CN104618178B - 网站漏洞在线评估方法及装置 - Google Patents

Abstract

本发明公开了一种网站漏洞在线评估方法及装置，该方法包括：接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；根据所述网站漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级。该方法通过对该漏洞的分类标识和该漏洞的网站的访问流量综合考虑确定该漏洞的风险评估等级，使得确定后的风险评估等级更加符合实际漏洞对网站危害的程度，对后续制定漏洞修复方案更加有针对性，起到了有效的防范作用。

Description

网站漏洞在线评估方法及装置

技术领域

本发明涉及互联网技术，具体涉及一种网站漏洞在线评估方法及装置。

背景技术

随着互联网技术应用的越来越广泛，人们很多的日常工作和娱乐都在网络上进行，网络已跟人们的生活息息相关。因此，网站的安全也越来越被人们所重视。然而，网络存在着各种各样的安全隐患，比如：COOKIE中毒、应用程序缓冲溢出、跨站脚本攻击、各种安全漏洞等等。

漏洞发现是攻击者与防护者双方对抗的关键过程，防护者如果不能早于攻击者发现可被利用的漏洞，攻击者就有可能利用漏洞发起攻击。越早发现并修复漏洞，信息安全事件发生的可能性就越小。

为了防患于未然，需要对网站进行漏洞检测，在漏洞被利用之前发现漏洞并修补。目前在检测到漏洞时，通常对该漏洞的风险等级进行评估，并根据不同的风险等级制定修复方案。一般采用漏洞库的测评标准进行测评，但是该测评标准并未考虑到漏洞网站的访问流量和与该漏洞相关联的业务影响等因素，由此导致采用上述漏洞库的测评标准评定的漏洞风险等级并不符合实际漏洞对网站的危害，从而导致后续根据该风险等级制定的修复方案不够合理，不能有效起到防范作用。

发明内容

针对现有技术中的缺陷，本发明提供了一种网站漏洞在线风险评估方法及装置，该方法能够获取符合实际漏洞对网站危害的风险等级，起到了有效的防范作用。

第一方面，本发明提供一种网站漏洞在线评估装置，包括：

接收模块，用于接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；

第一获取模块，用于根据所述网站漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；

确定模块，用于根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级。

可选的，所述装置还包括：

发送模块，用于向所述网站发送所述网站存在漏洞的告警信息，所述告警信息包括：所述风险评估等级，

和/或，

所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

可选的，所述装置还包括：

第二获取模块，用于在所述发送模块发送告警信息之前，获取所述网站的管理者的联系信息；

所述发送模块，具体用于：

根据所述联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。

可选的，所述装置还包括：

特征信息提取模块，用于在所述确定模块确定所述漏洞的风险评估等级之前，根据所述网址和所述漏洞测试参数生成漏洞测试链接，并根据所述漏洞测试链接进行请求，获取所述网站的响应消息，从所述响应消息中提取漏洞的特征信息；

判断模块，用于判断所述漏洞的特征信息与所述漏洞测试结果是否一致；

所述确定模块，具体用于：

在所述判断模块判断所述漏洞的特征信息与所述漏洞测试结果一致时，根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级。

可选的，所述确定模块，还用于：

根据所述存在漏洞的网站在预设时间段内的访问流量和该漏洞的关联业务确定该漏洞的风险权重值；

根据所述漏洞的分类标识确定漏洞的参考风险值；

根据所述漏洞的风险权重值和所述漏洞的参考风险值确定所述漏洞的风险评估等级。

第二方面，本发明还提供了一种漏洞在线评估方法，包括：

接收通过漏洞检测网页发送的漏洞信息，所述漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；

根据所述漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；

根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级。

可选的，所述方法还包括：

向所述网站发送所述网站存在漏洞的告警信息，所述告警信息包括：所述风险评估等级，

和/或，

所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

可选的，向所述网站发送所述网站存在漏洞的告警信息之前，所述方法还包括：

获取所述网站的管理者的联系信息；

所述向所述网站发送所述网站存在漏洞的告警信息，包括：

根据所述联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。

可选的，根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级之前，所述方法还包括：

根据所述网址和所述漏洞测试参数生成漏洞测试链接，并根据所述漏洞测试链接进行请求，获取所述网站的响应消息，从所述响应消息中提取漏洞的特征信息；

判断所述漏洞的特征信息与所述漏洞测试结果是否一致；

若所述漏洞的特征信息与所述漏洞测试结果一致，则执行根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级的步骤。

可选的，所述根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级，包括：

根据所述存在漏洞的网站在预设时间段内的访问流量和该漏洞的关联业务确定该漏洞的风险权重值；

根据所述漏洞的分类标识确定漏洞的参考风险值；

根据所述漏洞的风险权重值和所述漏洞的参考风险值确定所述漏洞的风险评估等级。

由上述技术方案可知，本发明提供的一种漏洞在线风险评估方法及装置，该方法根据接收的漏洞信息，获取该漏洞的分类标识和该漏洞的网站的访问流量，该方法通过对该漏洞的分类标识和该漏洞的网站的访问流量综合考虑确定该漏洞的风险评估等级，使得确定后的风险评估等级更加符合实际漏洞对网站危害的程度，对后续制定漏洞修复方案更加有针对性，起到了有效的防范作用。

附图说明

图1A为本发明一实施例提供的网站漏洞在线评估方法的流程示意图；

图1B为本发明一实施例中漏洞信息的示意图；

图2为本发明另一实施例提供的网站漏洞在线评估方法的流程示意图；

图3为本发明一实施例提供的网站漏洞在线评估装置的结构示意图。

具体实施方式

下面结合附图，对发明的具体实施方式作进一步描述。以下实施例仅用于更加清楚地说明本发明的技术方案，而不能以此来限制本发明的保护范围。

图1A示出了本发明一实施例提供的网站漏洞在线评估方法的流程示意图，如图1A所示，本实施例的网站漏洞在线评估方法如下所述。

101、接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果。

举例来说，上述网站漏洞信息为一些专业用户如白帽子通过漏洞检测网页提交的漏洞信息。本实施例中的漏洞检测网页可位于任一客户端中。

可理解的是，漏洞可包括通用漏洞和专用漏洞，所述专用漏洞为根据网站类型编辑的唯一适用于所述网站类型的漏洞，所述通用漏洞为适用于所有网站的漏洞。具体的，通用漏洞可以包括结构化查询语言(Structured Query Language，简称SQL)注入漏洞、跨站(Cross Site Scripting，简称CSS)漏洞、敏感信息泄露漏洞、弱口令漏洞、HTTP报头追踪漏洞、struts2远程命令执行漏洞等等，专用漏洞可以包括专用的注入漏洞、专用的命令执行漏洞、以及专用CSS漏洞，例如：Discuz_qq互联插件CSS漏洞、便民电话插件SQL注入漏洞等等。

当前，部分专业用户可以对各大网站进行分析，找出其中的安全漏洞，但并不会恶意的去利用该漏洞，而是将漏洞信息通过漏洞检测网页上报至漏洞告警装置。

举例来说，上述网站漏洞信息中的存在漏洞的网站的网址可以为http://xxx.com(其中“x”可以是任意字母或数字)；漏洞的测试参数可以为测试该漏洞时所采用的测试参数；漏洞的测试结果为采用上述测试参数通过与上述网站生成测试链接，通过该测试链接进行测试的测试结果。

本实施例中的网站漏洞信息可通过图片形式上传，如图1B所示，也可以通过文档的形式上传，还可通过其它形式，本实施例不对其进行限定，仅为举例说明。

102、根据所述网站漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量。

举例来说，上述漏洞的分类标识包括该漏洞对应的行业标识和该漏洞对应的漏洞类型标识。

可理解的是，根据网站漏洞信息中的漏洞网站的网址获取所述网址的页面信息，根据该网址对应的页面信息获取该漏洞的行业分类，进而确定该漏洞的行业标识；根据该漏洞的测试参数或上述在响应消息中提取的特征信息获取该漏洞的漏洞类型，进而确定该漏洞的漏洞类型标识。

如图1B所示，若通过输入网址发现是某个银行的网站，而通过漏洞测试结果发现是该漏洞是配置错误的漏洞，则可以确定该漏洞的分类标识为A1B3。

上述预设时间段内的网站的访问流量可以理解为通过输入漏洞网站对应的网址，查询alex排名获得，本实施例不限于通过alex排名获得该漏洞网站在预设时间段内的访问流量，仅用于举例说明。

103、根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级。

具体的，根据上述步骤102获取的漏洞的分类标识，获取该漏洞的参考风险值，根据网站的访问流量，获取该漏洞的风险权重值，然后再根据该漏洞的参考风险值和该漏洞的风险权重值，综合确定该漏洞的风险评估等级。

上述方法通过综合考虑该漏洞的参考风险值和该漏洞的风险权重值，确定该漏洞的风险评估等级，使得确定后的风险评估等级更加符合实际漏洞对网站危害的程度，对后续制定漏洞修复方案更加有针对性，起到了有效的防范作用。

本发明的网站漏洞在线评估方法主要是应用于漏洞检测网页在接收到该漏洞之后，对该漏洞的有效性进行验证，在验证该漏洞真实存在时，再对该网站漏洞在线评估该漏洞的风险等级，进而对该风险等级制定相应的修复方案，或把该风险等级发送给网站的管理者，以使该网站的管理者能够及时获知该漏洞的一些相关信息，并制定修复方案或放弃修复等。下面对该网站漏洞的在线评估风险等级的方法进行详细说明。

图2示出了本发明实施例提供的网站漏洞在线评估方法的流程示意图，如图2所示，本实施例的网站漏洞在线评估方法如下所述。

201、接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果。

举例来说，本实施例中的漏洞的类型可以包括信息泄露类漏洞、SQL注入漏洞、CSS漏洞、配置错误漏洞等。

例如，SQL注入漏洞可以用来从网站的数据库中获取该网站数据库中的相关敏感信息，或者利用网站数据库的特征执行添加其他用户、导出文件等一系列恶意操作，甚至有可能获取数据库乃至系统最高权限。

跨站漏洞是由于程序员在编写程序时，对一些变量没有充分的过滤，直接把用户提交的数据送到SQL语句里执行，这样导致黑客可以提交一些特意构造的语句，黑客利用跨站漏洞输入恶意的脚本代码，当恶意的代码被执行后就形成了所谓的跨站攻击。

本实施例不对上述漏洞的类型进行一一举例说明。

在本实施例中，网址可以是统一资源定位符(Uniform Resource Locator，简称URL)。例如：http://xxx.com、http://webscan.xxx.com等(其中，“x”可以是任意字母或数字)，上述漏洞的测试参数可以理解为测试上述网址存在漏洞的参数，例如漏洞的网址为http://bbs.webscan.xxx.cn/，上述漏洞的类型为配置错误漏洞，则输入的测试参数可以为<allow-access-from domain＝“*”/>；上述漏洞的测试结果可以为用户采用上述测试参数在上述网站的网址上进行测试时的测试获取的测试结果，该测试结果可为因配置错误漏洞导致邮件随机泄露等。

202、根据所述网址和所述漏洞测试参数生成漏洞测试链接，并根据所述漏洞测试链接进行请求，获取所述网站的响应消息。

假设上述步骤201中接收的漏洞为SQL注入漏洞，该漏洞绕过了输入某个网站数据库的用户名和密码的输入，直接获取该网站数据库中的信息。

举例来说，例如漏洞的网址为“http://xxx.com/a.asp”，该漏洞的测试参数为“'or 1＝'1”，则根据该漏洞的网址和漏洞的测试参数生成的测试链接可以为：

http://xxx.com/a.asp？UserAccount＝'or 1＝'1&UserPass＝'or 1＝'1。通过加载该测试链接，获取输入该链接后网站的响应消息。

具体的，该响应消息可以为用户登录成功的消息或用户名或密码错误消息。

203、从所述响应消息中提取漏洞的特征信息，并与所述漏洞测试结果进行比对。

举例来说，某个SQL注入漏洞的测试链接为http://xxx.com/a.asp？UserAccount＝'or 1＝'1&UserPass＝'or 1＝'1。在输入该测试链接时，若在未经输入用户名和密码的情况下，直接展示了用户登陆成功的消息，并在该网站的页面上展示了XXX数据库的数据信息，可以理解为，根据上述响应消息，可以提取出该漏洞的特征信息为XXX数据库中的数据信息，而在步骤201中的漏洞测试结果为通过该SQL注入漏洞可以获取XXX数据库的数据信息，将上述漏洞的特征信息和该漏洞的测试结果进行比对，判断该漏洞是否存在。

204、判断所述漏洞的特征信息与所述漏洞测试结果是否一致。

可理解的是，判断上述步骤203中的特征信息和步骤201中接收的漏洞的测试结果是否一致，即验证该漏洞是否真实存在，如果该漏洞真实存在时，则确定该特征信息与提交的漏洞测试结果一致，即上述步骤203中，上述SQL注入漏洞的特征信息为XXX数据库中的数据信息，上述SQL注入漏洞的测试结果为通过该SQL注入漏洞可以获取XXX数据库的数据信息，由此可以得出，该SQL注入漏洞的特征信息与该漏洞的测试结果一致。执行下述步骤205；相反的，如果通过测试验证该漏洞不存在，即通过输入http://xxx.com/a.asp？UserAccount＝'or 1＝'1&UserPass＝'or 1＝'1测试链接时，输出的特征信息为用户名或密码错误，则确定该特征信息与接收的漏洞测试结果不一致，则可认为该漏洞不存在，或者当前用户提交的漏洞信息不正确，则结束告警过程。

具体的，在测试验证完毕后，若漏洞特征信息与所述漏洞测试结果一致时，该漏洞检测网页会展示所述漏洞信息提交成功的信息，例如“X年X月X日，该漏洞被定为SQL注入漏洞，处理中”，相反的，在漏洞特征信息与所述漏洞测试结果不一致时，若漏洞检测网页会展示所述漏洞信息提交失败的信息，例如“X年X月X日，该漏洞验证失败”。

205、当所述漏洞的特征信息和所述测试结果一致时，根据所述网站漏洞信息，确定所述漏洞的分类标识。

举例来说，上述漏洞的分类标识包括该漏洞对应的行业标识和该漏洞对应的漏洞类型标识。

行业标识可以理解为通过该标识可以确定是什么行业，例如：金融业A1、企业A2、电商A3等等；漏洞类型标识可以理解为通过该标识可以确定是什么漏洞类型，例如：SQL注入漏洞B1、CSS漏洞B2、配置错误漏洞B3等。

具体的，根据网站漏洞信息中的漏洞网站的网址获取所述网址的页面信息，根据该网址对应的页面信息获取该漏洞的行业分类，进而确定该漏洞的行业标识；根据该漏洞的测试参数或上述在响应消息中提取的特征信息获取该漏洞的漏洞类型，进而确定该漏洞的漏洞类型标识。

例如扫描发现某个银行网站存在SQL注入漏洞，则该漏洞在标准信息表中匹配于标识为A1B1的漏洞，其中，该漏洞的标识根据标准漏洞库，例如公共漏洞和暴露(CommonVulnerabilities&Exposures，简称CVE)漏洞数据库的规定命名。

通过上述分类，确定某个漏洞的标识会非常快，提高了确定该漏洞对应的漏洞分类标识的效率。

206、根据所述漏洞的分类标识确定漏洞的参考风险值。

由于漏洞的分类标识根据标准漏洞库，例如CVE漏洞数据库的规定命名，可根据该漏洞标识使用任意标准漏洞库的评分系统，例如CVSS评分系统对该漏洞进行测评，确定该漏洞的参考风险值。

根据漏洞的分类标识在本地或远程的漏洞库中确认各项测评要素的可选项，再依据评分标准中，各项测评要素的可选项对应的标准参数值确定漏洞的参考风险值，例如，CVE漏洞库中的CVSS评分系统采用如表1所示的评分标准确定漏洞的参考风险值，如图表1所示：

表1

根据表1的评分标准综合确定漏洞的参考风险值。

在另一种可实现的方式中，对上述网站的漏洞的参考风险值也可以由本领域技术人员根据该漏洞的行业，以及该行业出现该漏洞的风险等级进行适当设置，如，将网站的风险等级按照危险程度从高到低依次为：高危级别、严重级别、警告级别和提示级别；将网站的安全分数按照危险程度从高到底依次为：第一分数区间、第二分数区间、第三分数区间和第四分数区间。当然，不限于此，任何其他适当方式均可适用。

根据上述漏洞的分类标识，针对上述设置的风险等级，对步骤205中已确认的的网页漏洞根据其漏洞的分类标识确定漏洞的参考风险值，也可以理解为对其漏洞的风险进行评分。可以包括：若网站存在高危级别的漏洞，则将该网站的安全级别设置为高危级别，即在第一分数区间，为所述网站漏洞进行打分；若网站存在严重级别的漏洞，则将该网站的安全级别设置为严重级别，即在第二分数区间，为所述网站漏洞进行打分；若网站存在警告级别的漏洞，则将该网站的安全级别设置为警告级别，即在第三分数区间，为所述网站漏洞进行安全打分，等等

207、根据该存在漏洞的网站预设时间段内的访问流量和该漏洞的关联业务确定该漏洞的风险权重值。

举例来说，可以根据预设时间段该漏洞网址访问流量即alex排名和该漏洞的关联业务，确定该漏洞的风险权重值。

根据该漏洞网址访问流量即alex排名，可以理解为将预设时间段内排名10万以内的为第一等级、排名10万-100万的为第二等级、排名100万-1000万的第三等级，可理解的是，第一等级的权重大于第三等级的权重。

具体的，根据该漏洞的关联业务，确定该漏洞对该业务造成的影响，该漏洞的关联业务的权重值可以理解为因配置错误漏洞导致邮件随机泄露、在未经输入用户名和密码的情况下，直接获取XXX数据库的数据信息等。例如，根据该漏洞在该网站的相关业务的危害程度划分该关联业务的权重值。可以根据漏洞的利用方式、利用成功率、危害程度、漏洞之间的依赖性等，来对该漏洞关联业务的权重值，每个风险等级具有相应的漏洞关联业务的权重值。例如，风险等级分为10级，每个风险等级具有相应的漏洞关联业务的权重值，即风险等级1具有漏洞关联业务的权重值1，并依此类推，即风险等级值为范围在1-10之间的整数。风险等级值越大，该漏洞关联业务的权重值越大，说明这个安全漏洞越有可能被利用，而且带来的危害程度就越大，对该业务造成的影响越大。

综上，根据该漏洞的访问流量权重值以及该漏洞关联业务的权重值综合确定该漏洞的风险权重值。

208、根据漏洞的参考风险值和该漏洞的风险权重值确定所述漏洞的风险评估值。

需要说明的是，上述206和207执行的先后顺序不做限定。

在本实施例中，确定漏洞的风险评估值时，将漏洞的参考风险值和该漏洞风险权重值综合确定所述漏洞的风险评估值，确定的漏洞的风险评估值更加符合实际各漏洞对网站的危害程度，从而可制定合理的漏洞修复方案，有效地起到防范作用。

209、根据风险评估值确定风险等级。

高危级别、严重级别、警告级别和提示级别

举例来说，风险评估值0～100为提示级别，100-200为警告级别，200-500为严重级别，500以上为高危级别，具体根据上述步骤208中获取的风险评估值按照上述预设的等级，确定该漏洞的风险等级。

在具体应用中，也可以针对该漏洞的风险等级的形式根据风险的类型采用如下提示信息，提示性风险，例如存在“非法读取用户信息”的风险、安全性评估风险，例如“安全性降低了10％”、此漏洞在网络系统中出现的概率，例如“全国有2％网站有此漏洞”等。本实施例仅用于举例说明，并不限于上述风险等级的展示形式。

在具体应用中，根据网站的管理者的需要，还会根据风险评估值等级确定漏洞的修复方案，本实施例对此不进行详细说明。

为了及时的将上述漏洞的风险等级发送给网站的管理者，以使网站的管理者尽快确认并修复，故上述方法还包括图2中未示出的步骤210和步骤211：

210、获取所述网站的管理者的联系信息；

具体的，根据所述网站的域名或网址在whois数据库中查找其在域名服务商处的注册信息并提取其中的注册人信息。

其中，Whois(读作“Who is”，非缩写)系统是基于TCP传输控制协议面向事物的查询/响应协议和系统，用于向Internet用户提供信息服务。简单说Whois就是一个用来查询域名是否已经被注册，以及注册域名的详细信息(如域名所有人、域名注册人、技术支持信息、以及与域名相关的其他信息)的数据库。早期的Whois查询多以命令列接口存在，但是现在出现了一些网页接口简化的线上查询工具，可以一次向不同的数据库查询。网页接口的查询工具仍然依赖Whois协议向服务器发送查询请求，命令列接口的工具仍然被系统管理员广泛使用。Whois通常使用TCP协议43端口。每个域名/IP的Whois信息由对应的管理机构保存。不同域名后缀的Whois信息需要到不同的Whois数据库查询。如.com的Whois数据库和.edu的就不同。目前国内提供Whois查询服务的网站有万网www.net.cn、站长之家等。直观来看，Whois就是链接到域名服务商的数据库的搜索引擎，一般来说是属于网络信息中心所提供和维护的名字服务之一。在查询框中输入域名，Whois响应该查询命令返回搜索结果页面，搜索结果页面上显示了该域名的注册信息。对于每个域名，通过Whois查询到的域名注册信息记载了该域名的诸多信息，由此，可以提取注册人信息。这里的注册人信息包括注册人姓名、注册人电话、注册人邮箱中的任意一项或者任意几项。如果只提取出注册人姓名并存储到全网域名注册人信息数据库中，在域名注册人姓名重名的情况下，查找出来的同一注册人管理的其他域名将包括同名同姓的其他注册人管理的网站的域名。因此，优选的是提取出注册人姓名并提取出注册人电话和注册人邮箱中的任意一项或者两项。全网域名注册人信息数据库的一个例子中各个字段如表2所示。

表2

字段名称	类型	备注
			domain	char	域名名称
telphone	char	注册人电话
			email	char	注册人邮箱
name	char	注册人姓名

由此，根据上述表2可以获取某漏洞对应的网站的管理者的联系信息。

211、向所述网站的管理者发送所述网站存在漏洞的告警信息。

根据步骤210获取的网站的管理者的联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。

具体的，以邮箱或通过短信的形式发送给网站的管理者。在告警网站的管理者时，具体所述告警信息包括：所述风险评估等级，

和/或，

所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

可理解的是，在上述步骤211之后，网站的管理者收到漏洞的告警信息之后，对告警信息中指出的漏洞进行确认、忽略或报错等操作，在漏洞确认完成后，对其进行制定相关修复措施。

图3示出了本发明实施例提供的一种网站漏洞在线评估装置，如图3所示，该网站漏洞在线评估装置包括：接收模块31、第一获取模块32和确定模块33。

接收模块31，用于接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；

举例来说，上述网站漏洞信息可为一些专业用户如白帽子通过漏洞检测网页提交的漏洞信息。本实施例中的漏洞检测网页可位于任一客户端中。

第一获取模块32，用于根据所述网站漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；

确定模块33，用于根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级。

具体的，一般在所述确定模块确定所述漏洞的风险评估等级之前，所述装置还包括图3中未示出的：特征信息提取模块34、判断模块35。

特征信息提取模块34，用于根据所述网址和所述漏洞测试参数生成漏洞测试链接，并根据所述漏洞测试链接进行请求，获取所述网站的响应消息，从所述响应消息中提取漏洞的特征信息；

判断模块35，用于判断所述漏洞的特征信息与所述漏洞测试结果是否一致；

所述确定模块33，还用于：

在所述判断模块判断所述漏洞的特征信息与所述漏洞测试结果一致时，根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级。

所述确定模块33，具体用于：

根据所述存在漏洞的网站在预设时间段内的访问流量和该漏洞的关联业务确定该漏洞的风险权重值；

根据所述漏洞的分类标识确定漏洞的参考风险值；

根据所述漏洞的风险权重值和所述漏洞的参考风险值确定所述漏洞的风险评估等级。

为了及时的将上述确定模块确定的漏洞的风险等级发送给网站的管理者，以使网站的管理者尽快确认并修复，故上述装置还包括图3中未示出的第二获取模块36和发送模块37：

第二获取模块36，用于在所述发送模块发送告警信息之前，获取所述网站的管理者的联系信息；

发送模块37，用于向所述网站发送所述网站存在漏洞的告警信息，所述告警信息包括：所述风险评估等级，和/或，所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

在具体应用中，根据所述联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。以使网站的管理者收到漏洞的告警信息之后，对告警信息中指出的漏洞进行确认、忽略或报错等操作，在漏洞确认完成后，对其进行制定相关修复措施。

本发明的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本发明公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释呈反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在于该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是互相排斥之处，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的一种浏览器终端的设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。

Claims (10)

1.一种网站漏洞在线评估装置，其特征在于，包括：

接收模块，用于接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；

第一获取模块，用于根据所述网站漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；

确定模块，用于根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级；

所述漏洞的分类标识包括所述漏洞对应的行业标识和漏洞类型标识。

2.根据权利要求1所述的装置，其特征在于，所述装置还包括：

发送模块，用于向所述网站发送所述网站存在漏洞的告警信息，所述告警信息包括：所述风险评估等级，

和/或，

所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

3.根据权利要求2所述的装置，其特征在于，所述装置还包括：

第二获取模块，用于在所述发送模块发送告警信息之前，获取所述网站的管理者的联系信息；

所述发送模块，具体用于：

根据所述联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。

4.根据权利要求1所述的装置，其特征在于，所述装置还包括：

特征信息提取模块，用于在所述确定模块确定所述漏洞的风险评估等级之前，根据所述网址和所述漏洞测试参数生成漏洞测试链接，并根据所述漏洞测试链接进行请求，获取所述网站的响应消息，从所述响应消息中提取漏洞的特征信息；

判断模块，用于判断所述漏洞的特征信息与所述漏洞测试结果是否一致；

所述确定模块，具体用于：

在所述判断模块判断所述漏洞的特征信息与所述漏洞测试结果一致时，根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级。

5.根据权利要求1至4中任一项所述的装置，其特征在于，所述确定模块，还用于：

根据所述存在漏洞的网站在预设时间段内的访问流量和该漏洞的关联业务确定该漏洞的风险权重值；

根据所述漏洞的分类标识确定漏洞的参考风险值；

根据所述漏洞的风险权重值和所述漏洞的参考风险值确定所述漏洞的风险评估等级。

6.一种网站漏洞在线评估方法，其特征在于，包括：

接收通过漏洞检测网页发送的网站漏洞信息，所述网站漏洞信息包括：存在漏洞的网站的网址、漏洞测试参数和漏洞测试结果；

根据所述网站漏洞信息，获取所述漏洞的分类标识和预设时间段内所述网站的访问流量；

根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级；

所述漏洞的分类标识包括所述漏洞对应的行业标识和漏洞类型标识。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

向所述网站发送所述网站存在漏洞的告警信息，所述告警信息包括：所述风险评估等级，

和/或，

所述告警信息包括下述的一项或多项：存在漏洞的网站的网址、所述漏洞测试参数、所述漏洞测试结果。

8.根据权利要求7所述的方法，其特征在于，向所述网站发送所述网站存在漏洞的告警信息之前，所述方法还包括：

获取所述网站的管理者的联系信息；

所述向所述网站发送所述网站存在漏洞的告警信息，包括：

根据所述联系信息，采用与所述联系信息相匹配的方式发送所述告警信息。

9.根据权利要求6所述的方法，其特征在于，根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级之前，所述方法还包括：

根据所述网址和所述漏洞测试参数生成漏洞测试链接，并根据所述漏洞测试链接进行请求，获取所述网站的响应消息，从所述响应消息中提取漏洞的特征信息；

判断所述漏洞的特征信息与所述漏洞测试结果是否一致；

若所述漏洞的特征信息与所述漏洞测试结果一致，则执行根据所述网站的流量和所述漏洞的分类标识，确定所述漏洞的风险评估等级的步骤。

10.根据权利要求6至9中任一项所述的方法，其特征在于，所述根据所述漏洞的分类标识和所述网站的访问流量，确定所述漏洞的风险评估等级，包括：

根据所述存在漏洞的网站在预设时间段内的访问流量和该漏洞的关联业务确定该漏洞的风险权重值；

根据所述漏洞的分类标识确定漏洞的参考风险值；

根据所述漏洞的风险权重值和所述漏洞的参考风险值确定所述漏洞的风险评估等级。