[发明专利]一种漏洞扫描方法、装置和电子设备

说明书

本发明公开了一种漏洞扫描方法、装置和电子设备，本发明属于安全检测领域，所述方法包括：向扫描目标发送带有识别标识的请求；分析所述扫描目标的响应数据，并判断所述识别标识是否会出现；如果可以出现，确定所述识别标识的输出位置，调用漏洞试探策略确定所述输出位置是否存在漏洞；验证漏洞是否存在。本发明公开的技术方案可以精确定位参数的输出，覆盖不同场景的多种XSS漏洞，从而实现对XSS漏洞进行快速、深度、精准地探测。

技术领域

本发明涉及安全检测领域，具体涉及一种漏洞扫描方法、装置和电子设备。

背景技术

Web应用中如果没有对用户的输入输出做严格控制，会产生XSS(Cross SiteScripting，跨站脚本攻击)漏洞。该漏洞可能导致资金被盗、用户隐私信息泄露、系统瘫痪等问题。而且XSS漏洞的利用方式也非常简单，普通的攻击者通过XSS漏洞发起攻击可以获取用户(甚至是管理员)的访问权限进行敏感操作。

面对XSS漏洞的泛滥成灾，安全研究者提出了许多XSS漏洞的扫描方式。

第一代XSS漏洞扫描工具就是利用在工具内部集成了大量XSS Payload，在扫描时逐个进行尝试，自动将参数替换为Payload，如果服务端的响应中包含相同的字符串就认为发现了XSS漏洞。

第一代XSS漏洞扫描工具填补了历史的空白，可以发现大量初级XSS漏洞，但是随着XSS攻击的发展，衍生出了新的XSS攻击手段，此类工具也完成了它的历史使命，它解决不了的问题包括：原始Payload无法灵活变形，无法应对需要DOM(Document Object Model，文档对象模型)渲染才能触发的XSS漏洞；输出点的部位不一定可执行，会造成误报；服务端有过滤逻辑时返回的字符串与原始Payload有差异，可能导致无法匹配响应中被过滤后的Payload；如果请求头Content-Type不是Text/Html，即使Payload能够输出也无法执行；服务端有防护时，许多Payload会导致请求直接被拦截等等。

第二代XSS漏洞扫描，当大量初级XSS漏洞被解决之后，攻击者对于XSS漏洞的利用方式也逐渐成熟，安全建设对于XSS漏洞的目标变成了“全面解决XSS攻击”。这个时期出现了许多思路新颖的XSS漏洞扫描工具。这些工具能覆盖许多第一代XSS漏洞扫描工具无法发现的问题。在当初的年代堪称神器，但是依然存在着或多或少的问题。因此始终无法推广到整个行业，成为可量产的XSS扫描基础算法。

第二代扫描中表现最出色的方式是调用真实浏览器来辅助判断，劫持并重写浏览器的基础函数，累积更加庞大的Payload规则库，覆盖更多的输入输出场景，使浏览器告诉扫描器漏洞是否可实际被利用。这种扫描思路的特点是：误报率得到降低；可以发现部分DOM型XSS漏洞；会发送大量HTTP请求；每次请求都需要调用浏览器进行渲染，扫描速度很慢；扫描效果与Payload的覆盖量息息相关。

无论是第一代还是第二代XSS漏洞扫描，都缺少了对于上下文的理解以及对于场景的分析，无法摆脱其模糊的本质，优化的方向也停留在“如何使猜测的结果更靠近真实结果”，而不是“如何正向推理得出正确答案”，因此依然有很多场景是无法解决的，问题在于：Web业务复杂，输出点的类型非常多，payload不可能覆盖所有的情况；依然无法解决WAF(Web应用防火墙)会拦截敏感payload的问题；误报漏洞的问题依然严重。

发明内容

本发明实施例的目的在于提供一种漏洞扫描方法及装置，用以解决现有技术中漏洞检测方法不能基于上下文的理解以及对于场景的分析得到是否存在漏洞的技术问题。

为实现上述目的，本发明实施例提供了一种漏洞扫描方法，包括：

向扫描目标发送带有识别标识的请求；

分析所述扫描目标的响应数据，并判断所述识别标识是否会出现；