CN114640506A - 一种漏洞检测方法、装置、设备及介质 - Google Patents
一种漏洞检测方法、装置、设备及介质 Download PDFInfo
- Publication number
- CN114640506A CN114640506A CN202210188347.8A CN202210188347A CN114640506A CN 114640506 A CN114640506 A CN 114640506A CN 202210188347 A CN202210188347 A CN 202210188347A CN 114640506 A CN114640506 A CN 114640506A
- Authority
- CN
- China
- Prior art keywords
- url
- vulnerability detection
- server
- data packet
- detection type
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 257
- 238000000034 method Methods 0.000 claims abstract description 63
- 238000004590 computer program Methods 0.000 claims description 16
- 230000009191 jumping Effects 0.000 claims description 9
- 230000008569 process Effects 0.000 abstract description 31
- 238000010586 diagram Methods 0.000 description 21
- 238000004891 communication Methods 0.000 description 9
- 230000006870 function Effects 0.000 description 9
- 238000012986 modification Methods 0.000 description 5
- 230000004048 modification Effects 0.000 description 5
- 238000012545 processing Methods 0.000 description 5
- 238000011084 recovery Methods 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 3
- 239000000243 solution Substances 0.000 description 3
- 241000258937 Hemiptera Species 0.000 description 1
- 241001101720 Murgantia histrionica Species 0.000 description 1
- 230000004075 alteration Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000002347 injection Methods 0.000 description 1
- 239000007924 injection Substances 0.000 description 1
- 230000010354 integration Effects 0.000 description 1
- 238000004519 manufacturing process Methods 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1433—Vulnerability analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
Abstract
本申请实施例提供了一种漏洞检测方法、装置、设备及介质，该方法中接收服务器反馈的第一反馈数据包，并根据第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对URL中的对应参数进行修改，从而重新构造一个新的URL并发送给服务器，接收服务器返回的第二反馈数据包，并判断第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识是否一致，确定服务器是否能够成功处理重新构造的URL，以此判断接收到的URL是否存在漏洞，从而准确的完成对接收到的URL业务逻辑的漏洞的检测。
Description
技术领域
本申请涉及网络安全技术领域，尤其涉及一种漏洞检测方法、装置、设备及介质。
背景技术
由于网站程序业务功能一般都比较复杂且普通程序员的安全意识缺乏，很多网站都存在着漏洞，并且网络安全领域也是各行各业关注的重点，因此对漏洞检测尤为重要。
目前对于网站的漏洞检测方法只能针对跨站脚本攻击、结构化查询语言(Structured Query Language，SQL)注入等类型的漏洞进行检测，忽略了业务逻辑造成的漏洞，业务逻辑漏洞指的是攻击者利用业务/功能上的设计缺陷，获取敏感信息或破坏业务的完整性，一般出现在密码找回和在线支付等安全页面，常见的漏洞检测方法对这种基于业务逻辑的漏洞检测准确率不高。
发明内容
本申请实施提供一种漏洞检测方法、装置、设备及介质，用以解决现有技术中针对业务逻辑的漏洞检测准确率不高的问题。
第一方面，本申请提供了一种漏洞检测方法，所述方法包括：
接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型；
根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器；
接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
第二方面，本申请还提供了一种漏洞检测装置，所述装置包括：
获取模块，用于接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型；
检测模块，用于根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器；接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
第三方面，本申请还提供了一种电子设备，所述电子设备至少包括处理器和存储器，所述处理器用于执行存储器中存储的计算机程序时实现上述任一所述的漏洞检测方法的步骤。
第四方面，本申请还提供了一种计算机可读存储介质，其存储有计算机程序，所述计算机程序被处理器执行时实现上述任一所述的漏洞检测方法的步骤。
本申请实施例提供了一种漏洞检测方法、装置、设备及介质，该方法中接收漏洞检测的指令，获取待检测网站的URL和目标漏洞检测类型，根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于URL返回的网页信息，获取服务器反馈的是否能够正常跳转的第一反馈数据包，根据第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对URL中的对应参数进行修改，将修改后的URL发送给服务器，接收服务器返回的第二反馈数据包，若第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定该URL存在漏洞，否则确定该URL不存在漏洞。由于在本申请实施例中，接收服务器反馈的第一反馈数据包，并根据第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对URL中的对应参数进行修改，从而重新构造一个新的URL并发送给服务器，接收服务器返回的第二反馈数据包，并判断第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识是否一致，确定服务器是否能够成功处理重新构造的URL，以此判断接收到的URL是否存在漏洞，从而准确的完成对接收到的URL业务逻辑的漏洞的检测。
附图说明
为了更清楚地说明本申请的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本申请实施例提供的漏洞检测过程示意图；
图2为本申请实施例提供的获取子URL的过程示意图；
图3为本申请实施例提供的密码找回漏洞检测类型的漏洞检测过程示意图；
图4为本申请实施例提供的在线支付漏洞检测类型的漏洞检测过程示意图；
图5为本申请实施例提供的漏洞检测装置的结构示意图；
图6为本申请实施例提供的另一种漏洞检测装置的结构示意图；
图7为本申请实施例提供的一种电子设备结构示意图。
具体实施方式
为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图，对本申请的实施例的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本申请保护的范围。
本申请实施例提供了一种漏洞检测方法、装置、设备及介质，该方法中接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型，根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于URL返回的网页信息，获取服务器反馈的是否能够正常跳转的第一反馈数据包，根据第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对URL中的对应参数进行修改，将修改后的URL发送给服务器，接收服务器返回的第二反馈数据包，若第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定该URL存在漏洞，否则确定该URL不存在漏洞。由于在本申请实施例中，接收服务器反馈的第一反馈数据包，并根据第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对URL中的对应参数进行修改，从而重新构造一个新的URL并发送给服务器，接收服务器返回的第二反馈数据包，并判断第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识是否一致，确定服务器是否能够成功处理重新构造的URL，以此判断接收到的URL是否存在漏洞，从而准确的完成对接收到的URL业务逻辑的漏洞的检测。
实施例1：
图1为本申请实施例提供的漏洞检测过程示意图，该过程具体包括以下步骤：
S101：接收漏洞检测的指令，获取待检测网站的统一资源定位符(uniformresource locator，URL)和目标漏洞检测类型。
本申请实施例提供的漏洞检测过程适用于电子设备，该电子设备可以是服务器、PC等设备。
为了能够准确的检测出网站中存在的漏洞，电子设备接收到的漏洞检测的指令时，可以获取待检测网站的URL和目标漏洞检测类型，其中目标漏洞检测类型是对该URL的网页信息进行哪种类型的漏洞检测。由于需要对哪个网站的URL进行漏洞检测是电子设备的使用者确定的，那么该网站的URL对应的网页中包括的内容电子设备的使用者也是已知的，电子设备的使用者也就能够确定出对该URL的网页信息进行检测的目标漏洞检测类型。例如，如果该待检测网站的URL对应的网页信息为密码找回的相关信息，那么确定的对该URL进行的目标漏洞检测类型则为密码找回漏洞检测类型，如果该待检测网站的URL对应的网页信息为在线支付的相关信息，那么确定的对该URL进行的目标漏洞检测类型则为在线支付漏洞检测类型。
具体的，所述获取待检测网站的统一资源定位符URL和目标漏洞检测类型包括：
将所述指令中携带的统一资源定位符URL和漏洞检测类型，作为获取到的待检测网站的URL和目标漏洞检测类型；或
读取配置文件中保存的URL和漏洞检测类型，将读取到的URL和漏洞检测类型作为待检测网站的URL和目标漏洞检测类型。
在本申请实施例中，电子设备的使用者可以预先将多个待检测网站的URL和每个待检测网站的URL的目标漏洞检测类型保存在配置文件中，电子设备在接收到漏洞检测的指令时，可以读取配置文件中记录的URL和目标漏洞检测类型，将获取的待检测网站的URL和目标漏洞检测类型保存到待检测队列中，按照待检测队列中保存的先后顺序，逐一对待检测网站的URL的对应目标漏洞检测类型的漏洞进行漏洞检测。
或者也可以是在接收到漏洞检测的指令时，也可以直接从漏洞检测指令中获取待检测网站的URL和目标漏洞检测类型，也就是说漏洞检测的指令中包括待检测网站的URL和目标漏洞检测类型，漏洞检测的指令中包括的待检测网站的URL可以是一个，也可以是多个，每个待检测网站的URL都对应着一个目标漏洞检测类型。
S102：根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器。
在本申请实施例中预先保存了多个漏洞检测类型，并且每个漏洞检测类型都对应着至少一个第一预设关键词。其中，漏洞检测类型可以是密码找回漏洞检测类型和在线支付漏洞检测类型，也可以是其他的漏洞检测类型，例如业务逻辑漏洞检测类型。如果是密码找回漏洞检测类型，那么该漏洞检测类型对应的第一预设关键词可以是账号、手机号码、邮箱等中的至少一个；如果是在线支付漏洞检测类型，那么该漏洞检测类型对应的第一预设关键词可以是单价、购买数量、支付金额等中的至少一个。
在本申请实施例中预先保存有漏洞检测类型对应的每个第一预设关键词的输入数据，在接收到漏洞检测的指令之后，可以将指令中包括的待检测网站的URL发送给服务器，获取服务器基于该URL返回的网页信息，该网页信息可以理解为该URL对应的网页页面中包括的内容。
在该网页信息中识别对应的第一预设关键词，将预先保存的对应的输入数据填写到网页信息中，并向服务器提交请求，获取服务器返回的第一反馈数据包，第一反馈数据包中包括是否能够进行正常页面跳转的标识和其他数据。
为了实现漏洞的检测，在本申请实施例中还针对每个漏洞检测类型保存有第二预设关键词。当获取到第一反馈数据包后，从该第一反馈数据包中获取该目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据，其中，如果漏洞检测类型为密码找回漏洞检测类型，那么该第二预设关键词可以是密码验证凭证，如果漏洞检测类型为在线支付漏洞检测类型，那么该第二预设关键词则可以是购买数量或者支付金额等。
由于在本申请实施例中是对网站进行的漏洞检测，电子设备一般通过浏览器显示网站的内容，为了能够将网站对应的网页信息进行显示，浏览器与服务器之间可以进行数据传输，从而使浏览器获取到待显示的网页信息，一般的，浏览器和服务器之间采用超文本传输协议(Hyper Text Transfer Protocol，HTTP)传输数据，HTTP传输数据的方式可以是以表单方式传递，也就是将网页信息中包含的内容直接发送给服务器，也可以是以带参数的URL方式传递，也就是将某些参数写入到URL中，并将写入参数的URL发送给服务器。
在本申请实施例中，可以获取第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据，并使用第一数据对URL中对应的参数进行修改。具体的对URL进行修改时，也预先保存有预设关键词，可以针对每个预设关键词，查找该URL是否存在该预设关键词，若存在该预设关键词，则在该URL中确定该预设关键词对应的参数，并使用获取到的该预设关键词对应的第一数据，对URL中该预设关键词对应的参数进行修改。
具体的，假设某一个URL为：url？参数名1＝值1&参数名2＝值2，其中参数名1在本申请实施例中可以是第一预设关键词或者第二预设关键词，值1也就是预设关键词参数名1对应的第一数据。
将修改后的URL发送给服务器，该修改后的URL也就是重新构造的URL，将该修改后的URL发送给服务器是为了检测服务器是否能够成功处理该修改后的URL。
S103：接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
将修改后的URL发送给服务器之后，服务器会返回一个第二反馈数据包，即服务器通过反馈数据包的方式通知浏览器，服务器是否能够成功处理该修改后的URL。接收服务器返回的第二反馈数据包，获取该第二反馈数据包中包含的是否能够进行正常页面跳转的标识，并判断该标识是否与预设标识一致。
在HTTP中是否能够进行正常页面跳转的标识一般为200和404，其中200代表服务器已经成功处理了浏览器发送的请求，表示能够进行正常页面跳转，404代表服务器找不到请求的URL，表示不能进行正常页面跳转。在本申请实施例中，可以将预设标识设置为200，即服务器能够成功处理浏览器发送的请求的标识。如果获取到的第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，代表服务器已经成功处理了浏览器发送的请求，表示能够进行正常页面跳转，则可以确认接收到的URL存在漏洞，因为通过修改URL的方式重新构造一个URL，服务器应该无法基于该重新构造的URL进行正常页面跳转，但如果服务器能够成功处理该重新构造的URL，则说明该待检测网站的URL的安全性不高，存在漏洞。可以将该待检测网站的URL和对应的目标漏洞检测类型存储在数据库，也可以将漏洞检测结果进行展示。如果获取到的第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识不一致，代表服务器找不到请求的URL，表示不能进行正常页面跳转，则可以确认接收到的URL不存在漏洞，对于重新构造的URL服务器不能成功处理。
由于在本申请实施例中，接收服务器反馈的第一反馈数据包，并根据第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对URL中的对应参数进行修改，从而重新构造一个新的URL并发送给服务器，接收服务器返回的第二反馈数据包，并判断第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识是否一致，确定服务器是否能够成功处理重新构造的URL，以此判断待检测网站的URL是否存在漏洞，从而准确的完成对待检测网站的URL业务逻辑的漏洞的检测。
实施例2：
为了提高漏洞检测的效率，在上述实施例的基础上，在本申请实施例中，所述接收漏洞检测的指令之后，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之前，所述方法还包括：
若确定所述URL合法，判断所述URL对应的网页中是否存在子URL；
若否，针对所述URL进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤；
若是，根据预设的每个关键词及所述子URL对应的网页信息，若确定所述子URL对应的网页信息中包含的目标关键词，将所述子URL更新为所述URL，并采用所述目标关键词对应的漏洞检测类型对所述目标漏洞检测类型进行更新，针对更新后的URL及目标漏洞检测类型进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
为了提高漏洞检测的效率，不对不合法的URL进行漏洞检测，在本申请实施例中，在接收到漏洞检测的指令之后，可以判断指令中包含的URL的合法性，具体的可以基于正则表达式判断该URL中是否包含所规定的字符或者域名，也可以基于不同编程语言提供的接口验证URL的合法性。确定URL是否合法的过程为现有技术，在本申请实施例中不再赘述。
由于电子设备的使用者在输入待检测网站的URL时，输入的URL可能为某一网站的首页的URL，不是真正需要进行检测的页面，因此，在本申请实施例中，若确定该URL合法，则判断该URL对应的网页中是否存在子URL，也就是说该网页中是否存在其他的链接，是否能够基于该网页跳转到其他网页。
具体的，可以基于网络爬虫技术获取该URL中包含的所有子URL，若能够基于网络爬虫技术获取到其他URL，则说明该URL对应的网页中存在子URL，否则，说明该URL对应的网页中不存在子URL。
如果该URL对应的网页中不存在子URL，则可以认为该URL即为待检测网站的URL，针对该URL进行后续获取服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
如果该URL对应的网页中存在子URL，可以针对每个子URL，根据预设的每个关键词以及该子URL对应的网页信息，确定该子URL对应的网页信息中是否包含该预设的关键词，若是，将包含的关键词确定为目标关键词，则可以将该子URL更新为待检测网站的URL。
另外，因为不同的URL对应的网页信息不同，因此为了确定对该子URL进行漏洞检测的目标漏洞检测类型，在本申请实施例中针对每个预设的关键词都对应保存有漏洞检测类型，即每个预设关键词都对应着一个漏洞检测类型，不同预设关键词对应的漏洞检测类型可能相同，可能不同。可以针对每个预设关键词，查找子URL对应的网页信息中是否存在该预设关键词，若存在该预设关键词，将该预设关键词确定为目标关键词，因为每个预设关键词都对应着一个漏洞检测类型，因此可以获取到目标关键词对应的漏洞检测类型，并采用该获取到的漏洞检测类型对目标漏洞检测类型进行更新。
具体的，可以对获取到的每个子URL进行去重操作，具体的，可以基于正则表达式将相同的URL仅保留一个。针对经过去重之后的每个子URL，获取该子URL对应的网页信息，判断该子URL对应的网页信息中是否包含一个或者多个预设的关键词，为了方便描述可以将包含的一个或者多个预设关键词称为目标关键词。若确定该子URL对应的网页信息中包含目标关键词，则可以将该子URL更新为URL，一般的，网页信息中可能包含的一个或多个目标关键词，每个目标关键词对应的漏洞检测类型可能均为同一漏洞检测类型，或者对应的漏洞检测类型可能不同，在本申请实施例中可以采用任一目标关键词对应的漏洞检测类型对目标漏洞检测类型进行更新。
在对URL和目标漏洞检测类型进行更新之后，可以针对更新后的URL以及目标漏洞检测类型进行后续的获取服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
如果确定该URL不合法，则输出URL不合法并重新获取待检测网站的URL的提示信息。
下面结合一个具体的实施例进行说明，图2为本申请实施例提供的获取子URL的过程示意图，该过程具体包括以下步骤：
S201：判断待检测网站的URL是否合法，若否，则执行S202；若是，则执行S203。
S202：输出该URL不合法并重新获取待检测网站的URL的提示信息。
S203：获取该URL对应的网页信息，并判断该URL对应的网页中是否存在子URL，若否，则执行S204；若是，则执行S205。
S204：针对该URL进行后续的获取服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
S205：将获取到的每个子URL并保存到URL队列中，针对URL队列中的每个子URL，根据预设的每个关键词以及该子URL对应的网页信息，确定该子URL是否包含目标关键词，如果包含则将该子URL保存到URL集合中，并在URL队列中将该子URL删除；如果不包含目标关键词，则将该子URL在URL队列中删除。
实施例3：
为了进一步提高漏洞检测的准确率，在上述各实施例的基础上，在本申请实施例中，所述根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的网页是否能够正常跳转的第一反馈数据包包括：
将所述URL发送给所述服务器，接收所述服务器返回的所述URL的网页信息；
根据所述网页信息中待输入信息的名称，及所述目标漏洞检测类型对应的每个第一预设关键词对应的输入数据，将所述输入数据写入所述网页信息；
将写入输入数据的网页信息发送给所述服务器，并接收所述服务器反馈的网页是否能够正常跳转的第一反馈数据包。
在获取到待检测网站的URL和目标漏洞检测类型之后，可以将该URL发送给服务器，并接收服务器返回的该URL的网页信息。此时，服务器返回的网页信息包含着多个待输入信息，可以在该网页信息中识别每个待输入信息，根据目标漏洞检测类型对应的每个第一预设关键词对应的输入数据，确定每个待输入信息对应的目标第一预设关键词，将该目标第一预设关键词对应的输入数据写入到网页信息中，具体的是写入到该目标第一预设关键词对应的待输入信息对应的网页信息处。将写入输入数据的网页信息发送给服务器，并接收服务器反馈的网页是否能够正常跳转的第一反馈数据包。
具体的，为了方便理解，若该网页信息为密码找回网页对应的网页信息，将输入数据写入网页信息的过程理解为，在密码找回页面对应的网页信息中识别每个待输入信息，其中待输入信息为具体的账号号码、手机号号码或者具体的邮箱地址。根据密码找回漏洞检测类型对应的每个第一预设关键词对应的输入数据，确定每个待输入信息对应的目标第一预设关键词，如果待输入信息为具体的账号号码，那么该待输入信息对应的目标第一预设关键词则为账号，如果待输入信息为具体的邮箱地址，那么该待输入信息对应的目标第一预设关键词则为邮箱。确定了每个待输入信息对应的目标第一预设关键词之后，将每个目标第一预设关键词对应的输入数据，写入到该目标第一预设关键词对应的待输入信息对应的网页信息处。
在本申请实施例中可以在网页信息中，基于正则表达式查找第一预设关键词，确定第一预设关键词在网页信息中的位置，并在第一预设关键词对应的位置输入对应的数据，并将写入数据的网页信息发送给服务器。具体的，可以基于Requests库将写入数据的网页信息发送给服务器，Requests库是一个简洁且简单处理HTTP请求的第三方库，这个库是建立在Python语言的urlib3库的基础上的，当然，本领域的技术人员也可以采用其他的方法将写入数据的网页信息发送给服务器，在本申请实施例中不做限制。
实施例4：
为了进一步提高漏洞检测的准确率，在上述各实施例的基础上，在本申请实施例中，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之后，所述根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的预设关键词对应的数据对所述URL中的对应参数进行修改之前，所述方法包括：
判断所述第一反馈数据包中携带的数据是否为编码后的数据，若是，对所述编码后的数据进行解码获取原始数据，使用所述原始数据进行后续修改URL中对应参数的操作；
若否，则继续进行后续修改URL中对应参数的操作。
由于不同网站传输数据的方式是不一样的，一些网站为了保证网站的数据不被泄露一般会选择对需要传输的数据进行编码，但是一些网站则不会对需要传输的数据进行编码。因此，在本申请实施例中，为进一步提高漏洞检测的准确率，在接收到服务器反馈的第一反馈数据包之后，需要判断该第一反馈数据包中携带的数据是否为编码后的数据，即判断第一反馈数据包中携带的数据是否为基于64个可打印字符来表示二进制数据(base64)、十六进制编码方式或者其他编码方式的数据。
对于已经编码的数据需要进行解码后才能够使用该解码后的数据对URL进行修改，才能达到漏洞检测的效果。若该第一反馈数据包中携带的数据为编码后的数据，则需要对获取到的编码后的数据进行解码获取原始数据，并使用获取到的原始数据进行后续修改URL中对应参数的操作。
具体的，在对编码后的数据进行解码时，可以使用Burp Suite集成平台中的解码器(decoder)接口或者Firebug进行解码操作，如何对已经编码的数据进行解码为现有技术，且进行解码操作的方法也很多，在本申请实施例中不做限制。
若该第一反馈数据包中携带的数据不为编码后的数据，则可以直接使用该第一反馈数据包中携带的数据，进行后续修改URL中对应参数的操作。
本申请实施例对第一反馈数据包中携带的数据进行是否解码的判断，提升了漏洞检测的实用性。
实施例5：
为了进一步提高漏洞检测的准确率，在上述各实施例的基础上，在本申请实施例中，所述若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致之后，确定所述URL存在漏洞之前，所述方法还包括：
在所述第二反馈数据包中查找所述第一预设关键词和所述第二预设关键词对应的第二数据，若所述第二数据与所述第一数据一致，则进行后续的确定所述URL存在漏洞的步骤。
虽然通过第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识是否一致能够确定URL是否存在漏洞，但是，为了进一步提高漏洞检测的准确率，在本申请实施例中，在确定第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致之后，还可以确定第二反馈数据包中包含的数据是否为根据第一反馈数据包中携带的目标漏洞检测类型对应的第一预设关键词和第二预设关键词确定的对应的第一数据。
具体的，可以在第二反馈数据包中查找第一预设关键词和第二预设关键词对应的第二数据，如果获取到的第二数据与第一数据一致，则说明服务器确实能够成功处理经过修改后的URL，并且能够返回修改后的数据，那么就说明该URL存在漏洞，则确定URL存在漏洞的步骤。
具体的，若第二预设关键词对应的第一数据为wlkmd，第二反馈数据包中查找到的第二关键词对应的第二数据也为wlkmd，则可以认为获取到的第二数据与第一数据一致，则确定URL存在漏洞的步骤。
为了进一步提高漏洞检测的准确率，在上述各实施例的基础上，在本申请实施例中，所述方法还包括：
若所述第二数据与所述第一数据不一致，则确定所述URL不存在漏洞。
如果在第二反馈数据包中查找到的第二数据与第一数据不一致，则说明服务器不能够成功处理过修改后的URL，只能处理原始的URL，那么则说明即使恶意攻击软件怎么修改URL，服务器也不能成功处理修改后的URL，该URL的安全性较高，该URL不存在漏洞。
具体的，若第二预设关键词对应的第一数据为wlkmd，第二反馈数据包中查找到的第二关键词对应的第二数据为空值，则可以认为获取到的第二数据与第一数据不一致，服务器无法成功处理修改后的URL，该URL不存在漏洞。
下面结合一个具体的实施例，对密码找回漏洞检测类型的漏洞检测过程进行说明，图3为本申请实施例提供的密码找回漏洞检测类型的漏洞检测过程示意图，该过程具体包括以下步骤：
S301：将接收到的URL发送给服务器，接收服务器返回的该URL的网页信息，并将密码找回漏洞检测类型对应的第一预设关键词对应的输入数据写入该网页信息，将写入输入数据的网页信息发送给服务器。
S302：接收服务器反馈的第一反馈数据包，并判断该第一反馈数据包中携带的数据是否为编码后的数据，若是，则执行S303，若否，则执行S304。
S303：对编码后的数据进行解码获取原始数据，若解码失败，则结束此次漏洞检测，若解码成功，则执行S304。
S304：在第一反馈数据包中获取第一预设关键词和第二预设关键词对应的第一数据，使用该第一数据修改该URL，将修改后的URL发送给服务器。
S305：接收服务器返回的第二反馈数据包，并根据第二反馈数据包中包含的是否能够进行正常页面跳转的标识，确定是否能够跳转到重置密码页面。
S306：若能够跳转到重置密码页面，则确定该URL存在漏洞，在数据库中标记该URL并输出该URL存在漏洞的提示信息。
下面再结合一个具体的实施例，对在线支付漏洞检测类型的漏洞检测过程进行说明，图4为本申请实施例提供的在线支付漏洞检测类型的漏洞检测过程示意图，该过程具体包括以下步骤：
S401：将接收到的URL发送给服务器，接收服务器返回的该URL的网页信息，并将线支付漏洞检测类型对应的第一预设关键词对应的输入数据写入该网页信息，将写入输入数据的网页信息发送给服务器。
S402：接收服务器反馈的第一反应数据包，并在该第一反馈数据包中获取第一预设关键词和第二预设关键词对应的第一数据，使用该第一数据修改URL，将修改后的URL发送给服务器。
S403：接收服务器返回的第二反馈数据包，并判断第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识是否一致，若是，则执行S404，若否，则执行S406。
S404：在第二反馈数据包中查找第一预设关键词和第二预设关键词对应的第二数据，若第二数据与第一数据一致，则，执行S405，否则，执行S406。
S405：确定该URL存在漏洞。
S406：确定该URL不存在漏洞。
实施例6：
图5为本申请实施例提供的漏洞检测装置的结构示意图，如图5所示，该装置包括：
获取模块501，用于接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型；
检测模块502，用于根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器；接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
在一种可能的实施方式中，所述检测模块502，具体用于若确定所述URL合法，判断所述URL对应的网页中是否存在子URL；若否，针对所述URL进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤；若是，根据预设的每个关键词及所述子URL对应的网页信息，若确定所述子URL对应的网页信息中包含的目标关键词，将所述子URL更新为所述URL，并采用所述目标关键词对应的漏洞检测类型对所述目标漏洞检测类型进行更新，针对更新后的URL及目标漏洞检测类型进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
在一种可能的实施方式中，所述检测模块502，具体用于将所述URL发送给所述服务器，接收所述服务器返回的所述URL的网页信息；根据所述网页信息中待输入信息的名称，及所述目标漏洞检测类型对应的每个第一预设关键词对应的输入数据，将所述输入数据写入所述网页信息；将写入输入数据的网页信息发送给所述服务器，并接收所述服务器反馈的网页是否能够正常跳转的第一反馈数据包。
在一种可能的实施方式中，所述检测模块502，具体用于判断所述第一反馈数据包中携带的数据是否为编码后的数据，若是，对所述编码后的数据进行解码获取原始数据，使用所述原始数据进行后续修改URL中对应参数的操作；若否，则继续进行后续修改URL中对应参数的操作。
在一种可能的实施方式中，所述检测模块502，具体用于在所述第二反馈数据包中查找所述第一预设关键词和所述第二预设关键词对应的第二数据，若所述第二数据与所述第一数据一致，则进行后续的确定所述URL存在漏洞的步骤。
在一种可能的实施方式中，所述检测模块502，还用于若所述第二数据与所述第一数据不一致，则确定所述URL不存在漏洞。
在一种可能的实施方式中，所述获取模块501，具体用于将所述指令中携带的统一资源定位符URL和漏洞检测类型，作为获取到的待检测网站的URL和目标漏洞检测类型；或，读取配置文件中保存的URL和漏洞检测类型，将读取到的URL和漏洞检测类型作为待检测网站的URL和目标漏洞检测类型。
在本申请实施例中，图6为本申请实施例提供的另一种漏洞检测装置的结构示意图，如图6所示：
该装置包括读取模块601，网络爬虫模块602，漏洞检测模块603和显示模块604。
其中，读取模块601，用于读取配置文件中记录的待检测网站的URL和目标漏洞检测类型，这部分与图5中的获取模块501的对应功能一致。
网络爬虫模块602，用于判断URL对应的网页中是否存在子URL，从而对URL和目标漏洞检测类型进行更新，这部分与图5中的检测模块502的部分功能一致。
漏洞检测模块603，用于检测待检测网站的URL是否存在漏洞，这部分与图5中的检测模块502的部分功能一致。
显示模块604，用于显示对待检测网站的URL进行漏洞检测的检测结果。
实施例7：
图7为本申请提供的一种电子设备结构示意图，在上述各实施例的基础上，本申请还提供了一种电子设备，如图7所示，包括：处理器701、通信接口702、存储器703和通信总线704，其中，处理器701，通信接口702，存储器703通过通信总线704完成相互间的通信；
所述存储器703中存储有计算机程序，当所述程序被所述处理器701执行时，使得所述处理器701执行如下步骤：
接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型；
根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器；
接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
在一种可能的实施方式中，所述接收漏洞检测的指令之后，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之前，所述方法还包括：
若确定所述URL合法，判断所述URL对应的网页中是否存在子URL；
若否，针对所述URL进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤；
若是，根据预设的每个关键词及所述子URL对应的网页信息，若确定所述子URL对应的网页信息中包含的目标关键词，将所述子URL更新为所述URL，并采用所述目标关键词对应的漏洞检测类型对所述目标漏洞检测类型进行更新，针对更新后的URL及目标漏洞检测类型进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
在一种可能的实施方式中，所述根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的网页是否能够正常跳转的第一反馈数据包包括：
将所述URL发送给所述服务器，接收所述服务器返回的所述URL的网页信息；
根据所述网页信息中待输入信息的名称，及所述目标漏洞检测类型对应的每个第一预设关键词对应的输入数据，将所述输入数据写入所述网页信息；
将写入输入数据的网页信息发送给所述服务器，并接收所述服务器反馈的网页是否能够正常跳转的第一反馈数据包。
在一种可能的实施方式中，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之后，所述根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的预设关键词对应的数据对所述URL中的对应参数进行修改之前，所述方法包括：
判断所述第一反馈数据包中携带的数据是否为编码后的数据，若是，对所述编码后的数据进行解码获取原始数据，使用所述原始数据进行后续修改URL中对应参数的操作；
若否，则继续进行后续修改URL中对应参数的操作。
在一种可能的实施方式中，所述若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致之后，确定所述URL存在漏洞之前，所述方法还包括：
在所述第二反馈数据包中查找所述第一预设关键词和所述第二预设关键词对应的第二数据，若所述第二数据与所述第一数据一致，则进行后续的确定所述URL存在漏洞的步骤。
在一种可能的实施方式中，所述方法还包括：
若所述第二数据与所述第一数据不一致，则确定所述URL不存在漏洞。
在一种可能的实施方式中，所述获取待检测网站的统一资源定位符URL和目标漏洞检测类型包括：
将所述指令中携带的统一资源定位符URL和漏洞检测类型，作为获取到的待检测网站的URL和目标漏洞检测类型；或
读取配置文件中保存的URL和漏洞检测类型，将读取到的URL和漏洞检测类型作为待检测网站的URL和目标漏洞检测类型。
由于上述电子设备解决问题的原理与漏洞检测方法相似，因此上述电子设备的实施可以参见上述实施例，重复之处不再赘述。
上述电子设备提到的通信总线可以是外设部件互连标准(Peripheral ComponentInterconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。通信接口702用于上述电子设备与其他设备之间的通信。存储器可以包括随机存取存储器(RandomAccess Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选地，存储器还可以是至少一个位于远离前述处理器的存储装置。上述处理器可以是通用处理器，包括中央处理器、网络处理器(Network Processor，NP)等；还可以是数字指令处理器(Digital Signal Processing，DSP)、专用集成电路、现场可编程门陈列或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。
实施例8：
在上述各实施例的基础上，本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质内存储有可由处理器执行的计算机程序，当所述程序在所述处理器上运行时，使得所述处理器执行时实现如下步骤：
接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型；
根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器；
接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
在一种可能的实施方式中，所述接收漏洞检测的指令之后，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之前，所述方法还包括：
若确定所述URL合法，判断所述URL对应的网页中是否存在子URL；
若否，针对所述URL进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤；
若是，根据预设的每个关键词及所述子URL对应的网页信息，若确定所述子URL对应的网页信息中包含的目标关键词，将所述子URL更新为所述URL，并采用所述目标关键词对应的漏洞检测类型对所述目标漏洞检测类型进行更新，针对更新后的URL及目标漏洞检测类型进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
在一种可能的实施方式中，所述根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的网页是否能够正常跳转的第一反馈数据包包括：
将所述URL发送给所述服务器，接收所述服务器返回的所述URL的网页信息；
根据所述网页信息中待输入信息的名称，及所述目标漏洞检测类型对应的每个第一预设关键词对应的输入数据，将所述输入数据写入所述网页信息；
将写入输入数据的网页信息发送给所述服务器，并接收所述服务器反馈的网页是否能够正常跳转的第一反馈数据包。
在一种可能的实施方式中，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之后，所述根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的预设关键词对应的数据对所述URL中的对应参数进行修改之前，所述方法包括：
判断所述第一反馈数据包中携带的数据是否为编码后的数据，若是，对所述编码后的数据进行解码获取原始数据，使用所述原始数据进行后续修改URL中对应参数的操作；
若否，则继续进行后续修改URL中对应参数的操作。
在一种可能的实施方式中，所述若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致之后，确定所述URL存在漏洞之前，所述方法还包括：
在所述第二反馈数据包中查找所述第一预设关键词和所述第二预设关键词对应的第二数据，若所述第二数据与所述第一数据一致，则进行后续的确定所述URL存在漏洞的步骤。
在一种可能的实施方式中，所述方法还包括：
若所述第二数据与所述第一数据不一致，则确定所述URL不存在漏洞。
在一种可能的实施方式中，所述获取待检测网站的统一资源定位符URL和目标漏洞检测类型包括：
将所述指令中携带的统一资源定位符URL和漏洞检测类型，作为获取到的待检测网站的URL和目标漏洞检测类型；或
读取配置文件中保存的URL和漏洞检测类型，将读取到的URL和漏洞检测类型作为待检测网站的URL和目标漏洞检测类型。
由于上述提供的计算机可读取介质解决问题的原理与漏洞检测方法相似，因此处理器执行上述计算机可读取介质中的计算机程序后，实现的步骤可以参见上述实施例，重复之处不再赘述。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
对于系统/装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本申请的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请范围的所有变更和修改。
显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。
Claims (16)
1.一种漏洞检测方法，其特征在于，所述方法包括：
接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型；
根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器；
接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
2.如权利要求1所述的方法，其特征在于，所述接收漏洞检测的指令之后，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之前，所述方法还包括：
若确定所述URL合法，判断所述URL对应的网页中是否存在子URL；
若否，针对所述URL进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤；
若是，根据预设的每个关键词及所述子URL对应的网页信息，若确定所述子URL对应的网页信息中包含的目标关键词，将所述子URL更新为所述URL，并采用所述目标关键词对应的漏洞检测类型对所述目标漏洞检测类型进行更新，针对更新后的URL及目标漏洞检测类型进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
3.如权利要求1所述的方法，其特征在于，所述根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的网页是否能够正常跳转的第一反馈数据包包括：
将所述URL发送给所述服务器，接收所述服务器返回的所述URL的网页信息；
根据所述网页信息中待输入信息的名称，及所述目标漏洞检测类型对应的每个第一预设关键词对应的输入数据，将所述输入数据写入所述网页信息；
将写入输入数据的网页信息发送给所述服务器，并接收所述服务器反馈的网页是否能够正常跳转的第一反馈数据包。
4.如权利要求1所述的方法，其特征在于，所述获取所述服务器反馈的是否能够正常跳转的第一反馈数据包之后，所述根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的预设关键词对应的数据对所述URL中的对应参数进行修改之前，所述方法包括：
判断所述第一反馈数据包中携带的数据是否为编码后的数据，若是，对所述编码后的数据进行解码获取原始数据，使用所述原始数据进行后续修改URL中对应参数的操作；
若否，则继续进行后续修改URL中对应参数的操作。
5.如权利要求1所述的方法，其特征在于，所述若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致之后，确定所述URL存在漏洞之前，所述方法还包括：
在所述第二反馈数据包中查找所述第一预设关键词和所述第二预设关键词对应的第二数据，若所述第二数据与所述第一数据一致，则进行后续的确定所述URL存在漏洞的步骤。
6.如权利要求5所述的方法，其特征在于，所述方法还包括：
若所述第二数据与所述第一数据不一致，则确定所述URL不存在漏洞。
7.如权利要求1所述的方法，其特征在于，所述获取待检测网站的统一资源定位符URL和目标漏洞检测类型包括：
将所述指令中携带的统一资源定位符URL和漏洞检测类型，作为获取到的待检测网站的URL和目标漏洞检测类型；或
读取配置文件中保存的URL和漏洞检测类型，将读取到的URL和漏洞检测类型作为待检测网站的URL和目标漏洞检测类型。
8.一种漏洞检测装置，其特征在于，所述装置包括：
获取模块，用于接收漏洞检测的指令，获取待检测网站的统一资源定位符URL和目标漏洞检测类型；
检测模块，用于根据预先保存的漏洞检测类型对应的每个第一预设关键词的输入数据，及服务器基于所述URL返回的网页信息，获取所述服务器反馈的是否能够正常跳转的第一反馈数据包，根据所述第一反馈数据包中携带的所述目标漏洞检测类型对应的第一预设关键词和第二预设关键词对应的第一数据对所述URL中的对应参数进行修改；将修改后的URL发送给所述服务器；接收所述服务器返回的第二反馈数据包，若所述第二反馈数据包中包含的是否能够进行正常页面跳转的标识与预设标识一致，则确定所述URL存在漏洞，否则确定所述URL不存在漏洞。
9.如权利要求8所述的装置，其特征在于，所述检测模块，具体用于若确定所述URL合法，判断所述URL对应的网页中是否存在子URL；若否，针对所述URL进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤；若是，根据预设的每个关键词及所述子URL对应的网页信息，若确定所述子URL对应的网页信息中包含的目标关键词，将所述子URL更新为所述URL，并采用所述目标关键词对应的漏洞检测类型对所述目标漏洞检测类型进行更新，针对更新后的URL及目标漏洞检测类型进行后续的获取所述服务器反馈的是否能够正常跳转的第一反馈数据包的步骤。
10.如权利要求8所述的装置，其特征在于，所述检测模块，具体用于将所述URL发送给所述服务器，接收所述服务器返回的所述URL的网页信息；根据所述网页信息中待输入信息的名称，及所述目标漏洞检测类型对应的每个第一预设关键词对应的输入数据，将所述输入数据写入所述网页信息；将写入输入数据的网页信息发送给所述服务器，并接收所述服务器反馈的网页是否能够正常跳转的第一反馈数据包。
11.如权利要求8所述的装置，其特征在于，所述检测模块，具体用于判断所述第一反馈数据包中携带的数据是否为编码后的数据，若是，对所述编码后的数据进行解码获取原始数据，使用所述原始数据进行后续修改URL中对应参数的操作；若否，则继续进行后续修改URL中对应参数的操作。
12.如权利要求8所述的装置，其特征在于，所述检测模块，具体用于在所述第二反馈数据包中查找所述第一预设关键词和所述第二预设关键词对应的第二数据，若所述第二数据与所述第一数据一致，则进行后续的确定所述URL存在漏洞的步骤。
13.如权利要求12所述的装置，其特征在于，所述检测模块，还用于若所述第二数据与所述第一数据不一致，则确定所述URL不存在漏洞。
14.如权利要求8所述的装置，其特征在于，所述获取模块，具体用于将所述指令中携带的统一资源定位符URL和漏洞检测类型，作为获取到的待检测网站的URL和目标漏洞检测类型；或，读取配置文件中保存的URL和漏洞检测类型，将读取到的URL和漏洞检测类型作为待检测网站的URL和目标漏洞检测类型。
15.一种电子设备，其特征在于，所述电子设备至少包括处理器和存储器，所述处理器用于执行存储器中存储的计算机程序时实现权利要求1-7中任一所述的漏洞检测方法的步骤。
16.一种计算机可读存储介质，其特征在于，其存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-7中任一所述的漏洞检测方法的步骤。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210188347.8A CN114640506B (zh) | 2022-02-28 | 2022-02-28 | 一种漏洞检测方法、装置、设备及介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210188347.8A CN114640506B (zh) | 2022-02-28 | 2022-02-28 | 一种漏洞检测方法、装置、设备及介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN114640506A true CN114640506A (zh) | 2022-06-17 |
| CN114640506B CN114640506B (zh) | 2023-10-31 |
Family
ID=81948649
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202210188347.8A Active CN114640506B (zh) | 2022-02-28 | 2022-02-28 | 一种漏洞检测方法、装置、设备及介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN114640506B (zh) |
Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8949990B1 (en) * | 2007-12-21 | 2015-02-03 | Trend Micro Inc. | Script-based XSS vulnerability detection |
| US20170272464A1 (en) * | 2016-03-15 | 2017-09-21 | Vade Retro Technology Inc. | METHODS, SYSTEMS AND DEVICES TO MITIGATE THE EFFECTS OF SIDE EFFECT URLs IN LEGITIMATE AND PHISHING ELECTRONIC MESSAGES |
| CN108696481A (zh) * | 2017-04-07 | 2018-10-23 | 北京京东尚科信息技术有限公司 | 漏洞检测方法和装置 |
| US10277619B1 (en) * | 2015-10-23 | 2019-04-30 | Nationwide Mutual Insurance Company | System and methods of identifying system vulnerabilities |
| CN110414242A (zh) * | 2019-08-02 | 2019-11-05 | 中国工商银行股份有限公司 | 用于检测业务逻辑漏洞的方法、装置、设备及介质 |
| CN111241547A (zh) * | 2018-11-28 | 2020-06-05 | 阿里巴巴集团控股有限公司 | 一种越权漏洞的检测方法、装置及系统 |
| CN112653670A (zh) * | 2020-12-08 | 2021-04-13 | 北京大米科技有限公司 | 业务逻辑漏洞检测方法、装置、存储介质以及终端 |
| US11030318B1 (en) * | 2017-02-03 | 2021-06-08 | Synopsys, Inc. | Interactive verification of security vulnerability detections using runtime application traffic |
| US20210326446A1 (en) * | 2020-07-20 | 2021-10-21 | Baidu Online Network Technology (Beijing) CO,Ltd, | Vulnerability Detection Method, Apparatus, Electronic Device and Storage Medium |
-
2022
- 2022-02-28 CN CN202210188347.8A patent/CN114640506B/zh active Active
Patent Citations (9)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8949990B1 (en) * | 2007-12-21 | 2015-02-03 | Trend Micro Inc. | Script-based XSS vulnerability detection |
| US10277619B1 (en) * | 2015-10-23 | 2019-04-30 | Nationwide Mutual Insurance Company | System and methods of identifying system vulnerabilities |
| US20170272464A1 (en) * | 2016-03-15 | 2017-09-21 | Vade Retro Technology Inc. | METHODS, SYSTEMS AND DEVICES TO MITIGATE THE EFFECTS OF SIDE EFFECT URLs IN LEGITIMATE AND PHISHING ELECTRONIC MESSAGES |
| US11030318B1 (en) * | 2017-02-03 | 2021-06-08 | Synopsys, Inc. | Interactive verification of security vulnerability detections using runtime application traffic |
| CN108696481A (zh) * | 2017-04-07 | 2018-10-23 | 北京京东尚科信息技术有限公司 | 漏洞检测方法和装置 |
| CN111241547A (zh) * | 2018-11-28 | 2020-06-05 | 阿里巴巴集团控股有限公司 | 一种越权漏洞的检测方法、装置及系统 |
| CN110414242A (zh) * | 2019-08-02 | 2019-11-05 | 中国工商银行股份有限公司 | 用于检测业务逻辑漏洞的方法、装置、设备及介质 |
| US20210326446A1 (en) * | 2020-07-20 | 2021-10-21 | Baidu Online Network Technology (Beijing) CO,Ltd, | Vulnerability Detection Method, Apparatus, Electronic Device and Storage Medium |
| CN112653670A (zh) * | 2020-12-08 | 2021-04-13 | 北京大米科技有限公司 | 业务逻辑漏洞检测方法、装置、存储介质以及终端 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN114640506B (zh) | 2023-10-31 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US10613971B1 (en) | Autonomous testing of web-based applications | |
| US11036868B2 (en) | Auto-remediation workflow for computer security testing | |
| CN107122297B (zh) | 用于测试接口的请求消息生成的方法及设备 | |
| KR102071160B1 (ko) | 애플리케이션 정보 위험 관리를 위한 방법 및 장치 | |
| CN105512881B (zh) | 一种基于二维码完成支付的方法及终端 | |
| US9614862B2 (en) | System and method for webpage analysis | |
| US9762598B1 (en) | Automatic dynamic vetting of browser extensions and web applications | |
| CN108449316B (zh) | 一种反爬虫方法、服务器和客户端 | |
| CN103685307A (zh) | 基于特征库检测钓鱼欺诈网页的方法及系统、客户端、服务器 | |
| CN107733883B (zh) | 一种检测批量注册账号的方法及装置 | |
| CN110474900B (zh) | 一种游戏协议测试方法及装置 | |
| CN104168293A (zh) | 结合本地内容规则库识别可疑钓鱼网页的方法及系统 | |
| CN103647678A (zh) | 一种网站漏洞在线验证方法及装置 | |
| CN105488400A (zh) | 一种恶意网页综合检测方法及系统 | |
| CN107454041B (zh) | 防止服务器被攻击的方法及装置 | |
| CN107103243B (zh) | 漏洞的检测方法及装置 | |
| CN113190838A (zh) | 一种基于表达式的web攻击行为检测方法及系统 | |
| CN103647652A (zh) | 一种实现数据传输的方法、装置和服务器 | |
| CN114157568B (zh) | 一种浏览器安全访问方法、装置、设备及存储介质 | |
| CN107332805B (zh) | 检测漏洞的方法、装置和系统 | |
| CN103390129B (zh) | 检测统一资源定位符安全性的方法和装置 | |
| CN111783119A (zh) | 表单数据安全控制方法、装置、电子设备及存储介质 | |
| CN111709026A (zh) | 静态安全检测方法、装置、计算机设备和存储介质 | |
| CN114640506B (zh) | 一种漏洞检测方法、装置、设备及介质 | |
| CN112287349A (zh) | 安全漏洞检测方法及服务端 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |