CN113422759B - 漏洞扫描方法、电子装置和存储介质 - Google Patents

Abstract

本申请涉及一种漏洞扫描方法、电子装置和存储介质，通过获取待扫描的资产信息，其中，资产信息包括携带目标漏洞的访问目标的地址信息；获取漏洞扫描配置文件，其中，漏洞扫描配置文件包括至少一项用于检测目标漏洞的扫描策略信息；在预设扫描引擎中，基于漏洞扫描配置文件对待扫描的资产信息进行扫描，得到第一扫描结果，其中，第一扫描结果包括目标漏洞的漏洞信息；在第一扫描结果中检测漏洞信息，并根据漏洞信息判断目标漏洞是否存在，确定漏洞扫描结果，解决了扫描策略的部署效率低和扫描结果的准确度低的问题，提升了扫描策略的部署效率低和扫描结果的准确度。

Description

漏洞扫描方法、电子装置和存储介质

技术领域

本申请涉及漏洞扫描技术领域，特别是涉及漏洞扫描方法、电子装置和存储介质。

背景技术

0day漏洞定义为首次检出的漏洞，Nday漏洞定义为处于公布阶段的漏洞(已检出的漏洞)。一些0day漏洞若未及时修复则会转变为Nday漏洞，Nday漏洞往往具有更高的危害性，并且随着时间的推移，危害性及危害范围会极大的提高，这会对那些忽略Nday漏洞的资产造成无法想象的危害。

Nday漏洞的扫描是一个持续性的过程，相关技术中，没有统一有效的Nday漏洞扫描工具，已有的Nday漏洞的扫描是通过小工具、WEB漏洞扫描引擎、主机漏洞扫描引擎来实现，其中，小工具无法将漏洞和用户资产做动态关联；WEB漏洞扫描引擎、主机漏洞扫描引擎耗费的成本巨大，并且在扫描Nday漏洞的同时，还进行资产信息的抓爬，浪费漏洞扫描资源。

同时，相关技术中，扫描引擎需要内置扫描策略到扫描引擎中，才能完成对应漏洞的扫描，在产生新的漏洞时，需要对各个扫描节点逐一进行扫描策略的上传更新，此种方法，造成扫描策略迭代成本大、迭代效率低的问题，并且，上述方法还会因Nday漏洞无法及时更新对应的扫描策略，导致漏洞扫描验证不准确的问题。

此外，常规的漏洞扫描方法在得到扫描结果后，需要人工复验扫描结果确定漏洞是否真实存在。

针对相关技术中存在的扫描策略的部署效率低和扫描结果的准确度低的问题，目前还没有提出有效的解决方案。

发明内容

在本实施例中提供了一种漏洞扫描方法、电子装置和存储介质，以解决相关技术中存在的扫描策略的部署效率低和扫描结果的准确度低的问题。

第一个方面，在本实施例中提供了一种漏洞扫描方法，包括：

获取待扫描的资产信息，其中，所述资产信息包括携带目标漏洞的访问目标的地址信息；

获取漏洞扫描配置文件，其中，所述漏洞扫描配置文件包括至少一项用于检测所述目标漏洞的扫描策略信息；

在预设扫描引擎中，基于所述漏洞扫描配置文件对所述待扫描的资产信息进行扫描，得到第一扫描结果，其中，所述第一扫描结果包括所述目标漏洞的漏洞信息；

在所述第一扫描结果中检测所述漏洞信息，并根据所述漏洞信息判断所述目标漏洞是否存在，确定漏洞扫描结果。

在其中一些实施例中，在获取漏洞扫描配置文件之前，所述方法还包括：

获取对应于所述目标漏洞的扫描策略信息，以至少一项所述扫描策略信息为单位配置得到所述漏洞扫描配置文件。

在其中一些实施例中，所述漏洞扫描配置文件还携带有资产类型信息；在预设扫描引擎中，基于所述漏洞扫描配置文件对所述待扫描的资产信息进行扫描，得到第一扫描结果包括：

获取所述资产类型信息，并在所述待扫描的资产信息中检测与所述资产类型信息对应的第一资产信息，其中，所述资产类型信息包括以下其中一种：WEB资产类型信息、主机资产类型信息；

根据所述第一资产信息和所述扫描策略信息生成HTTP请求报文；

将所述HTTP请求报文发送至所述地址信息对应的所述访问目标，根据获取的响应于所述HTTP请求报文的HTTP响应报文，确定所述第一扫描结果。

在其中一些实施例中，根据获取的响应于所述HTTP请求报文的HTTP响应报文确定所述第一扫描结果包括：

根据所述扫描策略信息从所述HTTP响应报文中检测是否存在目标漏洞；

在检测到所述目标漏洞的情况下，获取所述目标漏洞对应的漏洞信息，并根据所述漏洞信息和所述资产信息生成所述第一扫描结果，其中，所述资产信息至少包括所述地址信息；

在检测不到所述目标漏洞的情况下，确定所述第一扫描结果包括所述待扫描的资产信息无漏洞。

在其中一些实施例中，获取所述目标漏洞的漏洞信息包括：

解析所述HTTP响应报文，得到HTTP响应内容；

从所述HTTP响应内容中提取目标脚本，并在执行所述目标脚本后得到页面，其中，所述页面包括所述目标漏洞触发时对应的页面弹窗；

在所述页面中截取所述页面弹窗，得到页面截图；

根据所述页面截图确定所述目标漏洞对应的位置信息，并将所述页面截图和所述位置信息作为所述目标漏洞对应的所述漏洞信息。

在其中一些实施例中，在所述第一扫描结果中检测所述漏洞信息，并根据所述漏洞信息判断所述目标漏洞是否存在，确定漏洞扫描结果包括：

获取所述漏洞信息，并在所述漏洞信息中检测所述页面截图；

在检测到所述页面截图的情况下，确定所述漏洞扫描结果包括所述待扫描资产信息存在漏洞；

在未检测到所述页面截图的情况下，确实所述漏洞扫描结果包括漏洞误检。

在其中一些实施例中，在确定所述漏洞扫描结果包括所述待扫描资产信息存在漏洞之后，所述方法还包括：

获取对应于所述目标漏洞的预设知识库，发送所述预设知识库至所述资产信息所对应的所述访问目标，其中，所述预设知识库携带有所述目标漏洞的漏洞信息、所述目标漏洞将造成的影响、所述目标漏洞的第一次检出时间。

在其中一些实施例中，所述漏洞扫描配置文件还携带有预设网络协议，将所述HTTP请求报文发送至所述地址信息对应的所述访问目标包括：在所述漏洞扫描配置文件中检测所述预设网络协议，并根据检测到的所述预设网络协议将所述HTTP请求报文发送至所述访问目标。

第二个方面，在本实施例中提供了一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行上述第一个方面所述的漏洞扫描方法。

第三个方面，在本实施例中提供了一种计算机可读存储介质，其上存储有计算机程序，在其中一些实施例中，所述计算机程序被处理器执行时实现上述第一个方面所述的漏洞扫描方法的步骤。

与相关技术相比，在本实施例中提供的漏洞扫描方法、电子装置和存储介质，通过获取待扫描的资产信息，其中，资产信息包括携带目标漏洞的访问目标的地址信息；获取漏洞扫描配置文件，其中，漏洞扫描配置文件包括至少一项用于检测目标漏洞的扫描策略信息；在预设扫描引擎中，基于漏洞扫描配置文件对待扫描的资产信息进行扫描，得到第一扫描结果，其中，第一扫描结果包括目标漏洞的漏洞信息；在第一扫描结果中检测漏洞信息，并根据漏洞信息判断目标漏洞是否存在，确定漏洞扫描结果，解决了相关技术中存在的扫描策略的部署效率低和扫描结果的准确度低的问题，提升了扫描策略的部署效率低和扫描结果的准确度。

本申请的一个或多个实施例的细节在以下附图和描述中提出，以使本申请的其他特征、目的和优点更加简明易懂。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本实施例的漏洞扫描方法的终端的硬件结构框图；

图2是本实施例的漏洞扫描方法的流程图；

图3是本申请实施例的漏洞扫描装置的结构框图；

图4是本申请优选实施例的漏洞扫描配置的结构示意图；

图5是本申请实施例的漏洞扫描配置的使用流程图。

具体实施方式

为更清楚地理解本申请的目的、技术方案和优点，下面结合附图和实施例，对本申请进行了描述和说明。

除另作定义外，本申请所涉及的技术术语或者科学术语应具有本申请所属技术领域具备一般技能的人所理解的一般含义。在本申请中的“一”、“一个”、“一种”、“该”、“这些”等类似的词并不表示数量上的限制，它们可以是单数或者复数。在本申请中所涉及的术语“包括”、“包含”、“具有”及其任何变体，其目的是涵盖不排他的包含；例如，包含一系列步骤或模块(单元)的过程、方法和***、产品或设备并未限定于列出的步骤或模块(单元)，而可包括未列出的步骤或模块(单元)，或者可包括这些过程、方法、产品或设备固有的其他步骤或模块(单元)。在本申请中所涉及的“连接”、“相连”、“耦接”等类似的词语并不限定于物理的或机械连接，而可以包括电气连接，无论是直接连接还是间接连接。在本申请中所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。通常情况下，字符“/”表示前后关联的对象是一种“或”的关系。在本申请中所涉及的术语“第一”、“第二”、“第三”等，只是对相似对象进行区分，并不代表针对对象的特定排序。

在本实施例中提供的方法实施例可以在终端、计算机或者类似的运算装置中执行。比如在终端上运行，图1是本实施例的漏洞扫描方法的终端的硬件结构框图。如图1所示，终端可以包括一个或多个(图1中仅示出一个)处理器102和用于存储数据的存储器104，其中，处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置。上述终端还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述终端的结构造成限制。例如，终端还可包括比图1中所示更多或者更少的组件，或者具有与图1所示出的不同配置。

存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如在本实施例中的漏洞扫描方法对应的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至终端。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输设备106用于经由一个网络接收或者发送数据。上述的网络包括终端的通信供应商提供的无线网络。在一个实例中，传输设备106包括一个网络适配器(NetworkInterface Controller，简称为NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输设备106可以为射频(Radio Frequency，简称为RF)模块，其用于通过无线方式与互联网进行通讯。

在本实施例中提供了一种漏洞扫描方法，图2是本实施例的漏洞扫描方法的流程图，如图2所示，该流程包括如下步骤：

步骤S201，获取待扫描的资产信息，其中，资产信息包括携带目标漏洞的访问目标的地址信息。

在本实施例中，资产是指用户所拥有的WEB(World Wide WEB，全球广域网)资产或者主机资产，访问目标的地址信息是指包括IP(Internet Protocol Address，互联网协议地址)、域名、端口、协议中的一种或者多种组合的地址信息。

在本实施例中，针对WEB资产漏洞扫描而言，资产信息以协议+域名或者协议+IP+端口的形式出现，针对主机资产漏洞扫描而言，资产信息以域名或者IP的形式出现。比如web：http://www.***.com.cn，http://127.0.0.1：8080主机：127.0.0.1，www.***.com.cn。

在本实施例中，目标漏洞包括Nday漏洞，待扫描的资产信息所对应的资产可能存在目标漏洞。

步骤S202，获取漏洞扫描配置文件，其中，漏洞扫描配置文件包括至少一项用于检测目标漏洞的扫描策略信息。

在本实施例中，漏洞扫描配置文件不是内置于预设扫描引擎中，而是在需要对某些资产进行漏洞扫描时，将漏洞扫描配置文件和资产信息发送至预设扫描引擎。

在本实施例中，扫描策略信息定义了预设扫描引擎在扫描漏洞过程中的发包逻辑和收包逻辑，发包逻辑是指将HTTP请求报文发给目标对象的逻辑，收包逻辑是指从目标对象接收返回的HTTP响应报文的逻辑。

本实施例的扫描策略信息针对已检出漏洞(Nday漏洞)，每一个配置文件包含一项或者多项扫描策略，各配置文件相互独立。当需要对某一已检出漏洞的扫描策略进行更新时，只需要更新对应该扫描策略信息所在漏洞扫描配置文件即可，无需更新所有漏洞扫描配置文件。

在本实施例中，漏洞扫描配置文件的格式包括yml文件格式，以提高漏洞扫描配置文件的可读性，其中，yml文件格式是一种用来表达数据序列化的格式。

步骤S203，在预设扫描引擎中，基于漏洞扫描配置文件对待扫描的资产信息进行扫描，得到第一扫描结果，其中，第一扫描结果包括目标漏洞的漏洞信息。

在本实施例中，在需要对某些资产进行漏洞扫描时，通过将漏洞扫描配置文件和资产信息发送至预设扫描引擎，由预设扫描引擎读取漏洞扫描配置文件的扫描策略信息，执行具体的漏洞扫描任务。

需要说明的是，相关技术的扫描引擎一般会先进行链接抓爬，然后对这些链接进行漏洞扫描，但扫描引擎无法获取用户资产下的所有子域名，而漏洞可能存在于这些子域名下，想要获得这些子域名就必须抓爬才能得到，但是抓爬会导致扫描效率低、资源消耗大的问题。本实施例是根据给定的待扫描的资产信息进行漏洞扫描，不需要进行链接抓爬。

步骤S204，在第一扫描结果中检测漏洞信息，并根据漏洞信息判断目标漏洞是否存在，确定漏洞扫描结果。

在本实施例中，漏洞信息是一种能体现漏洞的特征信息，通过漏洞扫描策略检测得到的第一扫描结果可能存在误报的情况，通过在第一扫描结果中检测漏洞信息来验证目标漏洞是否存在，以减少误报。

通过上述步骤S201至步骤S204，通过获取待扫描的资产信息，其中，资产信息包括携带目标漏洞的访问目标的地址信息；获取漏洞扫描配置文件，其中，漏洞扫描配置文件包括至少一项用于检测目标漏洞的扫描策略信息；在预设扫描引擎中，基于漏洞扫描配置文件对待扫描的资产信息进行扫描，得到第一扫描结果，其中，第一扫描结果包括目标漏洞的漏洞信息；在第一扫描结果中检测漏洞信息，并根据漏洞信息判断目标漏洞是否存在，确定漏洞扫描结果，实现了扫描策略信息的独立和动态配置、扫描引擎的轻量化和快速响应，解决了扫描策略部署和维护成本高的问题，降低了扫描策略部署和维护成本，节省了人工复验扫描结果确定漏洞是否真实存在的操作，提升了漏洞扫描的准确度。

在其中一些实施例中，在获取漏洞扫描配置文件之前，还实施如下步骤：

步骤1、获取对应于目标漏洞的扫描策略信息。

步骤2、以至少一项扫描策略信息为单位配置得到漏洞扫描配置文件。

在本实施例中，针对已检出漏洞(Nday漏洞)设置扫描策略信息，将一项或者多项扫描策略信息写入漏洞扫描配置文件，每一个配置文件包含一项或者多项扫描策略，各配置文件相互独立。当需要对某一已检出漏洞的扫描策略进行更新时，只需要更新对应该扫描策略信息所在漏洞扫描配置文件即可，无需更新所有漏洞扫描配置文件。

通过上述步骤中的获取对应于目标漏洞的扫描策略信息；以至少一项扫描策略信息为单位配置得到漏洞扫描配置文件，实现了漏洞扫描策略的动态配置。

在其中一些实施例中，漏洞扫描配置文件还携带有资产类型信息；在预设扫描引擎中，基于漏洞扫描配置文件对待扫描的资产信息进行扫描，得到第一扫描结果通过如下步骤实现：

步骤1、获取资产类型信息，并在待扫描的资产信息中检测与资产类型信息对应的第一资产信息，其中，资产类型信息包括以下其中一种：WEB资产类型信息、主机资产类型信息。

步骤2、根据第一资产信息和扫描策略信息生成HTTP请求报文。

步骤3、将HTTP请求报文发送至地址信息对应的访问目标，根据获取的响应于HTTP请求报文的HTTP响应报文确定第一扫描结果。

在本实施例中，在配置扫描策略时，会将资产类型信息写入配置文件的特定字段中，扫描引擎通过读取配置文件的特定字段获取资产类型信息，并以资产类型信息为类别对扫描策略进行区分，将其分配至对应的资产。

在本实施例中，资产类型信息包括WEB资产类型信息和主机资产类型信息，如果某一配置文件携带的资产类型信息为WEB资产类型信息，则将该配置文件包含的扫描策略分配给WEB资产，如果某一配置文件携带的资产类型信息为主机资产类型信息，则将该配置文件包含的扫描策略分配给主机资产。

在本实施例中，将资产信息和扫描策略进行匹配的过程就是策略路由过程，扫描引擎在接收到多个资产和多个扫描策略后会根据上述原理自动执行策略路由，实现多策略多资产的智能分配扫描。

在本实施例中，可在扫描引擎中引入aviator表达式相关的依赖包，生成aviator表达式引擎，以快速读取配置文件中的扫描策略。

aviator表达式引擎引入的依赖包占存小、配置灵活、支持自定义函数，且运行时对机器资源消耗小。

在本实施例中，HTTP请求报文是指扫描引擎在读取配置文件的发包逻辑后组装成一个完整的报文，通过读取配置文件携带的预设网络协议，根据预设网络协议发送HTTP请求报文至对应资产，该报文支持的协议包括但不限于GET协议、POST协议、PUT协议、DELETE协议、TCP协议、UDP协议。通过将HTTP请求报文发给可能存在Nday漏洞的资产(该资产以url链接形式出现)，获得HTTP响应报文，拿到HTTP响应报文后才能确定资产是否存在Nday漏洞，即得到漏洞扫描结果。

通过上述步骤中的获取资产类型信息，并在待扫描的资产信息中检测与资产类型信息对应的第一资产信息，其中，资产类型信息包括以下其中一种：WEB资产类型信息、主机资产类型信息；根据第一资产信息和扫描策略信息生成HTTP请求报文；将HTTP请求报文发送至地址信息对应的访问目标，根据获取的响应于HTTP请求报文的HTTP响应报文确定第一扫描结果，实现了待扫描的资产信息和扫描策略信息的自动路由和多策略多资产的智能分配扫描。

在其中一些实施例中，根据获取的响应于HTTP请求报文的HTTP响应报文确定第一扫描结果通过如下步骤实现：

步骤1、根据扫描策略信息从HTTP响应报文中检测是否存在目标漏洞。

步骤2、在检测到目标漏洞的情况下，获取目标漏洞对应的漏洞信息，并根据漏洞信息和资产信息生成第一扫描结果，其中，资产信息至少包括地址信息。

步骤3、在检测不到目标漏洞的情况下，确定所述第一扫描结果包括所述待扫描的资产信息无漏洞。

在本实施例中，扫描策略信息包括但不限于漏洞测试包、漏洞检出规则、dns解析规则，其中，漏洞测试包定义了测试漏洞的逻辑，漏洞检出规则定义了检测出漏洞的逻辑，dns解析规则定义了从HTTP响应报文中解析出对应于域名的地址的逻辑。可以使用漏洞测试包，在待扫描资产中测试目标漏洞存在与否，在目标漏洞存在的情况下，使用漏洞检出规则检出目标漏洞，并使用dns解析规则解析出对应于域名的地址，将漏洞信息和资产信息汇总，生成第一扫描结果。

通过上述步骤中的根据扫描策略信息从HTTP响应报文中检测是否存在目标漏洞；在检测到目标漏洞的情况下，获取目标漏洞对应的漏洞信息，并根据漏洞信息和资产信息生成第一扫描结果；在检测不到目标漏洞的情况下，确定第一扫描结果包括所述待扫描的资产信息无漏洞，实现了漏洞扫描。

在其中一些实施例中，获取目标漏洞的漏洞信息通过如下步骤实现：

步骤1、解析HTTP响应报文，得到HTTP响应内容；

步骤2、从HTTP响应内容中提取目标脚本，并在执行目标脚本后得到页面，其中，页面包括目标漏洞触发时对应的页面弹窗；

步骤3、在页面中截取目标漏洞触发时对应的页面弹窗，得到页面截图；

步骤4、根据页面截图确定目标漏洞对应的位置信息，并将页面截图和位置信息作为目标漏洞对应的漏洞信息。

例如，对于XSS(跨站脚本)漏洞，在触发该漏洞后一般会在浏览器页面出现弹窗，这一特征信息能够证明XSS漏洞真实存在。其中，截图功能可利用截图程序实现。

通过上述步骤中的解析HTTP响应报文，得到HTTP响应内容；从HTTP响应内容中提取目标脚本，并在执行目标脚本后得到页面，其中，页面包括目标漏洞触发时对应的页面弹窗；在页面中截取目标漏洞触发时对应的页面弹窗，得到页面截图；根据页面截图确定目标漏洞对应的位置信息，并将页面截图和位置信息作为目标漏洞对应的漏洞信息，实现了漏洞复验功能。

在其中一些实施例中，还可以采用phantomjs渲染方式来精准定位漏洞的位置。其中，phantomjs是一个可编程的无头浏览器。

在其中一些实施例中，在第一扫描结果中检测漏洞信息，并根据漏洞信息判断目标漏洞是否存在，确定漏洞扫描结果通过如下步骤实现：

步骤1、获取漏洞信息，并在漏洞信息中检测页面截图；

步骤2、在检测到页面截图的情况下，确定漏洞扫描结果包括待扫描资产信息存在漏洞；

步骤3、在未检测到页面截图的情况下，确实漏洞扫描结果包括漏洞误检。

通过扫描引擎内置的截图程序对页面弹窗进行截图，不需要人工复验扫描结果确定漏洞是否真实存在。通过验证漏洞是否真实存在，可提升漏洞扫描的准确度。

通过上述步骤中的获取漏洞信息，并在漏洞信息中检测页面截图；在检测到页面截图的情况下，确定漏洞扫描结果包括待扫描资产信息存在漏洞；在未检测到页面截图的情况下，确实漏洞扫描结果包括漏洞误检，提升了漏洞扫描的准确度。

在其中一些实施例中，在确定漏洞扫描结果包括待扫描资产信息存在漏洞之后，方法还通过如下步骤实现：

获取对应于目标漏洞的预设知识库，发送预设知识库至资产信息所对应的访问目标，其中，预设知识库携带有目标漏洞的漏洞信息、目标漏洞将造成的影响、目标漏洞的第一次检出时间。

在本实施例中，通过发送预设知识库至资产信息对应的用户，能够让用户根据漏洞扫描结果及时修复漏洞，减少漏洞带来的损失。

通过获取对应于目标漏洞的预设知识库，发送预设知识库至资产信息所对应的访问目标，其中，预设知识库携带有目标漏洞的漏洞信息、目标漏洞将造成的影响、目标漏洞的第一次检出时间，实现了及时告知用户需及时修复漏洞，减少漏洞带来的损失的效果。

在其中一些实施例中，漏洞扫描配置文件还携带有预设网络协议，将HTTP请求报文发送至地址信息对应的访问目标通过如下步骤实现：

在漏洞扫描配置文件中检测预设网络协议，并根据检测到的预设网络协议将HTTP请求报文发送至访问目标。

通过读取配置文件携带的预设网络协议，根据预设网络协议发送HTTP请求报文至对应资产，该报文支持的协议包括但不限于GET协议、POST协议、PUT协议、DELETE协议、TCP协议、UDP协议。

通过上述步骤的在漏洞扫描配置文件中检测预设网络协议，并根据检测到的预设网络协议将HTTP请求报文发送至访问目标，提升了漏洞扫描对不同网络协议的兼容性。

结合上述实施例的漏洞扫描方法，在本实施例中还提供了一种漏洞扫描装置，图3是本申请实施例的漏洞扫描装置的结构框图，如图3所示，该装置包括：

第一获取模块31，用于获取待扫描的资产信息，其中，资产信息包括携带目标漏洞的访问目标的地址信息；

第二获取模块32，用于获取漏洞扫描配置文件，其中，漏洞扫描配置文件包括至少一项用于检测目标漏洞的扫描策略信息；

扫描模块33，耦合至第一获取模块31和第二获取模块32，用于在预设扫描引擎中，基于漏洞扫描配置文件对待扫描的资产信息进行扫描，得到第一扫描结果，其中，第一扫描结果包括目标漏洞的漏洞信息；

检测模块34，耦合至扫描模块33，用于在第一扫描结果中检测漏洞信息，并根据漏洞信息判断目标漏洞是否存在，确定漏洞扫描结果。

在其中一些实施例中，装置还包括：第三获取模块，用于获取对应于目标漏洞的扫描策略信息，以至少一项扫描策略信息为单位配置得到漏洞扫描配置文件。

在其中一些实施例中，扫描模块33包括：

第一获取单元，用于获取资产类型信息，并在待扫描的资产信息中检测与资产类型信息对应的第一资产信息，其中，资产类型信息包括以下其中一种：WEB资产类型信息、主机资产类型信息；

生成单元，用于根据第一资产信息和扫描策略信息生成HTTP请求报文；

第一确定单元，用于将HTTP请求报文发送至地址信息对应的访问目标，根据获取的响应于HTTP请求报文的HTTP响应报文，确定第一扫描结果。

在其中一些实施例中，扫描模块33包括：

检测单元，用于根据扫描策略信息从HTTP响应报文中检测是否存在目标漏洞；

生成单元，用于在检测到目标漏洞的情况下，获取目标漏洞对应的漏洞信息，并根据漏洞信息和资产信息生成第一扫描结果，其中，资产信息至少包括地址信息；

第二确定单元，用于在检测不到目标漏洞的情况下，确定第一扫描结果包括待扫描的资产信息无漏洞。

在其中一些实施例中，第二获取模块32包括：

解析单元，用于解析HTTP响应报文，得到HTTP响应内容；

提取单元，用于从HTTP响应内容中提取目标脚本，并在执行目标脚本后得到页面，其中，页面包括目标漏洞触发时对应的页面弹窗；

截取单元，用于在页面中截取页面弹窗，得到页面截图；

第三确定单元，用于根据页面截图确定目标漏洞对应的位置信息，并将页面截图和位置信息作为目标漏洞对应的漏洞信息。

在其中一些实施例中，检测模块34包括：

第二获取单元，用于获取漏洞信息，并在漏洞信息中检测页面截图；

第四确定单元，用于在检测到页面截图的情况下，确定漏洞扫描结果包括待扫描资产信息存在漏洞；在未检测到页面截图的情况下，确实漏洞扫描结果包括漏洞误检。

在其中一些实施例中，装置还包括：

第三获取模块，用于获取对应于目标漏洞的预设知识库，发送预设知识库至资产信息所对应的访问目标，其中，预设知识库携带有目标漏洞的漏洞信息、目标漏洞将造成的影响、目标漏洞的第一次检出时间。

在其中一些实施例中，扫描模块33包括：发送单元，用于在漏洞扫描配置文件中检测预设网络协议，并根据检测到的预设网络协议将HTTP请求报文发送至访问目标。

需要说明的是，上述各个模块可以是功能模块也可以是程序模块，既可以通过软件来实现，也可以通过硬件来实现。对于通过硬件来实现的模块而言，上述各个模块可以位于同一处理器中；或者上述各个模块还可以按照任意组合的形式分别位于不同的处理器中。

图4是本申请优选实施例的漏洞扫描配置的结构示意图，如图4所示，该扫描引擎包括依次耦合的策略配置模块41、策略路由模块42、发包模块43、验证模块44和告警模块45。

策略配置模块41，支持将Nday漏洞的扫描策略信息配置在独立的yml文件中，一个yml文件对应一个或几个扫描策略信息，yml文件配置好后，扫描引擎内置轻量化的aviator表达式引擎，支持定义全局变量和具体的逻辑执行方法，在整个扫描策略信息执行的过程中都能够快速高效地读取到yml文件的内容，从而根据具体的配置内容来确定是否正确扫到漏洞。

策略路由模块42，支持WEB资产和主机资产的Nday漏洞扫描，用户只需要下发具体的待扫描的资产信息和yml文件至扫描引擎，策略路由模块42即会做对应的策略路由处理，将对应的待扫描的资产信息和扫描策略信息推送到指定的发包模块43中，实现多策略多资产的智能分配扫描。

发包模块43，支持WEB资产和主机资产，基于java语言，能够很好的兼容轻量化的aviator表达式引擎来实时获取yml文件中的发包策略配置，并兼容多种不同协议下的发包和响应捕获，同时支持高并发场景下的漏洞扫描以及支持内嵌python执行工具，发包模块43会读取yml文件的配置，只需要根据配置执行具体的验证逻辑和验证方法，获取漏洞的扫描结果。

验证模块44，针对部分扫描策略，支持自动验证漏洞，输出验证结果。

告警模块45，支持漏洞的告警和修复建议推送，用户可根据这些漏洞告警及时响应，修复对应资产的Nday漏洞，做到早发现早修复。

扫描引擎可部署在用户的机器上，图5是本申请实施例的漏洞扫描配置的使用流程图，如图5所示，该流程包括如下步骤：

步骤S51，配置扫描策略信息的yml文件。

上传对应的yml文件到扫描引擎，yml文件是配置好的用于扫描漏洞的具体发包逻辑和收包逻辑，其中包括对应的漏洞测试包数据、漏洞检出规则以及dns解析规则，yml文件会伴随扫描引擎整个扫描过程。

步骤S52，执行命令行拉起程序。

发包模块基于java语言进行开发，支持用户在主流平台上运行，用户只需将待扫描的资产信息和扫描策略信息上传到扫描引擎的指定目录，然后通过命令行快速拉起整个程序，扫描引擎会自动执行。

步骤S53，策略路由。

匹配资产和扫描策略，若检测到配置文件携带有WEB资产类型信息，则执行步骤S54；若检测到配置文件携带有主机资产类型信息，则执行步骤S55。

扫描引擎在执行具体策略过程中会通过轻量化的aviator表达式引擎来实时快速读取yml文件中的配置字段来执行具体的运算逻辑，根据扫描策略信息进行测试发包和响应结果的获取和校验。同时扫描引擎支持多种协议的发包，其中包括GET协议、POST协议、PUT协议、DELETE协议、TCP协议和UDP协议，具体的发包协议也需根据yml文件对应的字段来确定，针对默认需要python工具进行发包的策略，该工具也提高响应的执行入口，能够很好的兼容该类扫描策略的检测。

步骤S54，推送至WEB扫描策略发包器。

步骤S55，推送至主机扫描策略发包器。

步骤S56，返回漏洞扫描结果。

步骤S57，漏洞自动验证。若验证到存在漏洞，则执行步骤S58；否则，结束流程。

在上一步骤中，虽然通过配置yml文件和自动执行对应的扫描策略发包器，获取了漏洞扫描结果，但也可能存在误报的情况，所以该扫描引擎也支持漏洞自动化验证功能，其中的自动化验证器会获取对应漏洞的测试发包响应，解析器会解析该类测试响应包，通过内置截图和phantomjs渲染手段来精准定位漏洞的位置，验证漏洞的真实存在。

步骤S58，告警。

将漏洞对应的知识库(漏洞信息、漏洞影响和爆发时间)通过告警服务及时推送到用户。

通过该优选实施例的扫描引擎，能够对Nday漏洞进行快速响应和检出，根据检出报告及时修复漏洞，减少漏洞带来的损失。

综上，本实施例的漏洞扫描方法和扫描引擎，能够针对具体的已检出漏洞进行策略快速迭代和部署，渗透测试人员只需要配置对应的扫描策略即可对具体的网站或者主机进行发包测试，快速获取漏洞扫描结果；支持策略路由功能，能够针对不同类型的策略选择不同的发包工具来进行漏洞探测；支持主机和WEB类型的Nday漏洞快速探测；能够提供具体漏洞的知识库；支持其他主流第三方漏洞探测工具的调用；提高用户对Nday漏洞的发现能力，有效地解决用户当前和未来所面临的复杂的网络安全问题。

在本实施例中还提供了一种电子装置，包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤。

可选地，上述电子装置还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。

可选地，在本实施例中，上述处理器可以被设置为通过计算机程序执行以下步骤：

S1，获取待扫描的资产信息，其中，资产信息包括携带目标漏洞的访问目标的地址信息。

S2，获取漏洞扫描配置文件，其中，漏洞扫描配置文件包括至少一项用于检测目标漏洞的扫描策略信息。

S3，在预设扫描引擎中，基于漏洞扫描配置文件对待扫描的资产信息进行扫描，得到第一扫描结果，其中，第一扫描结果包括目标漏洞的漏洞信息。

S4，在第一扫描结果中检测漏洞信息，并根据漏洞信息判断目标漏洞是否存在，确定漏洞扫描结果。

需要说明的是，在本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，在本实施例中不再赘述。

此外，结合上述实施例中提供的漏洞扫描方法，在本实施例中还可以提供一种存储介质来实现。该存储介质上存储有计算机程序；该计算机程序被处理器执行时实现上述实施例中的任意一种漏洞扫描方法。

应该明白的是，这里描述的具体实施例只是用来解释这个应用，而不是用来对它进行限定。根据本申请提供的实施例，本领域普通技术人员在不进行创造性劳动的情况下得到的所有其它实施例，均属本申请保护范围。

显然，附图只是本申请的一些例子或实施例，对本领域的普通技术人员来说，也可以根据这些附图将本申请适用于其他类似情况，但无需付出创造性劳动。另外，可以理解的是，尽管在此开发过程中所做的工作可能是复杂和漫长的，但是，对于本领域的普通技术人员来说，根据本申请披露的技术内容进行的某些设计、制造或生产等更改仅是常规的技术手段，不应被视为本申请公开的内容不足。

“实施例”一词在本申请中指的是结合实施例描述的具体特征、结构或特性可以包括在本申请的至少一个实施例中。该短语出现在说明书中的各个位置并不一定意味着相同的实施例，也不意味着与其它实施例相互排斥而具有独立性或可供选择。本领域的普通技术人员能够清楚或隐含地理解的是，本申请中描述的实施例在没有冲突的情况下，可以与其它实施例结合。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对专利保护范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims (9)

1.一种漏洞扫描方法，其特征在于，包括：

获取待扫描的资产信息，其中，所述资产信息包括携带目标漏洞的访问目标的地址信息；

获取漏洞扫描配置文件，其中，所述漏洞扫描配置文件包括至少一项用于检测所述目标漏洞的扫描策略信息；

在预设扫描引擎中，基于所述漏洞扫描配置文件对所述待扫描的资产信息进行扫描，得到第一扫描结果，其中，所述第一扫描结果包括所述目标漏洞的漏洞信息；

在所述第一扫描结果中检测所述漏洞信息，并根据所述漏洞信息判断所述目标漏洞是否存在，确定漏洞扫描结果；

其中，所述扫描策略信息包括：所述预设扫描引擎在扫描漏洞过程中将HTTP请求报文发送给所述访问目标的逻辑，从所述访问目标接收响应于所述HTTP请求报文的HTTP响应报文的逻辑；

其中，在获取所述漏洞扫描配置文件之后，所述方法还包括：添加所述漏洞扫描配置文件和所述待扫描的资产信息添加到所述预设扫描引擎中；

从所述访问目标接收响应于所述HTTP请求报文的HTTP响应报文的逻辑包括：根据所述扫描策略信息从所述HTTP响应报文中检测是否存在目标漏洞；解析所述HTTP响应报文，得到HTTP响应内容；从所述HTTP响应内容中提取目标脚本，并在执行所述目标脚本后得到页面，其中，所述页面包括所述目标漏洞触发时对应的页面弹窗；在所述页面中截取所述页面弹窗，得到页面截图；根据所述页面截图确定所述目标漏洞对应的位置信息，并将所述页面截图和所述位置信息作为所述目标漏洞对应的所述漏洞信息。

2.根据权利要求1所述的漏洞扫描方法，其特征在于，在获取漏洞扫描配置文件之前，所述方法还包括：

获取对应于所述目标漏洞的扫描策略信息，以至少一项所述扫描策略信息为单位配置得到所述漏洞扫描配置文件。

3.根据权利要求1所述的漏洞扫描方法，其特征在于，所述漏洞扫描配置文件还携带有资产类型信息；在预设扫描引擎中，基于所述漏洞扫描配置文件对所述待扫描的资产信息进行扫描，得到第一扫描结果包括：

获取所述资产类型信息，并在所述待扫描的资产信息中检测与所述资产类型信息对应的第一资产信息，其中，所述资产类型信息包括以下其中一种：WEB资产类型信息、主机资产类型信息；

根据所述第一资产信息和所述扫描策略信息生成所述HTTP请求报文；

将所述HTTP请求报文发送至所述地址信息对应的所述访问目标，根据获取的响应于所述HTTP请求报文的所述HTTP响应报文，确定所述第一扫描结果。

4.根据权利要求3所述的漏洞扫描方法，其特征在于，根据获取的响应于所述HTTP请求报文的HTTP响应报文确定所述第一扫描结果包括：

根据所述扫描策略信息从所述HTTP响应报文中检测是否存在目标漏洞；

在检测到所述目标漏洞的情况下，获取所述目标漏洞对应的漏洞信息，并根据所述漏洞信息和所述资产信息生成所述第一扫描结果，其中，所述资产信息至少包括所述地址信息；

在检测不到所述目标漏洞的情况下，确定所述第一扫描结果包括所述待扫描的资产信息无漏洞。

5.根据权利要求1所述的漏洞扫描方法，其特征在于，在所述第一扫描结果中检测所述漏洞信息，并根据所述漏洞信息判断所述目标漏洞是否存在，确定漏洞扫描结果包括：

获取所述漏洞信息，并在所述漏洞信息中检测所述页面截图；

在检测到所述页面截图的情况下，确定所述漏洞扫描结果包括所述待扫描资产信息存在漏洞；

在未检测到所述页面截图的情况下，确实所述漏洞扫描结果包括漏洞误检。

6.根据权利要求5所述的漏洞扫描方法，其特征在于，在确定所述漏洞扫描结果包括所述待扫描资产信息存在漏洞之后，所述方法还包括：

获取对应于所述目标漏洞的预设知识库，发送所述预设知识库至所述资产信息所对应的所述访问目标，其中，所述预设知识库携带有所述目标漏洞的漏洞信息、所述目标漏洞将造成的影响、所述目标漏洞的第一次检出时间。

7.根据权利要求3所述的漏洞扫描方法，其特征在于，所述漏洞扫描配置文件还携带有预设网络协议，将所述HTTP请求报文发送至所述地址信息对应的所述访问目标包括：在所述漏洞扫描配置文件中检测所述预设网络协议，并根据检测到的所述预设网络协议将所述HTTP请求报文发送至所述访问目标。

8.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至7中任一项所述的漏洞扫描方法。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的漏洞扫描方法的步骤。

Images