CN111523123A - 一种网站漏洞智能检测方法 - Google Patents

Abstract

本发明公开一种网站漏洞智能检测方法，所述方法包括：获取用户提交的网址；对用户提交的网址进行分析，确定待分析网址链接；对所述待分析网址链接分别进行SQL注入漏洞检测、存储型XSS注入漏洞检测和CSRF漏洞检测，获得漏洞检测结果；以实现快速针对中小型网站进行漏洞检测。

Description

一种网站漏洞智能检测方法

技术领域

本发明涉及漏洞检测技术领域，特别是涉及一种网站漏洞智能检测方法。

背景技术

SQL注入漏洞形成的主要原因是web应用程序对用户输入的审核不够严格，使得攻击者能够通过构造查询语句向数据库服务器发起请求，执行非授权的恶意查询，获取相应的数据信息。

XSS攻击全称跨站脚本攻击，是一种在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中，主要分为存储型XSS、反射型XSS和DOM型XSS。其中存储型XSS形成原因主要是系统前端的提交表单中未对用户输入的内容进行过滤，造成用户输入的非法语句如获取当前登录用户信息的js语句存储至服务器数据库，致使每个登录该网站的用户进入到此页面时都会执行攻击者设计好的js，从而造成了存储型XSS攻击。

CSRF全称跨站请求伪造攻击，指攻击者通过用户的浏览器来注入额外的网络请求，来破坏一个网站会话的完整性的攻击过程。

目前，测试SQL漏洞、XSS漏洞和CSRF漏洞都有相关的工具。其中针对SQL注入漏洞的工具有sqlmap，这是一个开源的渗透测试工具，可以用来进行自动化检测，利用SQL注入漏洞，获取数据库服务器的权限。另外还有web应用攻击集成平台如burpsuite，这款集成平台包含了许多工具，所有工具都共享一个请求，并能处理对应的HTTP消息、持久性、认证、代理、日志、警报。最后还有专业漏洞利用框架如BeFF，它的全称是：the Browserexploitation frameworkproject，是一个用于合法研究和测试目的的专业浏览器漏洞利用框架，它允许有经验的渗透测试人员或系统管理员对目标进行攻击测试，攻击成功以后会加载浏览器劫持会话。目前针对SQL漏洞、XSS漏洞、CSRF漏洞的检测方法均是针对大型网站进行检测的，且检测效率低。

发明内容

本发明的目的是提供了一种网站漏洞智能检测方法，以实现快速对中小型网站进行漏洞检测。

为实现上述目的，本发明提供了一种网站漏洞智能检测方法，所述方法包括：

获取用户提交的网址；

对用户提交的网址进行分析，确定待分析网址链接；

对所述待分析网址链接分别进行SQL注入漏洞检测、存储型XSS注入漏洞检测和CSRF漏洞检测，获得漏洞检测结果。

可选的，所述对用户提交的网址进行分析，确定待分析网址链接，具体包括：

判断用户提交的网址对应的响应码是否与预存网址对应的响应码一致；如果用户提交的网址对应的响应码与预存网址对应的响应码一致，则跳转到用户提交的网址对应的页面，并创建请求；如果用户提交的网址对应的响应码与预存网址对应的响应码不一致，则跳转到错误页面；

根据所述请求获取网址的源码；

通过广度优先算法获取所述源码中所有链接；

将所有链接进行分类，分为有效链接和错误链接；所述有效链接包括文件链接和待分析网址链接；

去除所述有效链接中文件链接，获得待分析网址链接。

可选的，所述对所述待分析网址链接分别进行SQL注入漏洞检测，具体包括：

对所述待分析网址链接进行数字型SQL注入漏洞检测；

对所述待分析网址链接进行字符型SQL注入漏洞检测；

对所述待分析网址链接进行时间型SQL注入漏洞检测。

可选的，所述对所述待分析网址链接进行数字型SQL注入漏洞检测，具体包括：

判断所述待分析网址链接是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；

在所述待分析网址链接后面加入and 1＝1，执行第一次注入请求，获得第二响应结果；

在所述待分析网址链接后面加入单引号’，执行第二次注入请求，获得第三响应结果；

判断是否满足第一设定条件；如果满足第一设定条件，则存在数字型SQL注入漏洞；如果不满足第一设定条件，则不存在数字型SQL注入漏洞；所述第一设定条件为第一响应结果的长度等于第二响应结果的长度且第一响应结果的长度不等于第三响应结果的长度。

可选的，所述对所述待分析网址链接进行字符型SQL注入漏洞检测，具体包括：

判断所述待分析网址链接是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；

在所述待分析网址链接后面加入and‘1’＝’1，执行第三次注入请求，获得第四响应结果；

在所述待分析网址链接后面加入单引号’，执行第二次注入请求，获得第三响应结果；

判断是否满足第二设定条件；如果满足第二设定条件，则存在字符型SQL注入漏洞；如果不满足第二设定条件，则不存在字符型SQL注入漏洞；所述第二设定条件为第一响应结果的长度等于第四响应结果的长度且第一响应结果的长度不等于第三响应结果的长度。

可选的，所述对所述待分析网址链接进行时间型SQL注入漏洞检测，具体包括：

判断所述待分析网址链接是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；

确定所述第一响应结果的响应时间；

在所述待分析网址链接后面加入延时函数，执行第四次注入请求，获得第五响应结果，并确定所述第五响应结果的响应时间；

判断是否满足第三设定条件；如果满足第三设定条件，则存在时间型SQL注入漏洞；如果不满足第三设定条件，则不存在时间型SQL注入漏洞；所述第一响应结果的响应时间减去所述第五响应结果的响应时间等于设定时间。

可选的，对所述待分析网址链接进行存储型XSS注入漏洞检测，具体包括：

访问所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第六响应结果；

检索待分析网址链接对应网页中的表单，定位表单中文本框位置；

在所述文本框内POST表单中添加js脚本；

提交访问请求，访问添加js脚本后的链接，并确定添加js脚本后链接对应的网页响应信息的大小，获得第七响应结果；

判断所述第六结果与所述第七结果的差值是否等于0；如果差值不等于0，说明存在存储型XSS注入漏洞；如果差值等于0，说明不存在存储型XSS注入漏洞。

可选的，所述对所述待分析网址链接进行CSRF漏洞检测，具体包括：

访问所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第六响应结果；

在所述待分析网址链接后添加第二相关参数；所述第二相关参数为跨站脚本；

提交访问请求，访问添加第二相关参数后的所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第八响应结果；

判断所述第六结果与所述第八结果的差值是否等于0；如果差值不等于0，说明存在CSRF漏洞；如果差值等于0，说明不存在CSRF漏洞。

可选的，所述方法还包括：

通过java中的itex技术将所述漏洞检测结果生成相应的pdf格式漏洞检测报告。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

本发明公开一种网站漏洞智能检测方法，所述方法包括：获取用户提交的网址；对用户提交的网址进行分析，确定待分析网址链接；对所述待分析网址链接分别进行SQL注入漏洞检测、存储型XSS注入漏洞检测和CSRF漏洞检测，获得漏洞检测结果；以实现快速针对中小型网站进行漏洞检测。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例网站漏洞智能检测方法流程图；

图2为本发明实施例数字型SQL注入漏洞检测方法流程图；

图3为本发明实施例字符型SQL注入漏洞检测方法流程图；

图4为本发明实施例时间型SQL注入漏洞检测方法流程图；

图5为本发明实施例存储型XSS注入漏洞检测方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的目的是提供了一种网站漏洞智能检测方法，以实现快速对中小型网站进行漏洞检测。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1为本发明实施例网站漏洞智能检测方法流程图，如图1所示，本发明公开一种网站漏洞智能检测方法，所述方法包括：

步骤S1：获取用户提交的网址。

步骤S2：对用户提交的网址进行分析，确定待分析网址链接。

步骤S3：对所述待分析网址链接分别进行SQL注入漏洞检测、存储型XSS注入漏洞检测和CSRF漏洞检测，获得漏洞检测结果。

所述方法还包括：

步骤S4：通过java中的itex技术将所述漏洞检测结果生成相应的pdf格式漏洞检测报告。

下面对各个步骤进行详细论述：

步骤S2：对用户提交的网址进行分析，确定待分析网址链接，具体包括：

步骤S21：判断用户提交的网址对应的响应码是否与预存网址对应的响应码一致；如果用户提交的网址对应的响应码与预存网址对应的响应码一致，则跳转到用户提交的网址对应的页面，并创建请求；如果用户提交的网址对应的响应码与预存网址对应的响应码不一致，则跳转到错误页面。

也就是说，在获取到用户提交的网址后，首先要做的就是对网址有效性进行验证，主要通过请求网址的响应信息来判断，当输入一个正确的网址时，响应码为200，并且可以获取到响应页面，此时跳转到分析页面，并创建请求。当输入一个错误网址时，响应码为404，则跳转到错误页面。

步骤S22：根据所述请求获取网址的源码。

步骤S23：通过广度优先算法获取所述源码中所有链接。

步骤S24：将所有链接进行分类，分为有效链接和错误链接；所述有效链接包括文件链接和待分析网址链接。

步骤S25：去除所述有效链接中文件链接，获得待分析网址链接。

步骤S3：对所述待分析网址链接分别进行SQL注入漏洞检测、存储型XSS注入漏洞检测和CSRF漏洞检测，获得漏洞检测结果，具体包括：

步骤S31：对所述待分析网址链接分别进行SQL注入漏洞检测，具体包括：

步骤S311：对所述待分析网址链接进行数字型SQL注入漏洞检测。

步骤S312：对所述待分析网址链接进行字符型SQL注入漏洞检测。

步骤S313：对所述待分析网址链接进行时间型SQL注入漏洞检测。

步骤S32：对所述待分析网址链接进行存储型XSS注入漏洞检测。

步骤S33：对所述待分析网址链接进行CSRF漏洞检测。

SQL注入漏洞形成的主要原因是web应用程序对用户输入的审核不够严格，使得攻击者能够通过构造查询语句向数据库服务器发起请求，执行非授权的恶意查询，获取相应的数据信息。因此针对SQL注入漏洞的检测主要在于判断用户提交的请求是否会被web端当作后端语句来执行。根据注入点中数据类型的不同，SQL注入漏洞可分为数字型SQL注入漏洞，字符型SQL注入漏洞和时间型SQL注入漏洞。下面分别介绍这三种注入攻击的检测方法。

1)、数字型SQL注入漏洞检测

数字型SQL注入漏洞检测中，在Web端大概是http://xxx.com/news.php？id＝1这种形式，其注入点id数据类型为整型数字，所以叫数字型注入点。这一类的SQL语句原型为select*from表名where id＝1。组合出来的sql注入语句为：select*from news where id＝1and 1＝1。

当用户向数据库服务器提交正常的请求，比如id＝1时，会返回正常页面，确定该响应页面大小。为了判断网站是否存在数字型SQL注入漏洞，在url后分别加入and 1＝1和单引号’后提交请求，若加入and 1＝1后依然返回正常页面，同时在url后加入字符单引号’后返回错误页面，说明web端会将用户输入当作sql语句来执行，即存在数字型SQL注入漏洞。

具体的，如图2所示，对所述待分析网址链接进行数字型SQL注入漏洞检测，具体步骤为：

1、判断所述待分析网址链接url是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；所述第一响应结果以字符串的方式进行存储；所述第一相关参数为提交请求网址中“？”后的参数。

2、在所述待分析网址链接url后面加入and 1＝1，执行第一次注入请求，获得第二响应结果；所述第二响应结果以字符串的方式进行存储。

3、在所述待分析网址链接url后面加入单引号’，执行第二次注入请求，获得第三响应结果；所述第三响应结果以字符串的方式进行存储；所述第一响应结果、所述第二响应结果和所述第三响应结果均为网页代码。

4、判断是否满足第一设定条件；如果满足第一设定条件，则存在数字型SQL注入漏洞；如果不满足第一设定条件，则不存在数字型SQL注入漏洞；所述第一设定条件为第一响应结果的长度等于第二响应结果的长度且第一响应结果的长度不等于第三响应结果的长度。

2)、字符型SQL注入漏洞检测

对于字符型SQL注入漏洞，在Web端也是http://xxx.com/news.php？id＝’1’这种形式，其注入点id数据类型为字符型，所以叫字符型注入点。这一类的SQL语句原型为select*from表名where id＝’1’，所以字符型的SQL注入必须考虑单引号的闭合问题。检测字符型SQL注入漏洞的思路和数字型SQL注入漏洞的思路类似，只是将第4)步中在url后面加入and 1＝1，改为加入and‘1’＝’1，即可判断字符型SQL注入漏洞。

具体的，如图3所示，对所述待分析网址链接进行字符型SQL注入漏洞检测，具体步骤为：

1、判断所述待分析网址链接url是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；所述第一响应结果以字符串的方式进行存储；所述第一相关参数为提交请求网址中“？”后的参数。

2、在所述待分析网址链接后面加入and‘1’＝’1，执行第三次注入请求，获得第四响应结果；所述第四响应结果以字符串的方式进行存储；所述第四响应结果为网页代码。

3、在所述待分析网址链接url后面加入单引号’，执行第二次注入请求，获得第三响应结果；所述第三响应结果以字符串的方式进行存储；所述第一响应结果和所述第三响应结果均为网页代码。

4、判断是否满足第二设定条件；如果满足第二设定条件，则存在字符型SQL注入漏洞；如果不满足第二设定条件，则不存在字符型SQL注入漏洞；所述第二设定条件为第一响应结果的长度等于第四响应结果的长度且第一响应结果的长度不等于第三响应结果的长度。

3)、时间型SQL注入漏洞检测

对于时间型SQL注入漏洞，在提交请求后并不会像数字SQL注入漏洞和字符型SQL注入漏洞一样直接返回正常或错误的页面，而是需要根据页面响应的时间来判断是否存在该漏洞，为了检测漏洞存在，可以采用在url后加入延时函数的方法，根据与正常响应返回时间长短的对比来判断SQL语句是否被后端执行，即是否存在时间型SQL注入漏洞。

具体的，如图4所示，对所述待分析网址链接进行时间型SQL注入漏洞检测，具体步骤为：

1、判断所述待分析网址链接url是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；所述第一响应结果以字符串的方式进行存储；所述第一相关参数为提交请求网址中“？”后的参数。

2、确定所述第一响应结果的响应时间。

3、在所述待分析网址链接后面加入延时函数，执行第四次注入请求，获得第五响应结果，并确定所述第五响应结果的响应时间；所述第五响应结果以字符串的方式进行存储；所述延时函数为benchmark(3,md5(1))。

4、判断是否满足第三设定条件；如果满足第三设定条件，则存在时间型SQL注入漏洞；如果不满足第三设定条件，则不存在时间型SQL注入漏洞；所述第一响应结果的响应时间减去所述第五响应结果的响应时间等于设定时间。本实施例中所述设定时间为5秒。

4)、XSS注入漏洞检测

XSS攻击全称跨站脚本攻击，是一种在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中，主要分为存储型XSS注入漏洞、反射型XSS注入漏洞和DOM型XSS注入漏洞。

其中，存储型XSS形成原因主要是系统前端的提交表单中未对用户输入的内容进行过滤，造成用户输入的非法语句如获取当前登录用户信息的js语句存储至服务器数据库，致使每个登录该网站的用户进入到此页面时都会执行攻击者设计好的js，从而造成了存储型XSS注入攻击。因此检测网站是否有XSS注入漏洞的存在，关然是判断注入的脚本是否会被服务器执行。

具体的，如图5所示，对所述待分析网址链接进行存储型XSS注入漏洞检测，具体步骤为：

1、访问所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第六响应结果；所述第六响应结果以字符串的方式进行存储；所述第六响应结果为网页代码。

2、检索待分析网址链接对应网页中的表单，定位表单中文本框位置。

3、在所述文本框内POST表单中添加js脚本；POST是HTTP协议中的一种请求方法。

4、提交访问请求，访问添加js脚本后的链接，并确定添加js脚本后链接对应的网页响应信息的大小，获得第七响应结果；第七响应结果以字符串的方式进行存储；所述第七响应结果为网页代码。

5、判断所述第六结果与所述第七结果的差值是否等于0；如果差值不等于0，说明存在存储型XSS注入漏洞；如果差值等于0，说明不存在存储型XSS注入漏洞。

5)、CSRF注入分析模块

CSRF全称跨站请求伪造攻击，指攻击者通过用户的浏览器来注入额外的网络请求，来破坏一个网站会话的完整性的攻击过程。

步骤S33：对所述待分析网址链接进行CSRF漏洞检测，具体步骤为：

1、访问所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第六响应结果；所述第六响应结果以字符串的方式进行存储；所述第六响应结果为网页代码。

2、在所述待分析网址链接后添加第二相关参数；所述第二相关参数为跨站脚本。

3、提交访问请求，访问添加第二相关参数后的所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第八响应结果；第八响应结果以字符串的方式进行存储；所述第八响应结果为网页代码。

4、判断所述第六结果与所述第八结果的差值是否等于0；如果差值不等于0，说明存在CSRF漏洞；如果差值等于0，说明不存在CSRF漏洞。

步骤S4：通过java中的itex技术将所述漏洞检测结果生成相应的pdf格式漏洞检测报告。

当针对网站的漏洞检测分析结束之后，通过java中的itex技术来生成相应的pdf格式漏洞检测报告。在系统中引用itex的相关的包，创建documents,定义页脚模板义页脚模板，自动填充相应页码，通过代码生成封面，封面上写入报告名称和创建时间，然后循环所有检测到的漏洞，生成漏洞报告目录、各个漏洞相关段落、相关漏洞生成原因和解决方案。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。

Claims (9)

1.一种网站漏洞智能检测方法，其特征在于，所述方法包括：

获取用户提交的网址；

对用户提交的网址进行分析，确定待分析网址链接；

对所述待分析网址链接分别进行SQL注入漏洞检测、存储型XSS注入漏洞检测和CSRF漏洞检测，获得漏洞检测结果。

2.根据权利要求1所述的网站漏洞智能检测方法，其特征在于，所述对用户提交的网址进行分析，确定待分析网址链接，具体包括：

判断用户提交的网址对应的响应码是否与预存网址对应的响应码一致；如果用户提交的网址对应的响应码与预存网址对应的响应码一致，则跳转到用户提交的网址对应的页面，并创建请求；如果用户提交的网址对应的响应码与预存网址对应的响应码不一致，则跳转到错误页面；

根据所述请求获取网址的源码；

通过广度优先算法获取所述源码中所有链接；

将所有链接进行分类，分为有效链接和错误链接；所述有效链接包括文件链接和待分析网址链接；

去除所述有效链接中文件链接，获得待分析网址链接。

3.根据权利要求1所述的网站漏洞智能检测方法，其特征在于，所述对所述待分析网址链接分别进行SQL注入漏洞检测，具体包括：

对所述待分析网址链接进行数字型SQL注入漏洞检测；

对所述待分析网址链接进行字符型SQL注入漏洞检测；

对所述待分析网址链接进行时间型SQL注入漏洞检测。

4.根据权利要求3所述的网站漏洞智能检测方法，其特征在于，所述对所述待分析网址链接进行数字型SQL注入漏洞检测，具体包括：

判断所述待分析网址链接是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；

在所述待分析网址链接后面加入and 1＝1，执行第一次注入请求，获得第二响应结果；

在所述待分析网址链接后面加入单引号’，执行第二次注入请求，获得第三响应结果；

判断是否满足第一设定条件；如果满足第一设定条件，则存在数字型SQL注入漏洞；如果不满足第一设定条件，则不存在数字型SQL注入漏洞；所述第一设定条件为第一响应结果的长度等于第二响应结果的长度且第一响应结果的长度不等于第三响应结果的长度。

5.根据权利要求3所述的网站漏洞智能检测方法，其特征在于，所述对所述待分析网址链接进行字符型SQL注入漏洞检测，具体包括：

判断所述待分析网址链接是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；

在所述待分析网址链接后面加入and‘1’＝’1，执行第三次注入请求，获得第四响应结果；

在所述待分析网址链接后面加入单引号’，执行第二次注入请求，获得第三响应结果；

判断是否满足第二设定条件；如果满足第二设定条件，则存在字符型SQL注入漏洞；如果不满足第二设定条件，则不存在字符型SQL注入漏洞；所述第二设定条件为第一响应结果的长度等于第四响应结果的长度且第一响应结果的长度不等于第三响应结果的长度。

6.根据权利要求3所述的网站漏洞智能检测方法，其特征在于，所述对所述待分析网址链接进行时间型SQL注入漏洞检测，具体包括：

判断所述待分析网址链接是否存在第一相关参数；如果存在第一相关参数，则提交请求，访问所述待分析网址链接，获得第一响应结果；如果不存在第一相关参数，则添加第一相关参数，并提交请求，访问添加第一相关参数后的链接，获得第一响应结果；

确定所述第一响应结果的响应时间；

在所述待分析网址链接后面加入延时函数，执行第四次注入请求，获得第五响应结果，并确定所述第五响应结果的响应时间；

判断是否满足第三设定条件；如果满足第三设定条件，则存在时间型SQL注入漏洞；如果不满足第三设定条件，则不存在时间型SQL注入漏洞；所述第一响应结果的响应时间减去所述第五响应结果的响应时间等于设定时间。

7.根据权利要求1所述的网站漏洞智能检测方法，其特征在于，对所述待分析网址链接进行存储型XSS注入漏洞检测，具体包括：

访问所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第六响应结果；

检索待分析网址链接对应网页中的表单，定位表单中文本框位置；

在所述文本框内POST表单中添加js脚本；

提交访问请求，访问添加js脚本后的链接，并确定添加js脚本后链接对应的网页响应信息的大小，获得第七响应结果；

判断所述第六结果与所述第七结果的差值是否等于0；如果差值不等于0，说明存在存储型XSS注入漏洞；如果差值等于0，说明不存在存储型XSS注入漏洞。

8.根据权利要求1所述的网站漏洞智能检测方法，其特征在于，所述对所述待分析网址链接进行CSRF漏洞检测，具体包括：

访问所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第六响应结果；

在所述待分析网址链接后添加第二相关参数；所述第二相关参数为跨站脚本；

提交访问请求，访问添加第二相关参数后的所述待分析网址链接，并确定所述待分析网址链接对应的网页响应信息的大小，获得第八响应结果；

判断所述第六结果与所述第八结果的差值是否等于0；如果差值不等于0，说明存在CSRF漏洞；如果差值等于0，说明不存在CSRF漏洞。

9.根据权利要求1所述的网站漏洞智能检测方法，其特征在于，所述方法还包括：

通过java中的itex技术将所述漏洞检测结果生成相应的pdf格式漏洞检测报告。

Images