[发明专利]基于RESTfulWeb服务的网络漏洞扫描系统及方法

权利要求书

1.一种基于RESTful Web服务的网络漏洞扫描系统，其特征在于：所述系统包括命令解析模块、管理模块和至少一个扫描模块；

所述命令解析模块给用户提供调用该系统的REST接口、监听用户的命令、向管理模块发送命令、接收管理模块的响应、回复用户和生成主流格式的报告；

所述管理模块负责监听命令解析模块的命令、持久化存储该系统的所有信息、将扫描任务根据功能点拆分成子任务、将子任务发送给扫描模块和接收扫描模块发来的扫描结果；

所述扫描模块负责监听管理模块发来的扫描子任务、启动线程调用相应插件扫描网络漏洞和将扫描结果发送给管理模块,

其中,所述用户的命令包括：任务下发、系统状态查询、任务状态查询和任务报告获取；

所述命令解析模块接收到用户的命令后根据命令的类别提取出相应参数，然后发送相应的命令到管理模块；

所述命令解析模块收到管理模块的响应后会根据扫描结果构造响应给用户：如果是任务下发、系统状态查询或任务状态查询，命令解析模块仅做合法性判断后就回复给用户；如果是任务报告获取，命令解析模块则根据哈希格式的结果创建HTML、PDF或XML格式的扫描报告。

2.根据权利要求1所述的基于RESTful Web服务的网络漏洞扫描系统，其特征在于：所述管理模块接收到命令后会先判断请求的类别，如果是任务下发请求，管理模块先存储任务的相关信息，然后把扫描策略拆分成独立的功能点，然后给每个功能点创建一个子任务分发给扫描模块；如果是系统状态查询，管理模块从持久化存储中查询当前正在运行的任务，然后查询所在主机的硬件使用情况，然后把这些信息作为响应回复给命令解析模；如果是任务状态查询，管理 模块根据持久化存储中的功能点、IP总数以及扫描结果数计算出当前任务的进度并把这些信息作为响应返回给命令解析模块；如果是任务报告获取，管理模块从持久化存储中取出该任务的所有扫描结果，并将扫描结果的哈希格式作为响应发送给命令解析模块。

3.一种利用权利要求1至2之一所述的基于RESTful Web服务的网络漏洞扫描系统的实现的基于RESTful Web服务的网络漏洞扫描方法，其特征在于：所述方法包括以下步骤：

步骤S101，用户向所述基于RESTful Web服务的网络漏洞扫描系统发送扫描请求；所述扫描请求中包括扫描目标和扫描策略；

步骤S102，命令解析模块接收到用户的扫描请求后解析所述扫描请求，提取扫描请求中的扫描目标和扫描策略；

步骤S103，管理模块存储扫描任务的相关信息，把扫描任务根据功能点拆分成子任务发送给扫描模块；

步骤S104，扫描模块收到扫描子任务后启动线程来调用相应插件来执行扫描操作，如果扫描模块有扫描结果发送给管理模块，管理模块将把扫描结果存储在持久化存储中，然后将扫描结果返回给命令解析模块，命令解析模块把测试报告返回给用户。

4.根据权利要求3所述的方法，其特征在于：所述步骤S101中用户是通过所述REST接口调用所述基于RESTful Web服务的网络漏洞扫描系统的。

5.根据权利要求4所述的方法，其特征在于：所述REST接口包括任务下发接口、系统状态查询接口、任务状态查询接口和任务报告获取接口。

6.根据权利要求5所述的方法，其特征在于：所述扫描目标为网络设备的IP的 集合；

所述扫描策略是基于RESTful Web服务的网络漏洞扫描系统上已有的扫描策略的名字，扫描策略包含至少一个功能点，每个功能点有至少一个扫描插件提供支持；只要是符合系统要求的扫描插件，扫描模块就能够在不需要做任何改动的情况下调用扫描插件进行网络漏洞扫描。

7.根据权利要求3所述的方法，其特征在于：所述步骤S103中所述管理模块存储扫描任务的相关信息具体如下：管理模块在持久化存储中存储扫描任务的相关信息，包括任务名、任务ID、扫描目标、扫描策略、扫描结果；初始的时候，所述扫描结果的信息为空。

8.根据权利要求3所述的方法，其特征在于：所述步骤S103中所述把扫描任务根据功能点拆分成子任务发送给扫描模块是通过基于SOAP的RPC远程过程调用接口把信息发送到扫描模块的。

9.根据权利要求3所述的方法，其特征在于：所述步骤S104中所述扫描模块收到扫描子任务后启动线程来调用相应插件来执行扫描操作的具体步骤如下：

发现目标主机或网络：通过网络通信方式测试，判断目标主机或网络是否能够进行网络通信，若目标主机或网络无法通信则无法扫描漏洞；

端口扫描：探测系统TCP/UDP各端口的开放状态；

进一步搜集目标的信息：包括操作系统类型、运行的服务以及服务软件的版本；如果目标是一个网络，则进一步发现该网络的拓扑结构、路由设备及各主机的信息；

根据搜集到的信息判断或者进一步测试系统是否存在安全漏洞；

收集完目标的漏洞之后扫描模块把扫描结果发送给管理模块；

所述步骤S104中所述命令解析模块把测试报告返回给用户是这样实现的：

命令解析模块根据扫描结果生成扫描报告，把扫描报告发送给用户；

命令解析模块能够生成HTML、PDF或XML主流报告格式。