CN110659481A - 基于代理的漏洞扫描方法 - Google Patents

基于代理的漏洞扫描方法 Download PDF

Info

Publication number
CN110659481A
CN110659481A CN201910921507.3A CN201910921507A CN110659481A CN 110659481 A CN110659481 A CN 110659481A CN 201910921507 A CN201910921507 A CN 201910921507A CN 110659481 A CN110659481 A CN 110659481A
Authority
CN
China
Prior art keywords
vulnerability
scanning
information
agent
vulnerability scanning
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910921507.3A
Other languages
English (en)
Inventor
王振飞
杜磊
刘文杰
吴国富
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shanghai Secco Travel Technology Service Co Ltd
Shanghai Saike Mobility Technology Service Co Ltd
Original Assignee
Shanghai Secco Travel Technology Service Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shanghai Secco Travel Technology Service Co Ltd filed Critical Shanghai Secco Travel Technology Service Co Ltd
Priority to CN201910921507.3A priority Critical patent/CN110659481A/zh
Publication of CN110659481A publication Critical patent/CN110659481A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures

Abstract

本发明公开了一种基于代理的漏洞扫描方法，包括如下步骤：S1)建立一个IP代理节点，配置代理授权以及CA证书；S2)配置完成后，访问目标网站或移动app，并响应请求；S3)代理节点将用户访问流量的信息格式化后，发送到Redis队列；S4)采用分布式部署的漏洞扫描节点监听redis队列，存在任务则消费并对任务中的目标进行漏洞扫描；S5)漏洞扫描匹配到漏洞规则，则将漏洞信息录入到数据库中。本发明提供的基于代理的漏洞扫描方法，能够解决传统漏洞扫描工具不可绕过人机、短信验证的盲点，以达到对业务全流量、全终端扫描，减小漏扫的情况发生，且提高扫描效率，降低漏洞发现难度，使人人都可进行安全测试。

Description

基于代理的漏洞扫描方法
技术领域
本发明涉及一种漏洞扫描方法，尤其涉及一种基于代理的漏洞扫描方法，属于网络安全领域。
背景技术
随着互联网高速发展，近几年安全事件频出,安全漏洞经常会被媒体所报道，在各种漏洞中，最普遍也最常见的就是应用安全漏洞了。因此如何发现这些安全漏洞，是企业中安全工程师的一大考验。目前常见的做法是一般会通过自动化漏洞扫描工具对网站进行扫描，但传统的漏洞扫描工具一般是无法对移动APP、IOT设备等进行扫描的，且无法绕过人机校验、短信验证的，因此获取不到登陆态信息，从而会漏掉大部分的链接，导致安全漏洞也无法发现。
发明内容
本发明所要解决的技术问题是提供一种基于代理的漏洞扫描方法，能够解决传统漏洞扫描工具不可绕过人机、短信验证的盲点，以达到对业务全流量、全终端扫描，减小漏扫的情况发生，且提高扫描效率，降低漏洞发现难度，使人人都可进行安全测试。
本发明为解决上述技术问题而采用的技术方案是提供一种基于代理的漏洞扫描方法，包括如下步骤：S1)建立一个IP代理节点，配置代理授权以及CA证书；S2)配置完成后，访问目标网站或移动app，并响应请求；S3)代理节点将用户访问流量的信息格式化后，发送到Redis队列；S4)采用分布式部署的漏洞扫描节点监听redis队列，存在任务则消费并对任务中的目标进行漏洞扫描；S5)漏洞扫描匹配到漏洞规则，则将漏洞信息录入到数据库中。
本发明对比现有技术有如下的有益效果：本发明提供的基于代理的漏洞扫描方法，基于代理获取浏览流量，并同步到漏洞扫描节点；具有高扩展性，可用于各种场景，如SDLC集成测试环节、如抓取办公流量，筛选匹配域名后进行自动化扫描等。
附图说明
图1为本发明基于代理的漏洞扫描系统架构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的描述。
图1为本发明基于代理的漏洞扫描系统架构示意图。
请参见图1，本发明提供的基于代理的漏洞扫描方法主要包含两个核心模块,代理模块和漏洞扫描模块，
代理模块，提供一个http(s)代理，对用户访问的目标流量进行格式化，提取出扫描节点所需要的信息，包括url、cookies、headers、请求参数等。
漏洞扫描模块，对代理节点提供的信息进行漏洞扫描，并将漏洞信息存储在数据库中。
本发明的具体操作流程如下：
步骤1：用户配置代理授权以及CA证书到系统(或移动设备)。
步骤2：配置完成后，访问目标网站(移动app)，并响应请求。
步骤3：代理节点将用户访问流量的信息(包括认证信息)格式化后，发送到Redis队列。
步骤4：分布式部署的漏洞扫描节点(模块)，监听redis队列，存在任务则消费并对任务中的目标进行漏洞扫描。
步骤5：漏洞扫描匹配到漏洞规则，则将漏洞信息录入到数据库中。
本发明提供的基于代理的漏洞扫描方法，具有如下优点：解决了传统漏洞扫描器无法绕过人机、短信验证的扫描盲点、解决了移动APP、IOT设备进行扫描的问题，使用本方法，可以将完整的业务流量发送至检测节点(包括登录态信息)，解决传统扫描方式的盲点；同时，使用代理扫描方式，具备高扩展特性，可集成在SDLC流程中、可提供给功能测试人员使用，在功能测试同时基于代理扫描抓取测试流量同进行安全性测试。
虽然本发明已以较佳实施例揭示如上，然其并非用以限定本发明，任何本领域技术人员，在不脱离本发明的精神和范围内，当可作些许的修改和完善，因此本发明的保护范围当以权利要求书所界定的为准。

Claims (2)

1.一种基于代理的漏洞扫描方法，其特征在于，包括如下步骤：
S1)建立一个IP代理节点，配置代理授权以及CA证书；
S2)配置完成后，访问目标网站或移动app，并响应请求；
S3)代理节点将用户访问流量的信息格式化后，发送到Redis队列；
S4)采用分布式部署的漏洞扫描节点监听redis队列，存在任务则消费并对任务中的目标进行漏洞扫描；
S5)漏洞扫描匹配到漏洞规则，则将漏洞信息录入到数据库中。
2.根据权利要求1所述的基于代理的漏洞扫描方法，其特征在于，所述S3中用户访问流量的信息包括url、cookies、headers和请求参数。
CN201910921507.3A 2019-09-27 2019-09-27 基于代理的漏洞扫描方法 Pending CN110659481A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910921507.3A CN110659481A (zh) 2019-09-27 2019-09-27 基于代理的漏洞扫描方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910921507.3A CN110659481A (zh) 2019-09-27 2019-09-27 基于代理的漏洞扫描方法

Publications (1)

Publication Number Publication Date
CN110659481A true CN110659481A (zh) 2020-01-07

Family

ID=69039479

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910921507.3A Pending CN110659481A (zh) 2019-09-27 2019-09-27 基于代理的漏洞扫描方法

Country Status (1)

Country Link
CN (1) CN110659481A (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113114725A (zh) * 2021-03-19 2021-07-13 中新网络信息安全股份有限公司 一种基于http协议多节点数据交互系统及其实现方法
CN113395235A (zh) * 2020-03-12 2021-09-14 阿里巴巴集团控股有限公司 一种IoT系统远程测试方法、系统和设备
CN114697085A (zh) * 2022-03-15 2022-07-01 浪潮软件集团有限公司 web应用安全测试中漏扫测试系统及实现方法
CN116956293A (zh) * 2023-09-19 2023-10-27 天津华来科技股份有限公司 一种api安全漏洞检测系统及方法

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109871696A (zh) * 2018-12-29 2019-06-11 重庆城市管理职业学院 一种漏洞信息的自动收集与漏洞扫描系统及方法、计算机
CN109981653A (zh) * 2019-03-28 2019-07-05 上海中通吉网络技术有限公司 一种web漏洞扫描方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109871696A (zh) * 2018-12-29 2019-06-11 重庆城市管理职业学院 一种漏洞信息的自动收集与漏洞扫描系统及方法、计算机
CN109981653A (zh) * 2019-03-28 2019-07-05 上海中通吉网络技术有限公司 一种web漏洞扫描方法

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113395235A (zh) * 2020-03-12 2021-09-14 阿里巴巴集团控股有限公司 一种IoT系统远程测试方法、系统和设备
CN113395235B (zh) * 2020-03-12 2023-04-04 阿里巴巴集团控股有限公司 一种IoT系统远程测试方法、系统和设备
CN113114725A (zh) * 2021-03-19 2021-07-13 中新网络信息安全股份有限公司 一种基于http协议多节点数据交互系统及其实现方法
CN114697085A (zh) * 2022-03-15 2022-07-01 浪潮软件集团有限公司 web应用安全测试中漏扫测试系统及实现方法
CN114697085B (zh) * 2022-03-15 2024-01-30 浪潮软件集团有限公司 web应用安全测试中漏扫测试系统及实现方法
CN116956293A (zh) * 2023-09-19 2023-10-27 天津华来科技股份有限公司 一种api安全漏洞检测系统及方法
CN116956293B (zh) * 2023-09-19 2024-01-30 天津华来科技股份有限公司 一种api安全漏洞检测系统及方法

Similar Documents

Publication Publication Date Title
CN110659481A (zh) 基于代理的漏洞扫描方法
US8433811B2 (en) Test driven deployment and monitoring of heterogeneous network systems
WO2022083226A1 (zh) 异常识别方法和系统、存储介质及电子装置
US7975046B2 (en) Verifying a lawful interception system
CN106534289B (zh) 自动化测试方法、装置及系统
US20080127337A1 (en) Centralized security management system
US20050207413A1 (en) Method and apparatus for rapid location of anomalies in IP traffic logs
WO2021151335A1 (zh) 一种网络事件处理方法、装置及可读存储介质
CN105868040A (zh) 日志采集方法及采集终端
US20070180101A1 (en) System and method for storing data-network activity information
CN106982430B (zh) 一种基于用户使用习惯的Portal认证方法及系统
Gasser et al. The Amplification Threat Posed by PubliclyReachable BACnet Devices.
Shi et al. The penetration testing framework for large-scale network based on network fingerprint
CN102271331B (zh) 一种检测业务提供商sp站点可靠性的方法及系统
US9077662B2 (en) Service linkage control system and method
CN111614659B (zh) 未知网络流量的分布式检测方法
JP6044020B2 (ja) データパケット処理の方法、システム、およびデバイス
Ishibashi et al. Which packet did they catch? Associating NIDS alerts with their communication sessions
CN113301592B (zh) 一种路由器优化苹果手机上网体验的网络检测方法
JP2010239392A (ja) サービス不能攻撃制御システム、装置、および、プログラム
CN105827470A (zh) 一种识别异常网络互联流量的方法及装置
CN113595958B (zh) 一种物联网设备的安全检测系统及方法
Idland Detecting mac spoofing attacks in 802.11 networks through fingerprinting on the mac layer
CN110336920A (zh) 一种基于tcp协议评估移动支付感知的方法
CN111479271B (zh) 基于资产属性标记分组的无线安全检测与防护方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination