[发明专利]一种SSTI漏洞的检测方法、装置及介质

权利要求书

1.一种SSTI漏洞的检测方法，其特征在于，包括：

获取待检测网站；

启动浏览器爬虫以爬取属于所述待检测网站的URL路径；

根据各所述URL路径和预先建立的检测Payload库编写SSTI检测脚本；

启动漏洞扫描器，以便所述漏洞扫描器使用Requests对各所述SSTI检测脚本进行请求得到请求结果以确定所述待检测网站中是否存在SSTI漏洞。

2.根据权利要求1所述的SSTI漏洞的检测方法，其特征在于，在所述启动浏览器爬虫以爬取属于所述待检测网站的URL路径之后还包括：

解析各所述URL路径以确定各所述URL路径对应的可控参数和http请求方式。

3.根据权利要求2所述的SSTI漏洞的检测方法，其特征在于，根据各所述URL路径和预先建立的检测Payload库编写SSTI检测脚本包括：

将各所述可控参数对应的参数值依次替换为所述检测Payload库中的各检测Payload；

对各所述检测Payload赋值预设表达式；

将各所述URL路径与对应的所述可控参数进行拼接得到所述SSTI检测脚本。

4.根据权利要求1所述的SSTI漏洞的检测方法，其特征在于，所述检测Payload库依据以下步骤获得，包括：

获取各类模板引擎中的Payload；

根据各所述Payload的特征对各类所述模板引擎的所述Payload进行分类以得到所述检测Payload库。

5.根据权利要求3所述的SSTI漏洞的检测方法，其特征在于，确定所述待检测网站中是否存在SSTI漏洞包括：

判断各所述URL路径对应的各所述SSTI检测脚本的请求结果是否存在所述预设表达式对应的结果；

若存在，则确定所述待检测网站中存在所述SSTI漏洞。

6.根据权利要求3所述的SSTI漏洞的检测方法，其特征在于，在所述将各所述可控参数对应的参数值依次替换为所述检测Payload库中的各检测Payload之前还包括：

判断所述http请求方式是否为GET请求方式；

若是，则根据所述GET请求方式对应的语法规则对所述检测Payload库中的各所述检测Payload进行修改。

7.根据权利要求5所述的SSTI漏洞的检测方法，其特征在于，在确定所述待检测网站中存在所述SSTI漏洞之后还包括：

发送存在所述SSTI漏洞的所述URL路径和所述可控参数至客户端以便用户查看；

从SSTI漏洞修复库中获取所述SSTI漏洞对应的修复方式以修复所述SSTI漏洞。

8.一种SSTI漏洞的检测装置，其特征在于，包括：

获取模块，用于获取待检测网站；

第一启动模块，用于启动浏览器爬虫以爬取属于所述待检测网站的URL路径；

编写模块，用于根据各所述URL路径和预先建立的检测Payload库编写SSTI检测脚本；

第二启动模块，用于漏洞扫描器，以便所述漏洞扫描器使用Requests对各所述SSTI检测脚本进行请求得到请求结果以确定所述待检测网站中是否存在SSTI漏洞。

9.一种SSTI漏洞的检测装置，其特征在于，包括存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的SSTI漏洞的检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的SSTI漏洞的检测方法的步骤。