CN107332804B - 网页漏洞的检测方法及装置 - Google Patents

Abstract

本申请公开了一种网页漏洞的检测方法及装置。其中，该方法包括：获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；基于与漏洞相应的行为特征，对访问记录进行检测；若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。本申请解决了现有技术中网页漏洞的检测效率较低的技术问题。

Description

网页漏洞的检测方法及装置

技术领域

本申请涉及计算机领域，具体而言，涉及一种网页漏洞的检测方法及装置。

背景技术

随着互联网技术的迅速发展和广泛应用，越来越多的公司、组织或个人在网络上向访问方提供网站、论坛、博客等在线服务。但是，由于在线服务或多或少存在能够被黑客所利用的漏洞，黑客可以利用这些漏洞进行数据窃取、数据更改等漏洞攻击行为，这些漏洞若未及时发现和修复，会对在线服务的提供者和访问方造成各种损失。因此，如何及时发现并有效修复网页漏洞，日益引发用户关注。

目前，现有技术中一般采用获取黑产软件进行逆向分析、潜入黑客团体内部、在各种社交平台交流网页漏洞信息等方式发现网页漏洞，但上述方式的可靠性较差、随机性较大、信息可信度较低且甄别难度较高。

综上所述，现有技术中存在网页漏洞的检测效率较低的技术问题。

发明内容

本申请实施例提供了一种网页漏洞的检测方法及装置，以至少解决现有技术中网页漏洞的检测效率较低的技术问题。

根据本申请实施例的一个方面，提供了一种网页漏洞的检测方法，包括：获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；基于与漏洞相应的行为特征，对访问记录进行检测；若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。

根据本申请实施例的另一方面，还提供了一种网页漏洞的检测装置，包括：获取单元，用于获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；检测单元，用于基于与漏洞相应的行为特征，对访问记录进行检测；确定单元，用于若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。

在本申请实施例中，采用获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；基于与漏洞相应的行为特征，对访问记录进行检测；若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址的方式，通过获取访问网页服务器所产生的访问记录，进而基于与漏洞相应的行为特征对访问记录进行检测，达到了确定访问记录中存在的与该行为特征匹配的访问地址为漏洞地址的目的，从而实现了降低网页漏洞检测的难度和成本、增强网页漏洞检测的可靠性和合理性、提升网页漏洞检测的效率和准确率的技术效果，进而解决了现有技术中网页漏洞的检测效率较低的技术问题。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据现有技术的一种网页漏洞的检测方法的计算机终端的硬件结构框图；

图2是根据本申请实施例的一种可选的网页漏洞的检测方法的流程示意图；

图3是根据本申请实施例的另一种可选的网页漏洞的检测方法的流程示意图；

图4是根据本申请实施例的又一种可选的网页漏洞的检测方法的流程示意图；

图5是根据现有技术中的一种可选的网页漏洞的检测方法的流程示意图；

图6是根据本申请实施例的又一种可选的网页漏洞的检测方法的流程示意图；

图7是根据本申请实施例的一种可选的网页漏洞的检测装置的结构示意图；

图8是根据本申请实施例的另一种可选的网页漏洞的检测装置的结构示意图；

图9是根据本申请实施例的又一种可选的网页漏洞的检测装置的结构示意图；

图10是根据本申请实施例的又一种可选的网页漏洞的检测装置的结构示意图；

图11是根据本申请实施例的又一种可选的网页漏洞的检测装置的结构示意图；

图12是根据本申请实施例的又一种可选的网页漏洞的检测装置的结构示意图；

图13是根据本申请实施例的一种计算机终端的结构框图。

具体实施方式

首先，对本申请实施例涉及的术语解释如下：

在线服务：利用互联网技术，向用户提供线上服务的方式。主要分为应用程序在线服务和人力资源的在线服务。本申请中所描述的在线服务主要是指应用程序在线服务，比如某个网站每个能够进行外部访问的地址。

漏洞：漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。在本申请中也可简单理解为被黑产利用的在线服务。如果没有特殊说明，本申请所指的漏洞为Web漏洞。

黑产：全称黑色产业。不法人员通过黑客技术入侵相关网站的服务器或者站点获取账号密码、用户信息等等数据，通过盗号、挂马链接、数据买卖等方式获取不法所得。

黑客：通常指对计算机科学、编程和设计方面具备高度理解能力的人，一般，利用公共通讯网络在未经许可的情况下侵入他人计算机系统或窃取各种信息的黑客称为黑帽黑客，将黑客技术应用于调试和分析计算机系统安全性的黑客称为白帽黑客，在本申请实施例中，黑客主要指黑帽黑客，即从事黑产的不法人员。

逆向分析：通过反汇编、反编译、动态跟踪等各种方法来分析软件，进而了解该软件的实现过程及原理。

黑客利用漏洞：在本申请中用于表示已经黑客使用过的漏洞，如，被黑客使用而窃取过敏感信息或者获取过经济利益的漏洞。

漏洞地址：在计算机领域中，一般指存在漏洞的网络地址，漏洞地址可以通过统一资源定位符URL(Uniform Resource Locator)进行定位。

行为特征：在计算机领域中，一般指黑客攻击网络的攻击行为特征，也可指与漏洞相应的产生该漏洞的行为特征，例如，行为特征可以包括拒绝服务攻击、非授权访问尝试、预探测攻击、系统代理攻击等。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

根据本申请实施例，还提供了一种网页漏洞的检测方法的实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图1是本申请实施例的一种网页漏洞的检测方法的计算机终端的硬件结构框图。如图1所示，计算机终端10可以包括一个或多个(图中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器104、以及用于通信功能的传输装置106。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端10还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

存储器104可用于存储应用软件的软件程序以及模块，如本申请实施例中的网页漏洞的检测方法对应的程序指令/模块，处理器102通过运行存储在存储器104内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的网页漏洞的检测方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端10的通信供应商提供的无线网络。在一个实例中，传输装置106包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置106可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

在上述运行环境下，本申请提供了如图2所示的网页漏洞的检测方法的实施例。图2是根据本申请实施例一的网页漏洞的检测方法的流程示意图。

如图2所示，网页漏洞的检测方法可以包括如下实施步骤：

步骤S202，获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；

步骤S204，基于与漏洞相应的行为特征，对访问记录进行检测；

步骤S206，若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。

采用本申请上述实施例，通过获取访问网页服务器所产生的访问记录，进而基于与漏洞相应的行为特征对访问记录进行检测，达到了确定访问记录中存在的与该行为特征匹配的访问地址为漏洞地址的目的，从而实现了降低网页漏洞检测的难度和成本、增强网页漏洞检测的可靠性和合理性、提升网页漏洞检测的效率和准确率的技术效果，进而解决了现有技术中网页漏洞的检测效率较低的技术问题。

可选地，本申请上述步骤S202中，网页服务器(Web Server)又名网站服务器，是指驻留于因特网上某种类型计算机的程序，可以向浏览器等Web客户端提供文档，或者可以放置网站文件以供请求方(即该网页服务器的访问方)浏览，又或者可以放置数据文件以供请求方下载。网页服务器可以提供在线服务，目前使用较为广泛的网页服务器包括Apache(Apache HTTP Server，阿帕奇服务器)、Nginx(一个高性能的HTTP和反向代理服务器)、IIS(Internet Information Services，因特网信息服务器)。请求方在访问网页时，常见的网页服务器默认会将每个访问请求的相关信息以一条日志的形式记录到日志文件中，从而形成完整的访问记录。需要说明的是，本申请中对网页服务器的访问记录的采集并非完全依赖于日志文件，还可以通过syslog(系统日志协议)日志服务或者其它能够完全保存调用记录的方式进行采集。

例如，某个网页服务器记录的某条日志为：30.10.25.19--[04/Feb/2016:16:14:29]"GET/api/v1/counting？type＝handled HTTP/1.1"200 116"Mozilla/5.0"，通过解析该条日志可以确定，请求方的地址为30.10.25.19；请求方请求访问网页服务器的请求时间为04/Feb/2016:16:14:29；请求访问的统一资源定位符URL(Uniform Resource Locator，统一资源定位符)地址为/api/v1/counting；请求的统一资源定位符URL参数为type＝handled。具体地，该请求方的地址可以用于定位请求方，该请求方请求访问网页服务器的请求时间可以用于定位请求频率，该请求访问的统一资源定位符URL地址可以用于定位最终发现的漏洞地址，此外，黑客通常会使用固定的URL地址和变化的URL参数对网页服务器进行访问。

可选地，本申请上述步骤S204中，漏洞是指在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者(例如黑客)能够在未授权的情况下访问或者破坏系统。漏洞可能来自应用软件或操作系统设计时的缺陷或编码时产生的错误，也可能来自业务在交互处理过程中的设计缺陷或逻辑流程上的不合理之处。例如，网页服务器较为常见的安全漏洞包括盗用账号、缓冲区溢出、执行任意命令、黑客攻击、蠕虫病毒、木马文件等，其中，黑客攻击可以包括口令攻击、拒绝服务攻击以及IP欺骗等。根据网页服务器的上述漏洞的特征，可以对网页服务器的一条或多条访问记录进行检测，需要说明的是，利用不同黑客利用漏洞的行为特征对相同的访问记录进行检测，其检测结果可能不同。

可选地，本申请上述步骤S206中，若访问记录中不存在与黑客利用漏洞的行为特征匹配的访问地址，则说明该网页服务器在产生该访问记录的过程中，未遭受黑客攻击或黑客攻击失效。需要说明的是，黑客利用漏洞的行为特征可以为黑客利用网页服务器的漏洞的一些基本行为特征，黑客在大规模利用网页服务器的漏洞的情况下，较难隐藏或伪装这些基本行为特征。例如，黑客在利用漏洞访问网页服务器时，其所有行为特征均会被网页服务器所记录，且其每个行为特征可对应访问记录中独立的记录项，该记录项可以为访问时间、访问地址等。因此，若黑客的某行为特征与黑客利用漏洞的行为特征重叠或高度相似，则可以确定该行为特征所对应的访问记录中的访问地址为允许黑客利用的漏洞地址，还可以确定该行为特征所对应的访问记录中的访问时间为网页服务器遭受黑客攻击或利用的时间。

此外，由于对网页服务器中以单纯文件保存的日志进行分析的难度较高，因此可以从每条日志中提取出重要的字段，并分类保存至预设数据库中，以供后续分析和利用。针对该预设数据库中的每条记录，可以使用已知的黑客利用漏洞的行为特征对其进行字符串的匹配，若匹配成功，则可以确定网页服务器中存在可被黑客利用的漏洞，需要说明的是，已知的黑客利用漏洞的行为特征可以保存在黑客利用漏洞的行为特征数据库中，以供随时调用。进而，若确定网页服务器中存在可被黑客利用的漏洞，则可以通过人工介入的形式修复这些漏洞，还可以通过分析这些漏洞的调用记录追踪溯源，从而定位到利用漏洞对网页服务器进行攻击的黑客。

可选地，步骤S204，基于与漏洞相应的行为特征，对访问记录进行检测可以包括：

步骤S10，检测访问记录中与漏洞的行为特征匹配的访问地址，其中，访问地址包含访问频率超过访问阈值、且每次访问时包含不同URL参数的统一资源定位符URL地址。

可选地，本申请上述步骤S10中，访问频率超过访问阈值为黑客利用漏洞对网页服务器进行攻击的一个行为特征，具体地，黑客所使用的软件或脚本会以同一请求地址和高频率请求速度来请求它所利用的URL地址；每次访问时包含不同URL参数为黑客利用漏洞对网页服务器进行攻击的另一个行为特征，具体地，黑客所使用的软件或脚本每次请求的URL参数会全部或者部分发生变化，例如，某个URL能够查询到某个账号的在线状态，其URL参数就可以指定账号ID，那么黑客只要对该URL进行账号ID的遍历，便能查到所有账号的在线状态。

可选地，步骤S10，检测访问记录中与漏洞的行为特征匹配的访问地址可以包括：

步骤S20，根据请求方的地址、请求访问的目标URL地址和请求时间，从访问记录中过滤出访问频率高于访问阈值的第一记录。

可选地，本申请上述步骤S20中，若请求访问的目标URL地址为多个且呈现离散分布，则从访问记录中过滤出访问频率高于访问阈值的访问记录为正常访问记录；若请求访问的目标URL地址为同一个，则从访问记录中过滤出访问频率高于访问阈值的访问记录为第一记录。

步骤S30，根据请求方的地址、请求访问的目标URL地址和目标URL地址包含的URL参数，从第一记录中过滤出每次访问时包含不同URL参数的访问地址。

可选地，本申请上述步骤S30中，由于黑客通常通过固定的URL地址和变化的URL参数对网页服务器进行访问，即访问请求中的URL参数会全部或部分地发生变化，因此，从第一记录中过滤出每次访问时包含不同URL参数的访问地址，可以更为精确的确定哪些访问地址为可被黑客利用的漏洞地址。

可选地，图3是根据本申请实施例的另一种可选的网页漏洞的检测方法的流程示意图，如图3所示，步骤S20，根据请求方的地址、请求访问的目标URL地址和请求时间，从访问记录中过滤出访问频率高于访问阈值的第一记录可以包括：

步骤S302，统计访问记录中记录的地址映射关系的数量，地址映射关系包含请求方的地址和请求访问的目标URL地址的映射关系。

可选地，本申请上述步骤S302中，通过地址映射关系可以判断某个地址是否为黑客的目标访问地址，例如，黑客一般会对同一个目标地址进行高频率访问。

步骤S304，从访问记录中，过滤出地址映射关系的数量在预设数值范围内的第三记录。

可选地，本申请上述步骤S304中，根据请求者地址和URL地址，可以过滤出请求者地址和URL地址之间映射关系比较少的记录。

步骤S306，从第三记录中，过滤出请求时间在预设时长内的第一记录。

可选地，本申请上述步骤S306中，根据请求时间、请求者地址和URL地址可以过滤出请求者地址与URL地址之间映射关系比较少且对应的请求时间在较短的时间范围之内的访问记录。

可选地，步骤S30，根据请求方的地址、请求访问的目标URL地址和目标URL地址包含的URL参数，从第一记录中过滤出每次访问时包含不同URL参数的访问地址可以包括：

步骤S40，从第一记录中包含相同请求方的地址和目标URL地址的记录中，过滤出包含不同URL参数的数量大于预设数量的第二记录。

可选地，本申请上述步骤S40中，若某个地址包含不同URL参数的数量大于预设数量，则可以确定该地址是否为黑客的目标访问地址，例如，某个URL能够查询到某个账号的在线状态，其URL参数就可以指定账号ID，那么黑客只要对该URL进行账号ID的遍历，便能查到所有账号的在线状态。

可选地，图4是根据本申请实施例的另一种可选的网页漏洞的检测方法的流程示意图，如图4所示，获取访问网页服务器所产生的访问记录包括：

步骤S402，采集网页服务器的访问请求，其中，访问请求包含请求方请求访问网页服务器中多个访问对象的请求。

可选地，本申请上述步骤S402中，网页服务器在获得访问请求(request)后，可以发送至服务器端(server-side)能够处理访问请求的程序，此程序可以从数据库或文本文件(flat file)中查找到该访问请求所指向的访问对象。

步骤S404，从访问请求中，提取预设字段的字段信息。

可选地，本申请上述步骤S404中，字段(field)信息可以包括字段注释、字段类型等。

步骤S406，保存字段信息生成访问记录。

可选地，本申请上述步骤S406中，为了便于后续的网页漏洞的检测，可以将日志文件中的每条日志按字段进行分割，然后存储至数据库中。

可选地，预设字段包括下述至少之一：请求方的地址、请求方请求访问网页服务器的请求时间、请求访问的统一资源定位符URL地址以及请求的统一资源定位符URL参数。

具体地，该请求方的地址可以用于定位请求方，该请求方请求访问网页服务器的请求时间可以用于定位请求频率，该请求访问的统一资源定位符URL地址可以用于定位最终发现的漏洞地址。例如，某个网页服务器记录的某条日志为：30.10.25.19--[04/Feb/2016:16:14:29]"GET/api/v1/counting？type＝handled HTTP/1.1"200 116"Mozilla/5.0"，通过解析该条日志可以确定，请求方的地址为30.10.25.19；请求方请求访问网页服务器的请求时间为04/Feb/2016:16:14:29；请求访问的统一资源定位符URL(UniformResource Locator，统一资源定位符)地址为/api/v1/counting；请求的统一资源定位符URL参数为type＝handled。

可选地，图5是根据现有技术中的一种可选的网页漏洞的检测方法的流程示意图，如图5所示，该网页漏洞的检测方法包括：

步骤S502，采集在线服务的访问记录；

步骤S504，访问记录入库；

步骤S506，使用已知漏洞攻击库进行扫描；

步骤S508，发现被黑客入侵的漏洞。

具体地，执行步骤S502至步骤S508虽然能够实现对漏洞的主动检测，但是只能从已知漏洞的角度进行检测，若黑客使用了已知漏洞攻击库中没有的攻击手段进行入侵，则已知漏洞攻击库无法确定该种攻击手段是否为黑客入侵。此外，该种检测方法适用于检测在线服务是否被入侵，即检测目的在于确定是否存在漏洞，但却无法检测出已知漏洞或未知漏洞是否被黑客利用，换言之，即使该检测方法发现在线服务中某个已被黑客入侵的漏洞，但在该漏洞修复之前，该检测方法却不能确定黑客是否在某种程度上长时间或间歇性的利用该漏洞。

可选地，图6是根据本申请实施例的又一种可选的网页漏洞的检测方法的流程示意图，如图6所示，该网页漏洞的检测方法包括：

步骤S602，采集在线服务的访问记录；

步骤S604，访问记录入库；

步骤S606，根据黑客利用漏洞的行为特征进行检测；

步骤S608，发现已被黑客利用的漏洞。

具体地，执行步骤S602至步骤S608可以在发现漏洞的基础上，还能够确定该漏洞是否被黑客所利用，有别于步骤S506利用已知漏洞攻击库进行漏洞检测的方式，黑客通过各种入侵手段发现在线服务中一个可利用的漏洞之后，为了能够实现利益最大化，一般会通过编写软件或脚本并使其自动运行的方式来窃取数据。步骤S606根据黑客利用漏洞的行为特征进行检测正是基于黑客的此种程序化行为。此外，该检测方法还包括对数据库中的每条访问记录的多维度过滤，通过对黑客的程序化行为进行漏洞检测，并对数据库中的每条访问记录进行多维度过滤，可以确定过滤所剩的URL地址，即为某种程度或规模上正在或已经被黑客所利用的漏洞。

需要说明的是，发现漏洞和发现漏洞是否被利用是不同的过程，确定漏洞是否被利用对于网页服务器的开发者或维护者而言，无疑具备更高的信息价值，例如，某个网页服务器存在多个漏洞正在被不同程度的利用，开发者或维护者则更应关注被利用程度较高的漏洞，进而及时修复，避免网页服务器的数据被大量窃取甚至于出现访问瘫痪。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本申请各个实施例所述的方法。

实施例2

根据本申请实施例，还提供了一种用于实施上述网页漏洞的检测方法的网页漏洞的检测装置，如图7所示，该装置包括：获取单元701、检测单元703、确定单元705。

其中，获取单元701，用于获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；检测单元703，用于基于与漏洞相应的行为特征，对访问记录进行检测；确定单元705，用于若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。

此处需要说明的是，上述获取单元701、检测单元703、确定单元705对应于实施例一中的步骤S202至步骤S206，三个单元与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述单元作为装置的一部分可以运行在实施例一提供的计算机终端10中。

采用本申请上述实施例，通过获取访问网页服务器所产生的访问记录，进而基于与漏洞相应的行为特征对访问记录进行检测，达到了确定访问记录中存在的与该行为特征匹配的访问地址为漏洞地址的目的，从而实现了降低网页漏洞检测的难度和成本、增强网页漏洞检测的可靠性和合理性、提升网页漏洞检测的效率和准确率的技术效果，进而解决了现有技术中网页漏洞的检测效率较低的技术问题。

可选地，如图8所示，检测单元703可以包括：检测子单元801。

其中，检测子单元801，用于检测访问记录中与漏洞的行为特征匹配的访问地址，其中，访问地址包含访问频率超过访问阈值、且每次访问时包含不同URL参数的统一资源定位符URL地址。

此处需要说明的是，上述检测子单元801对应于实施例一中的步骤S202至步骤S10，该子单元与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述子单元作为装置的一部分可以运行在实施例一提供的计算机终端10中。

可选地，如图9所示，检测子单元801可以包括：第一处理模块901、第二处理模块903。

其中，第一处理模块901，用于根据请求方的地址、请求访问的目标URL地址和请求时间，从访问记录中过滤出访问频率高于访问阈值的第一记录；第二处理模块903，用于根据请求方的地址、请求访问的目标URL地址和目标URL地址包含的URL参数，从第一记录中过滤出每次访问时包含不同URL参数的访问地址。

此处需要说明的是，上述第一处理模块901、第二处理模块903对应于实施例一中的步骤S20至步骤S30，两个模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部分可以运行在实施例一提供的计算机终端10中。

可选地，如图10所示，第一处理模块901可以包括：统计子模块1001、第一处理子模块1003、第二处理子模块1005。

其中，统计子模块1001，用于统计访问记录中记录的地址映射关系的数量，地址映射关系包含请求方的地址和请求访问的目标URL地址的映射关系；第一处理子模块1003，用于从访问记录中，过滤出地址映射关系的数量在预设数值范围内的第三记录；第二处理子模块1005，用于从第三记录中，过滤出请求时间在预设时长内的第一记录。

此处需要说明的是，上述统计子模块1001、第一处理子模块1003、第二处理子模块1005对应于实施例一中的步骤S302至步骤S306，三个子模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述子模块作为装置的一部分可以运行在实施例一提供的计算机终端10中。

可选地，如图11所示，第二处理模块903可以包括：第三处理子模块1101。

其中，第三处理子模块1101，用于从第一记录中包含相同请求方的地址和目标URL地址的记录中，过滤出包含不同URL参数的数量大于预设数量的第二记录。

此处需要说明的是，上述第三处理子模块1101对应于实施例一中的步骤S40，该子模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述子模块作为装置的一部分可以运行在实施例一提供的计算机终端10中。

可选地，如图12所示，获取单元701可以包括：采集子单元1201、提取子单元1203、保存子单元1205。

其中，采集子单元1201，用于采集网页服务器的访问请求，其中，访问请求包含请求方请求访问网页服务器中多个访问对象的请求；提取子单元1203，用于从访问请求中，提取预设字段的字段信息；保存子单元1205，用于保存字段信息生成访问记录。

此处需要说明的是，上述采集子单元1201、提取子单元1203、保存子单元1205对应于实施例一中的步骤S402至步骤S406，三个子单元与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例一所公开的内容。需要说明的是，上述子单元作为装置的一部分可以运行在实施例一提供的计算机终端10中。

可选地，预设字段包括下述至少之一：请求方的地址、请求方请求访问网页服务器的请求时间、请求访问的统一资源定位符URL地址以及请求的统一资源定位符URL参数。

实施例3

本申请的实施例可以提供一种计算机终端，该计算机终端可以是计算机终端群中的任意一个计算机终端设备。可选地，在本实施例中，上述计算机终端也可以替换为移动终端等终端设备。

可选地，在本实施例中，上述计算机终端可以位于计算机网络的多个网络设备中的至少一个网络设备。

在本实施例中，上述计算机终端可以执行网页漏洞的检测方法中以下步骤的程序代码：获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；基于与漏洞相应的行为特征，对访问记录进行检测；若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。

采用本申请上述实施例，通过获取访问网页服务器所产生的访问记录，进而基于与漏洞相应的行为特征对访问记录进行检测，达到了确定访问记录中存在的与该行为特征匹配的访问地址为漏洞地址的目的，从而实现了降低网页漏洞检测的难度和成本、增强网页漏洞检测的可靠性和合理性、提升网页漏洞检测的效率和准确率的技术效果，进而解决了现有技术中网页漏洞的检测效率较低的技术问题。

可选地，图13是根据本申请实施例的一种计算机终端的结构框图。如图13所示，该计算机终端A可以包括：一个或多个(图中仅示出一个)处理器1301、存储器1303以及传输装置1305。

其中，存储器1303可用于存储软件程序以及模块，如本申请实施例中的网页漏洞的检测方法和装置对应的程序指令/模块，处理器1301通过运行存储在存储器1303内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的网页漏洞的检测方法。存储器1303可包括高速随机存储器，还可以包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器1303可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至终端A。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

上述的传输装置1305用于经由一个网络接收或者发送数据。上述的网络具体实例可包括有线网络及无线网络。在一个实例中，传输装置1305包括一个网络适配器(NetworkInterface Controller，NIC)，其可通过网线与其他网络设备与路由器相连从而可与互联网或局域网进行通讯。在一个实例中，传输装置1305为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

其中，具体地，存储器1303用于存储预设动作条件和预设权限用户的信息、以及应用程序。

处理器1301可以通过传输装置1305访问存储器1303存储的信息及应用程序，以执行下述步骤：获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；基于与漏洞相应的行为特征，对访问记录进行检测；若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。

可选的，上述处理器1301还可以执行如下步骤的程序代码：检测访问记录中与漏洞的行为特征匹配的访问地址，其中，访问地址包含访问频率超过访问阈值、且每次访问时包含不同URL参数的统一资源定位符URL地址。

可选的，上述处理器1301还可以执行如下步骤的程序代码：根据请求方的地址、请求访问的目标URL地址和请求时间，从访问记录中过滤出访问频率高于访问阈值的第一记录；根据请求方的地址、请求访问的目标URL地址和目标URL地址包含的URL参数，从第一记录中过滤出每次访问时包含不同URL参数的访问地址。

可选的，上述处理器1301还可以执行如下步骤的程序代码：统计访问记录中记录的地址映射关系的数量，地址映射关系包含请求方的地址和请求访问的目标URL地址的映射关系；从访问记录中，过滤出地址映射关系的数量在预设数值范围内的第三记录；从第三记录中，过滤出请求时间在预设时长内的第一记录。

可选的，上述处理器1301还可以执行如下步骤的程序代码：从第一记录中包含相同请求方的地址和目标URL地址的记录中，过滤出包含不同URL参数的数量大于预设数量的第二记录。

可选的，上述处理器1301还可以执行如下步骤的程序代码：采集网页服务器的访问请求，其中，访问请求包含请求方请求访问网页服务器中多个访问对象的请求；从访问请求中，提取预设字段的字段信息；保存字段信息生成访问记录。

本领域普通技术人员可以理解，图13所示的结构仅为示意，计算机终端也可以是智能手机(如Android手机、iOS手机等)、平板电脑、掌声电脑以及移动互联网设备(MobileInternet Devices，MID)、PAD等终端设备。图13其并不对上述电子装置的结构造成限定。例如，计算机终端A还可包括比图13中所示更多或者更少的组件(如网络接口、显示装置等)，或者具有与图13所示不同的配置。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(Read-Only Memory，ROM)、随机存取器(RandomAccess Memory，RAM)、磁盘或光盘等。

实施例4

本申请的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的网页漏洞的检测方法所执行的程序代码。

可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：获取访问网页服务器所产生的访问记录，其中，访问记录中包括访问地址；基于与漏洞相应的行为特征，对访问记录进行检测；若访问记录中存在与行为特征匹配的访问地址，则确定访问地址为漏洞地址。

采用本申请上述实施例，通过获取访问网页服务器所产生的访问记录，进而基于与漏洞相应的行为特征对访问记录进行检测，达到了确定访问记录中存在的与该行为特征匹配的访问地址为漏洞地址的目的，从而实现了降低网页漏洞检测的难度和成本、增强网页漏洞检测的可靠性和合理性、提升网页漏洞检测的效率和准确率的技术效果，进而解决了现有技术中网页漏洞的检测效率较低的技术问题。

此处需要说明的是，上述计算机终端群中的任意一个可以与网站服务器和扫描器建立通信关系，扫描器可以扫描计算机终端上php执行的web应用程序的值命令。

上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (12)

1.一种网页漏洞的检测方法，其特征在于，包括：

获取访问网页服务器所产生的访问记录，其中，所述访问记录中包括访问地址；

基于与漏洞相应的行为特征，对所述访问记录进行检测；

若所述访问记录中存在与所述行为特征匹配的访问地址，则确定所述访问地址为漏洞地址；

所述基于与漏洞相应的行为特征，对所述访问记录进行检测包括：检测所述访问记录中与所述漏洞的行为特征匹配的访问地址，其中，所述访问地址包含访问频率超过访问阈值、且每次访问时包含不同URL参数的统一资源定位符URL地址。

2.根据权利要求1所述的方法，其特征在于，所述检测所述访问记录中与所述漏洞的行为特征匹配的访问地址包括：

根据请求方的地址、请求访问的目标URL地址和请求时间，从所述访问记录中过滤出访问频率高于所述访问阈值的第一记录；

根据所述请求方的地址、请求访问的目标URL地址和所述目标URL地址包含的URL参数，从所述第一记录中过滤出每次访问时包含不同URL参数的所述访问地址。

3.根据权利要求2所述的方法，其特征在于，所述根据请求方的地址、请求访问的目标URL地址和请求时间，从所述访问记录中过滤出访问频率高于所述访问阈值的第一记录包括：

统计所述访问记录中记录的地址映射关系的数量，所述地址映射关系包含请求方的地址和请求访问的目标URL地址的映射关系；

从所述访问记录中，过滤出地址映射关系的数量在预设数值范围内的第三记录；

从所述第三记录中，过滤出所述请求时间在预设时长内的所述第一记录。

4.根据权利要求3所述的方法，其特征在于，所述根据所述请求方的地址、请求访问的目标URL地址和所述目标URL地址包含的URL参数，从所述第一记录中过滤出每次访问时包含不同URL参数的所述访问地址包括：

从所述第一记录中包含相同所述请求方的地址和所述目标URL地址的记录中，过滤出包含不同URL参数的数量大于预设数量的第二记录。

5.根据权利要求1所述的方法，其特征在于，所述获取访问网页服务器所产生的访问记录包括：

采集所述网页服务器的访问请求，其中，所述访问请求包含请求方请求访问所述网页服务器中多个访问对象的请求；

从所述访问请求中，提取预设字段的字段信息；

保存所述字段信息生成所述访问记录。

6.根据权利要求5所述的方法，其特征在于，所述预设字段包括下述至少之一：所述请求方的地址、所述请求方请求访问所述网页服务器的请求时间、请求访问的统一资源定位符URL地址以及请求的统一资源定位符URL参数。

7.一种网页漏洞的检测装置，其特征在于，包括：

获取单元，用于获取访问网页服务器所产生的访问记录，其中，所述访问记录中包括访问地址；

检测单元，用于基于与漏洞相应的行为特征，对所述访问记录进行检测；

确定单元，用于若所述访问记录中存在与所述行为特征匹配的访问地址，则确定所述访问地址为漏洞地址；

所述检测单元包括：检测子单元，用于检测所述访问记录中与所述漏洞的行为特征匹配的访问地址，其中，所述访问地址包含访问频率超过访问阈值、且每次访问时包含不同URL参数的统一资源定位符URL地址。

8.根据权利要求7所述的装置，其特征在于，所述检测子单元包括：

第一处理模块，用于根据请求方的地址、请求访问的目标URL地址和请求时间，从所述访问记录中过滤出访问频率高于所述访问阈值的第一记录；

第二处理模块，用于根据所述请求方的地址、请求访问的目标URL地址和所述目标URL地址包含的URL参数，从所述第一记录中过滤出每次访问时包含不同URL参数的所述访问地址。

9.根据权利要求8所述的装置，其特征在于，所述第一处理模块包括：

统计子模块，用于统计所述访问记录中记录的地址映射关系的数量，所述地址映射关系包含请求方的地址和请求访问的目标URL地址的映射关系；

第一处理子模块，用于从所述访问记录中，过滤出地址映射关系的数量在预设数值范围内的第三记录；

第二处理子模块，用于从所述第三记录中，过滤出所述请求时间在预设时长内的所述第一记录。

10.根据权利要求8所述的装置，其特征在于，所述第二处理模块包括：

第三处理子模块，用于从所述第一记录中包含相同所述请求方的地址和所述目标URL地址的记录中，过滤出包含不同URL参数的数量大于预设数量的第二记录。

11.根据权利要求7所述的装置，其特征在于，所述获取单元包括：

采集子单元，用于采集所述网页服务器的访问请求，其中，所述访问请求包含请求方请求访问所述网页服务器中多个访问对象的请求；

提取子单元，用于从所述访问请求中，提取预设字段的字段信息；

保存子单元，用于保存所述字段信息生成所述访问记录。

12.根据权利要求11所述的装置，其特征在于，所述预设字段包括下述至少之一：所述请求方的地址、所述请求方请求访问所述网页服务器的请求时间、请求访问的统一资源定位符URL地址以及请求的统一资源定位符URL参数。

Images