CN115422088A - 一种软件漏洞的处理方法、装置、设备及介质 - Google Patents

Abstract

本发明实施例公开了一种软件漏洞的处理方法、装置、设备及介质，该方法包括：基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与目标软件对应的待分析漏扫报告；基于漏洞管理平台对待分析漏扫报告进行解析，确定出与待分析漏扫报告对应的漏洞信息；基于漏洞信息确定目标软件的待修复漏洞并进行修复，并在待修复漏洞修复完成后进行漏洞验证，以在验证通过后确定目标软件的待修复漏洞处理完成。本发明实施例的技术方案解决了现有对漏洞的处理方案需要开发人员分析漏扫报告，漏洞修复效率低的问题，实现了对漏洞的扫描与修复，以及基于漏扫报告进行漏洞的统计分析，可以自动确定出漏洞的信息，无需开发人员对漏扫报告进行分析，提高工作效率。

Description

一种软件漏洞的处理方法、装置、设备及介质

技术领域

本发明涉及软件开发测试技术领域，尤其涉及一种软件漏洞的处理方法、装置、设备及介质。

背景技术

信息安全漏洞是信息安全系统风险的主要根源之一，是网络攻防对抗中的主要目标。软件漏洞是信息安全系统漏洞的重要组成部分，因此在软件项目中，需要确定软件的漏洞并进行修复。

现有的技术中通常是对软件的漏洞进行扫描，生成对应的报告，由研发人员分析报告，并对相应的漏洞进行修复。然而，目前的模式无法直观的展现出系统整体的漏洞情况，无法系统的记录系统漏洞的发现与修复情况，无法宏观的掌握系统的风险情况，流转流程不系统、效率低。

发明内容

本发明提供了一种软件漏洞的处理方法、装置、设备及介质，以实现对漏洞的扫描与修复，以及基于漏扫报告进行漏洞的统计分析，可以自动确定出漏洞的信息，无需开发人员对漏扫报告进行分析。

根据本发明的一方面，提供了一种软件漏洞的处理方法，该方法包括：

基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与所述目标软件对应的待分析漏扫报告；

基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息；

基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成。

根据本发明的另一方面，提供了一种软件漏洞的处理装置，该装置包括：

漏扫报告生成模块，用于基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与所述目标软件对应的待分析漏扫报告；

漏洞信息分析模块，用于基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息；

漏洞修复验证模块，用于基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成。

根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：

至少一个处理器；

以及与所述至少一个处理器通信连接的存储器；

其中，所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的软件漏洞的处理方法。

根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的软件漏洞的处理方法。

本发明实施例的技术方案，通过基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与目标软件对应的待分析漏扫报告；基于漏洞管理平台对待分析漏扫报告进行解析，确定出与待分析漏扫报告对应的漏洞信息；基于漏洞信息确定目标软件的待修复漏洞并进行修复，并在待修复漏洞修复完成后进行漏洞验证，以在验证通过后确定目标软件的待修复漏洞处理完成，解决了现有对漏洞的处理方案需要开发人员分析漏扫报告，漏洞修复效率低的问题，实现了对漏洞的扫描与修复，以及基于漏扫报告进行漏洞的统计分析，可以自动确定出漏洞的信息，无需开发人员对漏扫报告进行分析，提高工作效率。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一所提供的一种软件漏洞的处理方法的流程图；

图2为本发明实施例二提供的一种软件漏洞的处理方法的流程图；

图3为本发明实施例二所适用的系统架构图；

图4为本发明实施例三提供的一种软件漏洞的处理装置的结构示意图；

图5为本发明实施例四提供的一种电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例一

图1为本发明实施例一所提供的一种软件漏洞的处理方法的流程图，本实施例可适用于任意需要对软件进行漏洞扫描并处理的情况，该方法可以由软件漏洞的处理装置来执行，该装置可以采用硬件和/或软件的形式实现，该装置可配置于终端设备中。如图1所示，该方法包括：

S110、基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与目标软件对应的待分析漏扫报告。

其中，漏洞扫描工具可以是对软件进行漏洞扫描的工具，例如，漏洞扫描工具是开放式Web应用程序安全项目客户端(Open Web Application Security Project ZedAttack Proxy ZAP，OWASP ZAP)，目标软件可以是任意开发或者使用的软件，待分析漏扫报告指的是使用漏洞扫描工具完成扫描，生成的报告，通常为HTML、XML等格式的文件。

具体的，在软件开发过程中，软件可能存在漏洞，常说的软件漏洞包括软件错误、软件缺陷以及软件失效，软件错误指的是开发人员在开发过程中出现的不符合预期效果的人为差错，其结果可能导致软件缺陷发生。软件缺陷指的是软件运行过程中出现的由人为因素或者其他客观原因引起的不希望出现的或不可接受的偏差。软件故障指的是软件运行出现感知的不正常的、不正确的或者不按规范执行的状态。软件失效指软件完全丧失规定的功能，是软件缺陷的外在表现。软件漏洞通常被认为是软件生命周期中出现的设计错误、编码缺陷以及运行故障。基于此，通过采用软件漏洞扫描软件对目标软件进行漏洞扫描，可以通过Tripwire IP360扫描工具或者.Nessus漏洞扫描器等扫描工具对目标软件的漏洞进行扫描，进而得到相应的扫描报告，也即待分析漏扫报告。

S120、基于漏洞管理平台对待分析漏扫报告进行解析，确定出与待分析漏扫报告对应的漏洞信息。

其中，漏洞管理平台指的是用于对待分析漏扫报告进行分析的软件或者客户端，漏洞信息指的是漏扫工具扫描出来的与漏洞相关联的信息。

具体的，可以通过自动或者手动的方式将待分析漏扫报告上传至漏洞管理平台，进而通过漏洞管理平台对待分析漏扫报告进行分析，确定出与目标软件的漏洞相关联的信息，作为漏洞信息。可以理解的是，通过漏洞管理平台对待分析漏扫报告进行分析以确定出漏洞信息，可以方便在之后直接根据漏洞信息确定目标软件漏洞的具体位置，而无需研发人员对待分析漏扫报告进行分析，提高对漏洞的修复效率。

在上述技术方案的基础上，在所述基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息之后，还包括：基于所述漏洞信息确定所述目标软件中的各漏洞对应的的风险等级以及所述漏洞的数量；基于各所述漏洞的风险等级以及所述漏洞的数量，确定所述目标软件的风险评分。

其中，风险等级用于表示漏洞的严重程度，如漏洞按严重程度分为“紧急”、“重要”、“警告”、“注意”四种，为便于理解，有时也被定义为“高危”、“中危”、“低危”、“轻微”，在OWASP ZAP中被定义为“High”、“Medium”、“Low”、“Informational”，漏洞数量指的是漏洞扫描工具扫描出的漏洞的总数量，风险评分指的是按照目标软件各个漏洞的风险等级进行评分，得到的与目标软件对应的最终得分。

具体的，在确定出与所述待分析漏扫报告对应的漏洞信息之后，还可以跟据对应的漏洞信息确定出目标软件中的漏洞数量以及各个漏洞的类型，进而确定出各个漏洞的风险等级，如果漏洞的风险等级高，则对应的风险得分就低。进一步，确定出每个漏洞的风险得分后，可以将目标软件对应的各个漏洞的得分相加，即得到对应的风险评分，这样可以使开发人员可以确定该软件的风险评分，了解到目标软件的详细情况。

在上述技术方案的基础上，在所述基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息之后，还包括：基于所述漏洞信息确定所述目标软件中的各漏洞对应的项目名称以及软件名称，并展示所述各漏洞对应的项目名称以及软件名称。

其中，项目名称指的是目标软件所属的开发项目的名称，软件名称指的是该软件的名称。

具体的，为了避免在对目标软件的漏洞修复时，出现修复到其他软件的情况，可以在对通过对漏洞信息进行分析，确定出漏洞对应的项目名称以及漏洞的数量的，并进行展示，可以防止漏洞时，可以基于项目将名称以及软件名称进行核对后，进行修复，避免出现错误。

S130、基于漏洞信息确定目标软件的待修复漏洞并进行修复，并在待修复漏洞修复完成后进行漏洞验证，以在验证通过后确定目标软件的待修复漏洞处理完成。

其中，待修复漏洞指的是需要修复的漏洞，漏洞验证可以是对待修复漏洞进行验证，确定待修复漏洞是否被修复好。

具体的，可以基于漏洞信息确定哪些是目标软件需要修复的漏洞，可以将其作为待修复漏洞，并进行修复，修复完成以后可以对修复好的目标软件进行漏洞验证，确定目标软件的待修复漏洞是否是已经修复完成，如果验证通过，确定目标软件的待修付漏洞的修复完成。

在上述技术方案的基础上，所述基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成，包括：基于所述漏洞信息确定所述目标软件中各待修复漏洞的位置，并基于所述待修复漏洞的位置对所述待修复漏洞进行修复；

基于所述漏洞扫描工具对所述目标软件进行漏洞扫描，以确定所述目标软件的待修复漏洞的处理状态。

具体的，可以基于漏洞信息确定漏洞的位置，即对漏洞进行定位，在对漏洞进行定位以后，可以将其作为待修复漏洞，并进行修复，修复完成以后可以对修复好的目标软件进行漏洞验证，确定目标软件的待修复漏洞是否是已经修复完成，具体的验证方式可以是通过相应的漏洞扫描工具进行再次扫描。如果验证通过，确定目标软件的待修付漏洞的修复完成。

在上述技术方案的基础上，在所述基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成之前，还包括：基于所述风险评分、项目名称、软件名称以及各待修复漏洞的位置生成所述目标软件的待修复报告。

具体的，在分析和统计出目标软件的风险评分、项目名称、软件名称以及待修复漏洞的位置后，可以根据上述信息生成一个报告，在该报告中可以展示漏洞的详细信息，为漏洞修复作出指导，研发人员还可以下载该报告，可视化强，开发人员可以快速掌握软件的具体情况，使漏洞变得清晰化、条理化。

在上述技术方案的基础上，所述基于所述漏洞扫描工具对所述目标软件进行漏洞扫描，以确定所述目标软件的待修复漏洞的处理状态，包括：若基于所述漏洞扫描工具对所述目标软件进行漏洞扫描后不存在漏洞，则确定所述目标软件的待修复漏洞的处理状态为处理完成；若基于所述漏洞扫描工具对所述目标软件进行漏洞扫描后存在漏洞，则更新所述待分析漏扫报告，以基于与所述待分析漏扫报告对应的漏洞信息对所述目标软件进行待修复漏洞的修复。

具体的，如果基于漏洞扫描工具对目标软件进行漏洞扫描后不存在漏洞，说明对漏洞的修复已经很成功，可以认为目标软件的待修复漏洞的处理状态为处理完成；如果基于漏洞扫描工具对目标软件进行漏洞扫描后存在漏洞，说明之前对漏洞的修复只是修复了一部分或者未成功修复，则可以重新生成一份新的待分析漏扫报告，并更新原来的待分析漏扫报告，并按照新的待分析漏扫报告重新进行漏洞信息的确定以及修复、验证，直至验证通过，则不再重复，并确定目标软件的待修复漏洞的处理状态为处理完成。

本发明实施例的技术方案，通过基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与目标软件对应的待分析漏扫报告；基于漏洞管理平台对待分析漏扫报告进行解析，确定出与待分析漏扫报告对应的漏洞信息；基于漏洞信息确定目标软件的待修复漏洞并进行修复，并在待修复漏洞修复完成后进行漏洞验证，以在验证通过后确定目标软件的待修复漏洞处理完成，解决了现有对漏洞的处理方案需要开发人员分析漏扫报告，漏洞修复效率低的问题，实现了对漏洞的扫描与修复，以及基于漏扫报告进行漏洞的统计分析，可以自动确定出漏洞的信息，无需开发人员对漏扫报告进行分析，提高工作效率。

实施例二

图2为本发明实施例二提供的一种软件漏洞的处理方法的流程图，本实施例与上述实施例之间一优选实施例，其具体的实施方式可以参见本实施例技术方案。其中，与上述实施例相同或者相应的技术术语在此不再赘述。如图2所示，该方法包括：

业务流转过程如图2所示，测试人员将漏扫报告上传到漏洞管理平台，平台通过解析漏扫报告展示出漏洞相关信息，根据项目名称、软件系统名称等信息对漏扫进行统计、分类展示并标记状态待修复，根据漏洞的风险级别、数量对软件系统进行风险评分。研发人员通过平台查看漏洞信息定位漏洞位置，也可以下载漏扫报告，线下修复漏洞，标记状态为待验证。测试人员对待验证的漏洞进行验证，验证通过后标记状态验证通过，反之再次进行流转。

系统架构如图3所示，整个平台系统，可以使用MySQL、redis、ES来实现数据存储、读取，使用Python或者Java语言实现后端业务处理、数据处理，使用HTML、JavaScript语言实现前端的页面展示。

本发明实施例的技术方案，通过基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与目标软件对应的待分析漏扫报告；基于漏洞管理平台对待分析漏扫报告进行解析，确定出与待分析漏扫报告对应的漏洞信息；基于漏洞信息确定目标软件的待修复漏洞并进行修复，并在待修复漏洞修复完成后进行漏洞验证，以在验证通过后确定目标软件的待修复漏洞处理完成，解决了现有对漏洞的处理方案需要开发人员分析漏扫报告，漏洞修复效率低的问题，实现了对漏洞的扫描与修复，以及基于漏扫报告进行漏洞的统计分析，可以自动确定出漏洞的信息，无需开发人员对漏扫报告进行分析，提高工作效率，相比传统模式，功能针对性强，轻量化，不需要连外网，更安全，代码开源、定制化强，可视化强、快速掌握系统风险情况，漏洞持续化归档。

实施例三

图4为本发明实施例三提供的一种软件漏洞的处理装置的结构示意图。如图4所示，该装置包括：

漏扫报告生成模块310，用于基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与所述目标软件对应的待分析漏扫报告；

漏洞信息分析模块320，用于基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息；

漏洞修复验证模块330，用于基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成。

在上述装置的的基础上，还包括：

漏洞统计模块，用于基于所述漏洞信息确定所述目标软件中的各漏洞对应的的风险等级以及所述漏洞的数量；

风险评分模块，用于基于各所述漏洞的风险等级以及所述漏洞的数量，确定所述目标软件的风险评分。

在上述装置的基础上，还包括：

展示模块，用于基于所述漏洞信息确定所述目标软件中的各漏洞对应的项目名称以及软件名称，并展示所述各漏洞对应的项目名称以及软件名称。

在上述装置的基础上，所述漏洞修复验证模块330，包括：

漏洞定位模块，用于基于所述漏洞信息确定所述目标软件中各待修复漏洞的位置，并基于所述待修复漏洞的位置对所述待修复漏洞进行修复；

处理状态确定模块，用于基于所述漏洞扫描工具对所述目标软件进行漏洞扫描，以确定所述目标软件的待修复漏洞的处理状态。

在上述装置的基础上，还包括：

待修复报告生成模块，用于基于所述风险评分、项目名称、软件名称以及各待修复漏洞的位置生成所述目标软件的待修复报告。

在上述装置的基础上，所述处理状态确定模块，包括：

第一确定模块，用于若基于所述漏洞扫描工具对所述目标软件进行漏洞扫描后不存在漏洞，则确定所述目标软件的待修复漏洞的处理状态为处理完成；

第二确定模块，用于若基于所述漏洞扫描工具对所述目标软件进行漏洞扫描后存在漏洞，则更新所述待分析漏扫报告，以基于与所述待分析漏扫报告对应的漏洞信息对所述目标软件进行待修复漏洞的修复。

本发明实施例的技术方案，通过基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与目标软件对应的待分析漏扫报告；基于漏洞管理平台对待分析漏扫报告进行解析，确定出与待分析漏扫报告对应的漏洞信息；基于漏洞信息确定目标软件的待修复漏洞并进行修复，并在待修复漏洞修复完成后进行漏洞验证，以在验证通过后确定目标软件的待修复漏洞处理完成，解决了现有对漏洞的处理方案需要开发人员分析漏扫报告，漏洞修复效率低的问题，实现了对漏洞的扫描与修复，以及基于漏扫报告进行漏洞的统计分析，可以自动确定出漏洞的信息，无需开发人员对漏扫报告进行分析，提高工作效率

本发明实施例所提供的软件漏洞的处理装置可执行本发明任意实施例所提供的软件漏洞的处理方法，具备执行方法相应的功能模块和有益效果。

实施例四

图5为本发明实施例四提供的一种电子设备的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。

如图5所示，电子设备0包括至少一个处理器41，以及与至少一个处理器41通信连接的存储器，如只读存储器(ROM)42、随机访问存储器(RAM)43等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器41可以根据存储在只读存储器(ROM)42中的计算机程序或者从存储单元48加载到随机访问存储器(RAM)43中的计算机程序，来执行各种适当的动作和处理。在RAM 43中，还可存储电子设备40操作所需的各种程序和数据。处理器41、ROM 42以及RAM 43通过总线44彼此相连。输入/输出(I/O)接口45也连接至总线44。

电子设备40中的多个部件连接至I/O接口45，包括：输入单元46，例如键盘、鼠标等；输出单元47，例如各种类型的显示器、扬声器等；存储单元48，例如磁盘、光盘等；以及通信单元49，例如网卡、调制解调器、无线通信收发机等。通信单元49允许电子设备40通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理器41可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器41的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器41执行上文所描述的各个方法和处理，例如软件漏洞的处理方法。

在一些实施例中，软件漏洞的处理方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元48。在一些实施例中，计算机程序的部分或者全部可以经由ROM 42和/或通信单元49而被载入和/或安装到电子设备40上。当计算机程序加载到RAM 43并由处理器41执行时，可以执行上文描述的软件漏洞的处理方法的一个或多个步骤。备选地，在其他实施例中，处理器41可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行软件漏洞的处理方法。

本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。

为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。

计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种软件漏洞的处理方法，其特征在于，包括：

基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与所述目标软件对应的待分析漏扫报告；

基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息；

基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成。

2.根据权利要求1所述的方法，其特征在于，在所述基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息之后，还包括：

基于所述漏洞信息确定所述目标软件中的各漏洞对应的的风险等级以及所述漏洞的数量；

基于各所述漏洞的风险等级以及所述漏洞的数量，确定所述目标软件的风险评分。

3.根据权利要求1所述的方法，其特征在于，在所述基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息之后，还包括：

基于所述漏洞信息确定所述目标软件中的各漏洞对应的项目名称以及软件名称，并展示所述各漏洞对应的项目名称以及软件名称。

4.根据权利要求1所述的方法，其特征在于，所述基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成，包括：

基于所述漏洞信息确定所述目标软件中各待修复漏洞的位置，并基于所述待修复漏洞的位置对所述待修复漏洞进行修复；

基于所述漏洞扫描工具对所述目标软件进行漏洞扫描，以确定所述目标软件的待修复漏洞的处理状态。

5.根据权利要求4中所述的方法，其特征在于，在所述基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成之前，还包括：

基于所述风险评分、项目名称、软件名称以及各待修复漏洞的位置生成所述目标软件的待修复报告。

6.根据权利要求5中所述的方法，其特征在于，所述基于所述漏洞扫描工具对所述目标软件进行漏洞扫描，以确定所述目标软件的待修复漏洞的处理状态，包括：

若基于所述漏洞扫描工具对所述目标软件进行漏洞扫描后不存在漏洞，则确定所述目标软件的待修复漏洞的处理状态为处理完成；

若基于所述漏洞扫描工具对所述目标软件进行漏洞扫描后存在漏洞，则更新所述待分析漏扫报告，以基于与所述待分析漏扫报告对应的漏洞信息对所述目标软件进行待修复漏洞的修复。

7.一种软件漏洞的处理装置，其特征在于，包括：

漏扫报告生成模块，用于基于漏洞扫描工具对目标软件进行漏洞扫描，并得到与所述目标软件对应的待分析漏扫报告；

漏洞信息分析模块，用于基于漏洞管理平台对所述待分析漏扫报告进行解析，确定出与所述待分析漏扫报告对应的漏洞信息；

漏洞修复验证模块，用于基于所述漏洞信息确定所述目标软件的待修复漏洞并进行修复，并在所述待修复漏洞修复完成后进行漏洞验证，以在所述验证通过后确定所述目标软件的待修复漏洞处理完成。

8.根据权利要求7所述的装置，其特征在于，还包括：

漏洞统计模块，用于基于所述漏洞信息确定所述目标软件中的各漏洞对应的的风险等级以及所述漏洞的数量；

风险评分模块，用于基于各所述漏洞的风险等级以及所述漏洞的数量，确定所述目标软件的风险评分。

9.一种电子设备，其特征在于，所述电子设备包括：

至少一个处理器；

以及与所述至少一个处理器通信连接的存储器；

其中，所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-6中任一项所述的软件漏洞的处理方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-6中任一项所述的软件漏洞的处理方法。

Images