CN110532779A - 一种漏洞检测的方法、装置、终端及存储介质 - Google Patents

Abstract

本发明实施例涉及信息安全技术领域，公开了一种漏洞检测的方法、装置、终端及存储介质。本发明中漏洞检测的方法，包括：根据获取的被测服务器中待测位置的信息，构建所述待测位置的检测请求，构建待测位置的检测请求；向被测服务器发送检测请求；若在预设的端口检测到被测服务器发送的回环请求，则根据回环请求生成包括漏洞位置信息的检测报告，回环请求为被测服务器的漏洞被检测请求触发后，基于检测请求所携带的待测位置的信息生成；若接收到被测服务器基于检测请求返回的响应，则根据响应生成被测服务器的检测报告。本实施方式，能够准确、快速地检测出被测服务器的漏洞，提升了漏洞检测的效率。

Description

一种漏洞检测的方法、装置、终端及存储介质

技术领域

本发明实施例涉及信息安全技术领域，特别涉及一种漏洞检测的方法、装置、终端及存储介质。

背景技术

可扩展标记语言(Extensible Markup Language，简称“XML”)，是一种用于标记电子文件使其具有结构性的标记语言，被设计用来传输和存储数据。

XML外部实体注入漏洞(XML External Entity Injection，简称“XXE”)，是存在于应用程序的常见漏洞之一。具体的，XXE漏洞通常是应用程序在处理XML格式数据时，没有禁止外部实体的加载，导致带有恶意攻击的参数覆盖或添加XML文件中数据结构的参数，恶意参数被服务器存储或解析，导致服务器遭受攻击，例如：任意文件的读取、目录遍历、命令执行、内网端口扫描、攻击内网网站、发起磁盘操作系统(Disk Operating System简称“Dos”)攻击等危害。可见检测XXE漏洞的重要性。

发明人发现相关技术中至少存在如下问题：目前通常由专业的安全工程师手动向被测系统发送XML格式的请求或者在被测系统的上传文件处提交XML格式的内容的文件，然后人工查看是否有回显结果，根据回显结果，判断是否成功读取到指定的外部文件内容，并基于此确定该被测系统是否存在XXE漏洞，但是，大部分的XXE漏洞不会有回显，那么该检测方法将无法确定被测系统是否存在XXE漏洞。

发明内容

本发明实施方式的目的在于提供一种漏洞检测的方法、装置、终端及存储介质，能够准确、快速地检测出被测服务器的漏洞，提升了漏洞检测的效率。

为解决上述技术问题，本发明的实施方式提供了一种漏洞检测的方法，包括：根据获取的被测服务器中待测位置的信息，构建待测位置的检测请求；向被测服务器发送检测请求；若在预设的端口检测到被测服务器发送的回环请求，则根据回环请求生成包括漏洞位置信息的检测报告，回环请求为被测服务器的漏洞被检测请求触发后，基于检测请求所携带的待测位置的信息生成；若接收到被测服务器基于检测请求返回的响应，则根据响应生成被测服务器的检测报告。

本发明的实施方式还提供了一种漏洞检测的装置，包括：构建模块、请求发送模块以及检测报告生成模块；构建模块用于根据获取的被测服务器中待测位置的信息，构建待测位置的检测请求；请求发送模块用于向被测服务器发送检测请求；检测报告生成模块用于，若在预设的端口检测到被测服务器发送的回环请求，则根据回环请求生成包括漏洞位置信息的检测报告，回环请求为被测服务器的漏洞被检测请求触发后，基于检测请求所携带的待测位置的信息生成；以及用于若接收到被测服务器基于检测请求返回的响应，则根据响应生成被测服务器的检测报告。

本发明的实施方式还提供了一种终端，包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行上述的漏洞检测的方法。

本发明的实施方式还提供了一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时实现上述的漏洞检测的方法。

本发明实施方式相对于现有技术而言，通过构建待测位置的检测请求，并向被测服务器发送该检测请求；由于构建了待测位置的检测请求，无需人工设置检测请求；降低了人工成本，若在预设的端口检测到被测服务器发送的回环请求，则根据该回环请求生成包括漏洞位置信息的检测报告，若直接接收到被测服务器基于检测请求返回的响应，由于响应中会携带被测服务器的漏洞的位置信息，可以根据该被测服务器的漏洞的位置信息生成该被测服务器的检测报告；由于漏洞检测过程中无需人工发送检测请求，且自动生成检测报告，降低了检测成本；同时，由于无回显的XXE漏洞在被触发后，不会向发送检测请求的服务端返回响应，而本实施方式通过在预测端口检测回环请求，即可实现对XXE漏洞的检测，提高了漏洞检测的准确性，同时也提高了漏洞检测的效率。

另外，根据回环请求生成包括漏洞位置信息的检测报告，具体包括：提取回环请求中携带的待测位置的信息；将提取的待测位置的信息作为被测服务器的漏洞位置信息；基于漏洞位置信息以及触发漏洞的检测请求，生成被测服务器的检测报告。在待测位置存在无回显漏洞的情况下，会生成回环请求，回环请求是被测服务器根据检测请求生成，因而通过待测位置即可标定出漏洞的位置，从而在接收到回环请求时即可快速确定出漏洞位置，生成被测服务器的检测报告。

另外，在构建待测位置的检测请求之前，漏洞检测的方法还包括：获取被测服务器对应网页的请求数据；检测请求数据中用于请求处理可扩展标记语言XML格式数据的待测请求；针对检测到的每个待测请求进行如下处理：根据待测请求，确定被测服务器的待测位置的信息。由于XXE漏洞通常存在于传输XML格式数据的接口中，基于此可以快速筛选出处理XML格式数据的待测请求，从而快速确定出待测位置的信息。

另外，检测请求数据中用于请求处理可扩展标记语言XML格式数据的待测请求，具体包括：获取请求数据中每条请求的请求信息；在请求信息满足筛选条件后，将请求信息对应的请求作为待测请求，筛选条件为请求头信息、字符串信息或者请求的参数中任意一个或多个包括XML关键字信息。通过筛选条件，可以快速确定出请求数据中的待测请求。

另外，根据待测请求，确定被测服务器的待测位置的信息，具体包括：获取待测请求中待测参数的信息，待测参数为用于指示请求XML格式数据的参数；将待测请求以及待测请求中待测参数的信息作为待测位置的信息。通过待测请求以及该待测请求中的待测参数的信息，可以快速定位出被测服务器的待测位置，定位方式简单、快速。

另外，根据获取的被测服务器中待测位置的信息，构建待测位置的检测请求，具体包括：根据待测请求和待测请求中待测参数的信息，确定待测请求的特征值；将待测请求的特征值和待测请求中待测参数拼接在预设的检测负载的预设位置，检测负载用于模拟外部XML文件，检测负载具有对应的预设触发位置信息，预设触发位置信息用于指示被测服务器访问数据的位置信息；将拼接后的检测负载替换检测请求的待测参数的信息，获得检测请求。由于待测请求的特征值包含了待测位置的信息，将该特征值拼接在检测负载的预设位置，检测负载作为待测参数发送至被测服务器，若被测服务器存在漏洞，将执行该检测负载指示的操作，使得被测服务器会基于特征值生成回环请求，从而将待测位置的信息传送回检测端，实现对漏洞位置的定位，该方法简单、易实现。

另外，根据待测请求和待测请求中待测参数的信息，确定待测请求的特征值，具体包括：拼接待测请求和待测请求中待测参数的信息；将拼接后的信息进行加密，将加密后的值作为待测请求的特征值。加密可以确保回环请求的安全性。

附图说明

一个或多个实施例通过与之对应的附图中的图片进行示例性说明，这些示例性说明并不构成对实施例的限定，附图中具有相同参考数字标号的元件表示为类似的元件，除非有特别申明，附图中的图不构成比例限制。

图1是根据本发明第一实施方式提供的一种漏洞检测的方法的具体流程图；

图2是根据本发明第一实施方式提供的一种构建该待测位置的检测请求的具体实现示意图；

图3是根据本发明第一实施方式提供的一种检测设备与被测服务器交互的示意图；

图4是根据本发明第一实施方式提供的另一种检测设备与被测服务器交互的示意图；

图5是根据本发明第二实施方式提供的一种获取被测服务器中待测位置的信息的具体实现示意图；

图6是根据本发明第三实施方式提供的一种漏洞检测的装置的具体结构示意图；

图7是根据本发明第四实施方式提供的一种终端的具体结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的各实施方式进行详细的阐述。然而，本领域的普通技术人员可以理解，在本发明各实施方式中，为了使读者更好地理解本申请而提出了许多技术细节。但是，即使没有这些技术细节和基于以下各实施方式的种种变化和修改，也可以实现本申请所要求保护的技术方案。

以下各个实施例的划分是为了描述方便，不应对本发明的具体实现方式构成任何限定，各个实施例在不矛盾的前提下可以相互结合相互引用。

发明人发现目前对XXE漏洞进行检测时，由于需要专业的安全工程师进行手动检测，而每个专业工程师测试漏洞的能力不同，导致存在对XXE漏洞的检测不准确或未检测出XXE漏洞的情况，测试效率低。

本发明的第一实施方式涉及一种漏洞检测的方法。该漏洞检测的方法应用于检测装置，如，服务端、电脑等设备。本实施方式中的漏洞检测方法用于检测XXE漏洞，包括回显的XXE漏洞和无回显的XXE漏洞。该漏洞检测的方法的具体步骤如图1所示。

步骤101：根据获取的被测服务器中待测位置的信息，构建待测位置的检测请求。

具体的说，被测服务器的处理XML格式数据的位置若是存在XXE漏洞，则会被检测请求触发，从而执行检测请求中携带的读取文件、目录遍历等恶意操作。被测服务器可以是万维网(World Wide Web，简称“web”)的服务器，还可以是智能终端中应用程序中网页对应的服务器。

可以预先获取该被测服务器中待测位置的信息，其中，待测位置的信息可以是待测请求和待测请求中的待测参数的信息，待测参数为该待测请求中用于指示请求处理XML格式数据的参数。待测请求中通常包括访问数据的路径信息，例如，待测请求为统一资源定位符(Uniform Resource Locator，简称“URL”)。通过待测请求和待测请求中的待测参数的信息，即可快速定位待测位置。该待测位置的信息，可以预先从被测服务器的开发信息中获取。

值得一提的是，被测服务器可以有多个待测位置，待测位置的确定方法还可以采用其他方式，此处不再一一列举。

在获取到该被测服务器中待测位置的信息后，即可构建该待测位置的检测请求。构建该待测位置的检测请求的具体过程如图2所示。

子步骤1011：根据待测请求和待测请求中待测参数的信息，确定待测请求的特征值。

一个具体的实现中，拼接待测请求和待测请求中待测参数的信息；将拼接后的信息进行加密，将加密后的值作为待测请求的特征值。

具体的说，待测请求可以是URL，URL中包括请求的路径以及待测参数的信息(待测参数的信息如：待访问的文件名)，因而，从URL中获取访问的路径的信息以及该待测参数的信息，拼接该待测请求中获取的路径信息和待测参数的信息，可以将拼接后的信息进行加密，如哈希加密等，加密后的值即为该待测请求的特征值，该特征值中包括了待测位置的信息。

子步骤1012：将待测请求的特征值和待测请求中待测参数拼接在预设的检测负载的预设位置，检测负载用于模拟外部XML文件，检测负载具有对应的预设触发位置信息，预设触发位置信息用于指示被测服务器访问数据的位置信息。

具体的说，检测负载用于模拟外部的XML文件，即模拟用于攻击XXE漏洞的恶意文件，在检测负载上预留用于放置拼接数据的预设位置。预设的检测负载可以有多个，也可以为一个，可以根据实际应用进行设置。可以理解的是，由于恶意文件在攻击XXE漏洞时，不知道待访问的数据存放位置，因此，每个检测负载都具有不同的预设触发位置信息，例如，设置了3个预设的检测负载，则该检测负载1的预设触发位置信息为“C盘”，检测负载2的预设触发位置信息为“E盘”，检测负载3的预设触发位置信息为“D盘”。

子步骤1013：将拼接后的检测负载替换待测请求的待测参数的信息，获得检测请求。

具体的说，将拼接后的检测负载替换该待测请求中的待测参数的信息，即可得到该检测请求。例如，待测请求为“http://192.168.1.102/testXML.keyword＝XML”，其中，testXML.keyword为待测参数，XML为该待测参数携带的信息，拼接后的检测负载为payload1，将XML替换为payload1，即检测请求为“http://192.168.1.102/testXML.keyword＝payload1”。

将拼接后的检测负载替换了待测请求中待测参数的信息，当该待测请求发送至被测服务器后，在检测负载触发无回显的漏洞后，被测服务器会根据该检测负载中提供的检测设备的地址发送回环请求，并携带由待测位置的信息构成的特征值，进而实现了对无回显XXE漏洞的精准定位。

步骤102：向被测服务器发送检测请求。

具体的说，将检测请求发送至被测服务器，同时在预设的端口开启监听功能，实时检测是否接收到被测服务器发送的回环请求，若在预设的端口检测到被测服务器发送的回环请求，则执行步骤103，若未检测到，则继续检测。

若该预设的端口未检测到被测服务器发送的回环请求，但检测设备接收到了该被测服务器基于检测请求返回的响应，则执行步骤104；若该预设的端口未检测到被测服务器发送的回环请求，且该检测设备也未收到被测服务器返回的响应，则在预设的端口继续进行检测。

步骤103：若在预设的端口检测到被测服务器发送的回环请求，则根据回环请求生成包括漏洞位置信息的检测报告，回环请求为被测服务器的漏洞被检测请求触发后，基于检测请求所携带的待测位置的信息生成。

具体的说，在被测服务器接收到检测请求后，若存在XXE漏洞，则该被测服务器会执行检测请求中拼接的检测负载中的操作指令，例如：若检测负载的定义的外部实体是“filecontents SYSTEM'file:///etc/passwd”，其中，filecontents为外部实体名，被测服务器将执行该外部实体定义的读取“etc/passwd”位置的数据的操作。一旦该被测服务器被触发执行检测负载的操作指令后，对于无回显的XXE漏洞，会读取该检测负载中的携带的返回请求的地址，该地址通常设置为检测设备的地址，同时回环请求中携带该检测负载中的待测位置的信息。

在预设的端口可以是预设的带外信道端口；若在预设的带外信道端口检测到回环请求，即表明该被测服务器具有无回显的XXE漏洞。

一个具体的实现中，根据回环请求生成包括漏洞位置信息的检测报告的具体过程：提取回环请求中携带的待测位置的信息；将提取的待测位置的信息作为被测服务器的漏洞位置信息；基于漏洞位置信息以及触发漏洞的检测请求，生成被测服务器的检测报告。

具体的说，待测位置的信息即为该被测服务器的漏洞位置信息，同时，根据该待测位置的信息，也可以定位出发送的检测请求，检测报告中可以包括该漏洞的类型，检测请求的信息、漏洞位置的信息等。

为了便于理解接收回环请求，图3为检测设备与被测服务器之间进行的交互示意图。如图3所示，检测设备将检测请求1发送至被测服务器，被测服务器在XXE漏洞被触发后，向检测设备发送回环请求，检测设备根据该回环请求向被测服务器返回响应1。

步骤104：若接收到被测服务器基于检测请求返回的响应，则根据响应生成被测服务器的检测报告。

被测服务器在接收到该检测请求后，若存在回显类型的XXE漏洞，在该漏洞被触发后，则直接向检测设备返回响应，由于是返回的检测请求的响应，响应中会携带该被测服务器的漏洞位置信息，从而可以直接从响应中获取被测服务器的漏洞位置的信息，同时由于接收到的是响应，因而即可确定出该XXE漏洞为回显类型的XXE漏洞，根据该漏洞类型、漏洞位置、以及检测请求，生成检测报告。

为了便于理解接收回环请求，图4为检测设备与被测服务器之间进行的交互示意图。如图4所示，检测设备将检测请求1发送至被测服务器，被测服务器在XXE漏洞被触发后，则直接向检测设备返回响应2。

值得一提的是，检测负载可以有N个，N为大于1的整数，每个检测负载具体各自的预设触发位置信息，则同一个待测位置可以构建出N个检测请求。检测负载的数目越多，同一待测位置的检测请求越多，对该待测位置的检测就越准确。

需要说明的是，由于被测服务器存在多个待测位置，对每个待测位置都执行以上步骤101至步骤104的操作，其中，可以在所有待测位置都完成漏洞检测后，生成该被测服务器的检测报告，也可以每完成一个待测位置的检测，就生成一个检测报告。

本发明实施方式相对于现有技术而言，通过构建待测位置的检测请求，并向被测服务器发送该检测请求；由于构建了待测位置的检测请求，无需人工设置检测请求；降低了人工成本，若在预设的端口检测到被测服务器发送的回环请求，则根据该回环请求生成包括漏洞位置信息的检测报告，若直接接收到被测服务器基于检测请求返回的响应，由于响应中会携带被测服务器的漏洞的位置信息，可以根据该被测服务器的漏洞的位置信息生成该被测服务器的检测报告；由于漏洞检测过程中无需人工发送检测请求，且自动生成检测报告，降低了检测成本；同时，由于无回显的XXE漏洞在被触发后，不会向发送检测请求的服务端返回响应，而本实施方式通过在预测端口检测回环请求，即可实现对XXE漏洞的检测，提高了漏洞检测的准确性，同时也提高了漏洞检测的效率。

本发明的第二实施方式涉及一种漏洞检测的方法，该漏洞检测的方法包括：根据获取的被测服务器中待测位置的信息，构建待测位置的检测请求；向被测服务器发送检测请求；若在预设的端口检测到被测服务器发送的回环请求，则根据回环请求生成包括漏洞位置信息的检测报告，回环请求为被测服务器的漏洞被检测请求触发后，基于检测请求所携带的待测位置的信息生成；若接收到被测服务器基于检测请求返回的响应，则根据响应生成被测服务器的检测报告。

第二实施方式是对第一实施方式的进一步改进，主要改进之处在于：本实施方式中，构建待测位置的检测请求之前，提供另一种获取被测服务器中待测位置的信息的方式。该获取被测服务器中待测位置的信息的过程如图5所示。

步骤201：获取被测服务器对应网页的请求数据。

具体的说，从被测服务器对应网页中可以直接导出请求数据，例如，检测人员可以在网页上随意进行点击操作，即可导出请求数据。检测人员将导出的请求数据输入该检测设备，检测设备获取该请求数据。该请求数据的格式可以为HTTP规范(HTTP Archive，简称“HAR”)，还可以是XML格式。

通过网页获取的请求数据的格式符合标准，更加便于对请求数据进行处理，提高获取待测位置的信息的速度。

步骤202：检测请求数据中用于请求处理可扩展标记语言XML格式数据的待测请求。

对获取的请求数据进行检测，即可快速确定出待测请求。检测的过程为：获取请求数据中每条请求的请求信息；在请求信息满足筛选条件后，将请求信息对应的请求作为待测请求，筛选条件为请求头信息、字符串信息或者请求的参数中任意一个或多个包括XML关键字信息。

具体的说，在请求数据中，并不是所有的接口都用于处理XML格式的数据，而通常请求的请求头信息、字符串信息或者请求的参数会携带XML关键字信息，XML关键字信息可以是“XML”，通过检测XML关键字信息，即可快速地确定出待测请求。由于请求数据中包含很多请求，因而获得多个待测请求。

步骤203：针对检测到的每个待测请求进行如下处理：根据待测请求，确定被测服务器的待测位置的信息。

一个具体的实现中，获取待测请求中待测参数的信息，待测参数为用于指示请求XML格式数据的参数；将待测请求以及待测请求中待测参数的信息作为待测位置的信息。

具体的说，待测请求中通常包括多个参数，而并非每个参数都用于指示请求XML格式数据，可以采用如步骤202类似的方式进行检测出待测参数，如，检测该待测请求中参数的名称是否携带XML关键字信息，若是存在，则该参数为待测参数，否则，不是待测参数。由于在待测请求中，根据待测参数的参数名可以准确定位出被测服务器中待访问的位置，将该待测请求以及该待测请求中待测参数的信息作为待测位置的信息。

需要说明的是，待测请求中有N个待测参数，N为大于1的整数，则同一个待测请求中可以确定出N个待测位置的信息。

本实施方式提供的漏洞检测的方法，被测服务器中用于处理XML格式的数据的位置较多，为了提高获取待测位置的速度，还可以自动获取被测服务器的待测位置的信息，由于无需人工输入该待测位置的信息，可以进一步提高检测漏洞的效率。

上面各种方法的步骤划分，只是为了描述清楚，实现时可以合并为一个步骤或者对某些步骤进行拆分，分解为多个步骤，只要包括相同的逻辑关系，都在本专利的保护范围内；对算法中或者流程中添加无关紧要的修改或者引入无关紧要的设计，但不改变其算法和流程的核心设计都在该专利的保护范围内。

本发明第三实施方式涉及一种漏洞检测的装置，该漏洞检测的装置30如图6所示，包括：构建模块301、请求发送模块302以及检测报告生成模块303。构建模块301用于根据获取的被测服务器中待测位置的信息，构建待测位置的检测请求；请求发送模块302用于向被测服务器发送检测请求；检测报告生成模块303用于，若在预设的端口检测到被测服务器发送的回环请求，则根据回环请求生成包括漏洞位置信息的检测报告，回环请求为被测服务器的漏洞被检测请求触发后，基于检测请求所携带的待测位置的信息生成；以及用于若接收到被测服务器基于检测请求返回的响应，则根据响应生成被测服务器的检测报告。

不难发现，本实施方式为与第一实施方式相对应的装置实施例，本实施方式可与第一实施方式互相配合实施。第一实施方式中提到的相关技术细节在本实施方式中依然有效，为了减少重复，这里不再赘述。相应地，本实施方式中提到的相关技术细节也可应用在第一实施方式中。

值得一提的是，本实施方式中所涉及到的各模块均为逻辑模块，在实际应用中，一个逻辑单元可以是一个物理单元，也可以是一个物理单元的一部分，还可以以多个物理单元的组合实现。此外，为了突出本发明的创新部分，本实施方式中并没有将与解决本发明所提出的技术问题关系不太密切的单元引入，但这并不表明本实施方式中不存在其它的单元。

本发明第四实施方式涉及一种终端，该终端40的具体结构如图7所示，包括：至少一个处理器401；以及，与至少一个处理器401通信连接的存储器402；其中，存储器402存储有可被至少一个处理器401执行的指令，指令被至少一个处理器401执行，以使至少一个处理器401能够执行第一实施方式或第二实施方式中的漏洞检测的方法。

其中，存储器402和处理器401采用总线方式连接，总线可以包括任意数量的互联的总线和桥，总线将一个或多个处理器401和存储器402的各种电路链接在一起。总线还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口在总线和收发机之间提供接口。收发机可以是一个元件，也可以是多个元件，比如多个接收器和发送器，提供用于在传输介质上与各种其他装置通信的单元。经处理器处理的数据通过天线在无线介质上进行传输，进一步，天线还接收数据并将数据传送给处理器。

处理器401负责管理总线和通常的处理，还可以提供各种功能，包括定时，外围接口，电压调节、电源管理以及其他控制功能。而存储器可以被用于存储处理器在执行操作时所使用的数据。

本发明第五实施方式涉及一种计算机可读存储介质，存储有计算机程序，计算机程序被处理器执行时实现第一实施方式或第二实施方式中的漏洞检测的方法。

本领域技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域的普通技术人员可以理解，上述各实施方式是实现本发明的具体实施例，而在实际应用中，可以在形式上和细节上对其作各种改变，而不偏离本发明的精神和范围。

Claims (10)

1.一种漏洞检测的方法，其特征在于，包括：

根据获取的被测服务器中待测位置的信息，构建所述待测位置的检测请求；

向所述被测服务器发送所述检测请求；

若在预设的端口检测到所述被测服务器发送的回环请求，则根据所述回环请求生成包括漏洞位置信息的检测报告，所述回环请求为所述被测服务器的漏洞被所述检测请求触发后，基于所述检测请求所携带的待测位置的信息生成；

若接收到所述被测服务器基于所述检测请求返回的响应，则根据所述响应生成所述被测服务器的检测报告。

2.根据权利要求1所述的漏洞检测的方法，其特征在于，所述根据所述回环请求生成包括漏洞位置信息的检测报告，具体包括：

提取所述回环请求中携带的所述待测位置的信息；

将提取的所述待测位置的信息作为所述被测服务器的漏洞位置信息；

基于所述漏洞位置信息以及触发所述漏洞的检测请求，生成所述被测服务器的检测报告。

3.根据权利要求1或2所述的漏洞检测的方法，其特征在于，在构建所述待测位置的检测请求之前，所述漏洞检测的方法还包括：

获取所述被测服务器对应网页的请求数据；

检测所述请求数据中用于请求处理可扩展标记语言XML格式数据的待测请求；

针对检测到的每个待测请求进行如下处理：根据所述待测请求，确定被测服务器的待测位置的信息。

4.根据权利要求3所述的漏洞检测的方法，其特征在于，所述检测所述请求数据中用于请求处理可扩展标记语言XML格式数据的待测请求，具体包括：

获取所述请求数据中每条请求的请求信息；

在所述请求信息满足筛选条件后，将请求信息对应的请求作为所述待测请求，所述筛选条件为请求头信息、字符串信息或者请求的参数中任意一个或多个包括XML关键字信息。

5.根据权利要求3所述的漏洞检测的方法，其特征在于，所述根据所述待测请求，确定被测服务器的待测位置的信息，具体包括：

获取所述待测请求中待测参数的信息，所述待测参数为用于指示请求XML格式数据的参数；

将所述待测请求以及所述待测请求中待测参数的信息作为所述待测位置的信息。

6.根据权利要求5所述的漏洞检测的方法，其特征在于，所述根据获取的被测服务器中待测位置的信息，构建所述待测位置的检测请求，具体包括：

根据所述待测请求和所述待测请求中待测参数的信息，确定所述待测请求的特征值；

将所述待测请求的特征值和所述待测请求中待测参数拼接在预设的检测负载的预设位置，所述检测负载用于模拟外部XML文件，所述检测负载具有对应的预设触发位置信息，所述预设触发位置信息用于指示所述被测服务器访问数据的位置信息；

将所述拼接后的检测负载替换所述待测请求的待测参数的信息，获得所述检测请求。

7.根据权利要求6所述的漏洞检测的方法，其特征在于，所述根据所述待测请求和所述待测请求中待测参数的信息，确定所述待测请求的特征值，具体包括：

拼接所述待测请求和所述待测请求中待测参数的信息；

将拼接后的信息进行加密，将加密后的值作为所述待测请求的特征值。

8.一种漏洞检测的装置，其特征在于，包括：构建模块、请求发送模块以及检测报告生成模块；

所述构建模块用于根据获取的被测服务器中待测位置的信息，构建所述待测位置的检测请求；

所述请求发送模块用于向所述被测服务器发送所述检测请求；

所述检测报告生成模块用于，若在预设的端口检测到所述被测服务器发送的回环请求，则根据所述回环请求生成包括漏洞位置信息的检测报告，所述回环请求为所述被测服务器的漏洞被所述检测请求触发后，基于所述检测请求所携带的待测位置的信息生成；

以及用于若接收到所述被测服务器基于所述检测请求返回的响应，则根据所述响应生成所述被测服务器的检测报告。

9.一种终端，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求1至7任一所述的漏洞检测的方法。

10.一种计算机可读存储介质，存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述的漏洞检测的方法。