CN101242279A - 用于web系统的自动化渗透性测试系统和方法 - Google Patents

Abstract

一种用于WEB系统的自动化渗透性测试系统，设有三个层次：提供与用户交互界面GUI的表示层，作为系统的控制核心、执行扫描、检测程序的运行及相关功能的逻辑层，用于存储、维护各种扫描规则和任务执行过程中的配置信息的数据层。本发明系统能根据用户在GUI表示层设置的WEB扫描任务对WEB网站自动进行渗透扫描或常规扫描，结合相应的插件对扫描结果进行分析，找出该WEB网站可能存在的安全问题，然后生成检测报告来通报已经形成的综合风险列表。本发明用于对WEB网站自动进行安全测试，能够取代目前基于人工的安全性测试与渗透性测试，大大降低目前在软件研发中对软件安全测试所投入的成本，还可大大提高安全测试的准确性。

Description

用于WEB系统的自动化渗透性测试系统和方法

技术领域

本发明涉及一种WEB系统的安全扫描技术，确切地说，涉及一种用于WEB系统的自动化渗透性测试系统和方法，属于信息安全中的软件安全技术领域。

背景技术

目前，常用的web系统安全扫描工具简单列举如下：

Nikto，作为开源的Web服务器扫描程序，用于对Web服务器的多种项目(包括3500个潜在的危险文件/CGI、超过900个服务器版本和250多个服务器上的版本特定问题)进行全面测试。其扫描项目和插件经常更新，并可自动更新(如需要的话)。但是，不是每次检查都能找出安全问题，虽然多数情况是这样的。有些项目只是提供信息类型的检查，这种检查可用于查找一些并不存在安全漏洞的项目，

Paros proxy，这是对Web应用程序的漏洞进行评估的代理程序，用于评估Web应用程序的漏洞。它支持动态编辑/查看HTTP/HTTPS，以改变cookies和表单字段等项目。

WebScarab，用于分析使用HTTP和HTTPS协议通信的应用程序，可用最简单的形式记录其观察到的会话，并允许操作人员以各种方式观察会话。不管是帮助开发人员调试其它难题，还是允许安全专业人员识别漏洞，它都是一款不错的工具。

WebInspect，是一款强大的Web应用程序的扫描程序，能够用于确认Web应用中已知的和未知的漏洞，还可检查Web服务器是否正确配置，并会尝试一些常见的Web攻击，如参数注入、跨站脚本、directory traversal等。

Whisker/libwhisker，Libwhisker是一个用于测试HTTP服务器许多已知的安全漏洞的Perla模块，Whisker是一个使用libwhisker的扫描程序。

Wikto，是一个Web服务器评估工具，用于检查Web服务器中的漏洞，能够提供与Nikto相同的很多功能，又增加许多有趣功能，如后端miner和紧密的Google集成。用户需要注册才能下载其二进制文件和源代码。

其它工具还有：Burpsuite，Acunetix Web Vulnerability Scanner，WatchfireAppScan，N-Stealth，N-Stealth等等，不再一一例举。

现有的安全漏洞扫描系统基本采用下述两种方法来完成漏洞的扫描：

WEB安全扫描是一种基于Internet远程检测目标网络的安全性或脆弱点的技术。主要采用下述两种方法检测目标系统是否存在漏洞：先对目标主机端口扫描，监听指定端口并识别其进行的网络服务类型，确定其提供的网络服务；漏洞扫描器根据目标系统的操作系统平台和提供的网络服务，调用漏洞资料库中已知的各种漏洞逐一进行检测，即将这些相关信息与漏洞库进行匹配，查看是否有满足匹配条件的漏洞；然后使用插件模拟黑客攻击，对目标系统进行攻击性的安全漏洞扫描，若模拟攻击成功，就表明目标系统存在安全漏洞。

基于网络系统漏洞库进行的漏洞扫描的关键是其使用的漏洞库。采用基于规则的匹配技术，即根据安全专家对网络系统安全漏洞、黑客攻击案例的分析和系统管理员对网络系统安全配置的实际经验，可以形成一套标准的网络系统漏洞库，然后在此基础上构成相应的匹配规则，由扫描程序自动进行漏洞扫描：扫描器发送含有某一漏洞特征探测码的数据包，根据返回数据包中是否含有该漏洞的相应特征码来判断是否存在漏洞。因此，漏洞扫描系统的性能决定于漏洞库的信息是否完整和有效，漏洞库的修订和性能更新也会影响漏洞扫描系统的运行时间。因此，编制的漏洞库不仅要对每个存在安全隐患的网络服务建立相应的漏洞库文件，还应当能够满足前面所提出的各种性能要求。

另一方法是采用插件技术，插件是用脚本语言编写的子程序，扫描程序通过调用它来执行漏洞扫描，来发现系统中存在的漏洞。添加新的插件就能够使漏洞扫描软件增加新的功能，扫描出更多的新漏洞。插件编写规范化后，甚至用户可以自己利用perl、c语言或其它自行设计的脚本语言编写插件，以扩充漏洞扫描软件的功能。该技术使漏洞扫描软件的升级维护变得相对简单，专用脚本语言的使用也简化了新插件的编写工作，使漏洞扫描软件具有较强的扩展性。

但是，上述方法存在有不足之处：首先是系统配置的规则库问题。众所周知，网络系统漏洞库是基于漏洞库的漏洞扫描的灵魂，而系统漏洞的确认是以该系统配置的规则库为基础。但是，这种系统配置的规则库存在有局限性：如果规则库设计得不准确，预报的准确度就无从谈起。但是，漏洞库是根据已知的安全漏洞进行设计、安排和策划的，而网络系统的很多危险和威胁却来自未知的漏洞，这样，如果不能及时更新规则库，预报的准确度就会逐渐降低。此外，因为漏洞库覆盖范围的限制，有些系统漏洞很可能不会触犯任何一个规则，从而无法被检测到。在对web的检测过程中，其中的一些链接处理可能会引起误报。因此，由于漏洞库信息是基于网络系统漏洞库的进行漏洞扫描的主要判断依据。如果漏洞库信息不全面或者不能及时更新，不但不能发挥漏洞扫描的作用，还会给系统管理员造成错觉，使其无法对系统的安全隐患及时采取有效措施来消除之。

随着Internet的迅速发展，信息技术已成为促进经济发展和社会进步的巨大动力。当今社会中的计算机信息资源对于任何人、无论其在任何地方、任何时候都变得极有价值。不管是存储于工作站、服务器还是流通于Internet上的信息都已变成一个事关重大的关键点，使得如何保证信息安全显得格外重要。

发明内容

有鉴于此，本发明的目的是提供一种用于WEB系统的自动化渗透性测试系统和方法，本发明系统根据配置的WEB扫描任务采用自动化渗透扫描和常规扫描的两种扫描方式，并结合相应的插件，对WEB网站自动进行分析检测，找出其可能存在的各种安全问题，生成报告来通报已经形成的综合风险列表。本发明可以取代目前基于人工的安全性测试与渗透性测试，大大降低目前在软件研发中对软件安全测试所投入的成本，还可大大提高安全测试的准确性。

为了达到上述目的，一种用于WEB系统的自动化渗透性测试系统，其特征在于：该系统根据用户在图形用户界面GUI表示层设置的WEB扫描任务对WEB网站自动进行渗透扫描或常规扫描，并结合相应的插件对扫描结果进行分析，找出该WEB网站存在的安全问题，然后生成检测报告；该系统结构有三个层次：GUI表示层，逻辑层，数据层，其中：

GUI表示层，用于提供与用户交互的GUI界面，包含：浏览器、任务配置模块、报告与结果显示模块、状态及进度显示模块；

逻辑层，作为该系统的控制核心，负责执行扫描、检测程序的运行及相关功能，配置的八个软件模块以扫描调度模块为中心，其余七个模块是：包构造器模块、预扫描模块、链接分析模块、浏览器代理模块、渗透扫描模块、常规扫描模块、用于插接扫描插件的插件接口；

数据层，用于存储、维护各种扫描规则和任务执行过程中的配置信息，设有：常规扫描规则库、渗透扫描规则库、任务信息与临时数据库。

为了达到上述目的，本发明还提供了一种用于WEB系统的自动化渗透性测试系统的工作方法，其特征在于：先接受用户提交的WEB网站的URL信息，再判断用户是否设置登录，以进行渗透性扫描；如果用户设置登录，则调用本地浏览器，供用户与目标网站进行交互，同时通过自身代理记录该用户的登录信息，并查询相应的扫描规则；如果用户未设置登录，则直接进行扫描检测；检测时，先查询对应的规则并向该网站地址发送探测包，再根据规则对返回的应答信息进行匹配，如果匹配成功，则确认存在风险，再继续查询下一条规则；如果未匹配成功，则直接返回和继续查询下一条规则，直至按照全部规则都检测一遍，完成扫描，并报告检测结果。

本发明是一种用于WEB系统的自动化渗透性测试系统和方法，其在技术上的创新优点和效果介绍如下：

本发明检测系统被设计为不同功能的三层架构，其中逻辑层细化每个功能模块，使得每个模块只负责设定的专门功能，不必顾及其它模块的运作，由扫描调度模块负责各模块之间的协调、交互，这种结构有利于提高模块功能和工作效率，也便于对各模块进行修改、调整和功能扩展。本发明的渗透扫描检测过程是自动完成的，用户只需在使用本发明检测系统的前期在表示层进行初始参数的配置，以后的扫描检测过程完全是系统自动执行、完成的。

本发明测试系统在逻辑层设置的各个软件模块都各有特色，其中扫描调度模块是整个逻辑层的控制核心，具备调用各模块的功能，能够起到链接整体的功能，也有利于实现自动化控制和整个检测过程的连贯性，从而提高检测功效及准确性、灵敏性。预扫描模块能够很好地提高渗透探测扫描的准确性，通过预扫描系统能够标出发生错误页面的特征值。浏览器代理模块和浏览器的使用使得本发明系统能够利用整合组件JDIC技术调用浏览器，由浏览器代理模块支持用户登录，实现用户与检测网站的交互，同时获取用户的认证信息，为以后的深度渗透检测做好准备。本发明系统还采用spider等技术进一步获取链接和其他相关信息，能够进一步进行更全面、深入的探测扫描和渗透测试。

此外，逻辑层设有插件接口，可方便地实现扫描插件的扩充，以拓展该系统的检测功能，而且，该操作不会对系统的其它功能模块造成太大影响，也有利于对插件的操作、控制，以便进行全面或特别的测试。

本发明对安全漏洞的检测采用基于正则表达式的规则匹配技术，设置的漏洞库扩展性能很好。规则库分为两种：常规规则库里的常规扫描规则规定常规探测数据包的格式，渗透规则库里的渗透扫描规则规定渗透探测数据包的格式，并且两个规则库里的相应规则分别采用彼此独立的数据结构，分工明确，不会混淆，扩展容易。

本发明作为一种安全扫描技术，可以与防火墙、入侵检测系统互相配合，能够有效提高网络安全。通过对网站的扫描检测，管理员可以及时了解该网站的安全配置和正在运行的应用服务，及时发现安全漏洞，客观评估网络风险等级。管理员可根据扫描结果更正网站安全漏洞和系统中的错误配置，在黑客攻击前进行防范。总之，本发明系统执行的安全扫描就是一种主动的防范措施，可以有效避免黑客攻击行为，做到防患于未然。

附图说明

图1是本发明用于WEB系统的自动化渗透性测试系统结构组成示意图。

图2是本发明自动化渗透性测试系统中的逻辑层各模块结构组成示意图。

图3是本发明用于WEB系统的自动化渗透性测试系统的工作方法流程图。

图4是本发明自动化渗透性测试系统中的浏览器的操作流程图。

图5是本发明自动化渗透性测试系统工作方法中的常规扫描流程图。

图6是本发明自动化渗透性测试系统工作方法中的预扫描流程图。

图7是本发明自动化渗透性测试系统工作方法中的渗透扫描流程图。

图8是本发明测试系统进行实施试验的一实施例操作流程图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步的详细描述。

参见图1，介绍本发明用于WEB系统的自动化渗透性测试系统，该系统根据用户在图形用户界面GUI表示层设置的WEB扫描任务对WEB网站自动进行渗透扫描或常规扫描，并结合相应的插件对扫描结果进行分析，找出该WEB网站存在的安全问题，然后生成检测报告；该系统结构有三个层次：GUI表示层，逻辑层，数据层，其中：

GUI表示层，用于提供与用户交互的GUI界面，包含：浏览器、任务配置模块、报告与结果显示模块、状态及进度显示模块；

逻辑层，作为该系统的控制核心，负责执行扫描、检测程序的运行及相关功能，配置的八个软件模块以扫描调度模块为中心，其余七个模块是：包构造器模块、预扫描模块、链接分析模块、浏览器代理模块、渗透扫描模块、常规扫描模块、用于插接扫描插件的插件接口；

数据层，用于存储、维护各种扫描规则和任务执行过程中的配置信息，设有：常规扫描规则库、渗透扫描规则库、任务信息与临时数据库。

本发明系统用于在已完成开发的WEB网站或正在开发过程中的WEB网站，对相关程序自动进行渗透化扫描检测，以便及时发现各种安全漏洞，这样既可并对该WEB网站或系统做出整体安全性评估报告或综合风险列表，以供技术人员进一步分析包括SQL注入、缓冲区溢出、输入验证和其它特定安全问题，从而减少相关人员在项目安全上花费的精力，降低WEB网站开发项目的安全开销，并有利于提高软件开发人员的安全代码意识，降低项目的安全风险。

参见图2，详细说明逻辑层的各模块功能及其相互之间的信息传递关系。

(1)扫描调度模块，是本发明系统的关键模块和控制中心，用于统一调度该系统各模块的运行和彼此协作，以使该系统能够自动完成扫描、检测的各项任务。该扫描调度模块具有下述具体功能：

当检测任务要调用浏览器参与扫描时，扫描调度模块负责在进行正式扫描之前调用浏览器代理模块，以弹出浏览器窗口与用户交互；并通过浏览器代理模块记录和存储浏览器中的登录、认证信息(如：cookie，session id等)，供其它使用认证信息的相关模块调用；

在链接分析模块、预扫描模块和常规扫描、渗透扫描两个扫描模块的工作过程中，严格控制各模块的处理流程及其工作进度，防止出现后续操作模块先于前导模块的启动情况；

在链接分析模块开始出现检测结果后，就从中取出部分信息进行深度渗透扫描，即控制各个模块执行并行操作，以提高检测效率；

当某个模块长时间没有反馈结果时，控制相关的其他模块进入暂时等待状态，以降低系统资源消耗；在取得当前处理对象的进度信息和当前任务状态时，立即转送给状态及进度显示模块，以供实时显示检测进度和系统运行状况；

在结束扫描任务后，生成文件形式的检测报告和提供相关信息，终止各模块的运行。

(2)包构造器模块，负责构造符合任务和规则要求的检测数据包，并在监听获取网站响应后，将满足设定特征的应答存储起来，供其他模块调用；同时在对某些统一资源定位url扫描结束后，对运行时存储空间进行实时清理。

(3)预扫描模块，负责在正式扫描目的网站之前，先进行一次肯定返回错误应答的扫描(如请求一个不可能存在的资源)，以便根据返回的错误应答中提取不同情况的特征字段，增强渗透扫描模块进行的扫描探测的精确性，发现和确认安全漏洞，并防止因页面跳转而产生误报；如果返回的是标准错误应答，可直接使用错误应答特征(回复头中的400，404特征字等)进行记录。

如果进行预扫描过程中出现页面跳转，则忽略跳转后的内容。并将该错误页面标记为以标准错误应答为特征字的错误页面，这样处理的目的是防止跳转页面产生过于泛化的误报。

同时可以在请求不存在的资源后，将上述页面由浏览器返回给用户(直接请求不存在的url然后调用浏览器访问进行，直接在浏览器中显示返回结果)，由用户来确定出错页面的特征字(该特征字可以是整个页面信息)。也可以在扫描任务的初期由用户指定出错页面的特征(以正则表达式的形式)，如果返回的信息匹配，则认为是出现错误，以协助深度渗透扫描模块发现与确认安全漏洞。

(4)链接分析模块，负责根据设定任务，采用类似自动抓取内容的机器人Spider技术对目的网站进行全站检索，根据正则匹配识别站内链接和外部链接，并访问对应站内链接所指向的页面，不断循环执行该过程，直至达到扫描探测深度或不再有新的页面出现。

链接分析模块中设有等待、处理、错误、完成四个队列，在接到对设定的统一资源定位url进行扫描检测任务后，将该url加入等待队列，等待该链接分析模块的程序进行链接分析处理。链接分析模块开始处理链接时，必须先把等待队列中的url传送到处理队列后，才对链接进行处理，且每个链接只处理一次，即同一个链接不能被多次处理；一旦某个链接被处理后，就被移动到错误队列或完成队列，而当其进入某一新队列后，就不再移入其它队列，也不再对其作后续处理；

如果打开的网页出现错误，它的url就被放入错误队列；如果打开的网页没有错误，再判断该网页是否有其他链接，如果没有，则将其移入完成队列并继续检查等待队列；如果打开的网页没有错误，则进一步判断该链接是否指向Web网页，如果不是，则判断为其他类型链接，继续检测后面的链接；否则，再判断该链接是否与网页所在的主机相同，如果不同，则判断该链接为外部链接，继续处理该网页上的其他链接；如果相同，则将该链接加入等待队列并记录之，然后继续处理该网页上的其他链接；被处理完后的url被放入完成队列，到达完成队列的url不会再被移入其它队列。然后判断等待队列中是否还有url，直至完成全部链接的分析。

(5)浏览器代理模块，用于调用本地浏览器，以供用户与目标网站进行交互；同时通过自身代理，记录用户的登陆信息(如cookie，session id等)，为以后进行渗透扫描和查询对应的扫描规则备用；其具体流程参见图4。

(6)常规扫描模块，用于执行常规扫描检测，即向目标网站发送由该常规扫描模块调用包构造器模块根据规则构建的探测包，然后向目标网站发送；再将获取的应答信息与常规扫描规则库的规则进行匹配；

(7)渗透扫描模块，负责进行深度扫描探测：分析网页的超文本标记语言HTML注入点，并调用包构造器模块根据对应的渗透测试规则构建渗透探测数据包，再向这些注入点提交该探测数据包，再以预扫描模块获取的默认出错页面为标准，确定是否存在注入漏洞，并以设定脚本返回检测结果，告知是否存在跨站点脚本攻击XSS漏洞，实现自动探测；如此循环轮询各个网页，直至对所有规则都完成扫描探测后，生成扫描报告，发给报告与结果显示模块。

(8)插件接口模块，用于接插有新的扫描功能或程序的插件，以扩充系统的扫描检测功能。

再介绍本发明用于WEB系统的自动化渗透性测试系统的工作方法。该系统有两种扫描检测方法：常规扫描和渗透扫描，其总的检测过程说明如下：先接受用户提交的WEB网站的URL信息，再判断用户是否设置登录，以进行渗透性扫描；如果用户设置登录，则调用本地浏览器，供用户与目标网站进行交互，同时通过自身代理(类似webScarab技术，用来分析使用HTTP和HTTPS协议的应用程序框架)记录该用户的登录信息，并查询相应的扫描规则(如开源的Web服务器扫描程序nikto的匹配规则)。如果用户未设置登录，则直接进行扫描检测；检测时，先查询对应的规则并向该网站地址发送探测包，再根据规则对返回的应答信息进行匹配，如果匹配成功，则确认存在风险，再继续查询下一条规则；如果没有匹配成功，则直接返回和继续查询下一条规则，直至按照全部规则都检测一遍，完成扫描，并报告检测结果。

参见图3，详细说明本发明方法的具体操作步骤：

(1)系统通过GUI表示层的用户界面模块接受用户的设置命令。并根据用户命令决定是否调用浏览器，如果要调用，则顺序执行步骤(2)，否则，跳转执行步骤(3)；

(2)调用浏览器代理模块(参见图4所示的操作步骤)，获取用户登录认证信息；

(3)根据用户的配置命令，选择相应的常规扫描或渗透扫描方式，并调用相应的扫描模块进行扫描检测；如果用户没有设置，则默认进行常规扫描检测；

(4)如果用户选择常规扫描或没有设置扫描方式，则进行常规扫描检测；

参见图5，介绍常规扫描模块的具体工作流程：先查询对应的常规扫描规则，调用包构造器模块根据常规扫描的相应规则构造探测包，然后向目标网站发送，并根据常规扫描规则库的规则对从目标网站返回的应答信息进行匹配检测；如果与规则匹配成功，则确认存在风险，再继续顺序查询下一条规则；如果与规则匹配不成功，则直接顺序查询下一条规则，直至规则轮询结束，完成扫描后，通知报告与结果显示模块，生成文件形式的扫描检测报告。

(5)如果用户选择渗透扫描，则先进行预扫描，然后进行渗透扫描检测；

参见图6，介绍渗透扫描前，先由预扫描模块对网站进行的预扫描检测的具体过程：先通过包构造器模块向该网站请求一个不可能存在的资源，并将返回的非标准错误应答信息转换为自定义的特征字段保存起来，用于与以后进行的渗透扫描探测时返回的应答作对比，以增强扫描的准确性；如果返回的是标准的错误应答信息，则直接记录该错误应答信息中的特征字段(例如回复头中的400、404特征字等)；如果预扫描过程中出现页面跳转，则忽略跳转后的内容；而将默认为错误页面的该跳转页面标识为以标准错误应答信息为特征的错误页面，这样处理的目的是防止因跳转页面而产生过于泛化的误报；

同时，在请求不存在的资源后，将浏览器页面返回给用户，并直接在浏览器中显示返回结果，以便与在扫描初期由用户指定的、以正则表达式表示的出错页面的特征字段进行比对，如果两者信息匹配，则表示出现错误，这样能够协助渗透扫描模块发现与确认安全漏洞。

参见图7，介绍渗透扫描模块进行的渗透扫描的具体过程：首先提取被检测网站的内部页面链接，将分析结果放入临时数据库存储；接着进行预扫描，并将预扫描检测过程得到的目的网站的错误页面也存储于临时数据库；然后，取出临时数据库中的链接信息，调用包构造器模块来查询渗透测试扫描规则，以便构造渗透探测数据包，再由渗透扫描模块向这些内部链接对应的页面发送该探测数据包，再根据规则对返回的应答信息进行匹配，如果两者匹配，则确认存在风险，返回继续查询下一条规则；如果两者不匹配，则直接返回查询下一条规则；同时针对每个链接页面，根据储存在临时库的信息分析出HTML中存在的注入点，并尝试向这些注入点提交渗透探测数据，再以预扫描获得的默认出错页面为标准，判断和确定是否存在注入漏洞，以设定的脚本返回来确定是否存在跨站脚本攻击XSS漏洞，实现自动探测；直至规则轮询结束，完成扫描后，通知报告与结果显示模块，生成扫描检测报告。

(6)逻辑层的扫描调度模块汇总扫描检测结果，并存储于临时数据库；

(7)扫描调度模块从临时数据库中调出检测结果，并输出到GUI表示层的报告与结果显示模块，以生成扫描检测报告；

(8)系统根据用户在表示层的任务配置模块中设置的命令，输出该扫描检测报告。

本发明已经研制出实验型系统，并进行了实施试验，试验的结果是成功的，实现了发明目的。因此，从事WEB网站开发的企业和个人都可以使用本发明系统进行Web系统开发过程的安全检测与评估，以便对正在研发的或者已经完成研发的Web网站进行检测，从中查找出存在的风险安全漏洞，并进行改进，再反复测试，图8是利用本发明系统对研制过程中的网站进行检测的实施试验过程的示意图。

Claims (10)

1、一种用于WEB系统的自动化渗透性测试系统，其特征在于：该系统根据用户在图形用户界面GUI表示层设置的WEB扫描任务对WEB网站自动进行渗透扫描或常规扫描，并结合相应的插件对扫描结果进行分析，找出该WEB网站存在的安全问题，然后生成检测报告；该系统结构有三个层次：GUI表示层，逻辑层，数据层，其中：

GUI表示层，用于提供与用户交互的GUI界面，包含：浏览器、任务配置模块、报告与结果显示模块、状态及进度显示模块；

逻辑层，作为该系统的控制核心，负责执行扫描、检测程序的运行及相关功能，配置的八个软件模块以扫描调度模块为中心，其余七个模块是：包构造器模块、预扫描模块、链接分析模块、浏览器代理模块、渗透扫描模块、常规扫描模块、用于插接扫描插件的插件接口；

数据层，用于存储、维护各种扫描规则和任务执行过程中的配置信息，设有：常规扫描规则库、渗透扫描规则库、任务信息与临时数据库。

2、根据权利要求1所述的自动化渗透性测试系统，其特征在于：所述逻辑层中的各模块的功能及其相互之间的信息传递关系是：

扫描调度模块，作为该系统的关键模块和控制中心，用于统一调度该系统各模块的运行和彼此协作，以使该系统能够自动完成扫描、检测的各项任务；

包构造器模块，负责构造符合任务和规则要求的检测数据包，获取网站响应后，将满足设定特征的应答存储起来，供其他模块调用；

预扫描模块，负责在正式扫描目的网站之前，先进行一次肯定返回错误应答的扫描，以便根据返回的错误应答的不同情况，增强渗透扫描模块进行的扫描探测的精确性，发现和确认安全漏洞，并防止因页面跳转而产生误报；

链接分析模块，负责根据设定任务，采用类似自动抓取内容的机器人Spider技术对目的网站进行全站检索，根据正则匹配识别站内链接和外部链接，并访问对应站内链接所指向的页面，不断循环执行该过程，直至达到扫描探测深度或不再有新的页面出现；

浏览器代理模块，用于调用本地浏览器，以供用户与目标网站进行交互；同时通过自身代理，记录用户的登陆信息，为以后进行渗透扫描和查询对应的扫描规则备用；

常规扫描模块，用于执行常规扫描检测，即向目标网站发送由包构造器构造好的探测包，再将获取的应答信息与常规扫描规则库的规则进行匹配；

渗透扫描模块，负责进行渗透扫描探测：分析网页的超文本标记语言HTML注入点，并尝试向这些注入点提交渗透探测数据包，再以预扫描模块获取的默认出错页面为标准，确定是否存在注入漏洞，并以设定脚本返回检测结果，告知是否存在跨站点脚本攻击XSS漏洞，实现自动探测；如此循环轮询各个网页，直至对所有规则都完成扫描探测后，生成扫描报告，发给报告与结果显示模块；

插件接口模块，用于接插有新的扫描功能或程序的插件，以扩充系统的扫描检测功能。

3、根据权利要求2所述的自动化渗透性测试系统，其特征在于：所述扫描调度模块具有下述具体功能：

当检测任务要调用浏览器参与扫描时，扫描调度模块负责在扫描之前调用浏览器代理模块，以弹出浏览器窗口与用户交互；并通过浏览器代理模块记录和存储浏览器中的登录、认证信息，供其它相关模块调用；

在链接分析模块、预扫描模块和常规扫描、渗透扫描两个扫描模块的工作过程中，控制各模块的处理流程及其工作进度，防止出现后续操作模块先于前导模块的启动情况；

在链接分析模块开始出现检测结果后，就从中取出部分信息进行深度渗透扫描，即控制各个模块执行并行操作，以提高检测效率；

当某个模块长时间没有反馈结果时，控制相关的其他模块也进入暂时等待状态，以降低系统资源消耗；在取得当前处理对象的进度信息和当前任务状态时，立即转送给状态及进度显示模块，以供实时显示检测进度和系统运行状况；

结束扫描任务后，生成文件形式的检测报告和提供相关信息，终止各模块的运行。

4、根据权利要求2所述的自动化渗透性测试系统，其特征在于：所述链接分析模块中设有等待、处理、错误、完成四个队列，在接到对设定的统一资源定位url进行扫描检测任务后，将该url加入等待队列，等待该模块程序进行链接分析处理；必须先把等待队列中的url传送到处理队列后，才对链接进行处理，且每个链接只处理一次：某个链接被处理后，就被移动到错误队列或完成队列，一旦进入某一新队列后，就不再移入其它队列，也不再对其作后续处理；

如果打开的网页出现错误，它的url就被放入错误队列；如果打开的网页没有错误，再判断该网页是否有其他链接，如果没有，则将其移入完成队列并继续检查等待队列；否则，进一步判断该链接是否指向Web网页，如果不是，则判断为其他类型链接，继续检测后面的链接；否则，再判断该链接是否与网页所在的主机相同，如果不同，判断该链接为外部链接，继续处理该网页上的其他链接；如果相同，则将该链接加入等待队列并记录之，然后继续处理该网页上的其他链接；然后判断等待队列中是否还有url，直至完成全部链接的分析。

5、根据权利要求1所述的自动化渗透性测试系统，其特征在于：所述系统用于在已完成开发的WEB网站或正在开发过程中的WEB网站，对相关程序自动进行渗透化扫描检测，以发现各种安全漏洞，并对该WEB网站或系统做出整体安全性评估报告或综合风险列表，以供技术人员进一步分析包括SQL注入、缓冲区溢出、输入验证和其它安全问题，降低WEB网站开发项目的安全开销，并提高软件开发人员的安全代码意识，降低相关项目的安全风险。

6、一种用于WEB系统的自动化渗透性测试系统的工作方法，其特征在于：先接受用户提交的WEB网站的URL信息，再判断用户是否设置登录，以进行渗透性扫描；如果用户设置登录，则调用本地浏览器，供用户与目标网站进行交互，同时通过自身代理记录该用户的登录信息，并查询相应的扫描规则；如果用户未设置登录，则直接进行扫描检测；检测时，先查询对应的规则并向该网站地址发送探测包，再根据规则对返回的应答信息进行匹配，如果匹配成功，则确认存在风险，再继续查询下一条规则；如果未匹配成功，则直接返回和继续查询下一条规则，直至按照全部规则都检测一遍，完成扫描，并报告检测结果。

7、根据权利要求6所述的自动化渗透性测试系统的工作方法，其特征在于：所述方法包括下列操作步骤：

(1)系统通过GUI表示层的用户界面模块接受用户的设置命令。并根据用户命令决定是否调用浏览器，如果要调用，则顺序执行步骤(2)，否则，跳转执行步骤(3)；

(2)调用浏览器代理模块，获取用户登录认证信息；

(3)根据用户的配置命令，选择相应的常规扫描或渗透扫描方式，并调用相应的扫描模块进行扫描检测；

(4)逻辑层的扫描调度模块汇总扫描检测结果，并存储于临时数据库；

(5)扫描调度模块从临时数据库中调出检测结果，并输出到GUI表示层的报告与结果显示模块，以生成扫描检测报告；

(6)系统根据用户在表示层的任务配置模块中设置的命令，输出该扫描检测报告。

8、根据权利要求7所述的自动化渗透性测试系统的工作方法，其特征在于：所述步骤(3)中，常规扫描模块进行的常规扫描处理的具体过程如下：先查询对应的常规扫描规则，并调用包构造器模块根据规则构建探测包，然后向目标网站发送；再根据常规扫描规则库的规则对从目标网站返回的应答信息进行匹配检测，如果与规则匹配成功，则确认存在风险，继续顺序查询下一条规则；如果与规则匹配不成功，则直接顺序查询下一条规则，直至规则轮询结束，完成扫描后，通知报告与结果显示模块，生成文件形式的扫描检测报告。

9、根据权利要求7所述的自动化渗透性测试系统的工作方法，其特征在于：所述步骤(3)中，在渗透扫描模块进行扫描之前，先由预扫描模块对该网站进行预扫描处理的具体过程如下：先通过包构造器模块向该网站请求一个不可能存在的资源，并将返回的非标准错误应答信息转换为自定义的特征字段保存起来，用于与以后进行的渗透扫描探测时返回的应答作对比，增强扫描的准确性；如果返回的是标准的错误应答信息，则直接记录该错误应答信息中的特征字段；如果预扫描过程中出现页面跳转，则忽略跳转后的内容；而将默认为错误页面的该跳转页面标识为以标准错误应答信息为特征的错误页面，以防止因跳转页面而产生过于泛化的误报；

同时，在请求不存在的资源后，将浏览器页面返回给用户，并直接在浏览器中显示返回结果，以便与在扫描初期由用户指定的、以正则表达式表示的出错页面的特征字段进行比对，如果两者信息匹配，则表示出现错误，这样能够协助渗透扫描模块发现与确认安全漏洞。

10、根据权利要求7或9所述的自动化渗透性测试系统的工作方法，其特征在于：所述步骤(3)中，渗透扫描模块进行的渗透扫描的具体过程如下：先提取该网站的内部页面链接，将分析结果存储于临时数据库；再进行预扫描，并将该预扫描过程得到的目的网站的错误页面也存储于临时数据库；然后，取出临时数据库中的链接信息，由渗透扫描模块调用包构造器模块根据对应的渗透测试规则构建探测包，开发往这些内部链接对应的页面，再根据渗透扫描规则库的规则对返回的应答信息进行匹配，如果两者匹配，则确认存在风险，返回继续查询下一条规则；如果两者不匹配，则直接返回查询下一条规则；同时针对每个链接页面，根据储存在临时库的信息分析出HTML中存在的注入点，并尝试向这些注入点提交渗透探测数据，再以预扫描获得的默认出错页面为标准，判断确定是否存在注入漏洞，以设定的脚本返回来确定是否存在跨站脚本攻击XSS漏洞，实现自动探测；直至规则轮询结束，完成扫描后，通知报告与结果显示模块，生成扫描检测报告。

Images