[发明专利]漏洞扫描方法及相关装置

权利要求书

1.一种漏洞扫描方法，其特征在于，应用于持续集成环境中的扫描服务器，所述持续集成环境中存在集成构建设备、测试设备及被测系统，所述扫描服务器与所述测试设备及所述被测系统均通信连接，所述被测系统运行有因所述集成构建设备中的代码被更新而触发代码构建以得到的可运行软件，所述测试设备运行有用于测试所述被测系统的测试用例，所述测试设备预先将所述扫描服务器设置为访问所述被测系统的代理，所述方法包括：

获取所述测试设备运行所述测试用例时发送的访问被测系统的访问请求消息及所述被测系统针对所述访问请求消息反馈的响应消息；

依据所述访问请求消息、所述响应消息及预先存储的规则库对所述被测系统进行主动漏洞扫描，生成主动漏洞扫描结果，其中，所述规则库中的规则是预先从预设漏洞信息平台上获取并存储于本地的。

2.如权利要求1所述的漏洞扫描方法，其特征在于，所述规则库中存在多个漏洞的漏洞特征信息，所述依据所述访问请求消息、所述响应消息及预先存储的规则库对所述被测系统进行主动漏洞扫描，生成主动漏洞扫描结果的步骤，包括：

提取所述访问请求消息及所述响应消息中的特征信息；

当所述规则库中存在与所述特征信息匹配的目标漏洞特征信息时，判定所述被测系统存在与所述目标漏洞特征信息对应的目标漏洞；

获取所述目标漏洞的漏洞信息，并依据所述漏洞信息、对应的访问请求消息及响应消息生成所述主动漏洞扫描结果。

3.如权利要求1所述的漏洞扫描方法，其特征在于，所述方法还包括：

调用预设漏洞扫描软件对所述被测系统进行被动漏洞扫描，得到被动漏洞扫描结果。

4.如权利要求3所述的漏洞扫描方法，其特征在于，所述被动漏洞扫描结果包括漏洞的漏洞信息，所述漏洞信息是利用所述预设漏洞扫描软件扫描所述被测系统后得到，所述主动漏洞扫描结果和所述被动漏洞扫描结果中的每一漏洞均对应一个优先级，所述方法还包括：

将所述主动漏洞扫描结果和所述被动漏洞扫描结果进行合并，并对其中重复的漏洞进行去重，得到漏洞扫描结果全集；

对所述漏洞扫描结果全集中的漏洞进行统计，并按照优先级进行归类，生成漏洞扫描报告。

5.如权利要求1所述的漏洞扫描方法，其特征在于，所述方法还包括：

按照预设周期对所述规则库进行更新。

6.一种漏洞扫描装置，其特征在于，应用于持续集成环境中的扫描服务器，所述持续集成环境中存在集成构建设备、测试设备及被测系统，所述扫描服务器与所述测试设备及所述被测系统均通信连接，所述被测系统运行有因所述集成构建设备中的代码被更新而触发代码构建以得到的可运行软件，所述测试设备运行有用于测试所述被测系统的测试用例，所述测试设备预先将所述扫描服务器设置为访问所述被测系统的代理，所述装置包括主动扫描模块，所述主动扫描模块用于：

获取所述测试设备运行所述测试用例时发送的访问被测系统的访问请求消息及所述被测系统针对所述访问请求消息反馈的响应消息；

依据所述访问请求消息、所述响应消息及预先存储的规则库对所述被测系统进行主动漏洞扫描，生成主动漏洞扫描结果，其中，所述规则库中的规则是预先从预设漏洞信息平台上获取并存储于本地的。

7.一种扫描服务器，其特征在于，所述扫描服务器包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1-5中任一项所述的漏洞扫描方法。