一种网站漏洞检测方法及装置制造方法及图纸

本发明专利技术公开一种网站漏洞检测方法及装置，该方法包括：接收用户对网络站点的访问请求，所述访问请求中包含http请求链接；根据所述访问请求加载页面数据，并在加载页面数据时加载漏洞检测程序；运行加载的漏洞检测程序，所述漏洞检测程序用于监控与所述http请求链接对应的网页程序中的关键函数，并获取所述关键函数运行时的参数；判断所述关键函数运行时的参数是否在异常信息数据库中是否存在匹配项；若存在，则根据所述关键函数的类型确定对应的网站漏洞，用以解决现有技术中存在无法准确高效实时地检测网站漏洞的问题。

【技术实现步骤摘要】

本专利技术涉及网络安全领域，尤其涉及一种网站漏洞检测方法及装置。
技术介绍
互联网上的Web站点数量巨多、规模庞大，给大家带来便利的同时又极易带来入侵威胁。因这些Web站点系统脆弱且存在漏洞，一旦被攻击就会造成极大的利益损失。目前，Web漏洞通常是指网站程序上的漏洞，可能是由于代码编写者在编写代码时考虑不周全等原因而造成的漏洞，常见的Web漏洞有命令执行、代码注入、Sql注入、Xss漏洞、上传漏洞等。如果网站存在Web漏洞并被黑客攻击者利用，攻击者可以轻易控制整个网站，并可进一步获取网站服务器权限，进而控制整个服务器。而目前所采用的网站漏洞检测方法，一种方法是：以动态扫描的形式，通过发送模拟攻击行为的请求，并根据web服务器的响应数据包的特征进行漏洞检测；另一种方法是：在网页服务器之外架设漏洞感知设备，原理是通过在旁路部署漏洞感知产品设备，分析请求及响应双向数据包的内容，根据恶意特征库检测和判断是否存在漏洞以及入侵事件。因为上述方法需要对网络数据包解析和处理，所以代码开发工作量大，硬件成本高，通过对请求及响应双向数据包的特征进行检测从而判断漏洞是否存在，该方式依赖请求及响应内容的特征，当请求及响应数据包中并无特征时则无法对漏洞进行检测。综上，亟需一种网站漏洞检测方法，可以准确高效地检测出网站的漏洞。
技术实现思路
本专利技术实施例提供一种网站漏洞检测方法及装置，用以解决现有技术中存在无法准确高效实时地检测网站漏洞的问题。本专利技术方法包括一种网站漏洞检测方法，该方法包括：接收用户对网络站点的访问请求，所述访问请求中包含http请求链接；根据所述访问请求加载页面数据，并在加载页面数据时加载漏洞检测程序；运行加载的漏洞检测程序，所述漏洞检测程序用于监控与所述http请求链接对应的网页程序中的关键函数，并获取所述关键函数运行时的参数；判断所述关键函数运行时的参数是否在异常信息数据库中是否存在匹配项；若存在，则根据所述关键函数的类型确定对应的网站漏洞。基于同样的专利技术构思，本专利技术实施例进一步地提供一种网站漏洞检测装置，该装置包括：接收单元，用于接收用户对网络站点的访问请求，所述访问请求中包含http请求链接；加载单元，用于根据所述访问请求加载页面数据，并在加载页面数据时加载漏洞检测程序；运行单元，用于运行加载的漏洞检测程序，所述漏洞检测程序用于监控与所述http请求链接对应的网页程序中的关键函数，并获取所述关键函数运行时的参数；判断单元，用于判断所述关键函数运行时的参数是否在异常信息数据库中是否存在匹配项；确定单元，用于若所述判断单元结果为是，则根据所述关键函数的类型确定对应的网站漏洞。。本专利技术实施例通过在网站程序中嵌入漏洞检测程序，在接收用户的访问请求之后，漏洞检测程序会同被请求页面一同被加载运行，通过实时动态监控被请求页面程序的关键函数运行，跟踪页面程序运行时用户输入参数，检测被监控函数执行时传入的参数中包含非法、恶意特征，进而实时、准确检测出站点潜在的安全漏洞。而在现有技术中当需要检测web程序是否具有漏洞时，需要向待检测的页面发送检测请求，必须等到待检测网页针对请求进行响应并返回结果后并根据响应内容特征完成检测。因此，与现有技术中这种被动的检测方式相比，本专利技术不受待检测网页是否对检测请求进行响应的影响就能完成对待检测网站的漏洞检测。附图说明为了更清楚地说明本专利技术实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本专利技术的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。图1为本专利技术实施例提供一种网站漏洞检测方法流程示意图；图2为本专利技术实施例提供一种执行网站漏洞检测方法的网络环境；图3为本专利技术实施例提供一种判断运行结果是否存在漏洞的方法示意图；图4为本专利技术实施例提供一种网站漏洞检测装置。具体实施方式为了使本专利技术的目的、技术方案和优点更加清楚，下面将结合附图对本专利技术作进一步地详细描述，显然，所描述的实施例仅仅是本专利技术一部份实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本专利技术保护的范围。参见图1所示，本专利技术实施例提供一种网站漏洞检测方法流程示意图，具体地实现方法包括：步骤S101，接收用户对网络站点的访问请求，所述访问请求中包含超文本传输协议http请求链接。步骤S102，根据所述访问请求加载页面数据，并在加载页面数据时加载漏洞检测程序。步骤S103，运行加载的漏洞检测程序，所述漏洞检测程序用于监控与所述http请求链接对应的网页程序中的关键函数，并获取所述关键函数运行时的参数。步骤S104，判断所述关键函数运行时的参数是否在异常信息数据库中是否存在匹配项。步骤S105，若存在，则根据所述关键函数的类型确定对应的网站漏洞。其中，上述网站漏洞检测方法可以但不限于应用于如图2所示的网络环境中，其中，上述网络环境中包括终端201、终端202及Web服务器203。可选地，在本专利技术实施例中，上述终端201和终端202可以包括但不限于以下至少之一：手机、平板电脑、笔记本电脑、PC机。可选地，在本专利技术实施例中，图中网络可以包括但不限于以下至少之一：广域网、城域网、局域网。例如，在终端202上的浏览器中输入预定的统一资源定位URL(Uniform Resource Locator)地址，通过网络从相应的服务器203中获取对应的网页数据，并对上述网页数据进行漏洞检测。上述举例只是一种示例，本专利技术实施例对此不做任何限定，在图2中用户通过客户端201上的Web浏览器发出http请求，然后Web服务器203接收访问请求后查找与http请求对应的页面，然后将查找到的页面发送给客户端201。考虑到现有技术被动检测方法存在漏检测的问题，本专利技术实施例提供的网站漏洞检测方法，能够预先创建用于检测网站漏洞的漏洞检测程序；并网站的配置文件的目标标签中插入所述漏洞检测程序，以使每个页面均包含所述漏洞检测程序。当用户向Web服务器发出对网络站点的访问请求时，就会触发执行所述漏洞检测程序，进而生成漏洞检测程序的执行结果；根据执行结果就可以分析当前网页数据中是否存在漏洞。而在现有技术中当需要检测网页是否具有漏洞时，需要向待检测网页发送检测请求，必须等到待检测网页针对请求进行响应并返回结果后才能完成检测。因此，与现有技术中这种被动的检测方式相比，本专利技术通过不受待检测网页是否对检测请求进行响应的影响，可以高效准确地完成对待检测网站的漏洞检测。需要说明的是，漏洞是指一个系统存在的弱点或缺陷，其可能来自于应用软件或操作系统设计时的缺陷或编码时产生的错误，也可能来自业务在交互处理过程中的设计缺陷或逻辑流程上的不合理之处。由于漏洞对网络、系统、终端、服务器等安全性的影响非常大，因此如何检测并修补存在的漏洞对于目标的安全性非常重要。在测试目标中是否存在漏洞时，就需要使用针对漏洞特点设计的脚本或程序来检测漏洞。因此，在执行步骤S101之前，创建用于检测网站漏洞的漏洞检测程序，并在网页的配置文件的目标标签中插入所述漏洞检测程序，以使每个网页均包含漏洞检测程序。漏洞检测程序是根据需要检测的漏洞类本文档来自技高网...

【技术保护点】
一种网站漏洞检测方法，其特征在于，该方法包括：接收用户对网络站点的访问请求，所述访问请求中包含超文本传输协议http请求链接；根据所述访问请求加载页面数据，并在加载页面数据时加载漏洞检测程序；运行加载的漏洞检测程序，所述漏洞检测程序用于监控与所述http请求链接对应的网页程序中的关键函数，并获取所述关键函数运行时的参数；判断所述关键函数运行时的参数是否在异常信息数据库中是否存在匹配项；若存在，则根据所述关键函数的类型确定对应的网站漏洞。

【技术特征摘要】
1.一种网站漏洞检测方法，其特征在于，该方法包括：接收用户对网络站点的访问请求，所述访问请求中包含超文本传输协议http请求链接；根据所述访问请求加载页面数据，并在加载页面数据时加载漏洞检测程序；运行加载的漏洞检测程序，所述漏洞检测程序用于监控与所述http请求链接对应的网页程序中的关键函数，并获取所述关键函数运行时的参数；判断所述关键函数运行时的参数是否在异常信息数据库中是否存在匹配项；若存在，则根据所述关键函数的类型确定对应的网站漏洞。2.如权利要求1所述的方法，其特征在于，所述接收用户的网页访问请求之前，还包括：创建用于检测网站漏洞的漏洞检测程序，并在网站的配置文件的目标标签中插入所述漏洞检测程序，以使每个页面均包含所述漏洞检测程序。3.如权利要求1或2所述的方法，其特征在于，所述在加载页面数据时加载漏洞检测程序，包括：按照预定的加载顺序对所述页面数据中的各个部分进行加载，其中，在准备加载所述页面数据中的第一个部分时加载所述漏洞检测程序，以便所述漏洞检测程序监控与所述http请求链接对应的网页程序中的关键函数。4.如权利要求1所述的方法，其特征在于，所述运行加载的漏洞检测程序，包括：调用所述漏洞检测程序中的监控函数读取与所述http请求链接对应的网页程序；在所述网页程序中查找是否存在待监控的关键函数；若存在，则获取所述关键函数运行时的参数，并生成所述关键函数在所述网页程序中的代码相关信息。5.如权利要求4所述的方法，其特征在于，所述根据所述关键函数的类型确定对应的网站漏洞之后，还包括：将运行结果发送给漏洞扫描器，所述运行结果包括确定的网站漏洞、所述参数和所述关键函数在所述网页程序中的代码相关信息，以使所述漏洞扫描器将所述运行结果展示给用户。...

【专利技术属性】
技术研发人员：李虎，李菲，符春辉，郭洋洋，刘丽君，
申请(专利权)人：北京神州绿盟信息安全科技股份有限公司，北京神州绿盟科技有限公司，
类型：发明
国别省市：北京;11