[发明专利]检测漏洞的方法及装置

权利要求书

1.一种检测漏洞的方法，其特征在于，所述方法包括：

向服务器发送第一字符数据，所述第一字符数据包括代码执行时的可选字符；

当接收到所述服务器返回的第一响应数据时，如果所述第一响应数据中不包括所述第一字符数据，确定不存在漏洞；

如果所述第一响应数据中包括所述第一字符数据，确定所述第一字符数据在所述第一响应数据中的位置；

基于所述位置继续进行漏洞检测；其中，在不同位置上继续进行漏洞检测时所发送的字符数据不同；

所述基于所述位置继续进行漏洞检测，包括：如果所述第一字符数据在所述第一响应数据的响应体中的起始位置，且所述第一响应数据中未设置字符编码，向所述服务器发送第二字符数据，所述第二字符数据是指以7位转换格式utf-7编码的字符数据；当接收到所述服务器返回的第二响应数据时，如果所述第二响应数据中包括所述第二字符数据，确定存在漏洞。

2.根据权利要求1所述的方法，其特征在于，如果所述第一字符数据未在所述第一响应数据的响应体的起始位置、且所述第一字符数据在所述第一响应数据中的代码可执行位置，或所述第一字符数据在所述第一响应数据的响应体中的起始位置、且所述第一响应数据中已设置字符编码、且所述第一字符数据在所述第一响应数据中的代码可执行位置，或所述第二响应数据中不包括所述第二字符数据且所述第一字符数据在所述第一响应数据中的代码可执行位置，执行下述步骤：

向所述服务器发送第三字符数据，所述第三字符数据包括代码执行时的必要字符；

当接收到所述服务器返回的第三响应数据时，如果所述第三响应数据中包括所述第三字符数据，确定存在漏洞；

如果所述第三响应数据中不包括所述第三字符数据，确定不存在漏洞。

3.根据权利要求1所述的方法，其特征在于，所述基于所述位置继续进行漏洞检测，包括：

如果所述第一字符数据在所述第一响应数据中的任一超文本标记语言html标签内且在一对引号内，向所述服务器发送第四字符数据，所述第四字符数据包括所述引号；

当接收到所述服务器返回的第四响应数据时，如果所述第四响应数据中包括所述第四字符数据，确定存在漏洞。

4.根据权利要求3所述的方法，其特征在于，如果所述第一字符数据在所述第一响应数据中的任一html标签内且不在一对引号内，或所述第四响应数据中不包括所述第四字符数据，执行下述步骤：

如果所述第一字符数据为所述html标签中的任一属性值，向所述服务器发送第五字符数据，所述第五字符数据包括代码执行时的协议字符；

当接收到所述服务器返回的第五响应数据时，如果所述第五响应数据中包括所述第五字符数据，确定存在漏洞；

如果所述第五响应数据中不包括所述第五字符数据，确定不存在漏洞。

5.根据权利要求4所述的方法，其特征在于，如果所述第一字符数据不在所述第一响应数据中的任一html标签内，或所述第一字符数据不是所述html标签中的任一属性值，执行下述步骤：

向所述服务器发送第六字符数据，所述第六字符数据包括用于构造html标签的字符；

当接收到所述服务器返回的第六响应数据时，如果所述第六响应数据中包括所述第六字符数据，确定存在漏洞；

如果所述第六响应数据中不包括所述第六字符数据，确定不存在漏洞。