CN112968900A - 一种跨站脚本攻击漏洞检测方法、装置及存储介质 - Google Patents

Abstract

本发明公开了一种跨站脚本攻击漏洞检测方法、装置及存储介质，包括：将待检测URL置于测试用例中；调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测。采用本发明，客户端可以随时向其发送检测漏洞请求，并实时接收到来自封装好服务端的响应，从而提高了XSS漏洞的检测的效率。只需执行测试套件便可以实现URL的批量漏洞检测；支持了多对键值对，解决了多键多值接收的问题。

Description

一种跨站脚本攻击漏洞检测方法、装置及存储介质

技术领域

本发明涉及计算机技术领域，特别涉及一种跨站脚本攻击漏洞检测方法、装置及存储介质。

背景技术

随着互联网技术的高速发展，Web应用越来越多样，随之而来的是越来越高的安全风险，其中一种常见的安全漏洞就是跨站脚本XSS(跨站脚本攻击，Cross Site Scripting)漏洞，它允许攻击者在存在XSS漏洞的网页源码中插入恶意脚本数据，从而篡改网页，在用户正常浏览网页时，达到获取用户个人信息等目的。

现有技术的不足在于：XSS漏洞的检测方案效率低。

发明内容

本发明提供了一种跨站脚本攻击漏洞检测方法、装置及存储介质，用以解决XSS漏洞的检测方案效率低的问题。

本发明提供以下技术方案：

一种XSS漏洞检测方法，包括：

将待检测URL置于测试用例中；

调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测。

实施中，所述XSS漏洞检测工具为基于scrapy爬虫框架实现的XSS漏洞检测爬虫。

实施中，进一步包括：

将XSS漏洞检测中使用的Cookie参数设置为至少支持两个键值对的传入。

实施中，进一步包括：

使用字典形式接收Cookie参数。

实施中，所述Web服务是基于Flask框架将XSS漏洞检测工具封装成的独立的Web服务。

实施中，进一步包括：

在测试用例侧获取URL的XSS漏洞检测结果；和/或，

在测试套件侧获取URL的XSS漏洞检测结果。

一种XSS漏洞检测装置，包括：

处理器，用于读取存储器中的程序，执行下列过程：

将待检测URL置于测试用例中；

调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测；

收发机，用于在处理器的控制下接收和发送数据。

实施中，所述XSS漏洞检测工具为基于scrapy爬虫框架实现的XSS漏洞检测爬虫。

实施中，进一步包括：

将XSS漏洞检测中使用的Cookie参数设置为至少支持两个键值对的传入。

实施中，进一步包括：

使用字典形式接收Cookie参数。

实施中，所述Web服务是基于Flask框架将XSS漏洞检测工具封装成的独立的Web服务。

实施中，进一步包括：

在测试用例侧获取URL的XSS漏洞检测结果；和/或，

在测试套件侧获取URL的XSS漏洞检测结果。

一种XSS漏洞检测装置，包括：

放置模块，用于将待检测URL置于测试用例中；

检测模块，用于调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测。

实施中，检测模块进一步用于采用基于scrapy爬虫框架实现的XSS漏洞检测爬虫作为所述XSS漏洞检测工具。

实施中，进一步包括：

设置模块，用于将XSS漏洞检测中使用的Cookie参数设置为至少支持两个键值对的传入。

实施中，进一步包括：

接收模块，用于使用字典形式接收Cookie参数。

实施中，检测模块进一步用于基于Flask框架将XSS漏洞检测工具封装成的独立的Web服务的所述Web服务。

实施中，进一步包括：

查看模块，用于在测试用例侧获取URL的XSS漏洞检测结果；和/或，在测试套件侧获取URL的XSS漏洞检测结果。

一种计算机可读存储介质，所述计算机可读存储介质存储有执行上述XSS漏洞检测方法的计算机程序。

本发明有益效果如下：

本发明实施例提供的技术方案中，由于基于Web框架把XSS漏洞检测工具封装成Web服务，因此可以客户端可以随时向其发送检测漏洞请求，并实时接收到来自封装好服务端的响应，从而提高了XSS漏洞的检测的效率。

进一步的，由于基于Flask框架把XSScrapy工具封装成了一个独立的Web服务，客户端可以随时向其发送检测漏洞请求，并实时接收到来自封装好服务端的响应；

进一步的，由于可以将待检测的URL以及相关的参数创建成一个单独的测试用例，并把多个相关测试用例与测试套件关联，只需执行测试套件便可以实现URL的批量漏洞检测，检测结果可以通过测试报告一键查看；

进一步的，由于可以通过改写XSScrapy工具源码中接收Cookie参数传入的方式，支持了多对键值对。源码中以一键一值的方式接收Cookie键值对，直接改为字典形式接收Cookie参数解决了多键多值接收的问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例中XSS漏洞检测方法实施流程示意图；

图2为本发明实施例中XSS漏洞检测过程示意图；

图3为本发明实施例中XSS漏洞检测装置结构示意图。

具体实施方式

发明人在发明过程中注意到：

目前，针对XSS漏洞的检测方法有各种开源工具，例如：XSScrapy，XSScrapy是基于scrapy爬虫框架实现的，是一个快速、直接的XSS漏洞检测爬虫，只需要一个URL(统一资源定位符，Uniform Resource Locator)，它可以快速、直接的检测是否存在XSS漏洞。

但是，它只支持在命令行中执行；对于Cookie参数仅支持一个键值对，而在很多Web系统中通常都是两个以上键值对；并且每次执行检测都必须重新执行检测程序，无法实时调用。

也即，由于以下问题之一或者其组合使得现有的XSS漏洞的检测方案效率低：

1)XSScrapy工具没有封装成Web服务，不可随时调用，每次使用都要重新运行程序；

2)XSScrapy工具仅支持命令行执行，不方便网址URL的批量检测；

3)XSScrapy工具仅支持一对键值对参数传入，而目前大多都是两对及以上键值对参数。

基于此，本发明实施例中提供了一种XSS漏洞检测方案，下面结合附图对本发明的具体实施方式进行说明。

图1为XSS漏洞检测方法实施流程示意图，如图所示，包括：

步骤101、将待检测URL置于测试用例中；

步骤102、调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测。

具体的，测试套件指的是关联多个测试用例的测试套件，目的是在执行XSS漏洞检测时可以通过执行测试套件便可对多个URL批量检测。

实施中，所述XSS漏洞检测工具为基于scrapy爬虫框架实现的XSS漏洞检测爬虫。

下面将主要以XSScrapy这一XSS漏洞检测工具为例进行说明，在实施中以XSScrapy为例是因为这一工具目前比较常用，所以以XSScrapy为例；但是，用其它的XSS漏洞检测工具也是可以的，只要XSS漏洞检测功能即可，XSScrapy仅用于教导本领域技术人员具体如何实施本发明，但不意味仅能使用XSScrapy，实施过程中可以结合实践需要来确定相应的取值。

具体的，可以在XSScrapy的基础上，将其封装成一个独立的服务，允许被随时调用检测；将待检测URL置于测试用例中，再将多个测试用例与套件关联，每次执行检测直接运行套件即可实现URL的批量检测。

实施中，还可以进一步包括：

将XSS漏洞检测中使用的Cookie参数设置为至少支持两个键值对的传入。

具体的，可以修改Cookie参数只能传入一个键值对的限制，支持多个键值对的传入。

实施中，还可以进一步包括：

使用字典形式接收Cookie参数。

具体的，可以通过改写XSScrapy工具源码中接收Cookie参数传入的方式，支持多对键值对。源码中以一键一值的方式接收Cookie键值对，可以直接改为字典形式接收Cookie参数来解决支持多个键值对的传入。

实施中，所述Web服务是基于Flask框架将XSS漏洞检测工具封装成的独立的Web服务。

具体的，可以基于Flask框架把XSScrapy工具封装成了一个独立的Web服务，客户端可以随时向其发送检测漏洞请求，并实时接收到来自封装好服务端的响应。

使用Flask框架将XSScrapy工具封装为一个独立的服务，但是，使用其他Web框架同样可以实现该目的。

实施中，还可以进一步包括：

在测试用例侧获取URL的XSS漏洞检测结果；和/或，

在测试套件侧获取URL的XSS漏洞检测结果。

具体的，可以将待检测的URL以及相关的参数创建成一个单独的测试用例，并把多个相关测试用例与测试套件关联，只需执行测试套件便可以实现URL的批量漏洞检测，检测结果可以通过测试报告一键查看。

在查看执行结果检查是否存在XSS漏洞时，此处也可以有两个查看方案，一种是测试用例侧查看每个检测URL的执行结果；另外一种是套件侧查看测试套件的执行结果，针对有问题的用例可以点击用例编号查看详情。

下面以实例进行说明。

图2为XSS漏洞检测过程示意图，如图所示，可以包括：

1、启动XSScrapy封装好的Web服务。

具体的，在方案中使用的可以是基于Python语言编写的Web应用框架Flask，将XSScrapy工具封装成独立的服务，这样可以实现随时启动XSS漏洞检测。

2、向Web服务发起漏洞检测通知。

3、创建漏洞检测任务执行监测。

具体的，Web服务调用接口创建漏洞检测任务，对传入的待检测URL以及相关参数执行检测；

4、获取注入结果以及payloads(有效载荷)。

具体的，调用Web服务的结果查看接口获取注入结果以及payloads数据，根据结果文件是否为空判断是否存在XSS漏洞，并将结果存储在数据库中。

5、判断结果文件，为空表示无注入点，不为空表示存在注入点。

下面将XSS漏洞检测实现XSS漏洞检测自动化的具体实施进行说明。

新增XSS漏洞检测测试用例，可以支持多种请求类型，从而可以覆盖URL请求参数、Cookie以及Referer字段，其中Cookie支持以字典的形式传入，这样就避免了只支持一对键值的限制。Referer是HTTP(超文本传输协议，HyperText Transfer Protocol)请求header(头部)的一部分，当浏览器(或者模拟浏览器行为)向web服务器发送请求的时候，头信息里有包含Referer。

执行XSS漏洞检测测试用例，可以支持执行单条测试用例，也可以将多个测试用例关联至测试套件中，批量执行多个测试用例，从而实现多个URL的批量检测。

查看执行结果检查是否存在XSS漏洞，此处可以有两个查看方案，一种是测试用例侧查看每个检测URL的执行结果；另外一种是套件侧查看测试套件的执行结果。

基于同一发明构思，本发明实施例中还提供了一种XSS漏洞检测装置、及计算机可读存储介质，由于这些设备解决问题的原理与XSS漏洞检测方法相似，因此这些设备的实施可以参见方法的实施，重复之处不再赘述。

在实施本发明实施例提供的技术方案时，可以按如下方式实施。

图3为XSS漏洞检测装置结构示意图，如图所示，装置中包括：

处理器300，用于读取存储器320中的程序，执行下列过程：

将待检测URL置于测试用例中；

调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测；

收发机310，用于在处理器300的控制下接收和发送数据。

实施中，所述XSS漏洞检测工具为基于scrapy爬虫框架实现的XSS漏洞检测爬虫。

实施中，进一步包括：

将XSS漏洞检测中使用的Cookie参数设置为至少支持两个键值对的传入。

实施中，进一步包括：

使用字典形式接收Cookie参数。

实施中，所述Web服务是基于Flask框架将XSS漏洞检测工具封装成的独立的Web服务。

实施中，进一步包括：

在测试用例侧获取URL的XSS漏洞检测结果；和/或，

在测试套件侧获取URL的XSS漏洞检测结果。

其中，在图3中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器300代表的一个或多个处理器和存储器320代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机310可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元。处理器300负责管理总线架构和通常的处理，存储器320可以存储处理器300在执行操作时所使用的数据。

本发明实施例中还提供了一种XSS漏洞检测装置，包括：

放置模块，用于将待检测URL置于测试用例中；

检测模块，用于调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测。

实施中，检测模块进一步用于采用基于scrapy爬虫框架实现的XSS漏洞检测爬虫作为所述XSS漏洞检测工具。

实施中，进一步包括：

设置模块，用于将XSS漏洞检测中使用的Cookie参数设置为至少支持两个键值对的传入。

实施中，进一步包括：

接收模块，用于使用字典形式接收Cookie参数。

实施中，检测模块进一步用于基于Flask框架将XSS漏洞检测工具封装成的独立的Web服务的所述Web服务。

实施中，进一步包括：

查看模块，用于在测试用例侧获取URL的XSS漏洞检测结果；和/或，在测试套件侧获取URL的XSS漏洞检测结果。

为了描述的方便，以上所述装置的各部分以功能分为各种模块或单元分别描述。当然，在实施本发明时可以把各模块或单元的功能在同一个或多个软件或硬件中实现。

本发明实施例中还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有执行上述XSS漏洞检测方法的计算机程序。

具体实施中可以参见XSS漏洞检测方法的实施。

综上所述，本发明实施例提供的技术方案中，基于Web框架把XSScrapy漏洞检测工具封装成一个独立的Web服务；实现待检测URL的批量检测以及测试用例管理方案。

由于基于Flask框架把XSScrapy工具封装成了一个独立的Web服务，客户端可以随时向其发送检测漏洞请求，并实时接收到来自封装好服务端的响应；

由于可以将待检测的URL以及相关的参数创建成一个单独的测试用例，并把多个相关测试用例与测试套件关联，只需执行测试套件便可以实现URL的批量漏洞检测，检测结果可以通过测试报告一键查看；

由于可以通过改写XSScrapy工具源码中接收Cookie参数传入的方式，支持了多对键值对。源码中以一键一值的方式接收Cookie键值对，直接改为字典形式接收Cookie参数解决了这个问题。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器和光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种跨站脚本攻击XSS漏洞检测方法，其特征在于，包括：

将待检测统一资源定位符URL置于测试用例中；

调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测。

2.如权利要求1所述的方法，其特征在于，所述XSS漏洞检测工具为基于scrapy爬虫框架实现的XSS漏洞检测爬虫。

3.如权利要求1所述的方法，其特征在于，进一步包括：

将XSS漏洞检测中使用的Cookie参数设置为至少支持两个键值对的传入。

4.如权利要求3所述的方法，其特征在于，进一步包括：

使用字典形式接收Cookie参数。

5.如权利要求1所述的方法，其特征在于，所述Web服务是基于Flask框架将XSS漏洞检测工具封装成的独立的Web服务。

6.如权利要求1所述的方法，其特征在于，进一步包括：

在测试用例侧获取URL的XSS漏洞检测结果；和/或，

在测试套件侧获取URL的XSS漏洞检测结果。

7.一种XSS漏洞检测装置，其特征在于，包括：

处理器，用于读取存储器中的程序，执行下列过程：

将待检测URL置于测试用例中；

调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测；

收发机，用于在处理器的控制下接收和发送数据。

8.如权利要求7所述的装置，其特征在于，进一步包括：

在测试用例侧获取URL的XSS漏洞检测结果；和/或，

在测试套件侧获取URL的XSS漏洞检测结果。

9.一种XSS漏洞检测装置，其特征在于，包括：

放置模块，用于将待检测URL置于测试用例中；

检测模块，用于调用Web服务对测试用例中的URL进行检测，其中，所述Web服务中封装有XSS漏洞检测工具，所述XSS漏洞检测工具在测试套件被执行时，对测试用例中的URL进行XSS漏洞检测。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有执行权利要求1至6任一所述方法的计算机程序。

Images