[发明专利]一种数据扫描方法以及扫描服务器

说明书

技术领域

本申请涉及计算机领域，尤其涉及一种数据扫描方法以及扫描服务器。

背景技术

目前网络(Web)安全扫描器获取输入资源的方法主要有两种，一是通过爬虫爬行的方式(例如IBM Rational AppScan的探索功能)，二是通过本地抓包的方式(例如Burp Suite的proxy功能)。

本地抓包的方式需要在进行系统测试时本地开启抓包工具(例如BurpSuite等)，工具在使用的时候需要人工干预，即能否抓到请求包需要依赖于系统测试人员是否正确开启了抓包工具，对系统测试人员有严重的依赖性，如果系统测试人员在测试过程中忘记了开启，那么就很容易造成漏扫的现象。在产品研发流程中，系统测试与安全审计是必经的过程，而目前常规的产品研发流程是安全审计与系统测试是相互独立的。即在系统测试过程中，系统测试人员对被测产品的所有功能进行覆盖测试；而安全审计人员在对产品进行审计时为了提高扫描覆盖度，也需要遍历一遍被评测系统的所有功能，然后再提交扫描，这就造成了重复的工作量，效率低下。

发明内容

本申请实施例提供了一种数据扫描方法以及扫描服务器，用于减轻工作量，提高工作效率，降低系统扫描漏扫率。

第一方面，本申请实施例提供一种数据扫描方法，包括：

扫描服务器获取客户端发送的超文本传输协议HTTP请求包；该扫描服务器根据该HTTP请求包确定待扫描的目标HTTP请求包；该扫描服务器将该目标HTTP请求包发送给该目标服务器；该扫描服务器接收该目标服务器发送的响应数据包，该响应数据包为该目标服务器响应该目标HTTP请求包生成的数据包；该扫描服务器判断该响应数据包是否符合漏洞扫描规则中至少一项，若是，则该扫描服务器确定该响应数据包对应的功能存在漏洞。

第二方面，本申请实施例提供了一种扫描服务器，该扫描服务器具有实现上述方法中扫描服务器的功能。该功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。该硬件或软件包括一个或多个与上述功能相对应的模块。

一种可能实现方式中，该扫描服务器包括：

获取模块，用于获取客户端发送的超文本传输协议HTTP请求包；

确定模块，用于根据该获取模块获取得到的该HTTP请求包确定待扫描的目标HTTP请求包；

发送模块，用于将该确定模块确定的该目标HTTP请求包发送给该目标服务器；

接收模块，用于接收该目标服务器发送的响应数据包，该响应数据包为该目标服务器响应该目标HTTP请求包生成的数据包；

处理模块，用于判断该响应数据包是否符合漏洞扫描规则中至少一项，若是，则确定该响应数据包对应的功能存在漏洞。

另一种可能实现方式中，该扫描服务器包括：

收发器，处理器以及总线；

该收发器与该处理器通过该总线相连；

该收发器，执行如下步骤：

获取客户端发送的超文本传输协议HTTP请求包；

该处理器，执行如下步骤：

根据该HTTP请求包确定待扫描的目标HTTP请求包；

该收发器，还执行如下步骤：

将该目标HTTP请求包发送给该目标服务器；接收该目标服务器发送的响应数据包，该响应数据包为该目标服务器响应该目标HTTP请求包生成的数据包；

该处理器，还执行如下步骤：

判断该响应数据包是否符合漏洞扫描规则中至少一项，若是，则该扫描服务器确定该响应数据包对应的功能存在漏洞。

第三方面，本申请实施例提供一种测试系统，该测试系统包括客户端，扫描服务器以及目标服务器。该客户端向该扫描服务器发送HTTP请求包；然后该扫描服务器根据该HTTP请求包确定目标HTTP请求包；该扫描服务器再将该目标HTTP请求包发送给该目标服务器；该目标服务器在接收到该目标HTTP请求包之后，响应该目标HTTP请求包生成响应数据包；该目标服务器再将该响应数据包通过该扫描服务器发送给该客户端；该扫描服务器复制该响应数据包，并检测该响应数据包是否符合漏洞扫描规则，若是，则该扫描服务器确定该响应数据包对应的系统功能存在漏洞。

第四方面，本申请实施例提供一种计算机存储介质，该计算机存储介质中存储有程序代码，该程序代码用于指示执行上述第一方面或第二方面的方法。