[发明专利]一种基于服务间交互来提高Web漏洞扫描器URL检出率的方法

说明书

本发明提供一种基于服务间交互提高Web漏洞扫描器URL检出率的方法，其步骤包括：1)确定扫描的目标是否可用；2)若所述目标可用，则爬虫服务爬取所述目标中的URL；3)Web应用识别服务根据所述URL对所述目标进行Web应用识别，并根据识别的不同Web应用进一步发现URL；4)Web漏洞检测服务根据步骤2)中所述URL和步骤3)中所述Web应用识别结果对所述目标进行Web漏洞检测，并根据检测的Web漏洞进一步发现URL；5)URL缓存服务接收步骤3)和步骤4)得到的URL，并将该URL输入所述爬虫服务，继续爬取URL。

技术领域

本发明涉及计算机漏洞检测领域，尤其涉及一种基于服务间交互提高Web漏洞扫描器 URL检出率的方法。

背景技术

Web漏洞扫描器是指专门用于扫描Web漏洞的漏洞扫描器，其扫描的目标一般是Web 网站或Web系统。

Web漏洞扫描器性能的好坏与在Web漏洞扫描器场景中的URL检出率的高低有关。换言之，Web漏洞扫描器要解决的一个重要问题是如何在更多的未被发现的URL中检测出更多的潜在的Web漏洞，如何提高URL检出率。

现有的Web漏洞扫描器一般的工作流程是偏线性的，如图1所示，其工作流程为：

1、确定扫描的目标可用。

2、爬虫进行URL爬取。

3、根据URL爬取结果对目标进行Web应用识别。

4、根据URL爬取结果和Web应用识别结果对目标进行Web漏洞检测。

5、最后输出Web漏洞检测报告。

其中，2、3、4这3个步骤对于如何发现更多的Web漏洞至关重要。但现有的Web漏洞扫描器在这3个阶段的每个阶段发现的有价值的信息不会再回馈给其它阶段。

如果Web漏洞扫描器按上述线性步骤执行，即使发现更重要信息，也不会回退执行以发现更多可能的信息。比如：在扫描到一个Web漏洞后，通过利用该Web漏洞即使能发现更多的URL。在这种场景下，现有技术就无法进一步针对这些URL进行Web漏洞检测。

除此之外，Web漏洞扫描器对同一个目标进行扫描，会有重复的步骤执行，耗费更多的检测时间。比如：扫描的目标URL变化频率不高，多次进行爬虫URL爬取的结果都一样。在这种场景下，现有技术还是会继续按线性进行扫描，因此有些步骤耗费的时间就显得没有必要，尤其是扫描的目标URL数量非常巨大的情况下。

综上所述，提供一种能够发现更多的Web漏洞且能够提高检测效率的Web漏洞扫描器 URL检出率的方法是急需解决的问题。

发明内容

本发明的目的是提供一种基于服务间交互提高Web漏洞扫描器URL检出率的方法，该方法不仅能够发现更多的Web漏洞，而且还能够提高检测效率。

为达上述目的，本发明所采用的技术方案为：

一种基于服务间交互提高Web漏洞扫描器URL检出率的方法，其步骤包括：

1)确定扫描的目标是否可用；

2)若所述目标可用，则爬虫服务爬取所述目标中的URL；

3)Web应用识别服务根据所述URL对所述目标进行Web应用识别，并根据识别的不同 Web应用进一步发现URL；

4)Web漏洞检测服务根据步骤2)中所述URL和步骤3)中所述Web应用识别结果对所述目标进行Web漏洞检测，并根据检测的Web漏洞进一步发现URL；

5)URL缓存服务接收步骤3)和步骤4)得到的URL，并将该URL输入所述爬虫服务，继续爬取URL。