一种网站脆弱性的检测方法、系统及相关装置制造方法及图纸

本申请公开了一种网站脆弱性的检测方法，包括：利用预设数量的网络爬虫在目标网站执行预设深度的数据爬取操作，得到特征信息和Http请求；根据特征信息和Http请求确定目标网站包含的通用漏洞，并选取相应的主动检测插件对通用漏洞进行检测，得到通用漏洞检测结果；根据Http请求和预设的PayLoad插入机制选用相应的模糊检测插件对目标网站执行常规漏洞检测操作，得到常规漏洞检测结果；当漏洞修复完毕后进行漏洞复测。该方法漏洞检测方式更全面、漏洞检测时间可控、获知网站安全情况更及时且可持续性提供网站脆弱性监测。本申请还同时公开了一种网站脆弱性的检测系统、装置及计算机可读存储介质，具有上述有益效果。

A detection method, system and related device for the vulnerability of the web site

The invention discloses a website vulnerability detection method, including: web crawler using preset number of execution preset depth data crawling operation in the target site, get the feature information and Http request; according to the characteristics of information and Http requests to determine the common vulnerabilities target website contains, and select the corresponding plug-in active detection to detect the common vulnerabilities, obtain the general vulnerability detection results; according to the Http request and the default PayLoad insertion mechanism selects fuzzy detection plug corresponding to the target site to perform routine vulnerability detection operation, routine vulnerability detection results; when vulnerabilities repaired vulnerabilities retest. The vulnerability detection method is more comprehensive, the vulnerability detection time is controlled, and the site security situation is more timely and sustainable, and the vulnerability monitoring of the website is provided. The application also discloses a detection system, a device and a computer readable storage medium for the vulnerability of the web site, which has the beneficial effect.

【技术实现步骤摘要】
一种网站脆弱性的检测方法、系统及相关装置
本申请涉及网站漏洞检测
，特别涉及一种网站脆弱性的检测方法、系统、装置及计算机可读存储介质。
技术介绍
随着互联网的高速发展，面向互联网的业务越来越多，保证互联网业务的安全也越来越重要。由于针对互联网业务的渗透频繁发生、黑客技术的不断发展、0Day漏洞(指系统商在知晓并发布相关补丁前就被掌握或者公开的漏洞信息)事件的频频爆发，企业越来越重视互联网业务的安全。为解决企业互联网业务的安全问题，很多安全企业开始提供SECaaS(SecurityasaService，安全即服务，基于云计算方式提供的信息安全服务)的相关服务，其中一种为网站脆弱性检测。网站脆弱性检测主要用于为用户提供渗透检测服务，帮助用户提前发现隐藏的安全隐患。现有的网站脆弱性检测机制存在一些缺点，其一，漏洞检测方式不全面：按照漏洞的检测方式大体分为两类，一类系统侧重于检测通用漏洞，另一类系统侧重于检测常规漏洞，前者对于未使用通用框架和建站组件搭建的网站检测效果较差，后者则存在检测行为单一，易漏掉复杂和组合攻击形成的漏洞；其二，检测时间不可控：在利用模糊检测对网站进行全面检测时，本文档来自技高网...

【技术保护点】
一种网站脆弱性的检测方法，其特征在于，包括：利用预设数量的网络爬虫在目标网站执行预设深度的数据爬取操作，得到特征信息和Http请求；根据所述特征信息和所述Http请求确定所述目标网站包含的通用漏洞，并选取相应的主动检测插件对所述通用漏洞进行检测，得到通用漏洞检测结果；根据所述Http请求和预设的PayLoad插入机制选用相应的模糊检测插件对所述目标网站执行常规漏洞检测操作，得到常规漏洞检测结果；当漏洞修复完毕后，根据所述通用漏洞检测结果和所述常规漏洞检测结果选用相应的主动检测插件和模糊检测插件进行漏洞复测。

【技术特征摘要】
1.一种网站脆弱性的检测方法，其特征在于，包括：利用预设数量的网络爬虫在目标网站执行预设深度的数据爬取操作，得到特征信息和Http请求；根据所述特征信息和所述Http请求确定所述目标网站包含的通用漏洞，并选取相应的主动检测插件对所述通用漏洞进行检测，得到通用漏洞检测结果；根据所述Http请求和预设的PayLoad插入机制选用相应的模糊检测插件对所述目标网站执行常规漏洞检测操作，得到常规漏洞检测结果；当漏洞修复完毕后，根据所述通用漏洞检测结果和所述常规漏洞检测结果选用相应的主动检测插件和模糊检测插件进行漏洞复测。2.根据权利要求1所述的检测方法，其特征在于，利用预设数量的网络爬虫在目标网站执行预设深度的数据爬取操作，得到特征信息和Http请求，包括：利用所述网络爬虫爬取所述目标网站的首页特征信息和预设目标路径下的页面特征信息；根据所述首页特征信息和所述页面特征信息确定所述目标网站使用的通用组成框架和建站组件信息；获取执行所述数据爬取操作的过程中得到的Http请求。3.根据权利要求1或2所述的检测方法，其特征在于，根据所述特征信息和所述Http请求确定所述目标网站包含的通用漏洞，并选取相应的主动检测插件对所述通用漏洞进行检测，得到通用漏洞检测结果，包括：根据所述通用组成框架和所述建站组件信息确定对应的已公开通用漏洞；对所述Http请求执行特征提取操作，得到请求特征，并根据所述请求特征确定对应的已公开通用漏洞；根据所述已公开通用漏洞生成相应的无害攻击包，并利用所述无害攻击包最终确认所述目标网站存在的通用漏洞，得到所述通用漏洞检测结果。4.根据权利要求3所述的检测方法，其特征在于，根据所述Http请求和预设的PayLoad插入机制选用相应的模糊检测插件对所述目标网站执行常规漏洞检测操作，得到常规漏洞检测结果，包括：将所述PayLoad插入机制按插入点的不同划分出第一预设数量的PayLoad插入种类；将所述PayLoad插入机制中的PayLoad按常规漏洞隐蔽性的不同划分出第二预设数量的PayLoad等级；根据所述Http请求中包含的请求参数和接收到的PayLoad插入种类选择信息和PayLoad等级选择信息生成相应的模糊检测插件；利用所述模糊检测插件将相应的PayLoad注入所述目标网站，并根据所述目标网站的响应信息确定是否存在常规漏洞，得到所述常规漏洞检测结果。5.根据权利要求4所述的检测方法，其特征在于，根据所述通用漏洞检测结果和所述常规漏洞检测结果选用相应的主动检测插件和模糊检测插件进行漏洞复测，包括：提取所述通用漏洞检测结果和所述常规漏洞检测结果中包含的已公开通用漏洞和常规漏洞，以及对应的主动检测插件和模糊检测插件；判断是否满足预设的漏洞复测触发条件；其中，所述漏洞复测触发条件包括时间触发条件和事件触发条件；若是，则调用相同的主动检测插件和模糊检测插件对所述目标网站进行所述漏洞复测。6.根据权利要求4所述的检测方法，其特征在于，还包括：根据所述PayLoad插入种类选择信息对所述Http请求执行去重操作，以提高检测效率。7.根据权利要求5所述的检测方法，其特征在于，还包括：记录并存储所述通用漏洞检测结果和所述常规漏洞检测结果，得到首次漏洞检测日志；根据所述漏洞复测的测试结果生成漏洞复测日志；根据所述首次漏洞检测日志和所述漏洞复测日志生成漏洞检测报告，并通过预设路径发送所述漏洞检测报告。8.一种网站脆弱性的检测系统，其特征在于，包括：数据爬取单元，用于利用预设数量的网络爬虫在目标网站执行预设深度的数据爬取操作，得到特征信息和Http请求；通用漏洞检测单元，用于根据所述特征信息和所述Ht...

【专利技术属性】
技术研发人员：柳正青，
申请(专利权)人：深信服科技股份有限公司，
类型：发明
国别省市：广东,44