[发明专利]一种Web漏洞检测方法、装置、电子设备及存储介质

说明书

本发明涉及一种Web漏洞检测方法、装置、电子设备及存储介质，属于漏洞检测技术领域。该Web漏洞检测方法应用于网络设备，方法包括：获取目标URL清单；获得与目标URL清单相对应的所有Web应用；对所有Web应用进行漏洞检测，得到Web漏洞检测结果。该方法通过获取内容更全面、完整性更高的目标URL清单，再基于该目标URL清单获得与目标URL清单相对应的所有Web应用，然后再对所有Web应用进行漏洞检测。而不再是通过爬虫技术直接去获取Web网站或Web系统的URL清单，解决了传统Web漏洞扫描器的爬虫效率低下，无法获取孤岛链接或者隐藏很深的链接的问题，进而能高效和准确地找到更多的潜在漏洞。

技术领域

本发明属于漏洞检测技术领域，具体涉及一种Web漏洞检测方法、装置、电子设备及存储介质。

背景技术

目前的漏洞扫描器(例如，Acunetix Web Vulnerability Scanner，W3AF等)均是通过爬虫的方式去爬取待检测的Web网站或Web系统的统一资源定位符(Uniform ResourceLocator，URL)，再根据URL的爬取结果对目标进行Web漏洞检测。由于Web漏洞扫描器的漏洞检测能力主要取决于URL清单的检出率，检出率越高，Web漏洞扫描器的漏洞检测能力则越强，也就意味着能发现更多的Web漏洞，而当前的Web漏洞扫描器的URL清单检出率主要取决于爬虫的能力，如果爬虫不能发现更多隐蔽的URL，就不会进行后续的Web漏洞检测。比如：有的URL是孤岛链接或者隐藏很深的链接，而通过爬虫的方式一般是发现不了Web网站或Web系统中的这些URL。

发明内容

鉴于此，本发明的目的在于提供一种Web漏洞检测方法、装置、电子设备及存储介质，以有效地改善上述问题。

本发明的实施例是这样实现的：

第一方面，本发明实施例提供了一种Web漏洞检测方法，应用于网络设备，所述方法包括：获取目标URL清单；获得与所述目标URL清单相对应的所有Web应用；对所述所有Web应用进行漏洞检测，得到Web漏洞检测结果。

进一步地，结合上述第一方面提供的实施例，在所述对所述所有Web应用进行漏洞检测，得到Web漏洞检测结果之后，所述方法还包括：基于所述Web漏洞检测结果生成检测报告。

进一步地，结合上述第一方面提供的实施例，在所述获取目标URL清单之前，所述方法还包括：获取Web漏洞扫描清单；从流量访问数据库中获得与所述Web漏洞扫描清单相对应的所有URL清单；对所述所有URL清单进行分类整理，得到所述目标URL清单。

进一步地，结合上述第一方面提供的实施例，所述Web漏洞扫描清单包括：多个域名，所述从流量访问数据库中获得与所述Web漏洞扫描清单相对应的所有URL清单，包括：从所述流量访问数据库中获得与所述多个域名相对应的多个URL清单。

进一步地，结合上述第一方面提供的实施例，所述对所述所有URL清单进行分类，包括：根据域名分类规则对所述所有URL清单进行分类。

进一步地，结合上述第一方面提供的实施例，对所述所有Web应用进行漏洞检测，得到Web漏洞检测结果，包括：对所述所有Web应用的类型进行识别；针对所述所有Web应用中的任一类Web应用，选用与该类Web应用相对应的漏洞检测规则对所述该类Web应用进行漏洞检测，得到检测结果。

进一步地，结合上述第一方面提供的实施例，在所述获取目标URL清单之后，所述方法还包括：判断所述目标URL清单是否有效；在为是时，执行所述获得与所述目标URL清单相对应的所有Web应用的步骤。