【技术实现步骤摘要】
Web应用漏洞的检测方法及相关装置
本申请涉及漏洞检测处理领域，尤其涉及web应用漏洞的检测方法及相关装置。
技术介绍
随着互联网、5G和云等技术的发展，以车联网、物联网形成的万物互联会成为未来的主流，万物互联则会出现大量的web应用，将会出现不同的数据被收集、存储，使得处理数据的web应用的安全(是否存在漏洞)热度将再次升高。目前，可以在运行web应用的web中间件中，开发web应用的漏洞检测逻辑，但是，具有开发成本高的问题。
技术实现思路
本申请提供了web应用中漏洞的检测方法及相关装置，目的在于提供web应用的漏洞检测方案。为了实现上述目的，本申请提供了以下技术方案：本申请提供了一种web应用漏洞的检测方法，应用于服务端，包括：接收http请求的方法集合；所述http请求的方法集合指：web应用响应所述http请求的过程中触发hook点的方法中的目标方法构成的集合；所述目标方法指：从source点的方法开始，并且，上一个方法的输出数据为下一个方法的输入数据的方法；
【技术保护点】
1.一种web应用漏洞的检测方法，其特征在于，应用于服务端，包括：/n接收http请求的方法集合；所述http请求的方法集合指：web应用响应所述http请求的过程中触发hook点的方法中的目标方法构成的集合；所述目标方法指：从source点的方法开始，并且，上一个方法的输出数据为下一个方法的输入数据的方法；/n确定所述http请求的方法集合的方法调用图；/n在所述方法调用图中存在满足预设条件的调用链的情况下，确定所述web应用存在漏洞；所述预设条件包括：包括source点指示的任一方法和sink点指示的任一方法，并且，所述source点指示的任一方法和所述sink点指示的...
【技术特征摘要】
1.一种web应用漏洞的检测方法，其特征在于，应用于服务端，包括：
接收http请求的方法集合；所述http请求的方法集合指：web应用响应所述http请求的过程中触发hook点的方法中的目标方法构成的集合；所述目标方法指：从source点的方法开始，并且，上一个方法的输出数据为下一个方法的输入数据的方法；
确定所述http请求的方法集合的方法调用图；
在所述方法调用图中存在满足预设条件的调用链的情况下，确定所述web应用存在漏洞；所述预设条件包括：包括source点指示的任一方法和sink点指示的任一方法，并且，所述source点指示的任一方法和所述sink点指示的任一方法之间未经过filter点指示的任一方法。
2.根据权利要求1所述的方法，其特征在于，所述预设条件的获取方式包括：读取事先配置的预设条件，和/或，从外部接收预设条件。
3.根据权利要求1所述的方法，其特征在于，确定所述http请求的方法集合的方法调用图，包括：
对所述方法集合中的方法按照调用先后顺序进行排序，得到排序后的方法集合；
从所述排序后的方法集合中，确定从触发source点的方法到触发sink点的方法的全部路径；
在任一路径中全部相邻方法满足前一方法的输出数据是后一方法的输入数据的情况下，将该路径指示的方法顺序，作为方法调用链；
依据所述方法调用链，生成所述http请求的方法调用图。
4.一种web应用漏洞的检测方法，其特征在于，应用于web中间件，包括：
加载预设hook点；所述预设hook点包括：source点、propageta点、filter点和sink点；
在中间件和JavaWEB应用的代码中所述预设hook点指示的方法所在位置，插入预设的污点采集代码；
在所述web应用程序代码的用户类中非预设hook点指示的方法所在位置，插入所述污点采集代码；
在启动web应用之后，依据所述web应用响应http请求的过程中所述污点采集代码采集的污点数据，确定所述web应用响应所述http请求的过程中触发hook点的方法中的目标方法，得到所述http请求的方法集合；所述目标方法指：从触发source点的方法开始，并且，上一个方法的输出数据为下一个方法的输入数据的方法；
将所述http请求的方法集合，发送给服务端。
5.一种web应用漏洞的检测装置，其特征在于，应用于服务端，包括：
接收模块，用于接收http请求的方法集合；所述http请求的方法集合指：web应用响应所述http请求的过程中触发hook点的方法中的目标方法构成的集合；所述目标方法指：从source点的方法开始，并且，上一个方...
【专利技术属性】
技术研发人员：董志勇，邬迪，卢中阳，
申请(专利权)人：北京安全共识科技有限公司，
类型：发明
国别省市：北京;11
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。