CN110222510A - 一种漏洞检测方法、装置及计算机系统 - Google Patents

Abstract

本申请实施例公开了一种漏洞检测方法、装置及计算机系统，其中方法包括：选择需要验证的漏洞及该相应的设备；确定该漏洞需要的输入参数；获取该漏洞的验证插件的类型；如果漏洞的验证插件的类型为脚本检测模式，则执行脚本检测过程，如果漏洞的验证插件的类型为标识符检测模式，则执行标识符检测过程；所述脚本检测过程包括：加载漏洞的验证插件文件；判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；调用所述验证插件文件中的验证方法完成漏洞验证。

Description

一种漏洞检测方法、装置及计算机系统

技术领域

本申请涉及信息安全领域，特别是涉及一种漏洞检测方法、装置及计算机系统。

背景技术

漏洞检测通过漏洞扫描和持续监控来发现网站的安全隐患。支持系统漏洞扫描和web漏洞扫描。涵括CVE、OWASP各种漏洞类型，上千种检测策略。支持多种网站服务器架构的安全检测，深入多种网站架设平台及网站开发种类。

目前有一些开源的漏洞检测框架可以提供模板进行相关插件检测脚本的开发，比如Pocsuite是由知道创宇404实验室打造的一款开源的远程漏洞测试框架可以直接使用进行漏洞的验证与利用，OpenVAS是开放式漏洞评估系统括一套网络漏洞测试程序，可以检测远程系统和应用程序中的安全问题，PLCScan是由国外组织开发的一款扫描工具，用于识别网上的PLC设备和其他Modbus设备等众多的漏洞模块开发框架，Fuxi-Scanner开源的网络安全检测工具，适用于中小型企业对企业信息系统进行安全巡航检测。

开源的漏洞检测框架众多也就造成了对于漏洞扫描部分没有统一的格式和标准。Pocsuite使用的是python2.7的环境编写，虽然有标准的漏洞描述信息和漏洞验证信息代码，但是移植到使用更加广泛的python3中还是修改众多代码；OpenVAS作为Nessus的子工具使用c开发，但是使用的依赖众多使用繁琐；PLCScan该工具由Python编写，但是其检测两个端口TCP/102和TCP/502，如果发现这两个端口开放，会调用其他函数来进行更深层次的检测，主要用于识别网上的PLC设备和其他Modbus设备，使用范围相对局限。

发明内容

本申请提供了一种用于漏洞检测方法、装置及计算机系统，能够解决上述现有技术中的技术问题。

为实现上述目的，本发明一方面提供一种漏洞检测方法，包括：

选择需要验证的漏洞及该相应的设备；

确定该漏洞需要的输入参数；

获取该漏洞的验证插件的类型；

如果漏洞的验证插件的类型为脚本检测模式，则执行脚本检测过程，如果漏洞的验证插件的类型为标识符检测模式，则执行标识符检测过程；

所述脚本检测过程包括：

加载漏洞的验证插件文件；

判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

调用所述验证插件文件中的验证方法完成漏洞验证。

在一个优选的实施例中，包括：

所述标识符检测模式为JSON检测模式。

在一个优选的实施例中，所述获取该漏洞的验证插件的类型包括：获取该漏洞的验证插件的名称后缀名，如果后缀名包括包含标识符检测模式对应的信息，则漏洞的验证插件的类型为标识符检测模式，否则漏洞的验证插件的类型为脚本验证模式。

在一个优选的实施例中，所述插件文件的详细信息与插件文件的验证方法分别存储在不同的模块中。

在一个优选的实施例中，该方法还包括：

当判断出验证插件文件不在插件库中时，添加该插件文件的详细信息以及验证方法。

本发明另一方面还提供一种漏洞检测装置，所述装置包括：

漏洞确定单元，用于确定需要验证的漏洞及该相应的设备；

参数确定单元，用于确定该漏洞需要的输入参数；

插件类型获取单元，用于判断该漏洞的验证插件的类型；

脚本检测单元，用于在漏洞的验证插件的类型为脚本检测模式时执行脚本检测过程；

标识符检测单元，用于在漏洞的验证插件的类型为标识符检测模式时执行标识符检测过程；

所述脚本检测单元包括：

插件文件加载单元，用于加载漏洞的验证插件文件；

判断单元，用于判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

漏洞验证单元，用于调用所述验证插件文件中的验证方法完成漏洞验证。

在一个优选的实施例中，所述插件类型获取单元，具体用于获取该漏洞的验证插件的名称后缀名，如果后缀名包括包含标识符检测模式对应的信息，则判断漏洞的验证插件的类型为标识符检测模式，否则判断漏洞的验证插件的类型为脚本验证模式。

在一个优选的实施例中，所述插件文件的详细信息与插件文件的验证方法分别存储在不同的模块中。

在一个优选的实施例中，所述判断单元还用于当判断出验证插件文件不在插件库中时，从文件库外添加该插件文件的详细信息以及标准化后的验证方法并分别存储。

本发明再一方面还提供一种计算机系统，包括：

一个或多个处理器；以及

与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：

选择需要验证的漏洞及该相应的设备；

确定该漏洞需要的输入参数；

获取该漏洞的验证插件的类型；

如果漏洞的验证插件的类型为脚本检测模式，则执行脚本检测过程，如果漏洞的验证插件的类型为标识符检测模式，则执行标识符检测过程；

所述脚本检测过程包括：

加载漏洞的验证插件文件；

判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

调用所述验证插件文件中的验证方法完成漏洞验证。

本发明实施例首先将漏洞的检测模式区分为针对Web请求的JSON插件的标识符检测模式和非Web的Python脚本检测模式，然后针对非Web的Python脚本检测模式，预先在文件库中集成了常用的多个漏洞插件，并采用统一格式的POC文件定义插件文件信息和验证方法两个模块分别存储，分别调用的模式。在检测时只需要去文件库调用相应的插件文件信息和验证方法即可。如果文件库中没有，还可以从外部获得该插件数据并分成插件文件信息和验证方法按照本发明定义的格式存储在文件库中。可见本申请适用于多种场景的多种漏洞检测，其检测模式更通用。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的漏洞检测方法的流程示意图；

图2是一种计算机系统的架构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本申请保护的范围。

本发明旨在提供一种漏洞检测的方案，首先将漏洞的检测模式区分为针对Web请求的JSON插件的标识符检测模式和非Web的Python脚本检测模式，然后针对非Web的Python脚本检测模式，预先在文件库中集成了常用的多个漏洞插件，并采用统一格式的POC文件定义插件文件信息和验证方法两个模块分别存储，分别调用的模式。在检测时只需要去文件库调用相应的插件文件信息和验证方法即可。如果文件库中没有，还可以从外部获得该插件数据并分成插件文件信息和验证方法按照本发明定义的格式存储在文件库中

图1示出了本发明实施例提供的一种漏洞检测方法的流程示意图，包括如下步骤：

步骤S101：选择需要验证的漏洞及该相应的设备。

该步骤可以通过人工输入的方式选择需要验证的漏洞。

步骤S102：确定该漏洞需要的输入参数。

这些参数可以包括线程数、超时时间、白名单IP等，可以根据具体情况选择不同的参数。

步骤S103：获取该漏洞的验证插件的类型。

本申请中，可以将漏洞的验证插件的类型区分为针对Web请求标识符检测模式和非Web的脚本检测模式。具体的可以是针对Web请求的JSON插件的标识符检测模式和非Web的Python脚本检测模式。

步骤S104：如果漏洞的验证插件的类型为脚本检测模式，则执行脚本检测过程，如果漏洞的验证插件的类型为标识符检测模式，则执行步骤S105示出的标识符检测过程；

所述脚本检测过程包括：

步骤S106：加载漏洞的验证插件文件。该加载过程首先在文件库中进行判断。

步骤S107：判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数。

插件库中预存有POC格式的文件，该文件中集成了多个常见的漏洞插件文件。本发明的，POC中插件文件信息和检测漏洞的验证方法分别独立存储在不同模块中，以进行不同种类匹配的调用。

步骤S108：调用所述验证插件文件中的验证方法完成漏洞验证。

以下以一个具体的实施例详细说明本发明的具体实现。

本实施例可以采用python3的运行环境进行本发明方案的主模块，例如该主模块可以命名为VulScan.py。Vulscan定义了两种开发模式来尽可能简化相关漏洞插件的开发：。针对Web请求的JSON插件只需要通过相关的漏洞信息填写保存成json的文件格式进行相关的手工验证就可以通过标识符检测出存在相关的任意文件读取漏洞，敏感文件泄露，未授权访问文件等通过关键标识符进行验证的漏洞。对应于相关需要通过逻辑验证的Python脚本验证就需要根据漏洞的信息和原理定义get_plugin_info方法定义插件信息和check方法函数检测漏洞。

对于通过标识符检测的JSON的插件定义，如下显示了相关的漏洞信息通过json文档的匹配确认漏洞方式。以svn版本控制器的源代码泄露为例，json插件对于网站开发中使用svn的版本控制器软件在网站目录下的敏感目录进行查找验证，存在网站相关源代码的泄露风险，在其网站的url相关目录下输入/.svn/all-wcprops即可查找到存在此漏洞的网站代码信息：

以下为对代码含义的解释：

vuln_name：漏洞的名称，此例中为svn版本控制器的源代码泄露

vuln_info：漏洞的具体信息描述

vuln_level：漏洞的危险程度，分为低危，中危，高危

vuln_type：漏洞的类型，常见的有信息泄露，弱口令，任意代码执行，远程溢出等

vuln_url：相关的漏洞的详细信息的参考网址

vuln_keyword：漏洞的关键信息，如web，smb，MySQL，weblogic等

vuln_source：代码默认为1

vuln_plugin：漏洞插件检测模块，只有json的通过标识符检测类型才会出现，其中就主要是验证判断了，如本例中的在存在漏洞的网站后面加入/.svn/all-wcprops(www.xxxx.com/.svn/all-wcprops)如果回显出相关的信息就是存在漏洞了。

对于Python检测脚本进行漏洞的检测我们定义的POC的格式代码如下:

进行举例说明脚本的检测格式，插件信息的确认通过定义get_plugin_info方法函数进行确认和匹配，检测漏洞的验证通过check方法函数进行不同方式的验证，这种格式的POC对于插件详细信息和检测漏洞验证代码分离的方式进行了隔离，以供不同方式的调用，下面的例子中说明了Zookeeper的未授权访问验证方式，通过socket的管套连接方式对目标设备已知ip和端口号的情况下进行Zookeeper进行连接验证，其中我们可以先对于本机的Zookeeper进行验证，其中的2181为Zookeeper的指定默认端口：

首先导入socket模块以供进行后面的管套连接方式，定义get_plugin_info()进行漏洞的详细信息的介绍，具体就和上面的通过标识符检测的JSON中的类似，但是缺少了vuln_plugin这个手工验证模块，而是定义了check函数。

check函数就是定义验证方式，本例中Zookeeper访问需要ip,port，同时还有超时时间timeout。

socket.setdefaulttimeout(timeout)：超时时间的定义。

s＝socket.socket(socket.AF_INET,socket.SOCK_STREAM)：创建socket对象。

s.connect((ip,int(port)))：根据ip和port对于socket对象建立连接。

flag＝"envi"

s.send(flag)：建立连接后发送数据

data＝s.recv(1024)：发送完数据后接收数据

s.close()：连接完成后关闭socket

defmain():

ip＝"127.0.0.1"

print check(ip,2181,2)

if__name__＝＝'__main__':

main()：使用本机的Zookeeper进行实验验证是否存在漏洞。

对于上述的两种不同方式的JSON插件或者Python检测脚本的检测判断和分离确认通过以下的方式进行分离判断：

其中，if'.json'in self.plugin_info['filename']:：代码判断如果文件是.json文件验证就是json通关相关的关键标识符手工验证方式(json通关相关的关键标识符手工验证代码文件是.json文件，poc脚本的验证代码是.py文件)执行下面的try代码。否则就执行else下的代码，其中就是poc脚本的验证方式，包括文件名的导入，弱口令密码的导入，验证脚本的执行等操作。

通过以上的验证方式的判断就可以进行基本的JSON插件或者Python检测脚本的检测方式的判断和分离操作，以方便程序和漏洞验证人员更有针对性的进行相关漏洞的验证工作。

本发明实施例通过对设备漏洞发现和检测模块的调用与改进，实现了在所需的平台中添加漏洞检验的功能，编写插件脚本验证漏洞的格式和Pocsuite相似，根据漏洞的信息和原理定义get_plugin_info方法定义插件信息和check方法函数检测漏洞，同时可以支持python3中的众多库，在优选的实施例中改进了在python3中已经不再使用的urllib2和thread转而使用urllib和_thread等更加高效方便使用，集成了众多常用的漏洞验证脚本。对于不常用的漏洞可以直接到相关的漏洞脚本检测发布网站查看是否存在验证的POC，把漏洞的基本信息填写入get_plugin_info()方法中，把漏洞的验证方式进行格式修改，导入相关需要的函数库后进行漏洞的验证方法编写在check()方法中就可以直接在设备漏洞发现和检测模块中使用自己修改的验证脚本了实现自己的POC验证漏洞脚本了。插件信息的确认通过定义get_plugin_info方法函数进行确认和匹配，检测漏洞的验证通过check方法函数进行不同方式的验证以达到插件信息和检测漏洞代码分离的细化和完善。

本申请实施例还提供了一种漏洞检测装置，所述装置包括：

漏洞确定单元，用于确定需要验证的漏洞及该相应的设备；

参数确定单元，用于确定该漏洞需要的输入参数；

插件类型获取单元，用于判断该漏洞的验证插件的类型；

脚本检测单元，用于在漏洞的验证插件的类型为脚本检测模式时执行脚本检测过程；

标识符检测单元，用于在漏洞的验证插件的类型为标识符检测模式时执行标识符检测过程；

所述脚本检测单元包括：

插件文件加载单元，用于加载漏洞的验证插件文件；

判断单元，用于判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

漏洞验证单元，用于调用所述验证插件文件中的验证方法完成漏洞验证。

在一个优选的实施例中，所述插件类型获取单元，具体用于获取该漏洞的验证插件的名称后缀名，如果后缀名包括包含标识符检测模式对应的信息，则判断漏洞的验证插件的类型为标识符检测模式，否则判断漏洞的验证插件的类型为脚本验证模式。

在一个优选的实施例中，所述插件文件的详细信息与插件文件的验证方法分别存储在不同的模块中。

在一个优选的实施例中，所述判断单元还用于当判断出验证插件文件不在插件库中时，从文件库外添加该插件文件的详细信息以及标准化后的验证方法并分别存储。

本申请实施例还提供了一种计算机系统，包括：

一个或多个处理器；以及

与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：

选择需要验证的漏洞及该相应的设备；

确定该漏洞需要的输入参数；

获取该漏洞的验证插件的类型；

如果漏洞的验证插件的类型为脚本检测模式，则执行脚本检测过程，如果漏洞的验证插件的类型为标识符检测模式，则执行标识符检测过程；

所述脚本检测过程包括：

加载漏洞的验证插件文件；

判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

调用所述验证插件文件中的验证方法完成漏洞验证。

其中，图2示例性的展示出了计算机系统的架构，具体可以包括处理器1510，视频显示适配器1511，磁盘驱动器1512，输入/输出接口1513，网络接口1514，以及存储器1520。上述处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520之间可以通过通信总线1530进行通信连接。

其中，处理器1510可以采用通用的CPU(Central Processing Unit，中央处理器)、微处理器、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路等方式实现，用于执行相关程序，以实现本申请所提供的技术方案。

存储器1520可以采用ROM(Read Only Memory，只读存储器)、RAM(Random AccessMemory，随机存取存储器)、静态存储设备，动态存储设备等形式实现。存储器1520可以存储用于控制计算机系统1500运行的操作系统1521，用于控制计算机系统1500的低级别操作的基本输入输出系统(BIOS)。另外，还可以存储网页浏览器1523，数据存储管理系统1524，以及图标字体处理系统1525等等。上述图标字体处理系统1525就可以是本申请实施例中具体实现前述各步骤操作的应用程序。总之，在通过软件或者固件来实现本申请所提供的技术方案时，相关的程序代码保存在存储器1520中，并由处理器1510来调用执行。

输入/输出接口1513用于连接输入/输出模块，以实现信息输入及输出。输入输出/模块可以作为组件配置在设备中(图中未示出)，也可以外接于设备以提供相应功能。其中输入设备可以包括键盘、鼠标、触摸屏、麦克风、各类传感器等，输出设备可以包括显示器、扬声器、振动器、指示灯等。

网络接口1514用于连接通信模块(图中未示出)，以实现本设备与其他设备的通信交互。其中通信模块可以通过有线方式(例如USB、网线等)实现通信，也可以通过无线方式(例如移动网络、WIFI、蓝牙等)实现通信。

总线1530包括一通路，在设备的各个组件(例如处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，与存储器1520)之间传输信息。

另外，该计算机系统1500还可以从虚拟资源对象领取条件信息数据库1541中获得具体领取条件的信息，以用于进行条件判断，等等。

需要说明的是，尽管上述设备仅示出了处理器1510、视频显示适配器1511、磁盘驱动器1512、输入/输出接口1513、网络接口1514，存储器1520，总线1530等，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本申请方案所必需的组件，而不必包含图中所示的全部组件。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，云服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上对本申请所提供的数据处理方法、装置及设备，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种漏洞检测方法，其特征在于，包括：

确定需要验证的漏洞及该相应的设备；

确定该漏洞需要的输入参数；

获取该漏洞的验证插件的类型；

如果漏洞的验证插件的类型为脚本检测模式，则执行脚本检测过程，如果漏洞的验证插件的类型为标识符检测模式，则执行标识符检测过程；

所述脚本检测过程包括：

加载漏洞的验证插件文件；

判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

调用所述验证插件文件中的验证方法完成漏洞验证。

2.如权利要求1所述的方法，其特征在于，包括：

所述标识符检测模式为JSON检测模式；

所述脚本检测过程为Python脚本检测模式。

3.如权利要求1所述的方法，其特征在于，所述获取该漏洞的验证插件的类型包括：获取该漏洞的验证插件的名称后缀名，如果后缀名包括包含标识符检测模式对应的信息，则漏洞的验证插件的类型为标识符检测模式，否则漏洞的验证插件的类型为脚本验证模式。

4.如权利要求1所述的方法，其特征在于，所述插件文件的详细信息与插件文件的验证方法分别存储在不同的模块中。

5.如权利要求1所述的方法，其特征在于，该方法还包括：

当判断出验证插件文件不在插件库中时，添加该插件文件的详细信息以及标准化后的验证方法并分别存储。

6.一种漏洞检测装置，其特征在于，所述装置包括：

漏洞确定单元，用于确定需要验证的漏洞及该相应的设备；

参数确定单元，用于确定该漏洞需要的输入参数；

插件类型获取单元，用于判断该漏洞的验证插件的类型；

脚本检测单元，用于在漏洞的验证插件的类型为脚本检测模式时执行脚本检测过程；

标识符检测单元，用于在漏洞的验证插件的类型为标识符检测模式时执行标识符检测过程；

所述脚本检测单元包括：

插件文件加载单元，用于加载漏洞的验证插件文件；

判断单元，用于判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

漏洞验证单元，用于调用所述验证插件文件中的验证方法完成漏洞验证。

7.如权利要求6所述的装置，其特征在于，所述插件类型获取单元，具体用于获取该漏洞的验证插件的名称后缀名，如果后缀名包括包含标识符检测模式对应的信息，则判断漏洞的验证插件的类型为标识符检测模式，否则判断漏洞的验证插件的类型为脚本验证模式。

8.如权利要求6所述的装置，其特征在于，所述插件文件的详细信息与插件文件的验证方法分别存储在不同的模块中。

9.如权利要求6所述的装置，其特征在于，所述判断单元还用于当判断出验证插件文件不在插件库中时，从文件库外添加该插件文件的详细信息以及标准化后的验证方法并分别存储。

10.一种计算机系统，其特征在于，包括：

一个或多个处理器；以及

与所述一个或多个处理器关联的存储器，所述存储器用于存储程序指令,所述程序指令在被所述一个或多个处理器读取执行时，执行如下操作：

选择需要验证的漏洞及该相应的设备；

确定该漏洞需要的输入参数；

获取该漏洞的验证插件的类型；

如果漏洞的验证插件的类型为脚本检测模式，则执行脚本检测过程，如果漏洞的验证插件的类型为标识符检测模式，则执行标识符检测过程；

所述脚本检测过程包括：

加载漏洞的验证插件文件；

判断所述验证插件文件是否在插件库中，如果在插件库中，则调用该插件文件并传递所述漏洞需要的输入参数；

调用所述验证插件文件中的验证方法完成漏洞验证。