[发明专利]用于防护WEB漏洞的方法和设备

说明书

技术领域

本发明总体上涉及网络安全，具体地涉及一种用于防护WEB漏洞的方法和设备。

背景技术

随着网络和计算机技术的日益发展，使用网络的人员增多，网络安全环境日益恶化。网络和软件技术的逐渐复杂化为各种网络攻击和黑客行为提供了肥沃的土壤。网络上层出不穷的攻击和不停产生的漏洞使网络使用者不胜其烦，尤其是其中与网络接触频繁WEB开发者、各种网站的管理员等深受其害。

在各种网络危害中，WEB漏洞的危害程度很大。具体而言，WEB漏洞是指WEB应用、WEB框架、WEB语言和WEB服务器等存在的安全隐患。常见的WEB漏洞有SQL注入漏洞、XSS漏洞、文件包含漏洞、代码执行漏洞和文件解析漏洞等。攻击者利用WEB漏洞可以实现以下恶意操作：获取网站数据库数据、网站上传后门、网页挂马和植入暗链等。WEB漏洞的危害之所以严重是因为WEB应用使用的操作系统和第三方应用程序中的所有程序错误或者可以被利用的漏洞都是WEB漏洞的来源。甚至错误配置也可产生漏洞，并且包含有不安全的默认设置或管理员没有进行安全配置的应用程序也会产生漏洞。例如，WEB服务器被配置成可以让任何用户从系统上的任何目录路径通过，这样可能会导致泄露存储在WEB服务器上的一些敏感信息，如口令、源代码或客户信息等。

针对上述WEB漏洞，常用的检测和防御工具是WEB安全扫描器和WEB安全防火墙。WEB安全扫描器是指针对WEB服务器进行扫描检测，以发现其存在安全隐患的设备。WEB安全防火墙是指为WEB服务器提供安全防护的设备。

然而，虽然具有检测和防御工具，但是如果不能有效地为其设置扫描和防御规则，往往对于WEB漏洞的防护还是无能为力。而设置检测和防御规则必须在对漏洞进行分析并得到其原理之后才能得到更新。这就使规则的更新和对漏洞的防护严重依赖于对漏洞的研究分析结果。只有分析结果越细致、越快速以及越全面才能为WEB漏洞的防护提供越有利的条件。现在为了防护WEB漏洞而进行的WEB安全研究包括WEB漏洞收集、WEB漏洞重现、WEB漏洞分析和WEB漏洞利用，最终形成对WEB漏洞的描述信息：WEB漏洞名称、WEB漏洞适用版本、WEB漏洞描述和WEB漏洞利用方法等。而通过这个流程产生的WEB漏洞防护是不够全面的，因为现有的WEB安全研究方案缺少了对WEB漏洞的研究的综合利用，也就是不能将对WEB漏洞的重现、分析和利用的结果转换成用于防护漏洞的最终方案。换言之，在现有技术中，对WEB漏洞做出的重现、分析以及利用仅仅是为了研究该WEB漏洞的特性，而得到的结果并没有被充分利用，这是不利于WEB漏洞防护的。并且在现有技术中，WEB漏洞分析环节不够深入透彻，只形成对漏洞的一个简单描述。

因此，在现有WEB漏洞防护方法中，对漏洞的分析研究仅仅停留在表面，对漏洞成因的描述也只有片言只语，仅仅是表面上的分析，不够深入，不能指出漏洞的根源所在，这样简单的漏洞分析对后续的防护起不到任何的作用。对比之下，在根据本发明的WEB漏洞防护方法中，对WEB漏洞的分析更加透彻，能够指出漏洞产生的根源所在，分析出漏洞触发的整个过程；通过深入详细的漏洞分析，最终给出针对性的修复方案、扫描方法以及防御方法，这对WEB漏洞防护具有积极的意义。

此外，现有的WEB漏洞防护方法缺少对WEB漏洞的综合分析和转换环节，仅仅是对单个WEB漏洞的分析研究，不能将WEB安全研究分析的成果转化为WEB安全扫描器和WEB安全防火墙的规则。在根据本发明的WEB漏洞防护方法中，可以及时地将针对WEB漏洞的重现、分析和利用成果转换成WEB漏洞扫描规则和WEB漏洞防御规则，供WEB安全扫描器和WEB安全防火墙使用，这极大的提高了WEB安全扫描和WEB安全防御的及时性和准确性。换言之，根据本发明的技术方案充分利用了对WEB漏洞的分析、重现和利用的成果，其成果的基础上发展出WEB漏洞防护的有效方案并能够全方位地覆盖WEB漏洞从产生到危害的各个环节。

发明内容

因此，本发明的目的在于针对日益恶化的网络安全环境提供一种用于及时、准确以及全面地防护WEB漏洞的方法和设备。

在本发明的第一方面中，本发明提供一种用于防护WEB漏洞的方法。所述方法包括：收集WEB漏洞；重现所述WEB漏洞；分析所述WEB漏洞；基于重现和分析所述WEB漏洞的结果来利用所述WEB漏洞；基于重现、分析和利用所述WEB漏洞的结果来防护WEB漏洞。

在本发明的一个优选实施例中，所述方法进一步包括在收集所述WEB漏洞之后基于筛选标准对所收集的所述WEB漏洞进行筛选。