CN112653709A - 漏洞检测方法、装置、电子设备及可读存储介质 - Google Patents

Abstract

本申请提供一种漏洞检测方法、装置、电子设备及可读存储介质，涉及安全技术领域。该方法通过在预先存储的针对待审计网站的HTTP报文中插入漏洞检测程序，以通过获得的审计HTTP报文来实现对待审计网站的漏洞检测，由于HTTP报文中不仅仅是针对页面的报文，所以，本申请中的HTTP报文是针对待审计网站的所有报文，从而使得可以对待审计网站进行更全面地检测，以减少漏报的概率。

Description

漏洞检测方法、装置、电子设备及可读存储介质

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种漏洞检测方法、装置、电子设备及可读存储介质。

背景技术

随着互联网的发展，各种网络应用层出不穷，在实现了各种功能的同时，也引入了各种安全漏洞，给攻击者提供了可乘之机。针对网站安全需求的不断增长，出现了许多网站漏洞扫描器，扫描器通常会根据用户提供的URL爬取整个网站，将网页下载下来，再对网页的内容进行检测、分析以检测网页中是否存在漏洞。

现有的漏洞检测中，只会针对页面进行漏洞检测，检测不全面，可能会造成漏报的问题。

发明内容

本申请实施例的目的在于提供一种漏洞检测方法、装置、电子设备及可读存储介质，用以改善现有技术中只针对页面进行漏洞检测，使得检测不全面的问题。

第一方面，本申请实施例提供了一种漏洞检测方法，所述方法包括：获取预先存储的针对待审计网站的HTTP报文；在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文；向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测。

在上述实现过程中，通过在预先存储的针对待审计网站的HTTP报文中插入漏洞检测程序，以通过获得的审计HTTP报文来实现对待审计网站的漏洞检测，由于HTTP报文中不仅仅是针对页面的报文，所以，本申请中的HTTP报文是针对待审计网站的所有报文，从而使得可以对待审计网站进行更全面地检测，以减少漏报的概率。

可选地，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

接收终端设备的浏览器加载所述待审计网站的待检测页面时发送的目标HTTP请求报文；

从预存储的所述HTTP报文中查找获得所述目标HTTP请求报文对应的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测，包括：

将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

在上述实现过程中，通过获得审计HTTP响应报文，发送给浏览器，从而可以对浏览器的页面进行漏洞检测，以实现前端页面的检测，而无需向网站服务器再发送请求，可有效减少漏洞检测过程中的请求数，减轻网站服务器的负担。

可选地，所述在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文，包括：

判断所述目标HTTP响应报文中是否包括未被检测的检测点；

若是，则在对应的检测点插入漏洞检测程序，获得审计HTTP响应报文。

在上述实现过程中，通过在目标HTTP响应报文中的检测点插入漏洞检测程序，从而可避免同时在多个检测点插入漏洞检测程序而带来的干扰问题。

可选地，所述获得审计HTTP响应报文之后，还包括：

对所述审计HTTP响应报文中插入漏洞检测程序的检测点进行标记。从而便于对未插入漏洞检测程序的检测点进行识别。

可选地，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

接收所述终端设备的浏览器加载所述待审计网站的待检测页面时发送的目标HTTP请求报文；

在从预存储的所述HTTP报文中未查找到所述目标HTTP请求报文对应的目标HTTP响应报文时，将所述目标HTTP请求报文发送给所述网站服务器；

接收所述网站服务器根据所述目标HTTP请求报文返回的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测，包括：

将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

在上述实现过程中，在未查找到目标HTTP请求报文对应的目标HTTP响应报文时，可以通过网址服务器来返回对应的目标HTTP响应报文，从而也可实现对前端页面的漏洞检测。

可选地，所述HTTP报文包括HTTP请求报文，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

在所述HTTP报文中的HTTP请求报文中插入漏洞检测程序，获得审计HTTP请求报文；

所述向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测，包括：

将所述审计HTTP请求报文发送给所述网站服务器；

接收所述网站服务器基于所述审计HTTP请求报文返回的响应结果；

根据所述响应结果对所述网站服务器进行漏洞检测。

在上述实现过程中，通过将审计HTTP报文发送给网站服务器，从而可实现对网站服务器的漏洞检测，使得检测范围更广，检测更全面。

可选地，所述在所述HTTP报文中的HTTP请求报文中插入漏洞检测程序，获得审计HTTP请求报文，包括：

依次在所述HTTP报文中的HTTP请求报文的对应检测点插入漏洞检测程序，获得审计HTTP请求报文。从而避免了同时插入漏洞检测程序进行检测而造成的干扰问题。

可选地，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

获取预先存储的所述HTTP报文中类别为应用接口的HTTP报文；

在所述类别为应用接口的HTTP报文中插入漏洞检测程序，获得审计HTTP报文。从而可以实现api级别的漏洞检测。

可选地，所述获取预先存储的针对待审计网站的HTTP报文之前，还包括：

通过爬虫软件爬取所述待审计网站的初始HTTP报文

对所述初始HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

在上述实现过程中，通过爬虫软件爬取HTTP报文可使得获取的HTTP报文更全面，并且能够获取更多类别为应用接口的HTTP报文，从而扩大了漏洞检测的范围。

可选地，所述对所述初始HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储，包括：

筛选获得所述初始HTTP报文中类型为数据的数据HTTP报文；

对所述数据HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

在上述实现过程中，通过对数据类型的HTPP报文中类别为应用接口的HTTP报文进行审计，从而可在尽量减少检测的数据量的情况下实现更全面的漏洞检测。

第二方面，本申请实施例提供了一种漏洞检测装置，所述装置包括：

报文获取模块，用于获取预先存储的针对待审计网站的HTTP报文；

检测程序插入模块，用于在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文；

漏洞检测模块，用于向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测。

可选地，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述检测程序插入模块，用于：

接收终端设备的浏览器加载所述待审计网站的待检测页面时发送的目标HTTP请求报文；

从预存储的所述HTTP报文中查找获得所述目标HTTP请求报文对应的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述漏洞检测模块，用于将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

可选地，所述检测程序插入模块，用于判断所述目标HTTP响应报文中是否包括未被检测的检测点；若是，则在对应的检测点插入漏洞检测程序，获得审计HTTP响应报文。

可选地，所述检测程序插入模块，还用于对所述审计HTTP响应报文中插入漏洞检测程序的检测点进行标记。

可选地，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述检测程序插入模块，用于：

在从预存储的所述HTTP报文中未查找到所述目标HTTP请求报文对应的目标HTTP响应报文时，将所述目标HTTP请求报文发送给所述网站服务器；

接收所述网站服务器根据所述目标HTTP请求报文返回的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述漏洞检测模块，用于将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

可选地，所述HTTP报文包括HTTP请求报文，所述检测程序插入模块，用于在所述HTTP报文中的HTTP请求报文中插入漏洞检测程序，获得审计HTTP请求报文；

所述漏洞检测模块，用于将所述审计HTTP请求报文发送给所述网站服务器；接收所述网站服务器基于所述审计HTTP请求报文返回的响应结果；根据所述响应结果对所述网站服务器进行漏洞检测。

可选地，所述检测程序插入模块，用于依次在所述HTTP报文中的HTTP请求报文的对应检测点插入漏洞检测程序，获得审计HTTP请求报文。

可选地，所述检测程序插入模块，用于获取预先存储的所述HTTP报文中类别为应用接口的HTTP报文；在所述类别为应用接口的HTTP报文中插入漏洞检测程序，获得审计HTTP报文。

可选地，所述装置还包括：

存储模块，用于通过爬虫软件爬取所述待审计网站的初始HTTP报文；对所述初始HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

可选地，所述存储模块，用于筛选获得所述初始HTTP报文中类型为数据的数据HTTP报文；对所述数据HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

第三方面，本申请实施例提供一种电子设备，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如上述第一方面提供的所述方法中的步骤。

第四方面，本申请实施例提供一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时运行如上述第一方面提供的所述方法中的步骤。

本申请的其他特征和优点将在随后的说明书阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请实施例了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的一种用于执行漏洞检测方法的电子设备的结构示意图；

图2为本申请实施例提供的一种漏洞检测方法的流程图；

图3为本申请实施例提供的一种对前端进行漏洞检测的示意图；

图4为本申请实施例提供的一种对后端进行漏洞检测的示意图；

图5为本申请实施例提供的一种数据爬取的示意图；

图6为本申请实施例提供的一种漏洞检测装置的结构框图。

具体实施方式

下面将结合本申请实施例中附图，对本申请实施例中的技术方案进行清楚、完整地描述。

本申请实施例提供一种漏洞检测方法，通过获取预先存储的针对待审计网站的HTTP报文，然后在HTTP报文中插入漏洞检测程序，将获得的审计HTTP报文发送给目标设备，由此可利用审计HTTP报文对待审计网站进行漏洞检测，从而可对待审计网站的漏洞实现全面检测，以减少漏检的情况。

请参照图1，图1为本申请实施例提供的一种用于执行漏洞检测方法的电子设备的结构示意图，所述电子设备可以包括：至少一个处理器110，例如CPU，至少一个通信接口120，至少一个存储器130和至少一个通信总线140。其中，通信总线140用于实现这些组件直接的连接通信。其中，本申请实施例中设备的通信接口120用于与其他节点设备进行信令或数据的通信。存储器130可以是高速RAM存储器，也可以是非易失性的存储器(non-volatilememory)，例如至少一个磁盘存储器。存储器130可选的还可以是至少一个位于远离前述处理器的存储装置。存储器130中存储有计算机可读取指令，当所述计算机可读取指令由所述处理器110执行时，电子设备执行下述图2所示方法过程，例如，存储器130可用于存储针对待审计网站的HTTP报文，处理器110可用于在对待审计网络进行漏洞检测时，从存储器130中获取HTTP报文，然后在HTTP报文插入漏洞检测程序，获得审计HTTP报文，再向目标设备发送审计HTTP报文，利用审计HTTP报文对待审计网站进行漏洞检测。

可以理解，图1所示的结构仅为示意，所述电子设备还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。图1中所示的各组件可以采用硬件、软件或其组合实现。

上述的电子设备可以是指代理服务器，代理服务器可以是指设置于用于实现网站漏洞检测的服务器，可以由单台服务器实现，也可以由多台服务器组成的服务器群组，或者也可以是集成在电子设备中的一个代理服务，可以理解为一个代理工具。为了便于区分描述，下述实施例中均以代理服务器为例进行描述。代理服务器可以用于记录HTTP请求和HTTP响应等相关信息。

请参照图2，图2为本申请实施例提供的一种漏洞检测方法的流程图，该方法包括如下步骤：

步骤S110：获取预先存储的针对待审计网站的HTTP报文。

其预先存储的HTTP报文可以是预先获取的，在进行漏洞检测之前，可以在浏览器中使用具有操作权限的用户登录待审计网站，为了获取更全面的HTTP报文，可以使用该账户在浏览器中对待审计网站进行所有操作。在操作过程中，浏览器会发送HTTP请求报文，代理服务器将接收到的HTTP请求报文进行存储后并发送给网站服务器，然后由网站服务器根据HTTP请求报文进行响应，即网站服务器会返回一个对应的HTTP响应报文，此时代理服务器也可将HTTP响应报文进行存储后转发给浏览器，也就是说，在所有操作完成后，所有的HTTP请求报文和HTTP响应报文经过代理服务器后，能够被代理服务器保存下来。

另外，上述获取待审计网站的HTTP报文的方式，还可以是通过爬虫软件爬取的，这样可以自动获取更全面的HTTP报文。

上述的HTTP报文可以包括HTTP请求报文和/或HTTP响应报文，在进行存储时，由于HTTP请求报文与HTTP响应报文是一对一的对应关系，所以，可以将HTTP请求报文与HTTP响应报文对应存储。

其中，上述的网站服务器用于网站在互联网中的发布、应用，是网站实现对外服务的基础硬件设施。

步骤S120：在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文。

在进行漏洞检测时，可以从存储器中获取预先获取的待审计网站的HTTP报文，将HTTP报文提取出来，然后将HTTP报文中插入漏洞检测程序。

其中，漏洞是指一个系统存在的弱点或缺陷，其可能来自于应用软件或操作系统设计时的缺陷或编码时产生的错误，也可能来自业务在交互出来过程中的设计缺陷或逻辑流程上的不合理之处。所以，为了确保待审计网站的安全，可以预先设计针对待审计网站的漏洞检测程序，漏洞检测程序是根据需要检测的漏洞类型来创建的，常见的漏洞有Sql注入、Xss漏洞、上传漏洞、跨站脚本、表达式注入、代码执行、命令执行、文件上传、弱口令漏洞、重定向漏洞、逻辑漏洞、信息泄露漏洞等类型，可根据这些类型来创建可以检测这些漏洞的漏洞检测程序。

其中，在HTTP报文中插入漏洞检测程序可以理解为是将HTTP报文中插入payload，即在HTTP报文对应的参数中插入payload，携带在HTTP报文中，这样在将获得的审计HTTP报文发送给目标设备后，目标设备可以执行审计HTTP报文中的payload，从而实现对漏洞的检测。

步骤S130：向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测。

在获得审计HTTP报文后，可向目标设备发送审计HTTP报文。其中，目标设备可以是前端设备或后端设备，前端设备可以是指装有浏览器的终端设备，后端设备可以是指上述的网站服务器。本申请实施例所提供的方法可进行前端和后端分离审计，若检测前端漏洞，则目标设备为终端设备，此时可向终端设备的浏览器发送插入有漏洞检测程序的审计HTTP响应报文，若检测后端漏洞，则目标设备为网站服务器，此时可向网站服务器发送插入有漏洞检测程序的审计HTTP请求报文，这种情况下可实现前端和后端的漏洞进行分离审计，这样前端和后端的审计不需要采用统一的检测逻辑，可以有效优化检测流程，增强检测能力，实现对待审计网站的漏洞的全面检测。

在上述实现过程中，通过在预先存储的针对待审计网站的HTTP报文中插入漏洞检测程序，以通过获得的审计HTTP报文来实现对待审计网站的漏洞检测，由于HTTP报文中不仅仅是针对页面的报文，所以，本申请中的HTTP报文是针对待审计网站的所有报文，从而使得可以对待审计网站进行更全面地检测，以减少漏报的概率。

在一些实施方式中，在前端审计的过程中，预先存储的HTTP报文则包括HTTP请求报文(request)和与HTTP请求报文(response)对应的HTTP响应报文，在插入漏洞检测程序时，是将HTTP响应报文中插入漏洞检测程序，具体实现过程为：接收终端设备的浏览器加载待审计网站的待检测页面时发送的目标HTTP请求报文，从预存储的HTTP报文中查找获得目标HTTP请求报文对应的目标HTTP响应报文，在目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文，然后将审计HTTP响应报文发送给终端设备的浏览器，以对浏览器基于审计HTTP响应报文加载待检测页面的加载情况进行漏洞检测。

下述对前端进行漏洞检测的过程可参照图3所示，图3中的目标站点为本申请实施例中的网站服务器，可结合图3进行理解。

前端漏洞检测中，主要是对浏览器存在的漏洞进行检测，这样可以在浏览器存在漏洞时，可以阻止浏览访问相应的网页，从而提高浏览的安全性。浏览器可以作为客户端安装于终端设备上，终端设备可以是指计算机、手机等终端，在浏览器访问某个网页时，针对该网页的HTTP请求报文会先经过代理服务器，由代理服务器实现HTTP请求报文的转发，然后接收网站服务器基于HTTP请求报文返回的响应，使得浏览器可以从当前页面跳转到HTTP请求报文对应的页面。

其中，待检测页面可以是指任一网页，目标HTTP请求报文是指针对待检测页面的HTTP请求报文，其实在预先存储的HTTP报文中，包括待审计网站中各个页面对应的HTTP请求报文，所以其目标HTTP请求报文是指预先存储的HTTP请求报文中的其中一个HTTP请求报文。

由于代理服务器中存储有各个HTTP请求报文对应的HTTP响应报文，所以，代理服务器可以不将该目标HTTP请求报文转发给网站服务器，而是可以直接从预先存储的HTTP请求报文中查找与目标HTTP请求报文相同的HTTP请求报文，然后找到该HTTP请求报文对应的HTTP响应报文，即作为目标HTTP请求报文对应的目标HTTP响应报文。

在进行HTTP请求报文查找时，由于HTTP请求报文中可携带相应的请求信息，如请求行、URL、协议版本、请求数据等信息，所以，可以根据这些请求信息来查找存储的HTTP请求报文中是否有与该请求信息相同的HTTP请求报文，若有，则获取该HTTP请求报文对应的HTTP响应报文，作为目标HTTP响应报文。

为了对浏览器进行漏洞检测，则可以将目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文，然后将审计HTTP响应报文直接返回给终端设备的浏览器，使得浏览器可以运行审计HTTP响应报文中的漏洞检测程序进行漏洞检测。

可以理解地，该漏洞检测程序是可以是对浏览器的漏洞进行分析获得的，其可以不断进行调整和更新，使得可以对不同类型的浏览器进行漏洞检测，也就是说，可以针对不同的浏览器，设计不同的漏洞检测程序，这样可以对不同浏览器进行针对性检测，在这种情况下，则可以浏览器发送的目标HTTP请求报文中还可以携带浏览器的标识，这样代理服务器可以根据浏览器的标识来查找获得该浏览器对应的漏洞检测程序，从而将漏洞检测程序插入到目标HTTP响应报文中。

浏览器在接收到审计HTTP响应报文后，可以对审计HTTP响应报文进行解析，获得其中的漏洞检测程序，从而可以运行漏洞检测程序，相当于在当前加载待检测页面时注入漏洞检测程序，实现对待检测页面的加载情况的漏洞检测。

需要说明的是，在上述实施例中，可以针对浏览器中的每个页面均进行漏洞检测，浏览器在基于审计HTTP响应报文加载待检测页面后，可将加载情况发送给代理服务器，从而代理服务器可根据加载情况检测待检测页面是否存在漏洞。例如，其加载情况与返回的审计HTTP响应报文不一致，则认为待检测页面存在漏洞，或者待检测页面加载异常等情况，均可以认为待检测页面存在漏洞。当然，在实际应用中，可以根据漏洞检测需求，灵活设置漏洞检测程序，并且根据不同的加载情况来确定是否存在漏洞。

上述的待检测页面可以理解为是一个保存在本地的网页，在浏览器中打开这个网页时需要向网站服务器发送HTTP请求，由于代理服务器可以对HTTP请求进行拦截，所以，代理服务器可以在返回HTTP响应报文时，对报文进行修改，以插入漏洞检测程序。

在前端漏洞检测过程中，由于浏览器发送的HTTP请求报文在查找到有对应的HTTP响应报文时，则可无需向网站服务器转发HTTP请求报文，这样可实现请求回放的功能，请求回放能够在不访问网站服务器的情况下保证前端页面的正常渲染，从而避免了向网站服务器重复发送请求的问题，可以有效降低请求数。

在上述实现过程中，通过获得审计HTTP响应报文，发送给浏览器，从而可以对浏览器的页面进行漏洞检测，以实现前端页面的检测，而无需向网站服务器再发送请求，可有效减少漏洞检测过程中的请求数，减轻网站服务器的负担。

在一些实施方式中，由于可能需要对多个漏洞进行检测，则可以在HTTP报文中设置多个检测点，并在多个检测点插入漏洞检测程序从而实现对多个地方的漏洞进行检测。在上述对目标HTTP响应报文中插入漏洞检测程序时，可以先判断目标HTTP响应报文中是否包括未被检测的检测点，若是，则在对应的检测点插入漏洞检测程序，获得审计HTTP响应报文。

可以理解地，在上述通过爬取获得HTTP响应报文后，为了对待审计网站的页面进行检测，还可以HTTP响应报文中设置检测点，检测点可以有多个，而为了避免对多个检测点同时进行检测时造成干扰，可以每次针对一个检测点进行检测，即每次在一个检测点中插入漏洞检测程序。浏览器可以根据预先设定的程序生成待检测页面，每次获得目标HTTP响应报文后，可判断其是否还包括有未被检测的检测点，若有，则在检测点插入漏洞检测程序后返回给浏览器，只有在该目标HTTP响应报文中没有检测点时，浏览器生成下一个待检测页面，然后进行下一个待检测页面进行漏洞检测，同样的，也会在该下一个待检测页面对应的HTTP响应报文中设置检测点，每次在检测点插入漏洞检测程序来进行检测。

上述的检测点可以理解为目标HTTP响应报文中插入漏洞检测程序的位置，如检测点包括：HTTP响应报文中的报文头、包体等中的数据。

在进行漏洞检测时，则遍历目标HTTP响应报文中的检测点，然后每次向一个检测点中插入漏洞检测程序，所以，直到遍历完目标HTTP响应报文中的所有检测点，则加载下一个待检测页面。

在上述实现过程中，通过在目标HTTP响应报文中的检测点插入漏洞检测程序，从而可避免同时在多个检测点插入漏洞检测程序而带来的干扰问题。

在一些实施方式中，为了便于标识多个检测点，在目标HTTP响应报文的检测点插入漏洞检测程序后，可将该检测点进行标记，即对审计HTTP报文中插入漏洞检测程序的检测点进行标记，这样可对未被检测的检测点进行识别，以避免重复检测的问题。

其中，标记的方法可以是指在检测点添加相应的标记，如在报文的报文头headers中添加“has_check_point:true”，这样可对已经检测的检测点进行识别，则下次在未被检测的检测点中插入漏洞检测程序。

可以理解地，每个检测点对应的漏洞检测程序可能不同。也可以在进行检测时，一次性将所有检测点均插入对应的漏洞检测程序，这样可以实现快速检测，效率较高。

在一些实施方式中，在前端审计的过程中，若预选存储的HTTP报文可能不全，使得可能无法查找到目标HTTP请求报文对应的目标响应报文，这种情况下，则代理服务器可以将目标HTTP请求报文发送给网站服务器，网站服务器可根据目标HTTP请求报文返回对应的目标HTTP响应报文，代理服务器接收到目标HTTP响应报文后，可在目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文，再将审计HTTP响应报文发送给终端设备的浏览器，以对浏览器基于审计HTTP响应报文加载待检测页面的加载情况进行漏洞检测。

其检测过程与上述实施例类似，只是目标HTTP响应报文不是从预先存储的HTTP报文中获取的，而是由网站服务器返回的，这样使得即使无法从存储的HTTP报文中获得目标HTTP请求报文对应的目标HTTP响应报文，也能从网站服务器获取对应的目标HTTP响应报文，实现对待检测页面的响应。

在上述实现过程中，在未查找到目标HTTP请求报文对应的目标HTTP响应报文时，可以通过网址服务器来返回对应的目标HTTP响应报文，从而也可实现对前端页面的漏洞检测。

在一些实施方式中，在后端审计过程中，主要是对网站服务器存在的漏洞进行检测，其方式与前端检测类似，不同的是将HTTP请求报文中插入漏洞检测程序后发送给网站服务器，所以，预先存储的HTTP报文可以包括HTTP请求报文，其检测过程包括：在预存储的HTTP报文中的HTTP请求报文中插入漏洞检测程序，获得审计HTTP请求报文，然后可将审计HTTP请求报文发送给网站服务器，网站服务器接收到审计HTTP请求报文后，对其进行响应，向代理服务器返回对应的响应结果，代理服务器接收到响应结果后，可根据响应结果对网站服务器进行漏洞检测。

其中，在进行检测时，可以将每个HTTP请求报文中均插入漏洞检测程序，其插入漏洞检测程序的方式与上述实施例中在HTTP响应报文中插入漏洞检测程序的方式类似，均是在相应的检测点插入漏洞检测程序，为了描述的简洁，具体的插入过程在此不再重复描述。

下述对后端进行漏洞检测的过程可参照图4所示，可结合图4进行理解。

可以理解地，该漏洞检测程序可以是对网站服务器的漏洞进行分析获得的，其可以不断进行调整和更新，使得可以针对不同网站服务器进行漏洞检测，也就是说，可以针对不同的网站服务器，设计不同的漏洞检测程序，这样可以对不同网站服务器进行针对性检测。

网站服务器接收到审计HTTP请求报文后，执行其中的漏洞检测程序，然后进行响应，其响应结果包括能否正常响应，或者返回的响应是否异常，或者响应时间是否过长等，代理服务器可根据设定的规则来判断响应结果是否正常，从而实现对应的漏洞检测。

在对后端进行漏洞检测时，其审计对象是HTTP请求报文，与前端页面无关，所以不需要使用到浏览器，并且可以有效规避前端页面的数据规范性校验，从而提升对漏洞的探测能力。

在上述实现过程中，通过将审计HTTP报文发送给网站服务器，从而可实现对网站服务器的漏洞检测，使得检测范围更广，检测更全面。

为了对网站服务器进行全面的漏洞检测以及避免干扰，在插入漏洞检测程序时，可以是依次在HTTP请求报文的对应检测点插入漏洞检测程序，也就是说，若是一个HTTP请求报文中有多个检测点时，每次在一个检测点中插入漏洞检测程序，然后发送给网站服务器，获得响应结果后进行漏洞检测，然后继续在下一个检测点插入漏洞检测程序，继续上述过程，直至该HTTP请求报文中的检测点均被插入漏洞检测程序发送给网站服务器，然后再获取下一个HTTP请求报文进行检测。

在前端审计和后端审计过程中，由于预先已经存储了HTTP请求报文和HTTP响应报文，所以，在漏洞检测时，可以根据需求对HTTP请求报文和HTTP响应报文进行更改，即插入漏洞检测程序，从而可以有效降低漏洞检测过程中的请求数。并且，由于漏洞检测程序由注入位置由前端页面切换到了HTTP请求报文和HTTP响应报文，所以审计范围更广更全面，同时，由于漏洞检测程序不会受到数据规范性校验的约束，所以对漏洞的探测能力也能大大增强。

在一些实施方式中，由于HTTP报文分为多种类别，如静态文件(如css，js等)、应用接口api、page等，而静态文件和page是一些变化不大的数据，所以，为了简化检测过程，可以将类别为应用接口的HTTP报文作为审计报文，如在插入漏洞检测程序的过程中，可以先获取预先存储的HTTP报文中类别为应用接口的HTTP报文，然后在类别为应用接口的HTTP报文中插入漏洞检测程序，获得审计HTTP报文。

例如，在上述前端检测过程中，在获得目标响应报文后，可从预存储的HTTP响应报文中查找类别为应用接口的HTTP响应报文，然后查找该类别为应用接口的HTTP响应报文中是否有目标HTTP请求报文对应的目标HTTP响应报文，若有，则将该目标HTTP响应报文中插入漏洞检测程序后返回给浏览器。在上述后端检测过程中，可从预存储的HTTP报文中查找类别为应用接口的HTTP请求报文，然后在该HTTP请求报文中插入漏洞检测程序后发送给服务器。

在一些实施方式中，为了对应用接口进行漏洞检测，在存储HTTP报文之前，可以对其类别进行识别，然后存储类别为应用接口的HTTP报文，其实现过程为：通过爬虫软件爬取获得待审计网站的初始HTTP报文，然后对初始HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

在爬虫阶段需要完成对目标网站的全站爬取，而且所有包含JavaScript的页面也需要使用浏览器渲染，以确保后端提供的应用接口api不会被遗漏，实现更全面的检测。在整个爬取过程中，代理服务器不对HTTP请求报文和HTTP响应报文做任何修改。由于HTPP请求报文和HTTP响应报文是一一对应的，所以，HTPP请求报文和HTPP响应报文可以结合起来用于分析其类别。

以一个使用json作为数据交换格式的ajax请求为例，若HTPP请求报文的Content-Type为application/json且body为json格式的话，则可判定此HTPP请求报文的类别为api，若通过HTPP请求报文无法判断其类别时，可以尝试通过对应的HTPP响应报文来判断，同理，若HTPP响应报文的Content-Type为application/json且body为json格式，因为json数据很少直接在页面上渲染，所以也可以判定此HTPP请求报文是用于数据交换，类别为api。

而为了便于对所有的HTTP报文进行审计，代理服务器可以存储所有的HTTP报文，在进行存储时，可以将HTTP报文分类别进行存储，如将HTTP报文分为应用接口、page(html)和静态文件(如css,js等)三类，然后将每一对HTTP请求报文和HTTP响应报文及其类别作为一条数据存储到代理服务器中，以供后续检测阶段使用。其爬虫阶段的爬取过程示意图如图5所示。

在上述实现过程中，通过爬虫软件爬取HTTP报文可使得获取的HTTP报文更全面，并且能够获取更多类别为应用接口的HTTP报文，从而扩大了漏洞检测的范围。

在一些实施方式中，为了根据需求实现更细化的漏洞检测，还可以针对数据类型的HTTP报文进行检测，在上述获得类别为应用接口的HTTP报文的过程中，还可以先筛选获得初始HTTP报文中类型为数据的数据HTTP报文，然后对数据HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

在前后端分离的网站中，真正展示给用户的页面主要由模板和数据两部分组成，模板就是常规意义上的html文档，而数据则是多种多样的，如json、xml、list等，数据的类型主要取决于开发人员的实现方式，在获取到模板和数据的HTTP报文后，JavaScript会将数据渲染到模板上，最终生成用户看到的实际页面。

所以，对于模板类型的HTTP报文基本上不会有什么变化，为了加快检测流程，可以只需对类型为数据的HTTP报文进行审计。在爬取到所有的HTTP报文后，可先对HTTP报文进行类型区分，以区分出数据类型的HTTP报文和模板类型的HTTP报文，然后再在数据HTTP报文中识别出类别为应用接口的HTTP报文进行存储。

可以理解地，上述识别出模板类型的HTTP报文和数据类型的HTTP报文，然后再识别出数据类型的HTTP报文中类别为api、page和静态文件三类HTTP报文，则在进行检测时，可以根据需求选择对应类别的HTTP报文进行检测。当然，为了实现更全面的检查，也可以将所有的HTTP报文均用来进行检测，从而可以避免漏报的问题。

所以，通过对爬虫阶段的HTTP请求报文和HTTP响应报文的分析，能够精准分析出后端提供的api，实现了api级别的检测。并且，本申请实施例中的审计对象不再局限于page，而是可以扩展到api的级别，所以可以实现对api不遗漏、不重复的审计。

并且，在爬虫阶段将所有的HTTP请求报文和HTTP响应报文进行存储，所以在漏洞检测阶段，可以根据需要对HTTP请求报文和HTTP响应报文进行修改后并回放，可以有效降低检测过程中的请求数。

本申请实施例中，将漏洞检测分为前端检测和后端检测，前端的审计对象是页面，也就是对浏览器进行检测，主要是指浏览器渲染过程中出现的漏洞进行检测，如跨站脚本攻击等，出现位置为浏览器；后端的审计对象是服务器提供的应用接口，也就是对服务器进行检测，是指服务器在处理前端数据或请求时出现的漏洞，如SQL注入、操作系统明亮注入等，出现位置为服务器。这样可以实现前后端分离审计的模式，将前后端漏洞分离检测之后，用于检测前后端漏洞的检测插件各司其职，只审计对应的审计对象，互不干扰。

请参照图6，图6为本申请实施例提供了一种漏洞检测装置200的结构框图；该装置200可以是电子设备上的模块、程序段或代码。应理解，该装置200与上述图2方法实施例对应，能够执行图2方法实施例涉及的各个步骤，该装置200具体的功能可以参见上文中的描述，为避免重复，此处适当省略详细描述。

可选地，所述装置200包括：

报文获取模块210，用于获取预先存储的针对待审计网站的HTTP报文；

检测程序插入模块220，用于在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文；

漏洞检测模块2030，用于向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测。

可选地，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述检测程序插入模块220，用于：

接收终端设备的浏览器加载所述待审计网站的待检测页面时发送的目标HTTP请求报文；

从预存储的所述HTTP报文中查找获得所述目标HTTP请求报文对应的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述漏洞检测模块230，用于将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

可选地，所述检测程序插入模块220，用于判断所述目标HTTP响应报文中是否包括未被检测的检测点；若是，则在对应的检测点插入漏洞检测程序，获得审计HTTP响应报文。

可选地，所述检测程序插入模块220，还用于对所述审计HTTP响应报文中插入漏洞检测程序的检测点进行标记。

可选地，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述检测程序插入模块220，用于：

在从预存储的所述HTTP报文中未查找到所述目标HTTP请求报文对应的目标HTTP响应报文时，将所述目标HTTP请求报文发送给所述网站服务器；

接收所述网站服务器根据所述目标HTTP请求报文返回的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述漏洞检测模块230，用于将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

可选地，所述HTTP报文包括HTTP请求报文，所述检测程序插入模块220，用于在所述HTTP报文中的HTTP请求报文中插入漏洞检测程序，获得审计HTTP请求报文；

所述漏洞检测模块230，用于将所述审计HTTP请求报文发送给所述网站服务器；接收所述网站服务器基于所述审计HTTP请求报文返回的响应结果；根据所述响应结果对所述网站服务器进行漏洞检测。

可选地，所述检测程序插入模块220，用于依次在所述HTTP报文中的HTTP请求报文的对应检测点插入漏洞检测程序，获得审计HTTP请求报文。

可选地，所述检测程序插入模块230，用于获取预先存储的所述HTTP报文中类别为应用接口的HTTP报文；在所述类别为应用接口的HTTP报文中插入漏洞检测程序，获得审计HTTP报文。

可选地，所述装置200还包括：

存储模块，用于通过爬虫软件爬取所述待审计网站的初始HTTP报文；对所述初始HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

可选地，所述存储模块，用于筛选获得所述初始HTTP报文中类型为数据的数据HTTP报文；对所述数据HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

需要说明的是，本领域技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再重复描述。

本申请实施例提供一种可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时，执行如图2所示方法实施例中电子设备所执行的方法过程。

本实施例公开一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时，计算机能够执行上述各方法实施例所提供的方法，例如，包括：获取预先存储的针对待审计网站的HTTP报文；在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文；向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测。

综上所述，本申请实施例提供一种漏洞检测方法、装置、电子设备及可读存储介质，通过在预先存储的针对待审计网站的HTTP报文中插入漏洞检测程序，以通过获得的审计HTTP报文来实现对待审计网站的漏洞检测，由于HTTP报文中不仅仅是针对页面的报文，所以，本申请中的HTTP报文是针对待审计网站的所有报文，从而使得可以对待审计网站进行更全面地检测，以减少漏报的概率。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (13)

1.一种漏洞检测方法，其特征在于，所述方法包括：

获取预先存储的针对待审计网站的HTTP报文；

在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文；

向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测。

2.根据权利要求1所述的方法，其特征在于，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

接收终端设备的浏览器加载所述待审计网站的待检测页面时发送的目标HTTP请求报文；

从预存储的所述HTTP报文中查找获得所述目标HTTP请求报文对应的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测，包括：

将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

3.根据权利要去2所述的方法，其特征在于，所述在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文，包括：

判断所述目标HTTP响应报文中是否包括未被检测的检测点；

若是，则在对应的检测点插入漏洞检测程序，获得审计HTTP响应报文。

4.根据权利要去3所述的方法，其特征在于，所述获得审计HTTP响应报文之后，还包括：

对所述审计HTTP响应报文中插入漏洞检测程序的检测点进行标记。

5.根据权利要求1所述的方法，其特征在于，所述HTTP报文包括HTTP请求报文和与所述HTTP请求报文对应的HTTP响应报文，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

接收所述终端设备的浏览器加载所述待审计网站的待检测页面时发送的目标HTTP请求报文；

在从预存储的所述HTTP报文中未查找到所述目标HTTP请求报文对应的目标HTTP响应报文时，将所述目标HTTP请求报文发送给所述网站服务器；

接收所述网站服务器根据所述目标HTTP请求报文返回的目标HTTP响应报文；

在所述目标HTTP响应报文中插入漏洞检测程序，获得审计HTTP响应报文；

所述向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测，包括：

将所述审计HTTP响应报文发送给所述终端设备的浏览器，以对所述浏览器基于所述审计HTTP响应报文加载所述待检测页面的加载情况进行漏洞检测。

6.根据权利要求1所述的方法，其特征在于，所述HTTP报文包括HTTP请求报文，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

在所述HTTP报文中的HTTP请求报文中插入漏洞检测程序，获得审计HTTP请求报文；

所述向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测，包括：

将所述审计HTTP请求报文发送给所述网站服务器；

接收所述网站服务器基于所述审计HTTP请求报文返回的响应结果；

根据所述响应结果对所述网站服务器进行漏洞检测。

7.根据权利要求6所述的方法，其特征在于，所述在所述HTTP报文中的HTTP请求报文中插入漏洞检测程序，获得审计HTTP请求报文，包括：

依次在所述HTTP报文中的HTTP请求报文的对应检测点插入漏洞检测程序，获得审计HTTP请求报文。

8.根据权利要去1-7任一所述的方法，其特征在于，所述在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文，包括：

获取预先存储的所述HTTP报文中类别为应用接口的HTTP报文；

在所述类别为应用接口的HTTP报文中插入漏洞检测程序，获得审计HTTP报文。

9.根据权利要求8所述的方法，其特征在于，所述获取预先存储的针对待审计网站的HTTP报文之前，还包括：

通过爬虫软件爬取所述待审计网站的初始HTTP报文；

对所述初始HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

10.根据权利要求9所述的方法，其特征在于，所述对所述初始HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储，包括：

筛选获得所述初始HTTP报文中类型为数据的数据HTTP报文；

对所述数据HTTP报文的类别进行识别，获得类别为应用接口的HTTP报文并进行存储。

11.一种漏洞检测装置，其特征在于，所述装置包括：

报文获取模块，用于获取预先存储的针对待审计网站的HTTP报文；

检测程序插入模块，用于在所述HTTP报文中插入漏洞检测程序，获得审计HTTP报文；

漏洞检测模块，用于向目标设备发送所述审计HTTP报文，以利用所述审计HTTP报文对所述待审计网站进行漏洞检测。

12.一种电子设备，其特征在于，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如权利要求1-10任一所述的方法。

13.一种可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时运行如权利要求1-10任一所述的方法。

Images