[发明专利]XSS漏洞检测方法、系统和Web服务器

说明书

本发明公开了一种XSS漏洞检测方法、系统和Web服务器，其中XSS漏洞检测方法包括随机生成第一特征字符串，并请求网页；在获得的第一网页正文中检测到第一特征字符串时，生成第二特征字符串，并再次请求所述网页；获取各个网页正文的DOM树；筛选并触发各个具有数据交互的DOM对象的脚本事件；记录出现所述第一特征字符串数据位置以及被滤除的特殊符号；将所述第二特征字符串、数据位置和被滤除的特殊符号组合为测试数据；将所述测试数据通过XSS漏洞检测方式进行XSS漏洞检测。本发明还提供一种使用所述方法的XSS漏洞检测系统和Web服务器。本发明的XSS漏洞检测方法和系统提高了XSS漏洞检测效率和准确性。

技术领域

本发明涉及一种Web（网络、互联网）应用测试工具，特别是涉及一种Web应用中的XSS（又叫CSS（Cross Site Script），跨站脚本攻击）漏洞检测方法和系统。

背景技术

目前Web应用中的现有的XSS漏洞检测工具仅通过固定地、简单的XSS测试用例进行循环提交测试，判断返回网页正文中是否包含对应的字符串，进而判断是否存在XSS漏洞。这种简单的测试方式仅仅只能够工作在一些逻辑简单的网页中，并获得可以接受的测试效果。

但是随着Web应用技术愈加复杂，现阶段大部分网站的网页正文的形式日趋复杂，而且越来越多的网页中内嵌有脚本，例如JS脚本，所以这种XSS漏洞检测方式已较难应对现阶段的大多数网站，而且这种XSS漏洞检测方式不能对网页中JS脚本进行解析，因此对于通过JS渲染触发的XSS漏洞的检测能力几乎为零。

发明内容

本发明要解决的技术问题是为了克服现有技术的XSS漏洞检测方式不适用于复杂网页正文的形式以及网页内嵌脚本的缺陷，采用一种XSS漏洞检测方法和系统，通过特定字符对网页中XSS漏洞位置和特征进行动态判断，并通过逻辑触发脚本事件来匹配出适用于复杂网页的XSS漏洞的测试用例，从而提高XSS漏洞检测效率和准确性。

本发明是通过下述技术方案来解决上述技术问题的：

本发明提供了一种XSS漏洞检测方法，其特点是，所述XSS漏洞检测方法包括以下步骤：

随机生成一第一特征字符串，将所述第一特征字符串填充至一GET参数（网页正文请求参数）中，并请求网页；

获得的网页正文作为第一网页正文后，在检测到所述第一网页正文中包含所述第一特征字符串时，生成包含一组特殊符号的一第二特征字符串，并将所述第二特征字符串填充至所述GET参数中，并再次请求网页；

将再次获得的网页正文作为第二网页正文后，通过QTwebkit（基于开源的WebKitengine的QT（跨平台C++图形用户界面应用程序开发框架）模块）的API接口（应用程序编程接口）获取第一网页正文和第二网页正文的DOM树；

分别遍历第一网页正文和第二网页正文的DOM（Document Object Model，文件对象模型）树的各个DOM对象节点，筛选出具有数据交互的DOM对象，并通过QTwebkit的API接口触发各个具有数据交互的DOM对象的脚本事件；

遍历第一网页正文和第二网页正文中DOM树的各个DOM对象节点，并记录第一网页正文中所有出现所述第一特征字符串的DOM对象节点的数据位置以及记录第二网页正文中对应于第一网页正文中出现所述第一特征字符串的各个DOM对象节点中被滤除的特殊符号；

将所述第二特征字符串、数据位置和被滤除的特殊符号组合为多组包括所述第二特征字符串以及至少一个数据位置和一个被滤除的特殊符号的测试数据；

将各组测试数据加入XSS漏洞检测的测试用例，并通过XSS漏洞检测方式对根据网页请求获得的网页正文进行XSS漏洞检测。