[发明专利]LDAP注入漏洞的检测方法和装置

说明书

本发明提供了一种LDAP注入漏洞的检测方法和装置，涉及漏洞检测的技术领域，包括：基于爬虫技术，爬取待检测网站的URL链接；对所述待检测网站的URL链接进行可用性检测，确定出可用URL链接；在所述可用URL链接中注入漏洞载荷，得到目标URL链接；获取所述目标服务器基于所述目标URL链接反馈的多个第一响应内容，并基于所述多个第一响应内容确定所述可用URL链接是否存在LDAP注入漏洞，其中，所述目标服务器为所述待检测网站对应的服务器，解决了现有技术对LDAP注入漏洞的检测效率较低的技术问题。

技术领域

本发明涉及漏洞检测技术领域，尤其是涉及一种LDAP注入漏洞的检测方法和装置。

背景技术

随着WEB应用业务环境越来越复杂，网站安全性正在不断的受到挑战。LDAP注入漏洞就是其中一种WEB应用中安全性漏洞。要了解LDAP注入漏洞，必须先熟悉LDAP的运行机制。

LDAP是Lightweight Directory Access Protocol的英文缩写，即轻量级目录访问协议，是一种在线目录访问协议。LDAP主要用于目录中资源的搜索和查询，是X.500的一种简便的实现。

当在WEB应用中使用LDAP进行查询或是权限校验时，没有对外部传入参数进行过滤，那么攻击者就可以通过精心构造的符合LDAP搜索语法的恶意请求如“(&(username＝admin)(&))(password＝123))”，注入LDAP查询语句，就能利用该LDAP注入的漏洞造成访问控制绕过、用户权限提升、敏感信息泄漏等一系列的危害。

针对上述问题，还未提出有效的解决方案。

发明内容

有鉴于此，本发明的目的在于提供一种LDAP注入漏洞的检测方法和装置，以缓解了现有技术对LDAP注入漏洞的检测效率较低的技术问题。

第一方面，本发明实施例提供了一种LDAP注入漏洞的检测方法，包括：基于爬虫技术，爬取待检测网站的URL链接；对所述待检测网站的URL链接进行可用性检测，确定出可用URL链接；在所述可用URL链接中注入漏洞载荷，得到目标URL链接；获取所述目标服务器基于所述目标URL链接反馈的多个第一响应内容，并基于所述多个第一响应内容确定所述可用URL链接是否存在LDAP注入漏洞，其中，所述目标服务器为所述待检测网站对应的服务器。

进一步地，基于爬虫技术，爬取待检测网站的URL链接，包括：获取待检测网站的目标信息，其中，所述目标信息包括以下至少之一：域名，IP地址；基于所述目标信息确定出初始URL链接，并所述初始URL链接存储至第一队列，其中，所述初始URL链接为所述待检测网站的任意一个URL链接；基于爬虫技术，爬取所述初始URL链接对应的URL链接，得到所述待检测网站的URL链接。

进一步地，基于爬虫技术，爬取所述目标信息对应的URL链接，得到所述待检测网站的URL链接，包括：出队步骤，对所述初始URL链接进行出队处理，并将出队后的所述初始URL链接添加至第二队列；获取步骤，获取所述服务器基于所述初始URL链接反馈的页面信息；解析步骤，基于预设规则对所述页面信息进行解析，得到有效URL链接；确定步骤，确定出所述有效URL链接中的中间URL链接，并将所述中间URL链接确定为所述初始URL链接添加至所述第一队列，其中，所述中间URL链接为所述有效URL链接中与所述第二队列中的初始URL链接不同的URL链接；循环执行所述出队步骤、所述获取步骤、所述解析步骤和所述确定步骤，直至所述第一队列中不包含初始URL链接，则将所述第二队列中的初始URL链接确定为所述待检测网站的URL链接。

进一步地，对所述待检测网站的URL链接进行可用性检测，确定出可用URL链接，包括：获取所述目标服务器基于所述待检测网站的URL链接反馈的第二响应内容；若所述第二响应内容中包含的HTTP状态码为预设数值，则所述待检测网站的URL链接为所述可用URL链接。