[发明专利]CSRF漏洞的检测方法及装置，计算设备和存储介质

权利要求书

1.一种跨站请求伪造CSRF漏洞的检测方法，其特征在于，所述方法包括：

确定待检测URL站点返回的第一访问响应中携带的第一访问标识Token与所述待检测URL站点返回的第二访问响应中携带的第二Token是否一致；所述第一访问响应针对携带第一用户登录态信息的第一访问请求发送的；所述第二访问响应是针对携带第二用户登录态信息的第二访问请求发送的；所述第一用户与所述第二用户不同；

若不一致，则在设定时间到达时，向所述待检测URL站点发送携带所述第一用户登录态信息的第三访问请求；

若所述第三访问请求对应的第三访问响应中的第三Token与所述第一Token一致，则确定所述待检测URL站点存在CSRF漏洞。

2.如权利要求1所述的检测方法，其特征在于，若所述第三访问请求对应的第三访问响应中的第三Token与所述第一Token不一致，所述方法还包括：

构造符合所述待检测URL站点的交互方式的第四访问请求；

向所述待检测URL站点发送所述第四访问请求；

若所述第四访问请求对应的第四访问响应与第五访问响应相同，则确定所述待检测URL站点存在CSRF漏洞；所述第五访问响应是所述待检测URL站点的针对合法访问请求的响应。

3.如权利要求2所述的检测方法，其特征在于，所述待检测URL站点的交互方式为异步JavaScript和XML Ajax；

向所述待检测URL站点发送所述第四访问请求之前，还包括：

设置所述第四访问请求的发送端支持跨域访问时携带cookie信息。

4.如权利要求1所述的检测方法，其特征在于，确定待检测URL站点返回的第一访问响应中携带的第一访问标识Token与所述待检测URL页面返回的第二访问响应中携带的第二Token是否一致之前，还包括：

爬取所述待检测URL站点的各数据包；从所述各数据包中获取所述第一访问响应和所述第二访问响应；或

构造所述第一访问请求并发送至所述待检测URL站点；构造所述第二访问请求并发送至所述待检测URL站点。

5.如权利要求1所述的检测方法，其特征在于，确定待检测URL站点返回的第一访问响应中携带的第一访问标识Token与所述待检测URL页面返回的第二访问响应中携带的第二Token是否一致之前，还包括：

确定所述第一Token和所述第二Token不在黑名单中。

6.一种跨站请求伪造CSRF漏洞的检测装置，其特征在于，所述装置包括：

确定单元：用于确定待检测URL站点返回的第一访问响应中携带的第一访问标识Token与所述待检测URL站点返回的第二访问响应中携带的第二Token是否一致；所述第一访问响应针对携带第一用户登录态信息的第一登录请求发送的；所述第二访问响应是针对携带第二用户登录态信息的第二访问请求发送的；所述第一用户与所述第二用户不同；

检测单元：用于在所述第一Token和所述第二Token不一致时，在设定时间到达时，向所述待检测URL站点发送携带所述第一用户登录态信息的第三访问请求；若所述第三访问请求对应的第三访问响应中的第三Token与所述第一Token一致，则确定所述待检测URL站点存在CSRF漏洞。

7.如权利要求6所述的检测装置，其特征在于，所述检测单元还用于：

构造符合所述待检测URL站点的交互方式的第四访问请求；

向所述待检测URL站点发送所述第四访问请求；

若所述第四访问请求对应的第四访问响应与第五访问响应相同，则确定所述待检测URL站点存在CSRF漏洞；所述第五访问响应是所述待检测URL站点的针对合法访问请求的响应。

8.如权利要求6所述的检测装置，其特征在于，还包括：

获取单元，用于爬取所述待检测URL站点的各数据包；

所述确定单元：还用于确定所述第一Token和所述第二Token不在黑名单中。