CN104426850A - 基于插件的漏洞检测方法 - Google Patents

Abstract

本发明公开了一种基于插件的漏洞检测方法。该方法包括主机扫描和数据分析业务、任务调度和管理、日志管理、数据存取服务和用户界面。主机扫描和数据分析业务主要负责执行漏洞扫描。任务调度和管理面向系统内部提供服务，负责各个扫描分析任务的管理和调度。日志管理负责向用户提供漏洞扫描的报告，按照用户的配置，收集和整理扫描任务产生的数据并向用户提供扫描报告。在扫描任务的执行过程中，多个任务间需要共享数据，系统需要提供一个统一的数据访问方式，数据存取服务就是向所有的任务提供统一对等的数据存储和访问服务。用户界面则提供系统管理和报告输出的途径。本发明采用了基于插件的结构对漏洞进行扫描，提高了系统的灵活性和可扩展性。

Description

基于插件的漏洞检测方法

技术领域

本发明属于漏洞检测方法，特别是基于插件的漏洞检测方法的设计与实现。

背景技术

互联网的迅猛发展使得信息化进程得到不断推进与深入，与此同时，人们的学习、工作和生活方式也发生了巨大的变化，信息资源得到更大程度的共享，工作效率也不断得到提升。但是，网络安全问题伴随着信息化的发展也随之而来并愈演愈烈，已经成为全球共同关注的重大问题之一。尤其是近年来，系统漏洞、网络病毒、垃圾邮件、黑客攻击日益猖獗；网络色情、淫秽、暴力等有害信息充斥网络；信息系统瘫痪频繁发生；由经济利益驱动的网络犯罪在全球愈演愈烈；个人信息及国家敏感信息泄露事件时有发生；病毒、木马的传播者肆意进行网络盗窃、诈骗活动，通过网络进行病毒、木马等恶意代码的贩卖。这已经严重威胁了国家的经济安全、社会安全、政治安全，是全世界各国共同面对的重大挑战。

目前，在Internet的大量应用中，Internet安全面临着重大挑战，事实上，资源共享和安全历来是一对矛盾。在一个开放的网络环境中，大量在网上流动的信息为不法分子提供了攻击目标。而计算机网络组成形式的多样性、终端分布的广泛性以及网络的开放性、互联性等特征都为攻击者提供了便利。他们利用各种各样的攻击手段，访问或修改网络中的敏感信息，闯入用户或政府部门的计算机系统，进行窥视、窃取、篡改数据。由于网络诈骗不受时间、地点、条件所限，其“低成本和高收益"的特性又在一定程度上刺激了犯罪的增长，针对计算机信息系统的犯罪活动因此日益增多。

为了提高网络与信息系统的保密性、完整性、可用性和可控性，一方面需要普及网络安全常识，来提高网络用户的安全意识；另一方面，需要进一步加强对网络安全的监测与管理。因此，对于网站管理者来讲，如何有效检测出当前网站存在的漏洞，并在恶意攻击者发起攻击之前及时修补这些漏洞以及错误的配置，对于确保网络的安全就显得至关重要。利用本发明的方法对网站进行扫描，可以检测出服务器的类别版本等多方面信息、是否有不安全的配置以及是否存在潜在危险的文件CGI等，从而帮助管理员加强网络的安全管理工作，从源头上对恶意攻击起到很好的防范作用。基于插件的漏洞检测系统可以检测出服务器的类型版本，服务器是否存在不安全的配置，以及是否存在潜在的可能被恶意攻击者利用的漏洞，对于当前的恶意攻击可以起到较好的防御作用。因此，设计并开发一个基于插件的漏洞检测系统，对于加强网络安全的监测和管理至关重要。

发明内容

1、本发明的目的。

本发明提供一种基于插件的漏洞检测方法，本发明所采用的技术方案。该方法是一种主动式的漏洞检测工具，可以实现对多种平台下的主机进行漏洞检测，能够比较准确地对目标系统存在的漏洞进行检测。

2、本发明所采用的技术方案。

基于插件的漏洞检测方法，包括主机扫描和数据分析业务、任务调度和管理、日志管理、数据存取服务和用户界面五部分；主机扫描和数据分析业务主要负责执行漏洞扫描，任务调度和管理是面向系统内部提供服务，负责各个扫描分析任务的管理和调度，包括任务的加载、启动和结束。采用HTTP协议作为扫描主机的方式，并采用了Libwishker系统以构造特定的HTTP请求数据包，具体控制方式如下：

（1）、端口扫描

向目标主机的特定端口发送HTTP请求，如果对方开启了HTTP服务则会返回相应的HTTP回应或错误。事先建立一个port列表然后逐个访问列表中的端口，并记录下访问的结果，从而获取了一个主机上的开启端口记录；

（2）、建立漏洞数据库

即将服务器的类型进行md5哈希运算，将其哈希值作为一条数据项存入漏洞数据库中，对于不同的服务器是不同的，因此每一段数据计算出来的哈希值都是唯一的；

启动扫描前，通过返回的数据先判断目标服务器的类型，服务器类型的不同产生的漏洞也不同；。

（3）、漏洞扫描，根据预先建立服务器类型的漏洞数据库，首先从服务器根目录下请求获得目标系统服务器类型，然后与预存到漏洞库中的数据进行逐项比对，如果能在漏洞库中找到匹配的数据，则说明发现当前被扫描服务器的应用类型，如果无法找到匹配数据，则说明被扫描的服务器类型是本系统未知的类型，只有进一步通过其他方式的判断才能确认其类型。

3、本发明的有益效果。

1) 可根据不同用户的不同需求，提供可定制的扫描策略；

2) 通过模拟黑客攻击的方法，对目标系统可能存在的漏洞进行逐项匹配，更具有实用性；

3) 采用了基于插件的结构对漏洞进行扫描，有利于提高系统的灵活性和可扩展性；

4) 可实现漏洞库的升级与更新，保证系统的可扩展性；

5) 用户可以根据自己的需求，在每次扫描开始前选择生成漏洞扫描报告的格式，更人性化。

附图说明

图1是系统的组建层次关系(1)。

图2是系统的组建层次关系(2)。

图3是主机端口扫描过程图。

图4是目标服务器类型判断流程图。

图5是执行CGI漏洞扫描的基本过程图。

图6是动态方式扫描网页注入漏洞过程图。

图7是用户名枚举漏洞检测流程图。

具体实施方式

实施例1

一种基于插件的漏洞检测方法，包括主机扫描和数据分析业务、任务调度和管理、日志管理、数据存取服务和用户界面五部分；主机扫描和数据分析业务主要负责执行漏洞扫描，任务调度和管理是面向系统内部提供服务，负责各个扫描分析任务的管理和调度，包括任务的加载、启动和结束。采用HTTP协议作为扫描主机的方式，并采用了Libwishker系统以构造特定的HTTP请求数据包，具体控制方式如下：

（1）、端口扫描

向目标主机的特定端口发送HTTP请求，如果对方开启了HTTP服务则会返回相应的HTTP回应或错误。事先建立一个port列表然后逐个访问列表中的端口，并记录下访问的结果，从而获取了一个主机上的开启端口记录；

（2）、建立漏洞数据库

即将服务器的类型进行md5哈希运算，将其哈希值作为一条数据项存入漏洞数据库中，对于不同的服务器是不同的，因此每一段数据计算出来的哈希值都是唯一的；

启动扫描前，通过返回的数据先判断目标服务器的类型，服务器类型的不同产生的漏洞也不同；。

（3）、漏洞扫描，根据预先建立服务器类型的漏洞数据库，首先从服务器根目录下请求获得目标系统服务器类型，然后与预存到漏洞库中的数据进行逐项比对，如果能在漏洞库中找到匹配的数据，则说明发现当前被扫描服务器的应用类型，如果无法找到匹配数据，则说明被扫描的服务器类型是本系统未知的类型，只有进一步通过其他方式的判断才能确认其类型。

实施例2

一种基于插件的漏洞检测方法，包括主机扫描和数据分析业务、任务调度和管理、日志管理、数据存取服务和用户界面、数据升级管理模块六部分。

实施例3

一种基于插件的漏洞检测方法，包括主机扫描和数据分析业务、任务调度和管理、日志管理、数据存取服务和用户界面五部分；主机扫描和数据分析业务主要负责执行漏洞扫描，任务调度和管理是面向系统内部提供服务，负责各个扫描分析任务的管理和调度，包括任务的加载、启动和结束。采用HTTP协议作为扫描主机的方式，并采用了Libwishker系统以构造特定的HTTP请求数据包，具体控制方式如下：

（1）、端口扫描

向目标主机的特定端口发送HTTP请求，如果对方开启了HTTP服务则会返回相应的HTTP回应或错误。事先建立一个port列表然后逐个访问列表中的端口，并记录下访问的结果，从而获取了一个主机上的开启端口记录，所述的端口扫描，开启端口范围是0-65535；

（2）、建立漏洞数据库

即将服务器的类型进行md5哈希运算，将其哈希值作为一条数据项存入漏洞数据库中，对于不同的服务器是不同的，因此每一段数据计算出来的哈希值都是唯一的；

启动扫描前，通过返回的数据先判断目标服务器的类型，服务器类型的不同产生的漏洞也不同；。

（3）、漏洞扫描，根据预先建立服务器类型的漏洞数据库，首先从服务器根目录下请求获得目标系统服务器类型，然后与预存到漏洞库中的数据进行逐项比对，如果能在漏洞库中找到匹配的数据，则说明发现当前被扫描服务器的应用类型，如果无法找到匹配数据，则说明被扫描的服务器类型是本系统未知的类型，只有进一步通过其他方式的判断才能确认其类型。

实施例4

检测CGI漏洞方法：

a、首先确定待检测服务器的IP地址；

b、启动检测任务， CGI扫描开始后，对于选定的每个可能的CGI路径，以HTTP URL请求方式逐一对这些路径发送请求，如果服务器返回的状态码表明请求路径存在，记录这些路径存在潜在的CGI漏洞威胁。

实施例5

检测CGI漏洞采用两种方式选取待扫描的目录：

1）用户设定目录：扫描过程中仅扫描由用户指定的目录，发现并记录下其中开启访问的部分；

2）扫描常用CGI目录：以常见的CGI目录为基础进行扫描。

实施例6

在以上实施例的基础上，漏洞扫描采取跨站脚本攻击扫，动态方式进行注入漏洞，通过构造特定的字符串作为URL的参数发送给服务器，得到服务器端响应后分析返回的页面数据，判断其中是否含有起始构造的字符串。

实施例7 

在实施例1的基础上，用户名枚举漏洞检测：

第一步是确认是否可以进行扫描，也就是判断服务器是否开启了用户读取功能然后选择以字典方式或者以暴力方式扫描当前存在的用户。

实施例8 

基于插件的漏洞检测系统主要由五部分组成：主机扫描和数据分析业务、任务调度和管理、日志管理、数据存取服务和用户界面五部分。系统组建的层次关系图如图1、图2 所示。其中：

主机扫描和数据分析业务主要负责执行漏洞扫描，属于系统中对外可见的业务过程，负责系统核心的业务功能实现。此过程是由多个独立的扫描任务分步骤独立执行的，每个任务单独完成自己的任务，并记录运行状态。每个任务都有自己的特定的扫描内容，比如：共享目录扫描、CGI漏洞扫描等等。每个特定的扫描任务都需要有相应的数据提供支持，考虑到扫描任务的长期持续使用，需要对数据基础提供升级服务，因此相应的系统中需要一个数据升级管理模块。

任务调度和管理是面向系统内部提供服务，是系统内部的核心组件，负责各个扫描分析任务的管理和调度，包括：任务的加载、任务的启动、任务的结束。

日志管理负责向用户提供漏洞扫描的报告。此部分的主要职责是按照用户的配置，收集和整理扫描任务产生的数据并向用户提供扫描报告。

数据存取服务在扫描任务的执行过程中，多个任务间需要共享数据，系统需要提供一个统一的数据访问方式。需要共享的数据包括：(1)运行数据。比如：主机IP、主机运行的服务等等。此类数据由先行运行的任务产生，后续运行的组件需要读取并在此基础上继续执行。(2)分析结果。随着任务的执行扫描结果将由各个任务分别产生，此部分数据也需要统一存储，最后由日志管理模块负责统一处理生成为使用者所需要的扫描报告。此部分的主要任务是向所有的任务提供统一对等的数据存储和访问服务。

用户界面是系统提供的人机界面，提供系统管理和报告输出的途径。

鉴于HTTP的通用性和有效性，本发明选择使用HTTP协议作为扫描主机的方式。在漏洞扫描的过程中客户端向目标主机发送特定构造的HTTP请求包，然后读取目标主机的HTTP响应，将返回数据的内容和格式与已知的漏洞信息进行比对从中筛选出与已知信息相符合的部分，从而进行漏洞的检测和分析。在本发明中采用了Libwishker系统以构造特定的HTTP请求数据包。Libwishker作为开放的程序数据库，它提供了与HTTP协议交互的函数接口，使得用户能够方便的调用函数从而达到与HTTP交互的效果。本发明中主要使用了Libwishker的发送、接收HTTP数据包的功能。

对目标主机的扫描首先从对目标主机的端口扫描开始，首先需要找到主机开放的端口才能够进行后续的HTTP扫描操作。端口扫描的方法是向目标主机的特定端口发送HTTP请求，如果对方开启了HTTP服务则会返回相应的HTTP回应或错误。事先建立一个port列表然后逐个访问列表中的端口，并记录下访问的结果，从而获取了一个主机上的开启端口记录。默认情况下主机可能开放的端口范围是0-65535，但是其中有很多被默认用于操作系统的使用，同时根据各个操作系统的不同定义很多端口是默认关闭的。由此根据一些预定义情况筛选出扫描范围，从而节省扫描时间提高扫描效率。端口扫描的处理过程如图3所示。

启动扫描后，第一步需要判断目标服务器的类型。每种不同的服务器都会存在自己特定的漏洞，因此得到服务器的类型可能进行更加有针对性的扫描，一方面可以提高扫描的准确性，一方面可以提高扫描的效率。通常，服务器的厂商都会在其产品中内置一个厂商图标或者品牌图标：favicon.ico，这一图标对于不同的服务器是不同的。因此，将服务器厂商的标识作为扫描用例，通过对服务器厂商标识的判断作为服务器类型扫描的结果。

在系统中，首先需要将已知的多种服务器产品的favicon.ico预存到漏洞数据库中。扫描开始后，首先从服务器根目录下请求获得目标系统服务器类型的favicon.ico文件，然后与预存到漏洞库中的数据进行逐项比对，如果能在漏洞库中找到匹配的数据，则说明发现当前被扫描服务器的应用类型，如果无法找到匹配数据，则说明被扫描的服务器类型是本系统未知的类型，只有进一步通过其他方式的判断才能确认其类型。在系统的实际应用中，是将favicon.ico进行md5哈希运算，将其哈希值作为一条数据项存入漏洞数据库中。每个产品的favicon.ico都是统一的，而这一标识对于不同的服务器是不同的，因此每一段数据计算出来的哈希值都是唯一的。具体的流程如图4所示。

检测CGI漏洞的流程如图5所示。首先选取一个检测任务，即需要确定待检测服务器的IP地址，启动检测任务后，从CGI漏洞库列表中提取待检测漏洞，根据不同的CGI漏洞选用不同的模拟攻击方法检测目标，根据目标服务器返回的信息判断是否存在CGI漏洞。

本发明检测CGI漏洞的第一步需要确定待扫描的目录。系统提供了两种方式选取待扫描的目录。1）用户设定目录：扫描过程中仅扫描由用户指定的目录，发现并记录下其中开启访问的部分。2）扫描常用CGI目录：以常见的CGI目录为基础进行扫描。CGI扫描开始后，对于选定的每个可能的CGI路径，以HTTP URL请求方式逐一对这些路径发送请求，如果服务器返回表1中的任何状态码，则说明请求路径存在，这些路径可能会存在潜在的CGI漏洞威胁，它们将被记录下来，作为下一步扫描的数据基础。

表1  HTTP返回状态码

HTTP状态码	含义
		200	请求已成功
301	被请求的资源已永久移动到新位置
		302	请求的资源现在临时从不同的URI相应请求
403	服务器已经理解请求，但是拒绝执行它

对于已经检测出的存放CGI文件的目录，接下来根据漏洞库中的漏洞项，发送特殊请求，即漏洞探测请求，如果返回的状态码与预期相吻合，说明存在漏洞，需要在后续的漏洞日志模块中向用户进行提示。

以本发明对campas漏洞的检测为例子。这种漏洞是由于对用户的输入检测不全面而造成的，它有可能导致服务器上的重要文件被非法访问。检测分两步进行。第一步，通过HEAD方法向服务器发送HTTP请求获得campas文件，如果返回的状态码为200，说明campas文件存在，在下一步中继续探测是否存在漏洞。第二步，通过GET方法向服务器发送HTTP请求获得campas子目录下的passwd文件，如果返回的状态码为404，无法获得passwd文件，说明当前系统不存在campas漏洞，如果存在漏洞，则可以通过返回结果获得passwd文件的内容。

跨站脚本攻击扫描主要采取了动态方式进行注入漏洞扫描。动态方式通过构造特定的字符串作为URL的参数发送给服务器，得到服务器端响应后分析返回的页面数据，判断其中是否含有起始构造的字符串。动态方式的关键在于选择合适的字符串，所选择的串既要顾及到网页对于用户输入信息的合理使用，同时又要能够检测出网页对于攻击性信息的防护漏洞。图6说明了动态方式扫描网页注入漏洞过程。

以本发明处理Apache http expect跨站脚本攻击为例。该漏洞利用apache对HTTP头中Expect对象处理的缺陷进行攻击。对于一个包含"expect"对象的HTTP请求，Apache在接受Expect这个HTTP报头会直接输出报头的错误信息，错误信息的内容并没有被转义。这样，一个未经认证的远程攻击者可以利用这个问题在HTTP头中写入任意的信息，如使用SWF文件来发动跨站脚本攻击。在对该漏洞进行检测时，在探测数据包的HTTP报头的expect头中写入"<script>alert(xss)</script>"，如果服务器返回的内容中包含"<script>alert(xss)</script>"，则说明该服务器存在这一漏洞。如在漏洞检测过程中发现存在这一漏洞，则应在扫描报告中向系统管理员报告，并给出合适的修复策略，比如将服务器升级到更新的版本以避免这一漏洞。

用户名枚举漏洞检测流程图如图7所示。第一步是确认是否可以进行扫描，也就是判断服务器是否开启了用户读取功能。首先向服务器的"/~root"目录发起HTTP get请求。如果服务器返回的是forbidden则我们继续用一个随机的字符串作为root下的路径发起请求，如果服务器返回的是error则表明已经关闭了此项访问许可；如果在此过程中服务器始终返回forbidden则表明服务器开启了访问许可，只是用某种方式进行了保护，我们可以继续进行扫描。

此时可选择以字典方式或者以暴力方式扫描当前存在的用户，仅为获取可能用户名的方式不同，但算法相同。具体使用的扫描方式可以由使用者自行选择。具体方式为：首先选择一个字符串作为假定的用户名，然后使用HTTP get方式访问这个目录，如果返回的HTTP状态码为表1中的任意一个，则表明当前存在这个目录，也就是当前服务器上存在此用户。

上述实施例不以任何方式限制本发明，凡是采用等同替换或等效变换的方式获得的技术方案均落在本发明的保护范围内。

Claims (7)

1. 一种基于插件的漏洞检测方法，其特征在于：包括主机扫描和数据分析业务、任务调度和管理、日志管理、数据存取服务和用户界面五部分；主机扫描和数据分析业务主要负责执行漏洞扫描，任务调度和管理是面向系统内部提供服务，负责各个扫描分析任务的管理和调度，包括任务的加载、启动和结束；采用HTTP协议作为扫描主机的方式，并采用了Libwishker系统以构造特定的HTTP请求数据包，具体检测方式如下：

（1）、端口扫描

向目标主机的特定端口发送HTTP请求，如果对方开启了HTTP服务则会返回相应的HTTP回应或错误，事先建立一个port列表然后逐个访问列表中的端口，并记录下访问的结果，从而获取了一个主机上的开启端口记录；

（2）、建立漏洞数据库

即将服务器的类型进行md5哈希运算，将其哈希值作为一条数据项存入漏洞数据库中，对于不同的服务器是不同的，因此每一段数据计算出来的哈希值都是唯一的；

启动扫描前，通过返回的数据先判断目标服务器的类型，服务器类型的不同产生的漏洞也不同；

（3）、漏洞扫描，根据预先建立服务器类型的漏洞数据库，首先从服务器根目录下请求获得目标系统服务器类型，然后与预存到漏洞库中的数据进行逐项比对，如果能在漏洞库中找到匹配的数据，则说明发现当前被扫描服务器的应用类型，如果无法找到匹配数据，则说明被扫描的服务器类型是本系统未知的类型，只有进一步通过其他方式的判断才能确认其类型。

2. 根据权利要求1所述的基于插件的漏洞检测方法，其特征在于：还包括一个数据升级管理模块。

3. 根据权利要求1所述的基于插件的漏洞检测方法，其特征在于：所述的端口扫描，开启端口范围是0-65535。

4. 根据权利要求1所述的基于插件的漏洞检测方法，其特征在于：检测CGI漏洞方法：

a、首先确定待检测服务器的IP地址；

b、启动检测任务， CGI扫描开始后，对于选定的每个可能的CGI路径，以HTTP URL请求方式逐一对这些路径发送请求，如果服务器返回的状态码表明请求路径存在，记录这些路径存在潜在的CGI漏洞威胁。

5. 根据权利要求4所述的基于插件的漏洞检测方法，其特征在于：检测CGI漏洞采用两种方式选取待扫描的目录：

1）用户设定目录：扫描过程中仅扫描由用户指定的目录，发现并记录下其中开启访问的部分；

2）扫描常用CGI目录：以常见的CGI目录为基础进行扫描。

6. 根据权利要求1所述的基于插件的漏洞检测方法，其特征在于：漏洞扫描采取跨站脚本攻击扫，动态方式进行注入漏洞，通过构造特定的字符串作为URL的参数发送给服务器，得到服务器端响应后分析返回的页面数据，判断其中是否含有起始构造的字符串。

7. 根据权利要求5所述的基于插件的漏洞检测方法，其特征在于：用户名枚举漏洞检测：

第一步是确认是否可以进行扫描，也就是判断服务器是否开启了用户读取功能然后选择以字典方式或者以暴力方式扫描当前存在的用户。