CN114666120A - 网站漏洞在线评估方法及装置 - Google Patents

Abstract

本发明实施例涉及互联网安全领域，具体公开了网站漏洞在线评估方法及装置。本发明实施例通过对目标网站进行信息收集，获取目标网站的暴露信息，并根据暴露信息对目标网站进行系统层和目标层的漏洞检测，获取目标网站的目标漏洞和对应的漏洞信息；获取目标网站的访问数据，并对访问数据和漏洞信息进行分析，获取目标漏洞的漏洞类型；综合访问数据和漏洞类型，对目标漏洞进行漏洞风险评估，得到漏洞评估信息。能够根据目标网站的暴露信息，从系统层和目标层对目标网站进行全面的漏洞检测，并且根据目标网站的访问数据和漏洞类型，对目标漏洞进行综合风险评估，使得网站漏洞的评估更加合理，从而便于为网站漏洞修复提供更加规范的指导。

Description

网站漏洞在线评估方法及装置

技术领域

本发明属于互联网安全领域，尤其涉及网站漏洞在线评估方法及装置。

背景技术

随着互联网技术应用的越来越广泛，人们很多的日常工作和娱乐都在网络上进行，网络已跟人们的生活息息相关。因此，网站的安全也越来越被人们所重视。然而，网络存在着各种各样的安全漏洞。漏洞发现是攻击者与防护者双方对抗的关键过程，防护者如果不能早于攻击者发现可被利用的漏洞，攻击者就有可能利用漏洞发起攻击。越早发现并修复漏洞，信息安全事件发生的可能性就越小。

网站漏洞检测，通常是指基于漏洞数据库，通过扫描等手段，对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用的漏洞的一种安全检测行为。现有的网站漏洞检测，检测通常比较单一，只是根据建立的漏洞数据库进行漏洞扫描，且无法综合考虑网站的应用情况进行风险评估，导致漏洞风险评估单一。

发明内容

本发明实施例的目的在于提供网站漏洞在线评估方法及装置，旨在解决背景技术中提出的问题。

为实现上述目的，本发明实施例提供如下技术方案：

网站漏洞在线评估方法，所述方法具体包括以下步骤：

对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息；

获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型；

综合所述访问数据和所述漏洞类型，对所述目标漏洞进行漏洞风险评估，得到漏洞评估信息。

作为本发明实施例技术方案进一步的限定，所述对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息具体包括以下步骤：

通过Nslookup对目标网站进行基础信息收集，得到所述目标网站的基础结构信息；

对所述目标网站进行敏感页面查询，得到所述目标网站的敏感页面信息；

对所述目标网站进行信息探测，获取所述目标网站的版本信息；

综合所述基础结构信息、所述敏感页面信息和所述版本信息，得到所述目标网站的暴露信息；

根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

作为本发明实施例技术方案进一步的限定，所述根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息具体包括以下步骤：

根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据；

根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据；

根据所述系统层检测数据和所述目标层检测数据进行漏洞识别，获取所述目标网站的目标漏洞和对应的漏洞信息。

作为本发明实施例技术方案进一步的限定，所述根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据具体包括以下步骤：

根据所述暴露信息进行溢出漏洞检测规划和信息泄露检测规划；

按照所述溢出漏洞检测规划进行溢出漏洞检测，得到溢出漏洞检测信息；

按照所述信息泄露检测规划进行信息泄露检测，得到信息泄露检测信息；

综合所述溢出漏洞检测信息和所述信息泄露检测信息，得到系统层检测数据。

作为本发明实施例技术方案进一步的限定，所述根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据具体包括以下步骤：

根据所述暴露信息进行网站错误检测规划；

按照所述网站错误检测规划进行参数错误检测，得到参数错误检测信息；

按照所述网站错误检测规划进行认证错误检测，得到认证错误检测信息；

综合所述参数错误检测信息和所述认证错误检测信息，得到目标层检测数据。

作为本发明实施例技术方案进一步的限定，所述获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型具体包括以下步骤：

对所述目标网站进行类型分析，得到所述目标网站的网站类型；

根据所述网站类型配置参考时长；

获取所述参考时长内的目标网站的访问数据；

对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

网站漏洞在线评估装置，所述装置包括漏洞检测单元、漏洞分析单元和风险评估单元，其中：

漏洞检测单元，用于对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息；

漏洞分析单元，用于获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型；

风险评估单元，用于综合所述访问数据和所述漏洞类型，对所述目标漏洞进行漏洞风险评估，得到漏洞评估信息。

作为本发明实施例技术方案进一步的限定，所述漏洞检测单元具体包括：

基础信息收集模块，用于通过Nslookup对目标网站进行基础信息收集，得到所述目标网站的基础结构信息；

敏感页面查询模块，用于对所述目标网站进行敏感页面查询，得到所述目标网站的敏感页面信息；

版本信息获取模块，用于对所述目标网站进行信息探测，获取所述目标网站的版本信息；

暴露信息生成模块，用于综合所述基础结构信息、所述敏感页面信息和所述版本信息，得到所述目标网站的暴露信息；

漏洞检测模块，用于根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

作为本发明实施例技术方案进一步的限定，所述漏洞检测模块具体包括：

系统层漏洞检测子模块，用于根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据；

目标层漏洞检测子模块，用于根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据；

漏洞识别子模块，用于根据所述系统层检测数据和所述目标层检测数据进行漏洞识别，获取所述目标网站的目标漏洞和对应的漏洞信息。

作为本发明实施例技术方案进一步的限定，所述漏洞分析单元具体包括：

网站类型分析模块，用于对所述目标网站进行类型分析，得到所述目标网站的网站类型；

参考时长配置模块，用于根据所述网站类型配置参考时长；

访问数据获取模块，用于获取所述参考时长内的目标网站的访问数据；

漏洞类型分析模块，用于对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

与现有技术相比，本发明的有益效果是：

本发明实施例通过对目标网站进行信息收集，获取目标网站的暴露信息，并根据暴露信息对目标网站进行系统层和目标层的漏洞检测，获取目标网站的目标漏洞和对应的漏洞信息；获取目标网站的访问数据，并对访问数据和漏洞信息进行分析，获取目标漏洞的漏洞类型；综合访问数据和漏洞类型，对目标漏洞进行漏洞风险评估，得到漏洞评估信息。能够根据目标网站的暴露信息，从系统层和目标层对目标网站进行全面的漏洞检测，并且根据目标网站的访问数据和漏洞类型，对目标漏洞进行综合风险评估，使得网站漏洞的评估更加合理，从而便于为网站漏洞修复提供更加规范的指导。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例。

图1示出了本发明实施例提供的方法的流程图。

图2示出了本发明实施例提供的方法中目标网站漏洞检测的流程图。

图3示出了本发明实施例提供的方法中目标漏洞和漏洞信息获取的流程图。

图4示出了本发明实施例提供的方法中系统层漏洞检测的流程图。

图5示出了本发明实施例提供的方法中目标层漏洞检测的流程图。

图6示出了本发明实施例提供的方法中漏洞类型获取的流程图。

图7示出了本发明实施例提供的装置的应用架构图。

图8示出了本发明实施例提供的装置中漏洞检测单元的结构框图。

图9示出了本发明实施例提供的装置中漏洞检测模块的结构框图。

图10示出了本发明实施例提供的装置中漏洞分析单元的结构框图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

可以理解的是，在现有技术中，对于网站漏洞检测，检测通常比较单一，只是根据建立的漏洞数据库进行漏洞扫描，且无法综合考虑网站的应用情况进行风险评估，导致漏洞风险评估单一。

为解决上述问题，本发明实施例通过对目标网站进行信息收集，获取目标网站的暴露信息，并根据暴露信息对目标网站进行系统层和目标层的漏洞检测，获取目标网站的目标漏洞和对应的漏洞信息；获取目标网站的访问数据，并对访问数据和漏洞信息进行分析，获取目标漏洞的漏洞类型；综合访问数据和漏洞类型，对目标漏洞进行漏洞风险评估，得到漏洞评估信息。能够根据目标网站的暴露信息，从系统层和目标层对目标网站进行全面的漏洞检测，并且根据目标网站的访问数据和漏洞类型，对目标漏洞进行综合风险评估，使得网站漏洞的评估更加合理，从而便于为网站漏洞修复提供更加规范的指导。

图1示出了本发明实施例提供的方法的流程图。

具体的，网站漏洞在线评估方法，所述方法具体包括以下步骤：

步骤S101，对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

在本发明实施例中，通过对互联网上目标网站的基础结构信息和敏感页面信息进行收集，得到目标网站的暴露信息，根据暴露信息进行目标网站的漏洞检测规划，并按照漏洞检测规划对目标网站进行系统层和目标层的漏洞检测，得到目标网站的目标漏洞和目标漏洞的漏洞信息。

具体的，图2示出了本发明实施例提供的方法中目标网站漏洞检测的流程图。

其中，在本发明提供的优选实施方式中，所述对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息具体包括以下步骤：

步骤S1011，通过Nslookup对目标网站进行基础信息收集，得到所述目标网站的基础结构信息。

在本发明实施例中，通过Nslookup对目标网站的域名信息进行查询，诊断域名系统基础结构的信息，实现对目标网站进行基础信息收集，得到目标网站的基础结构信息。

可以理解的是，Nslookup是NT、2000中连接DNS服务器，查询域名信息的一个非常有用的命令，可以指定查询的类型，可以查到DNS记录的生存时间还可以指定使用哪个DNS服务器进行解释。

步骤S1012，对所述目标网站进行敏感页面查询，得到所述目标网站的敏感页面信息。

在本发明实施例中，利用Google hacking对目标网站的安全隐患和易攻击点进行定位，得到敏感页面的敏感信息搜索，生成目标网站的敏感页面信息。

可以理解的是，Google hacking是使用搜索引擎，定位因特网上的安全隐患和易攻击点的技术。Web上一般有两种容易发现的易受攻击类型：软件漏洞和错误配置。虽然一些有经验的入侵者目标是瞄准了一些特殊的系统，同时尝试发现会让他们进入的漏洞，但是大部分的入侵者是从具体的软件漏洞开始或者是从那些普通用户错误配置开始，在这些配置中，他们已经知道怎样侵入，并且初步的尝试发现或扫描有该种漏洞的系统。

步骤S1013，对所述目标网站进行信息探测，获取所述目标网站的版本信息。

在本发明实施例中，通过对目标网站的特定服务以及端口版本信息的探测，获取目标网站的版本信息。

步骤S1014，综合所述基础结构信息、所述敏感页面信息和所述版本信息，得到所述目标网站的暴露信息。

步骤S1015，根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

具体的，图3示出了本发明实施例提供的方法中目标漏洞和漏洞信息获取的流程图。

其中，在本发明提供的优选实施方式中，所述根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息具体包括以下步骤：

步骤S10151，根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据。

在本发明实施例中，通过对暴露信息分析，并基于溢出漏洞和信息泄露的系统层对目标网站进行漏洞检测，获取目标网站的系统层检测数据。

具体的，图4示出了本发明实施例提供的方法中系统层漏洞检测的流程图。

其中，在本发明提供的优选实施方式中，所述根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据具体包括以下步骤：

步骤S101511，根据所述暴露信息进行溢出漏洞检测规划和信息泄露检测规划。

步骤S101512，按照所述溢出漏洞检测规划进行溢出漏洞检测，得到溢出漏洞检测信息。

步骤S101513，按照所述信息泄露检测规划进行信息泄露检测，得到信息泄露检测信息。

步骤S101514，综合所述溢出漏洞检测信息和所述信息泄露检测信息，得到系统层检测数据。

进一步的，所述根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息还包括以下步骤：

步骤S10152，根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据。

在本发明实施例中，通过对暴露信息分析，并基于参数错误和认证错误的目标层对目标网站进行漏洞检测，获取目标网站的目标层检测数据。

具体的，图5示出了本发明实施例提供的方法中目标层漏洞检测的流程图。

其中，在本发明提供的优选实施方式中，所述根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据具体包括以下步骤：

步骤S101521，根据所述暴露信息进行网站错误检测规划。

步骤S101522，按照所述网站错误检测规划进行参数错误检测，得到参数错误检测信息。

步骤S101523，按照所述网站错误检测规划进行认证错误检测，得到认证错误检测信息。

步骤S101524，综合所述参数错误检测信息和所述认证错误检测信息，得到目标层检测数据。

进一步的，所述根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息还包括以下步骤：

步骤S10153，根据所述系统层检测数据和所述目标层检测数据进行漏洞识别，获取所述目标网站的目标漏洞和对应的漏洞信息。

在本发明实施例中，对系统层检测数据和目标层检测数据进行综合分析，根据综合分析结果进行漏洞识别，获取目标网站的目标漏洞，并获取目标漏洞的漏洞信息。具体的，漏洞信息可以包括漏洞位置、漏洞管理人员信息等。

进一步的，所述网站漏洞在线评估方法还包括以下步骤：

步骤S102，获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

在本发明实施例中，通过获取目标网站一定时间内的访问数据，得到目标网站的访问流量和访问者信息，从而根据访问数据和漏洞信息的综合分析，得到目标漏洞的漏洞类型。

具体的，图6示出了本发明实施例提供的方法中漏洞类型获取的流程图。

其中，在本发明提供的优选实施方式中，所述获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型具体包括以下步骤：

步骤S1021，对所述目标网站进行类型分析，得到所述目标网站的网站类型。

在本发明实施例中，通过对目标网站的类型进行分析，得到目标网站的网站类型。可以理解的是，网站类型有：企业网站、商业网站、教培网站、个人网站等。

步骤S1022，根据所述网站类型配置参考时长。

在本发明实施例中，根据目标网站的网站类型，匹配采集目标网站访问数据的参考时长。可以理解的是，对于不同类型的网站，由于访问量的变化周期不同，采集目标网站访问数据的时长不同。

步骤S1023，获取所述参考时长内的目标网站的访问数据。

步骤S1024，对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

进一步的，所述网站漏洞在线评估方法还包括以下步骤：

步骤S103，综合所述访问数据和所述漏洞类型，对所述目标漏洞进行漏洞风险评估，得到漏洞评估信息。

在本发明实施例中，通过对访问数据和漏洞类型的综合分析，综合目标网站的访问流量、访问者信息以及漏洞类型，对目标漏洞的漏洞风险进行综合评估，得到漏洞评估信息。

具体的，可以理解的是，访问流量越大的网站漏洞风险越高，访问者信息越单一的网站漏洞风险越高，金融资产的漏洞类型对应的网站漏洞风险相对于娱乐新闻的漏洞类型对应的网站漏洞风险更高，通过综合访问流量、访问者信息以及漏洞类型，实现对网站漏洞的综合分析评估，使得网站漏洞的评估更加合理，从而便于为网站漏洞修复提供更加规范的指导。

进一步的，图7示出了本发明实施例提供的系统的应用架构图。

其中，在本发明提供的又一个优选实施方式中，网站漏洞在线评估装置，包括：

漏洞检测单元101，用于对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

在本发明实施例中，漏洞检测单元101通过对互联网上目标网站的基础结构信息和敏感页面信息进行收集，得到目标网站的暴露信息，根据暴露信息进行目标网站的漏洞检测规划，并按照漏洞检测规划对目标网站进行系统层和目标层的漏洞检测，得到目标网站的目标漏洞和目标漏洞的漏洞信息。

具体的，图8示出了本发明实施例提供的装置中漏洞检测单元101的结构框图。

其中，在本发明提供的优选实施方式中，所述漏洞检测单元101具体包括：

基础信息收集模块1011，用于通过Nslookup对目标网站进行基础信息收集，得到所述目标网站的基础结构信息。

在本发明实施例中，基础信息收集模块1011通过Nslookup对目标网站的域名信息进行查询，诊断域名系统基础结构的信息，实现对目标网站进行基础信息收集，得到目标网站的基础结构信息。

敏感页面查询模块1012，用于对所述目标网站进行敏感页面查询，得到所述目标网站的敏感页面信息。

在本发明实施例中，敏感页面查询模块1012利用Google hacking对目标网站的安全隐患和易攻击点进行定位，得到敏感页面的敏感信息搜索，生成目标网站的敏感页面信息。

版本信息获取模块1013，用于对所述目标网站进行信息探测，获取所述目标网站的版本信息。

在本发明实施例中，版本信息获取模块1013通过对目标网站的特定服务以及端口版本信息的探测，获取目标网站的版本信息。

暴露信息生成模块1014，用于综合所述基础结构信息、所述敏感页面信息和所述版本信息，得到所述目标网站的暴露信息。

漏洞检测模块1015，用于根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

具体的，图9示出了本发明实施例提供的装置中漏洞检测模块1015的结构框图。

其中，在本发明提供的优选实施方式中，所述漏洞检测模块1015具体包括：

系统层漏洞检测子模块10151，用于根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据。

目标层漏洞检测子模块10152，用于根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据。

漏洞识别子模块10153，用于根据所述系统层检测数据和所述目标层检测数据进行漏洞识别，获取所述目标网站的目标漏洞和对应的漏洞信息。

进一步的，所述网站漏洞在线评估装置还包括：

漏洞分析单元102，用于获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

在本发明实施例中，漏洞分析单元102通过获取目标网站参考时长内的访问数据，得到目标网站的访问流量和访问者信息，从而根据访问数据和漏洞信息的综合分析，得到目标漏洞的漏洞类型。

具体的，图10示出了本发明实施例提供的装置中漏洞分析单元102的结构框图。

其中，在本发明提供的优选实施方式中，所述漏洞分析单元102具体包括：

网站类型分析模块1021，用于对所述目标网站进行类型分析，得到所述目标网站的网站类型。

在本发明实施例中，网站类型分析模块1021通过对目标网站的类型进行分析，得到目标网站的网站类型。

参考时长配置模块1022，用于根据所述网站类型配置参考时长。

在本发明实施例中，参考时长配置模块1022根据目标网站的网站类型，匹配采集目标网站访问数据的参考时长。

访问数据获取模块1023，用于获取所述参考时长内的目标网站的访问数据。

漏洞类型分析模块1024，用于对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

进一步的，所述网站漏洞在线评估装置还包括：

风险评估单元103，用于综合所述访问数据和所述漏洞类型，对所述目标漏洞进行漏洞风险评估，得到漏洞评估信息。

在本发明实施例中，风险评估单元103通过对访问数据和漏洞类型的综合分析，综合目标网站的访问流量、访问者信息以及漏洞类型，对目标漏洞的漏洞风险进行综合评估，得到漏洞评估信息。

综上所述，本发明实施例能够根据目标网站的暴露信息，从系统层和目标层对目标网站进行全面的漏洞检测，并且根据目标网站的访问数据和漏洞类型，对目标漏洞进行综合风险评估，使得网站漏洞的评估更加合理，从而便于为网站漏洞修复提供更加规范的指导。

应该理解的是，虽然本发明各实施例的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，各实施例中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一非易失性计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器（ROM）、可编程ROM（PROM）、电可编程ROM（EPROM）、电可擦除可编程ROM（EEPROM）或闪存。易失性存储器可包括随机存取存储器（RAM）或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM（SRAM）、动态RAM（DRAM）、同步DRAM（SDRAM）、双数据率SDRAM（DDRSDRAM）、增强型SDRAM（ESDRAM）、同步链路（Synchlink） DRAM（SLDRAM）、存储器总线（Rambus）直接RAM（RDRAM）、直接存储器总线动态RAM（DRDRAM）、以及存储器总线动态RAM（RDRAM）等。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.网站漏洞在线评估方法，其特征在于，所述方法具体包括以下步骤：

对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息；

获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型；

综合所述访问数据和所述漏洞类型，对所述目标漏洞进行漏洞风险评估，得到漏洞评估信息。

2.根据权利要求1所述的网站漏洞在线评估方法，其特征在于，所述对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息具体包括以下步骤：

通过Nslookup对目标网站进行基础信息收集，得到所述目标网站的基础结构信息；

对所述目标网站进行敏感页面查询，得到所述目标网站的敏感页面信息；

对所述目标网站进行信息探测，获取所述目标网站的版本信息；

综合所述基础结构信息、所述敏感页面信息和所述版本信息，得到所述目标网站的暴露信息；

根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

3.根据权利要求2所述的网站漏洞在线评估方法，其特征在于，所述根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息具体包括以下步骤：

根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据；

根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据；

根据所述系统层检测数据和所述目标层检测数据进行漏洞识别，获取所述目标网站的目标漏洞和对应的漏洞信息。

4.根据权利要求3所述的网站漏洞在线评估方法，其特征在于，所述根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据具体包括以下步骤：

根据所述暴露信息进行溢出漏洞检测规划和信息泄露检测规划；

按照所述溢出漏洞检测规划进行溢出漏洞检测，得到溢出漏洞检测信息；

按照所述信息泄露检测规划进行信息泄露检测，得到信息泄露检测信息；

综合所述溢出漏洞检测信息和所述信息泄露检测信息，得到系统层检测数据。

5.根据权利要求3所述的网站漏洞在线评估方法，其特征在于，所述根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据具体包括以下步骤：

根据所述暴露信息进行网站错误检测规划；

按照所述网站错误检测规划进行参数错误检测，得到参数错误检测信息；

按照所述网站错误检测规划进行认证错误检测，得到认证错误检测信息；

综合所述参数错误检测信息和所述认证错误检测信息，得到目标层检测数据。

6.根据权利要求1所述的网站漏洞在线评估方法，其特征在于，所述获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型具体包括以下步骤：

对所述目标网站进行类型分析，得到所述目标网站的网站类型；

根据所述网站类型配置参考时长；

获取所述参考时长内的目标网站的访问数据；

对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

7.网站漏洞在线评估装置，其特征在于，所述装置包括漏洞检测单元、漏洞分析单元和风险评估单元，其中：漏洞检测单元，用于对目标网站进行信息收集，获取所述目标网站的暴露信息，并根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息；

漏洞分析单元，用于获取所述目标网站的访问数据，并对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型；

风险评估单元，用于综合所述访问数据和所述漏洞类型，对所述目标漏洞进行漏洞风险评估，得到漏洞评估信息。

8.根据权利要求7所述的网站漏洞在线评估装置，其特征在于，所述漏洞检测单元具体包括：基础信息收集模块，用于通过Nslookup对目标网站进行基础信息收集，得到所述目标网站的基础结构信息；

敏感页面查询模块，用于对所述目标网站进行敏感页面查询，得到所述目标网站的敏感页面信息；

版本信息获取模块，用于对所述目标网站进行信息探测，获取所述目标网站的版本信息；

暴露信息生成模块，用于综合所述基础结构信息、所述敏感页面信息和所述版本信息，得到所述目标网站的暴露信息；

漏洞检测模块，用于根据所述暴露信息对所述目标网站进行系统层和目标层的漏洞检测，获取所述目标网站的目标漏洞和对应的漏洞信息。

9.根据权利要求8所述的网站漏洞在线评估装置，其特征在于，所述漏洞检测模块具体包括：系统层漏洞检测子模块，用于根据所述暴露信息对所述目标网站进行系统层漏洞检测，得到所述目标网站的系统层检测数据；

目标层漏洞检测子模块，用于根据所述暴露信息对所述目标网站进行目标层漏洞检测，得到所述目标网站的目标层检测数据；

漏洞识别子模块，用于根据所述系统层检测数据和所述目标层检测数据进行漏洞识别，获取所述目标网站的目标漏洞和对应的漏洞信息。

10.根据权利要求7所述的网站漏洞在线评估装置，其特征在于，所述漏洞分析单元具体包括：网站类型分析模块，用于对所述目标网站进行类型分析，得到所述目标网站的网站类型；

参考时长配置模块，用于根据所述网站类型配置参考时长；

访问数据获取模块，用于获取所述参考时长内的目标网站的访问数据；

漏洞类型分析模块，用于对所述访问数据和所述漏洞信息进行分析，获取所述目标漏洞的漏洞类型。

Images