CN114826756A - 一种web漏洞检测方法及相关组件 - Google Patents

Abstract

本申请公开了一种WEB漏洞检测方法及相关组件，包括：获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；运行所述目标测试脚本；将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。可见，本申请能够解决现有漏洞扫描工具爬虫针对前后端分离的WEB应用框架支持不足的问题，且操作简单无需增加额外复杂配置，从而增强爬虫能力以提高WEB漏洞检出效率。

Description

一种WEB漏洞检测方法及相关组件

技术领域

本发明涉及网络安全技术领域，特别涉及一种WEB漏洞检测方法、装置、设备及存储介质。

背景技术

随着WEB开发技术的发展，目前WEB应用框架通常前后端分离，前端框架常有Vue、AngularJS、React等，后端则通过RESTFul API提供服务。基于这种前端架构，所有页面访问路径都是前端脚本管理且前端脚本还可能被混淆，目前市场上的静态爬虫基本失效，而动态爬虫效果覆盖率也不到15％，导致针对现代前后端分离的WEB应用框架，漏洞扫描工具整体效果极差。

因此，如何解决现有漏洞扫描工具爬虫针对前后端分离的WEB应用框架支持不足的问题是本领域技术人员亟待解决的技术问题。

发明内容

有鉴于此，本发明的目的在于提供一种WEB漏洞检测方法、装置、设备及存储介质，能够解决现有漏洞扫描工具爬虫针对前后端分离的WEB应用框架支持不足的问题。其具体方案如下：

本申请的第一方面提供了一种WEB漏洞检测方法，包括：

获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；

运行所述目标测试脚本；

将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。

可选的，所述获取与用户的测试需求对应的目标测试脚本之前，还包括：

根据目标测试用例创建相应的所述目标测试脚本；其中，所述目标测试用例表征用户的所述测试需求。

可选的，所述获取与用户的测试需求对应的目标测试脚本，包括：

通过应用安全测试平台可视化界面的预设接口获取与用户的所述测试需求对应的所述目标测试脚本。

可选的，所述应用安全测试平台为基于动态应用安全测试技术搭建的自动化测试平台。

可选的，所述运行所述目标测试脚本，包括：

确定出与所述目标测试脚本对应的目标测试框架，并利用所述目标测试框架在测试环境中运行所述目标测试脚本。

可选的，所述确定出与所述目标测试脚本对应的目标测试框架，并利用所述目标测试框架在测试环境中运行所述目标测试脚本，包括：

确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒，并在所述目标测试沙盒中运行所述目标测试脚本。

可选的，所述将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，包括：

利用代理服务器获取所述目标测试脚本在运行过程中生成的所述请求流量，并利用所述代理服务器将获取到的所述请求流量转发至所述漏洞扫描工具。

可选的，所述利用代理服务器获取所述目标测试脚本在运行过程中生成的所述请求流量之后，还包括：

利用所述代理服务器将获取到的所述请求流量转发至所述目标应用服务器，以使得所述目标测试脚本能在所述目标测试沙盒中正常运行。

可选的，所述确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒之后，还包括：

通过所述目标测试沙盒对所述代理服务器、所述漏洞扫描工具及所述目标应用服务器进行配置。

可选的，漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞，包括：

所述漏洞扫描工具在所述请求流量中注入payloadc参数并对参数注入后的请求流量进行漏洞扫描，以检测所述目标应用服务器是否存在WEB漏洞。

本申请的第二方面提供了一种WEB漏洞检测装置，包括：

测试脚本获取模块，用于获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；

脚本运行模块，用于运行所述目标测试脚本；

漏洞检测模块，用于将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。

本申请的第三方面提供了一种电子设备，所述电子设备包括处理器和存储器；其中所述存储器用于存储计算机程序，所述计算机程序由所述处理器加载并执行以实现前述WEB漏洞检测方法。

本申请的第四方面提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现前述WEB漏洞检测方法。

本申请中，先获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；然后运行所述目标测试脚本；最后将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。可见，本申请通过获取与用户的测试需求对应的目标测试脚本并运行目标测试脚本，在运行过程中全面检测WEB漏洞，解决现有漏洞扫描工具爬虫针对前后端分离的WEB应用框架支持不足的问题，且操作简单无需增加额外复杂配置，从而增强爬虫能力以提高WEB漏洞检出效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请提供的一种WEB漏洞检测方法流程图；

图2为本申请提供的一种具体的WEB漏洞检测方法流程图；

图3为本申请提供的一种具体的WEB漏洞检测过程示意图；

图4为本申请提供的一种WEB漏洞检测装置结构示意图；

图5为本申请提供的一种WEB漏洞检测电子设备结构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现有前后端分离的WEB应用框架，所有页面访问路径都是前端脚本管理且前端脚本还可能被混淆，使得漏洞扫描工具整体效果极差。针对上述技术缺陷，本申请提供一种WEB漏洞检测方案，能够解决现有漏洞扫描工具爬虫针对前后端分离的WEB应用框架支持不足的问题，且操作简单无需增加额外复杂配置，从而增强爬虫能力以提高WEB漏洞检出效率。

图1为本申请实施例提供的一种WEB漏洞检测方法流程图。参见图1所示，该WEB漏洞检测方法包括：

S11：获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本。

本实施例中，获取与用户的测试需求对应的目标测试脚本。所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本。因此，本实施例的WEB漏洞检测方法主要为基于自动化测试的WEB漏洞检测。在此之前，需要根据目标测试用例创建相应的所述目标测试脚本，其中，所述目标测试用例表征用户的所述测试需求。为了减少操作成本，一般可以基于企业已有自动测试案例实现。

S12：运行所述目标测试脚本。

本实施例中，在获取到所述目标测试脚本之后，需要运行所述目标测试脚本。可以理解，测试脚本一般在测试环境中运行。为此，运行所述目标测试脚本的具体过程包括：确定出与所述目标测试脚本对应的目标测试框架，并利用所述目标测试框架在测试环境中运行所述目标测试脚本。也即首先确定出与所述目标测试脚本对应的目标测试框架，然后利用所述目标测试框架在测试环境中运行所述目标测试脚本。所述目标测试框架包括但不限于SELENIUM框架、QTP(Quick Test Professional)框架。其中，SELENIUM测试直接运行在浏览器中，就像真正的用户在操作一样。QTP用来执行重复的自动化测试。目前大部分企业都开始使用SELENIUM、QTP等框架，测试案例能完全覆盖WEB应用所有请求，作为自动测试方案。

S13：将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。

本实施例中，在运行过程中，需要将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。为此要获取所述目标测试脚本在运行过程中生成的所述请求流量，然后利用所述漏洞扫描工具对所述请求流量进行漏洞扫描，以检测所述目标应用服务器是否存在WEB漏洞。所述目标测试脚本在测试环境中运行时，能够模拟前后端全部请求，在这个过程中获取到的请求流量较为全面，在利用所述漏洞扫描工具进行扫描时，爬虫覆盖面较广，爬虫能力较强。

可见，本申请实施例先获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；然后运行所述目标测试脚本；最后将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。本申请实施例通过获取与用户的测试需求对应的目标测试脚本并运行目标测试脚本，在运行过程中全面检测WEB漏洞，解决现有漏洞扫描工具爬虫针对前后端分离的WEB应用框架支持不足的问题，且操作简单无需增加额外复杂配置，从而增强爬虫能力以提高WEB漏洞检出效率。

图2为本申请实施例提供的一种具体的WEB漏洞检测方法流程图。参见图2所示，该WEB漏洞检测方法包括：

S21：通过应用安全测试平台可视化界面的预设接口获取与用户的测试需求对应的目标测试脚本。

本实施例中，通过应用安全测试平台可视化界面的预设接口获取与用户的测试需求对应的目标测试脚本。其中，所述应用安全测试平台为基于动态应用安全测试技术搭建的自动化测试平台。例如，所述应用安全测试平台可以为DAST平台，DAST(DynamicApplication Security Testing，动态应用程序安全测试)是一种黑盒测试技术，是目前应用最广泛、使用最简单的一种WEB应用安全测试技术，常用的工具如AWVS、AppScan、Nessus、NetSparker、云镜等就是基于DAST原理的产品。本实施例中，可以在企业已有的DAST平台中提供新增上传自动测试脚本选型功能，用户可以通过该功能入口上传所述目标测试脚本。基于此，本实施例的具体实现过程如图2所示。

S22：确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒，并在所述目标测试沙盒中运行所述目标测试脚本。

本实施例中，如果用户上传了所述目标测试脚本，则确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒，也即DAST平台根据自动框架类型把测试任务下发给目标测试沙盒。对应前述实施例，所述目标测试沙盒包括但不限于SELENIUM Agent沙盒、QTP Agent沙盒。不难理解，在确定出所述目标测试沙盒后，可以通过所述目标测试沙盒对所述漏洞扫描工具及所述目标应用服务器进行配置。配置完成后，在所述目标测试沙盒中运行所述目标测试脚本。

S23：利用代理服务器获取所述目标测试脚本在运行过程中生成的请求流量，并利用所述代理服务器将获取到的所述请求流量转发至漏洞扫描工具。

本实施例中，通过代理服务器实现请求流量获取及转发，也即利用代理服务器获取所述目标测试脚本在运行过程中生成的请求流量，并利用所述代理服务器将获取到的所述请求流量转发至漏洞扫描工具。同时，为了使得所述目标测试脚本能在所述目标测试沙盒中正常运行。所述代理服务器获取到所述请求流量后，还需要利用所述代理服务器将获取到的所述请求流量转发至所述目标应用服务器，以使得所述目标测试脚本能在所述目标测试沙盒中正常运行。本实施例中，所述代理服务器为DAST平台代理，沙盒设置好代理后代理会转发请求到漏洞扫描工具(Scanner)执行类似手动爬虫操作外，也会转发至测试目标。

S24：由所述漏洞扫描工具在所述请求流量中注入payloadc参数并对参数注入后的请求流量进行漏洞扫描，以检测所述目标应用服务器是否存在WEB漏洞。

本实施例中，对于漏洞扫描的具体过程，主要是由所述漏洞扫描工具在所述请求流量中注入payloadc参数并对参数注入后的请求流量进行漏洞扫描，以检测所述目标应用服务器是否存在WEB漏洞。Scanner从代理处接收到转发的所述请求流量后，在各个所述请求流量中添加payload参数去检测WEB服务是否存在漏洞，完成漏洞扫描。

可见，本申请实施例先通过应用安全测试平台可视化界面的预设接口获取与用户的测试需求对应的目标测试脚本；然后确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒，并在所述目标测试沙盒中运行所述目标测试脚本；接着利用代理服务器获取所述目标测试脚本在运行过程中生成的请求流量，并利用所述代理服务器将获取到的所述请求流量转发至漏洞扫描工具；最后由所述漏洞扫描工具在所述请求流量中注入payloadc参数并对参数注入后的请求流量进行漏洞扫描，以检测所述目标应用服务器是否存在WEB漏洞。本申请实施例扩展了漏洞扫描工具的功能，利用企业覆盖面较广的自动测试案例，不用复杂的配置和操作，只要提交已有自动测试脚本就能解决目前爬虫无法覆盖的问题。提高漏洞扫描工具对于现代前后端框架分离的支持。

参见图4所示，本申请实施例还相应公开了一种WEB漏洞检测装置，包括：

测试脚本获取模块11，用于获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；

脚本运行模块12，用于运行所述目标测试脚本；

漏洞检测模块13，用于将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。

可见，本申请实施例先获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；然后运行所述目标测试脚本；最后将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。本申请实施例通过获取与用户的测试需求对应的目标测试脚本并运行目标测试脚本，在运行过程中全面检测WEB漏洞，解决现有漏洞扫描工具爬虫针对前后端分离的WEB应用框架支持不足的问题，且操作简单无需增加额外复杂配置，从而增强爬虫能力以提高WEB漏洞检出效率。

在一些具体实施例中，所述WEB漏洞检测装置还包括：

创建模块，用于根据目标测试用例创建相应的所述目标测试脚本；其中，所述目标测试用例表征用户的所述测试需求。

在一些具体实施例中，所述测试脚本获取模块11，具体用于通过应用安全测试平台可视化界面的预设接口获取与用户的所述测试需求对应的所述目标测试脚本。

在一些具体实施例中，所述脚本运行模块12，具体用于确定出与所述目标测试脚本对应的目标测试框架，并利用所述目标测试框架在测试环境中运行所述目标测试脚本。

在一些具体实施例中，所述脚本运行模块12，具体包括：

确定单元，用于确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒；

配置单元，用于通过所述目标测试沙盒对所述代理服务器、所述漏洞扫描工具及所述目标应用服务器进行配置；

运行单元，用于在所述目标测试沙盒中运行所述目标测试脚本。

在一些具体实施例中，所述漏洞检测模块13，具体包括：

流量获取单元，用于利用代理服务器获取所述目标测试脚本在运行过程中生成的所述请求流量；

流量第一转发单元，用于利用所述代理服务器将获取到的所述请求流量转发至所述漏洞扫描工具；

流量第二转发单元，用于利用所述代理服务器将获取到的所述请求流量转发至所述目标应用服务器，以使得所述目标测试脚本能在所述目标测试沙盒中正常运行；

扫描单元，用于由所述漏洞扫描工具在所述请求流量中注入payloadc参数并对参数注入后的请求流量进行漏洞扫描，以检测所述目标应用服务器是否存在WEB漏洞。

进一步的，本申请实施例还提供了一种电子设备。图5是根据一示例性实施例示出的电子设备20结构图，图中的内容不能认为是对本申请的使用范围的任何限制。

图5为本申请实施例提供的一种电子设备20的结构示意图。该电子设备20，具体可以包括：至少一个处理器21、至少一个存储器22、电源23、通信接口24、输入输出接口25和通信总线26。其中，所述存储器22用于存储计算机程序，所述计算机程序由所述处理器21加载并执行，以实现前述任一实施例公开的WEB漏洞检测方法中的相关步骤。

本实施例中，电源23用于为电子设备20上的各硬件设备提供工作电压；通信接口24能够为电子设备20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；输入输出接口25，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。

另外，存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，其上所存储的资源可以包括操作系统221、计算机程序222及数据223等，存储方式可以是短暂存储或者永久存储。

其中，操作系统221用于管理与控制电子设备20上的各硬件设备以及计算机程序222，以实现处理器21对存储器22中海量数据223的运算与处理，其可以是Windows Server、Netware、Unix、Linux等。计算机程序222除了包括能够用于完成前述任一实施例公开的由电子设备20执行的WEB漏洞检测方法的计算机程序之外，还可以进一步包括能够用于完成其他特定工作的计算机程序。数据223可以包括电子设备20收集到的测试脚本。

进一步的，本申请实施例还公开了一种存储介质，所述存储介质中存储有计算机程序，所述计算机程序被处理器加载并执行时，实现前述任一实施例公开的WEB漏洞检测方法步骤。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个…”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本发明所提供的WEB漏洞检测方法、装置、设备及存储介质进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (13)

1.一种WEB漏洞检测方法，其特征在于，包括：

获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；

运行所述目标测试脚本；

将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。

2.根据权利要求1所述的WEB漏洞检测方法，其特征在于，所述获取与用户的测试需求对应的目标测试脚本之前，还包括：

根据目标测试用例创建相应的所述目标测试脚本；其中，所述目标测试用例表征用户的所述测试需求。

3.根据权利要求1所述的WEB漏洞检测方法，其特征在于，所述获取与用户的测试需求对应的目标测试脚本，包括：

通过应用安全测试平台可视化界面的预设接口获取与用户的所述测试需求对应的所述目标测试脚本。

4.根据权利要求3所述的WEB漏洞检测方法，其特征在于，所述应用安全测试平台为基于动态应用安全测试技术搭建的自动化测试平台。

5.根据权利要求1所述的WEB漏洞检测方法，其特征在于，所述运行所述目标测试脚本，包括：

确定出与所述目标测试脚本对应的目标测试框架，并利用所述目标测试框架在测试环境中运行所述目标测试脚本。

6.根据权利要求5所述的WEB漏洞检测方法，其特征在于，所述确定出与所述目标测试脚本对应的目标测试框架，并利用所述目标测试框架在测试环境中运行所述目标测试脚本，包括：

确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒，并在所述目标测试沙盒中运行所述目标测试脚本。

7.根据权利要求6所述的WEB漏洞检测方法，其特征在于，所述将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，包括：

利用代理服务器获取所述目标测试脚本在运行过程中生成的所述请求流量，并利用所述代理服务器将获取到的所述请求流量转发至所述漏洞扫描工具。

8.根据权利要求7所述的WEB漏洞检测方法，其特征在于，所述利用代理服务器获取所述目标测试脚本在运行过程中生成的所述请求流量之后，还包括：

利用所述代理服务器将获取到的所述请求流量转发至所述目标应用服务器，以使得所述目标测试脚本能在所述目标测试沙盒中正常运行。

9.根据权利要求8所述的WEB漏洞检测方法，其特征在于，所述确定出与所述目标测试脚本的测试框架类型一致的目标测试沙盒之后，还包括：

通过所述目标测试沙盒对所述代理服务器、所述漏洞扫描工具及所述目标应用服务器进行配置。

10.根据权利要求1至9任一项所述的WEB漏洞检测方法，其特征在于，所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞，包括：

所述漏洞扫描工具在所述请求流量中注入payloadc参数并对参数注入后的请求流量进行漏洞扫描，以检测所述目标应用服务器是否存在WEB漏洞。

11.一种WEB漏洞检测装置，其特征在于，包括：

测试脚本获取模块，用于获取与用户的测试需求对应的目标测试脚本；其中，所述目标测试脚本为预先创建对目标应用服务器进行自动化测试的脚本；

脚本运行模块，用于运行所述目标测试脚本；

漏洞检测模块，用于将所述目标测试脚本在运行过程中生成的请求流量输入至漏洞扫描工具，以使所述漏洞扫描工具基于所述请求流量检测所述目标应用服务器是否存在WEB漏洞。

12.一种电子设备，其特征在于，所述电子设备包括处理器和存储器，其中：

所述存储器用于存储计算机程序；

所述计算机程序由所述处理器加载并执行以实现如权利要求1至10任一项所述的WEB漏洞检测方法。

13.一种计算机可读存储介质，其特征在于，用于存储计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现如权利要求1至10任一项所述的WEB漏洞检测方法。

Images