于零时，确定待验证URL存在漏洞。

在一个实施例中，该漏洞检测装置还包括：判断模块；

判断模块，用于判断第一响应信息和第二响应信息中是否包含漏洞验证字符串；

第二获取模块，用于在第一响应信息和第二响应信息中包含漏洞验证字符串时，获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量。

在一个实施例中，确定模块，用于在第二数量和第一数量的差值等于零时，确定待检测URL不存在漏洞。

在一个实施例中，判断模块，用于判断第一响应信息和第二响应信息是否相同；

第二获取模块，用于在不相同时，获取第一响应信息和第二响应信息的差异信息。

根据本公开实施例的第三方面，提供一种漏洞检测设备，漏洞检测设备包括处理器和存储器，存储器中存储有至少一条计算机指令，指令由处理器加载并执行以实现第一方面以及第一方面的任一实施例所描述的漏洞检测方法中所执行的步骤。

根据本公开实施例的第四方面，提供一种计算机可读存储介质，存储介质中存储有至少一条计算机指令，指令由处理器加载并执行以实现第一方面以及第一方面的任一实施例所描述的漏洞检测方法中所执行的步骤。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是本公开实施例提供的一种漏洞检测方法的流程图；

图2是本公开实施例提供的一种漏洞检测装置的结构图；

图3是本公开实施例提供的一种漏洞检测装置的结构图；

图4是本公开实施例提供的一种漏洞检测装置的结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

本公开实施例提供一种漏洞检测方法，如图1所示，该漏洞检测方法包括以下步骤：

101、获取待检测统一资源定位符。

在WWW上，每一信息资源都有统一的且在网上唯一的地址，该地址就叫统一资源定位符(Uniform Resource Locator，URL)。

102、生成用于访问待检测URL的漏洞请求包和漏洞验证包。

漏洞请求包为正常的触发漏洞的http请求包，该漏洞请求包中包括参数名和参数值的键值对；漏洞验证包为对正常的触发漏洞的http请求包进行修改，示例性，将参数名和参数值的键值对中的参数值替换为攻击载荷。

103、采用漏洞请求包对待检测URL进行访问，并获取与待检测URL对应的目标服务器反馈的第一响应信息。

104、采用漏洞验证包对待检测URL进行访问，并获取目标服务器反馈的第二响应信息。

漏洞请求包和漏洞验证包采用相同的路径和相同的访问请求方法，通过采用两个不同的访问请求对同一个待检测URL进行访问，得到目标服务器反馈的第一响应信息和第二响应信息。

105、获取第一响应信息和第二响应信息的差异信息。

对于如何获取第一响应信息和第二响应信息的差异信息，下面列举两个示例进行说明。

在第二个示例中，获取第一响应信息和第二响应信息的差异信息包括：比较第一响应信息和第二响应信息是否相同，在第一响应信息和第二响应信息不同时，获取第二响应信息和第一响应信息的差异信息。

在第一个示例中，获取第一响应信息和第二响应信息的差异信息包括：

计算第二数量与第一数量的差值。

其中，获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量包括：判断第一响应信息和第二响应信息中是否包含漏洞验证字符串；在第一响应信息和第二响应信息中包含漏洞验证字符串时，获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量。具体的，在获取到第一响应信息后，判断第一响应信息中是否包含预设的漏洞验证字符串，在第一响应信息中包含预设的漏洞验证字符串时，获取第一响应信息中洞验证字符串的数量，此处记为第一数量；在获取到第二响应信息后，判断第二响应信息中是否包含预设的漏洞验证字符串，在第二响应信息中包含预设的漏洞验证字符串时，获取第二响应信息中漏洞验证字符串的数量，此处记为第二数量。在获取到第一数量和第二数量后，计算第二数量和第一数量的差值，将该差值记为第一响应信息和第二响应信息的差异信息。

106、在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞。

根据步骤105所描述的第一个示例，在获取第二响应信息和第一响应信息的差异信息后，判断差异信息中是否包含预设的漏洞验证字符串，在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞。

根据步骤105所描述的第二个示例，在获取到第二数量和第一数量的差值时，判断第二数量和第一数量的差值是否大于零，在第二数量和第一数量的差值大于零时，确定所述待验证URL存在漏洞。因为构造了漏洞请求，导致响应中增加了新的漏洞验证字符串，故此时漏洞是存在的，避免出现误报的问题。

当然，在第二数量和第一数量的差值等于零，即第二数量和第一数量相同时，该待验证URL不存在漏洞。即使在构造了漏洞请求，也没有产生新的漏洞验证字符串，因此，该待验证URL不存在漏洞。

根据上述图1对应的实施例所描述的漏洞检测方法，下面进行示例说明。

假设要验证的特定字符串为K，保证K不包括在以下两个请求包中。首先生成一个与待验证漏洞同路径，同请求方法的正常请求包，进行请求，记其响应内容为A；计算A中包含K的个数为a。其次构造漏洞验证包进行请求，记其响应内容为B；计算B中包含K的个数为b。然后，判断a<b是否成立，若成立，则说明因为构造了漏洞请求，导致响应中增加了新的漏洞验证字符串，故此时漏洞是存在的。通过以正常请求与漏洞验证请求的响应的差异内容为对比基础，提取其差异特征，观察是否有特定的验证字符串存在来进行漏洞检测，能够有效规避漏洞误报情况，提高检测准确率。

本公开实施例提供的漏洞检测方法，获取待检测URL；生成用于访问待检测URL的漏洞请求包和漏洞验证包；采用漏洞请求包对待检测URL进行访问，并获取与待检测URL对应的目标服务器反馈的第一响应信息；采用漏洞验证包对待检测URL进行访问，并获取目标服务器反馈的第二响应信息；获取第一响应信息和第二响应信息的差异信息；在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞。本公开以漏洞请求包和漏洞验证包的响应的差异内容为对比基础，判断差异内容中是否包含特定的漏洞验证字符串来进行漏洞检测，能够有效规避漏洞误报情况，提高检测准确率。

基于上述图1对应的实施例中所描述的漏洞检测方法，下述为本公开装置实施例，可以用于执行本公开方法实施例。

本公开实施例提供一种漏洞检测装置，如图2所示，该漏洞检测装置20包括：第一获取模块201、生成模块202、访问模块203、第二获取模块204和确定模块205；

第一获取模块201，用于获取待检测统一资源定位符URL；

生成模块202，用于生成用于访问待检测URL的漏洞请求包和漏洞验证包；

访问模块203，用于采用漏洞请求包对待检测URL进行访问，并获取与待检测URL对应的目标服务器反馈的第一响应信息；

访问模块203，用于采用漏洞验证包对待检测URL进行访问，并获取目标服务器反馈的第二响应信息；

第二获取模块204，用于获取第一响应信息和第二响应信息的差异信息；

确定模块205，用于在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞。

在一个实施例中，如图3所示，该漏洞检测装置20还包括：计算模块206；

第二获取模块204，用于获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量；

计算模块206，用于计算第二数量与第一数量的差值；

确定模块205，用于在第二数量与第一数量的差值大于零时，确定待验证URL存在漏洞。

在一个实施例中，如图4所示，该漏洞检测装置20还包括：判断模块207；

判断模块207，用于判断第一响应信息和第二响应信息中是否包含漏洞验证字符串；

第二获取模块204，用于在第一响应信息和第二响应信息中包含漏洞验证字符串时，获取第一响应信息中漏洞验证字符串的第一数量以及第二响应信息中漏洞验证字符串的第二数量。

在一个实施例中，确定模块205，用于在第二数量和第一数量的差值等于零时，确定待检测URL不存在漏洞。

在一个实施例中，判断模块207，用于判断第一响应信息和第二响应信息是否相同；

第二获取模块204，用于在不相同时，获取第一响应信息和第二响应信息的差异信息。

本公开实施例提供的漏洞检测装置，获取待检测URL；生成用于访问待检测URL的漏洞请求包和漏洞验证包；采用漏洞请求包对待检测URL进行访问，并获取与待检测URL对应的目标服务器反馈的第一响应信息；采用漏洞验证包对待检测URL进行访问，并获取目标服务器反馈的第二响应信息；获取第一响应信息和第二响应信息的差异信息；在差异信息包含预设的漏洞验证字符串时，确定待验证URL存在漏洞。本公开以漏洞请求包和漏洞验证包的响应的差异内容为对比基础，判断差异内容中是否包含特定的漏洞验证字符串来进行漏洞检测，能够有效规避漏洞误报情况，提高检测准确率。

本公开实施例还提供了一种漏洞检测设备，该漏洞检测设备包括接收器、发射器、存储器和处理器，该发射器和存储器分别与处理器连接，存储器中存储有至少一条计算机指令，处理器用于加载并执行至少一条计算机指令，以实现上述图1对应的实施例中所描述的漏洞检测方法。

基于上述图1对应的实施例中所描述的漏洞检测方法，本公开实施例还提供一种计算机可读存储介质，例如，非临时性计算机可读存储介质可以是只读存储器(英文：ReadOnly Memory，ROM)、随机存取存储器(英文：Random Access Memory，RAM)、CD-ROM、磁带、软盘和光数据存储装置等。该存储介质上存储有计算机指令，用于执行上述图1对应的实施例中所描述的漏洞检测方法，此处不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

本领域技术人员在考虑说明书及实践这里公开的公开后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

Claims

1.一种漏洞检测方法，其特征在于，所述方法包括：

获取待检测统一资源定位符URL；

生成用于访问所述待检测URL的漏洞请求包和漏洞验证包；

采用所述漏洞请求包对所述待检测URL进行访问，并获取与所述待检测URL对应的目标服务器反馈的第一响应信息；

采用所述漏洞验证包对所述待检测URL进行访问，并获取所述目标服务器反馈的第二响应信息；

获取所述第一响应信息和所述第二响应信息的差异信息；

在所述差异信息包含预设的漏洞验证字符串时，确定所述待验证URL存在漏洞。

2.根据权利要求1所述的方法，其特征在于，所述获取所述第一响应信息和所述第二响应信息的差异信息包括：

获取所述第一响应信息中所述漏洞验证字符串的第一数量以及所述第二响应信息中所述漏洞验证字符串的第二数量；

计算所述第二数量与所述第一数量的差值；

所述在所述差异信息包含预设的漏洞验证字符串时，确定所述待验证URL存在漏洞包括：

在所述第二数量与所述第一数量的差值大于零时，确定所述待验证URL存在漏洞。

3.根据权利要求2所述的方法，其特征在于，所述获取所述第一响应信息中所述漏洞验证字符串的第一数量以及所述第二响应信息中所述漏洞验证字符串的第二数量包括：

判断所述第一响应信息和所述第二响应信息中是否包含所述漏洞验证字符串；

在所述第一响应信息和所述第二响应信息中包含所述漏洞验证字符串时，获取所述第一响应信息中所述漏洞验证字符串的第一数量以及所述第二响应信息中所述漏洞验证字符串的第二数量。

4.根据权利要求2所述的方法，其特征在于，所述方法还包括：

在所述第二数量和所述第一数量的差值等于零时，确定所述待检测URL不存在漏洞。

5.根据权利要求1所述的方法，其特征在于，所述获取所述第一响应信息和所述第二响应信息的差异信息包括：

判断所述第一响应信息和所述第二响应信息是否相同；

在不相同时，获取所述第一响应信息和所述第二响应信息的差异信息。

6.一种漏洞检测装置，其特征在于，包括：

第一获取模块，用于获取待检测统一资源定位符URL；

生成模块，用于生成用于访问所述待检测URL的漏洞请求包和漏洞验证包；

访问模块，用于采用所述漏洞请求包对所述待检测URL进行访问，并获取与所述待检测URL对应的目标服务器反馈的第一响应信息；

所述访问模块，用于采用所述漏洞验证包对所述待检测URL进行访问，并获取所述目标服务器反馈的第二响应信息；

第二获取模块，用于获取所述第一响应信息和所述第二响应信息的差异信息；

确定模块，用于在所述差异信息包含预设的漏洞验证字符串时，确定所述待验证URL存在漏洞。

7.根据权利要求6所述的装置，其特征在于，所述漏洞检测装置还包括：计算模块；

第二获取模块，用于获取所述第一响应信息中所述漏洞验证字符串的第一数量以及所述第二响应信息中所述漏洞验证字符串的第二数量；

计算模块，用于计算所述第二数量与所述第一数量的差值；

确定模块，用于在所述第二数量与所述第一数量的差值大于零时，确定所述待验证URL存在漏洞。

8.根据权利要求7所述的装置，其特征在于，所述漏洞检测装置还包括：判断模块；

判断模块，用于判断所述第一响应信息和所述第二响应信息中是否包含所述漏洞验证字符串；

第二获取模块，用于在所述第一响应信息和所述第二响应信息中包含所述漏洞验证字符串时，获取所述第一响应信息中所述漏洞验证字符串的第一数量以及所述第二响应信息中所述漏洞验证字符串的第二数量。

9.根据权利要求7所述的装置，其特征在于，所述确定模块，用于在所述第二数量和所述第一数量的差值等于零时，确定所述待检测URL不存在漏洞。

10.根据权利要求8所述的装置，其特征在于，

所述判断模块，用于判断所述第一响应信息和所述第二响应信息是否相同；

所述第二获取模块，用于在不相同时，获取所述第一响应信息和所述第二响应信息的差异信息。