CN113132387B

CN113132387B - 漏洞扫描流量的处理方法、装置、存储介质及处理器

Info

Publication number: CN113132387B
Application number: CN202110426985.4A
Authority: CN
Inventors: 许勇; 蒋自立
Original assignee: Hillstone Networks Co Ltd
Current assignee: Hillstone Networks Co Ltd
Priority date: 2021-04-20
Filing date: 2021-04-20
Publication date: 2022-12-09
Anticipated expiration: 2041-04-20
Also published as: CN113132387A

Abstract

本申请公开了一种漏洞扫描流量的处理方法、装置、存储介质及处理器。该方法包括：在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。通过本申请，解决了相关技术中由于将漏洞扫描模块发送的流量经过WAF引擎模块，需要采用交换机中间转发，造成网络设备资源浪费的问题。

Description

漏洞扫描流量的处理方法、装置、存储介质及处理器

技术领域

本申请涉及网络数据处理技术领域，具体而言，涉及一种漏洞扫描流量的处理方法、装置、存储介质及处理器。

背景技术

WAF(Web Application Firewall，web应用防火墙)，是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的安全产品。其中，实现WAF 功能的软件模块，称之为WAF引擎。用户在使用WAF设备保护自己的站点时，一般会先利用漏洞扫描工具，对站点进行扫描，再根据发现的漏洞，针对性的进行WAF 安全策略的配置。由于有这个需求，WAF设备上往往集成了漏洞扫描工具。另外，用户在配置完WAF规则后，需要让漏洞扫描工具的流量经过WAF设备，检查配置的 WAF规则是否生效、是否合理。

相关技术中，如果要将漏洞扫描模块发送的流量经过WAF引擎模块，需要将WAF 设备和其它网络设备(比如交换机)相连，先将漏洞扫描工具模块发送的数据包送到交换机上，由交换机转发回到WAF设备，再经过WAF引擎模块，然后再送到被保护的Web服务器上。但是会造成网络拓扑复杂、设备资源浪费的问题。

针对相关技术中由于将漏洞扫描模块发送的流量经过WAF引擎模块，需要采用交换机中间转发，造成网络设备资源浪费的问题，目前尚未提出有效的解决方案。

发明内容

本申请的主要目的在于提供一种漏洞扫描流量的处理方法、装置、存储介质及处理器，以解决相关技术中由于将漏洞扫描模块发送的流量经过WAF引擎模块，需要采用交换机中间转发，造成网络设备资源浪费的问题。

为了实现上述目的，根据本申请的一个方面，提供了一种漏洞扫描流量的处理方法。该方法包括：在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。

进一步地，将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器包括：将经过第一虚拟路由器路由的漏洞扫描流量的目的IP地址设置为目标web服务器的IP地址；在第一虚拟路由器中配置路由，设置第一虚拟路由器到达目标web服务器地址的下一跳为第二虚拟路由器。

进一步地，将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器之后，该方法还包括：漏洞扫描流量通过第一虚拟路由器转发至第二虚拟路由器。

进一步地，通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器之前，包括：基于第二虚拟路由器配置源地址转换规则，其中，源地址转换规则将漏洞扫描流量的源IP地址转换为web 应用防火墙与目标web服务器连接的接口IP地址。

进一步地，通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器包括：基于WAF引擎模块对漏洞扫描流量进行处理，得到处理后的漏洞扫描流量；基于源地址转换规则将处理后的漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址；将源IP地址转换后的漏洞扫描流量通过第二虚拟路由器中的web应用防火墙引擎发送至目标web服务器。

进一步地，在将处理后的漏洞扫描流量发送至目标web服务器之后，该方法还包括：接收目标web服务器响应漏洞扫描流量返回的数据信息；将数据信息发送至第二虚拟路由器中进行IP地址转换；将地址转换后的数据信息发送至第一虚拟路由器中的漏洞扫描工具。

为了实现上述目的，根据本申请的另一方面，提供了一种漏洞扫描流量的处理装置。该装置包括：第一配置单元，用于在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；第一发送单元，用于将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；第一处理单元，用于通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。

进一步地，第一发送单元包括：第一配置模块，用于将经过第一虚拟路由器路由的漏洞扫描流量的目的IP地址设置为目标web服务器的IP地址；第二配置模块，用于在第一虚拟路由器中配置路由，设置第一虚拟路由器到达目标web服务器地址的下一跳为第二虚拟路由器。

进一步地，该装置还包括：第一转发单元，用于将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器之后，漏洞扫描流量通过第一虚拟路由器转发至第二虚拟路由器。

进一步地，该装置还包括：第一转换单元，用于通过第二虚拟路由器中的WAF 引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器之前，基于第二虚拟路由器配置源地址转换规则，其中，源地址转换规则将漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址。

进一步地，第一处理单元包括：第一处理模块，用于基于WAF引擎模块对漏洞扫描流量进行处理，得到处理后的漏洞扫描流量；第一转换模块，用于基于源地址转换规则将处理后的漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址；第一发送模块，用于将源IP地址转换后的漏洞扫描流量通过第二虚拟路由器中的web应用防火墙引擎发送至目标web服务器。

进一步地，该装置还包括：第一接收单元，用于在将处理后的漏洞扫描流量发送至目标web服务器之后，接收目标web服务器响应漏洞扫描流量返回的数据信息；第二发送单元，用于将数据信息发送至第二虚拟路由器中进行IP地址转换；第三发送单元，用于将地址转换后的数据信息发送至第一虚拟路由器中的漏洞扫描工具。

通过本申请，采用以下步骤：在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标 web服务器。通过本申请，解决了相关技术中由于将漏洞扫描模块发送的流量经过WAF 引擎模块，需要采用交换机中间转发，造成网络设备资源浪费的问题。通过在web应用防火墙上配置多个虚拟路由器，以及通过第二路由器处理后的漏洞扫描流量发送至目标web服务器，避免了使用交换机中间转发，进而达到了节省了网络设备资源浪费的效果。

附图说明

构成本申请的一部分的附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例提供的漏洞扫描流量的处理方法的流程图；

图2是根据本申请实施例提供的漏洞扫描流量的处理方法的技术方案框图；

图3是根据本申请实施例提供的漏洞扫描流量的处理装置的示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

为了便于描述，以下对本申请实施例涉及的部分名词或术语进行说明：

Virtual Router(虚拟路由器)：是指在软件层实现物理路由器的功能仿真，属于一种逻辑设备。WAF设备作为一种网络设备，可以配置多个VR，每个VR具有逻辑独立的路由表和转发表，这样就使不同网络地址空间可以重用，并保证了内部路由和转发的隔离性。

源地址转换：是内网地址向外网进行访问时，发起访问的内网IP地址转化为指定的IP地址。

根据本申请的实施例，提供了一种漏洞扫描流量的处理方法。

图1是根据本申请实施例的漏洞扫描流量的处理方法的流程图。如图1所示，该方法包括以下步骤：

步骤S101，在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器。

如图2所示，在WAF设备上搭建有两个虚拟路由器VR1(对应本申请的第一虚拟路由器)以及VR2(对应本申请的第二虚拟路由器)，其中，第一虚拟路由器中包含漏洞扫描工具模块，第二虚拟路由器中包含WAF引擎模块。

需要说明的是，本申请的web应用防火墙上可以配置多个虚拟路由器，其中多个虚拟路由器至少包括两个以及两个以上的虚拟路由器，通过多个虚拟路由器的搭建，使得较为复杂的网络设备进行数据转换时设备资源利用率更高。

步骤S102，将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器。

第一虚拟路由器中的漏洞扫描工具模块触发漏洞扫描流量，将触发得到的漏洞扫描流量通过第一虚拟路由器发送至第二虚拟路由器。

可选地，在本申请实施例提供的漏洞扫描流量的处理方法中，将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器包括：将经过第一虚拟路由器路由的漏洞扫描流量的目的IP地址设置为目标web服务器的IP地址；在第一虚拟路由器中配置路由，设置第一虚拟路由器到达目标web服务器地址的下一跳为第二虚拟路由器。

具体的，第一虚拟路由器将漏洞扫描流量发送给第二虚拟路由器时，第一虚拟路由器要将数据包a(对应本申请漏洞扫描流量)发送给目的服务器b(对应本申请目标 web服务器)，则将经过第一虚拟路由器路由的数据包a的目的地址IP设置为数据包a 要到达的目的服务器b的IP地址，然后配置路由，将第一虚拟路由器的下一跳设置为第二虚拟路由器。例如，目标web服务器IP地址是10.1.1.2，则将经过第一虚拟路由器路由的漏洞扫描流量的目的地址IP设置为漏洞扫描流量要到达的目标web服务器的 IP地址10.1.1.2，其中，目标web服务器的IP地址可以设置为IP网段10.1.1.0/24之中的任意一个，使得漏洞扫描模块配置不同的漏洞扫描任务时，扫描任务中所有的扫描目标数据IP地址都可以被配置。

可选地，在本申请实施例提供的漏洞扫描流量的处理方法中，将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器之后，该方法还包括：漏洞扫描流量通过第一虚拟路由器转发至第二虚拟路由器。

本申请利用第一虚拟路由器具有逻辑独立的路由表和转发表特性，将通过第一虚拟路由器的漏洞扫描流量转发至第二虚拟路由器，实现了在WAF设备内部路由信息可以互相转发的效果，节省了网络设备资源。

步骤S103，通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。

第一虚拟路由器的漏洞扫描流量转发至第二虚拟路由器，通过第二虚拟路由器将漏洞扫描流量发送至目标web服务器，其中，第二虚拟路由器将漏洞扫描流量发送至目标web服务器之前，需要对第二虚拟路由器进行配置。

可选地，在本申请实施例提供的漏洞扫描流量的处理方法中，通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器之前，包括：基于第二虚拟路由器配置源地址转换规则，其中，源地址转换规则将漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址。

例如，web应用防火墙与目标web服务器连接的接口IP地址为10.1.1.1，则经过第二虚拟路由器的漏洞扫描流量的源IP地址转换为上述的接口IP地址10.1.1.1，本申请通过对第二虚拟路由器配置源地址转换规则，方便了WAF设备内部网络数据的转发，极大的节省了网络设备资源。

可选地，在本申请实施例提供的漏洞扫描流量的处理方法中，通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器包括：基于WAF引擎模块对漏洞扫描流量进行处理，得到处理后的漏洞扫描流量；基于源地址转换规则将处理后的漏洞扫描流量的源IP地址转换为web 应用防火墙与目标web服务器连接的接口IP地址；将源IP地址转换后的漏洞扫描流量通过第二虚拟路由器中的web应用防火墙引擎发送至目标web服务器。

具体的，本申请基于第二虚拟路由器中的漏洞扫描流量需要经过WAF引擎模块进行数据的过滤处理，例如，滤漏洞扫描流量中包括：版本信息、跨站脚本攻击信息以及SQL注入请求信息，WAF引擎模块可以过滤漏洞扫描流量的版本信息、跨站脚本攻击信息以及SQL注入请求信息，将经过WAF引擎过滤处理漏洞扫描流量基于上述第二虚拟路由器配置的源地址转换规则进行源地址转换，当请求数据(对应本申请漏洞扫描流量)通过web应用防火墙进行目标web服务器的访问时，基于第二虚拟服务配置源地址转换规则，实现了web应用防火墙引擎将过滤处理后的漏洞扫描流量发送至目标web服务器，同时本申请通过WAF引擎模块对第二虚拟路由器发送漏洞扫描流量进行过滤处理，使得漏洞扫描流量在发送给目标web服务器的数据更加的安全可靠。

可选地，在本申请实施例提供的漏洞扫描流量的处理方法中，在将处理后的漏洞扫描流量发送至目标web服务器之后，该方法还包括：接收目标web服务器响应漏洞扫描流量返回的数据信息；将数据信息发送至第二虚拟路由器中进行IP地址转换；将地址转换后的数据信息发送至第一虚拟路由器中的漏洞扫描工具。

在将处理后的漏洞扫描流量发送至目标web服务器之后，web应用防火墙接收目标web服务器返回的数据信息，将返回的数据信息通过web应用防火墙上的第二虚拟路由器，按照上述步骤S102源地址转换规则的逆操作进行地址转换处理，将转换IP 地址信息后的数据信息利用第二虚拟路由器的路由转发特性发送至第一虚拟路由器中的漏洞扫描工具，使得web应用防火墙对目标web服务器返回的数据信息的是否存在异常进行了检测，提高了WAF设备的检测效率，避免了网络设备资源的浪费。

综上，本申请实施例提供的漏洞扫描流量的处理方法，通过在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。通过本申请，解决了相关技术中由于将漏洞扫描模块发送的流量经过WAF引擎模块，需要采用交换机中间转发，造成网络设备资源浪费的问题。通过在web应用防火墙上配置多个虚拟路由器，以及通过第二路由器处理后的漏洞扫描流量发送至目标web服务器，避免了使用交换机中间转发，进而达到了节省了网络设备资源浪费的效果。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例还提供了一种漏洞扫描流量的处理装置，需要说明的是，本申请实施例的漏洞扫描流量的处理装置可以用于执行本申请实施例所提供的用于漏洞扫描流量的处理方法。以下对本申请实施例提供的漏洞扫描流量的处理装置进行介绍。

图3是根据本申请实施例的漏洞扫描流量的处理装置的示意图。如图3所示，该装置包括：第一配置单元301、第一发送单元302、第一处理单元303。

具体的，第一配置单元301，用于在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；

第一发送单元302，用于将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；

第一处理单元303，用于通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。

综上，本申请实施例提供的漏洞扫描流量的处理装置，通过第一配置单元301在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；第一发送单元302将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；第一处理单元303通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器，解决了相关技术中由于将漏洞扫描模块发送的流量经过WAF引擎模块，需要采用交换机中间转发，造成网络设备资源浪费的问题。通过在web应用防火墙上配置多个虚拟路由器，以及通过第二路由器处理后的漏洞扫描流量发送至目标web服务器，避免了使用交换机中间转发，进而达到了节省了网络设备资源浪费的效果。

可选地，在本申请实施例提供的漏洞扫描流量的处理装置中，第一发送单元302包括：第一配置模块，用于将经过第一虚拟路由器路由的漏洞扫描流量的目的IP地址设置为目标web服务器的IP地址；第二配置模块，用于在第一虚拟路由器中配置路由，设置第一虚拟路由器到达目标web服务器地址的下一跳为第二虚拟路由器。

可选地，在本申请实施例提供的漏洞扫描流量的处理装置中，该装置还包括：第一转发单元，用于将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器之后，漏洞扫描流量通过第一虚拟路由器转发至第二虚拟路由器。

可选地，在本申请实施例提供的漏洞扫描流量的处理装置中，该装置还包括：第一转换单元，用于通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器之前，基于第二虚拟路由器配置源地址转换规则，其中，源地址转换规则将漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址。

可选地，在本申请实施例提供的漏洞扫描流量的处理装置中，第一处理单元包括：第一处理模块，用于基于WAF引擎模块对漏洞扫描流量进行处理，得到处理后的漏洞扫描流量；第一转换模块，用于基于源地址转换规则将处理后的漏洞扫描流量的源 IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址；第一发送模块，用于将源IP地址转换后的漏洞扫描流量通过第二虚拟路由器中的web应用防火墙引擎发送至目标web服务器。

可选地，在本申请实施例提供的漏洞扫描流量的处理装置中，该装置还包括：第一接收单元，用于在将处理后的漏洞扫描流量发送至目标web服务器之后，接收目标 web服务器响应漏洞扫描流量返回的数据信息；第二发送单元，用于将数据信息发送至第二虚拟路由器中进行IP地址转换；第三发送单元，用于将地址转换后的数据信息发送至第一虚拟路由器中的漏洞扫描工具。

漏洞扫描流量的处理装置包括处理器和存储器，上述的第一配置单元301、第一发送单元302、第一处理单元303等均作为程序单元存储在存储器中，由处理器执行存储在存储器中的上述程序单元来实现相应的功能。

处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来进行漏洞扫描流量的处理。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。

本发明实施例提供了一种存储介质，其上存储有程序，该程序被处理器执行时实现漏洞扫描流量的处理方法。

本发明实施例提供了一种处理器，处理器用于运行程序，其中，程序运行时执行漏洞扫描流量的处理方法。

本发明实施例提供了一种设备，设备包括处理器、存储器及存储在存储器上并可在处理器上运行的程序，处理器执行程序时实现以下步骤：在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。

处理器执行程序时还实现以下步骤：将经过第一虚拟路由器路由的漏洞扫描流量的目的IP地址设置为目标web服务器的IP地址；在第一虚拟路由器中配置路由，设置第一虚拟路由器到达目标web服务器地址的下一跳为第二虚拟路由器。

处理器执行程序时还实现以下步骤：将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器之后，漏洞扫描流量通过第一虚拟路由器转发至第二虚拟路由器。

处理器执行程序时还实现以下步骤：通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器之前，基于第二虚拟路由器配置源地址转换规则，其中，源地址转换规则将漏洞扫描流量的源 IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址。

处理器执行程序时还实现以下步骤：通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器包括：基于WAF引擎模块对漏洞扫描流量进行处理，得到处理后的漏洞扫描流量；基于源地址转换规则将处理后的漏洞扫描流量的源IP地址转换为web应用防火墙与目标web 服务器连接的接口IP地址；将源IP地址转换后的漏洞扫描流量通过第二虚拟路由器中的web应用防火墙引擎发送至目标web服务器。

处理器执行程序时还实现以下步骤：在将处理后的漏洞扫描流量发送至目标web服务器之后，接收目标web服务器响应漏洞扫描流量返回的数据信息；将数据信息发送至第二虚拟路由器中进行IP地址转换；将地址转换后的数据信息发送至第一虚拟路由器中的漏洞扫描工具。

本文中的设备可以是服务器、PC、PAD、手机等。

本申请还提供了一种计算机程序产品，当在数据处理设备上执行时，适于执行初始化有如下方法步骤的程序：在web应用防火墙上配置多个虚拟路由器，其中，多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器；通过第二虚拟路由器中的 WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web 服务器。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：将经过第一虚拟路由器路由的漏洞扫描流量的目的IP地址设置为目标web服务器的IP地址；在第一虚拟路由器中配置路由，设置第一虚拟路由器到达目标web服务器地址的下一跳为第二虚拟路由器。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：将第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至第二虚拟路由器之后，漏洞扫描流量通过第一虚拟路由器转发至第二虚拟路由器。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器之前，基于第二虚拟路由器配置源地址转换规则，其中，源地址转换规则将漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：通过第二虚拟路由器中的WAF引擎模块对漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器包括：基于WAF引擎模块对漏洞扫描流量进行处理，得到处理后的漏洞扫描流量；基于源地址转换规则将处理后的漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址；将源IP地址转换后的漏洞扫描流量通过第二虚拟路由器中的web应用防火墙引擎发送至目标web服务器。

当在数据处理设备上执行时，还适于执行初始化有如下方法步骤的程序：在将处理后的漏洞扫描流量发送至目标web服务器之后，接收目标web服务器响应漏洞扫描流量返回的数据信息；将数据信息发送至第二虚拟路由器中进行IP地址转换；将地址转换后的数据信息发送至第一虚拟路由器中的漏洞扫描工具。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等) 上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本申请的实施例可提供为方法、系统或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims

1.一种漏洞扫描流量的处理方法，其特征在于，包括：

在web应用防火墙上配置多个虚拟路由器，其中，所述多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；

将所述第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至所述第二虚拟路由器；

通过所述第二虚拟路由器中的WAF引擎模块对所述漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。

2.根据权利要求1所述的方法，其特征在于，将所述第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至所述第二虚拟路由器包括：

将经过所述第一虚拟路由器路由的所述漏洞扫描流量的目的IP地址设置为所述目标web服务器的IP地址；

在所述第一虚拟路由器中配置路由，设置所述第一虚拟路由器到达所述目标web服务器地址的下一跳为所述第二虚拟路由器。

3.根据权利要求2所述的方法，其特征在于，将所述第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至所述第二虚拟路由器之后，所述方法还包括：

所述漏洞扫描流量通过所述第一虚拟路由器转发至所述第二虚拟路由器。

4.根据权利要求1所述的方法，其特征在于，通过所述第二虚拟路由器中的WAF引擎模块对所述漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器之前，包括：

基于所述第二虚拟路由器配置源地址转换规则，其中，所述源地址转换规则将所述漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址。

5.根据权利要求4所述的方法，其特征在于，通过所述第二虚拟路由器中的WAF引擎模块对所述漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器包括：

基于所述WAF引擎模块对所述漏洞扫描流量进行处理，得到处理后的漏洞扫描流量；

基于源地址转换规则将所述处理后的漏洞扫描流量的源IP地址转换为web应用防火墙与目标web服务器连接的接口IP地址；

将所述源IP地址转换后的所述漏洞扫描流量通过所述第二虚拟路由器中的web应用防火墙引擎发送至目标web服务器。

6.根据权利要求1所述的方法，其特征在于，在将处理后的漏洞扫描流量发送至目标web服务器之后，所述方法还包括：

接收所述目标web服务器响应所述漏洞扫描流量返回的数据信息；

将所述数据信息发送至第二虚拟路由器中进行IP地址转换；

将地址转换后的数据信息发送至所述第一虚拟路由器中的漏洞扫描工具。

7.一种漏洞扫描流量的处理装置，其特征在于，包括：

第一配置单元，用于在web应用防火墙上配置多个虚拟路由器，其中，所述多个虚拟路由器至少包括第一虚拟路由器以及第二虚拟路由器；

第一发送单元，用于将所述第一虚拟路由器中的漏洞扫描工具触发的漏洞扫描流量发送至所述第二虚拟路由器；

第一处理单元，用于通过所述第二虚拟路由器中的WAF引擎模块对所述漏洞扫描流量进行处理，并将处理后的漏洞扫描流量发送至目标web服务器。

8.根据权利要求7所述的装置，其特征在于，所述第一发送单元包括：

第一配置模块，用于将经过所述第一虚拟路由器路由的所述漏洞扫描流量的目的IP地址设置为所述目标web服务器的IP地址；

第二配置模块，用于在所述第一虚拟路由器中配置路由，设置所述第一虚拟路由器到达所述目标web服务器地址的下一跳为所述第二虚拟路由器。