[发明专利]一种SSTI漏洞的检测方法、装置及介质

说明书

本申请涉及漏洞检测领域，公开了一种SSTI漏洞的检测方法、装置及介质，包括：获取待检测网站，并启动浏览器爬虫爬取属于待检测网站的URL路径，根据各URL路径和预先建立的检测Payload库编写SSTI检测脚本，启动漏洞扫描器，并使用Requests对各SSTI检测脚本进行请求得到请求结果以确定待检测网站中是否存在SSTI漏洞。由此，通过预先建立的检测Payload库避免了人工输入不同Payload进行检测的低效率，且通过Requests对编写的SSTI检测脚本进行请求以确定是否存在SSTI漏洞，实现自动检测SSTI漏洞的目的，进而降低人力成本，提高网络信息安全。

技术领域

本申请涉及漏洞检测领域，特别是涉及一种SSTI漏洞的检测方法、装置及介质。

背景技术

随着互联网(Web)的不断发展，人们对于互联网的界面、数据和信息安全要求越来越高，开发人员为了提升互联网开发效率提出了一种MVC软件架构模式(Model-View-Controller)，该架构模式包括模型(Model)、视图(View)和控制器(Controller)三个基础部分，在MVC架构中，通过视图进行接收用户的输入，并传输至控制器，由控制器调用模型或者其他的控制器进行处理，最后返回给视图，由视图进行显示以便用户查看。

在此过程中，视图中大量使用了模板的技术，如今大多数网站都采用模板引擎来做数据及界面的展示，若网站对传入模板引擎参数未作过滤极易产生模板注入(SSTI)漏洞。当服务端接收了用户的恶意输入后，未经任何处理就将其作为Web应用模板内容的一部分，模板引擎在进行目标编译渲染的过程中，执行用户插入的可以破坏模板的语句，会导致敏感信息的泄露、代码执行、GetShell等问题。

目前，对于SSTI漏洞的检测和修复，需要人工手动输入各种模板引擎的SSTI漏洞检测有效负载(Payload)以检测当前网站是否存在SSTI漏洞，进而消耗大量的人力成本。此外，不同的模板引擎有不同的语法规则，依次输入不同模板的Payload进行检测会占用较多资源，且检测效率低。

由此可见，如何提升SSTI漏洞的检测效率，降低人力成本，提高网络信息安全，是本领域技术人员亟待解决的问题。

发明内容

本申请的目的是提供一种SSTI漏洞的检测方法、装置及介质，通过启动浏览器爬虫以爬取属于待检测网站的所有URL路径，并根据预先建立的检测Payload库和爬取的各URL路径编写SSTI检测脚本，然后通过启动漏洞扫描器，使用Requests对各SSTI检测脚本进行请求得到请求结果以确定所述待检测网站中是否存在SSTI漏洞，实现自动检测SSTI漏洞的目的，进而提升检测效率。

为解决上述技术问题，本申请提供一种SSTI漏洞的检测方法，包括：

获取待检测网站；

启动浏览器爬虫以爬取属于所述待检测网站的URL路径；

根据各所述URL路径和预先建立的检测Payload库编写SSTI检测脚本；

启动漏洞扫描器，以便所述漏洞扫描器使用Requests对各所述SSTI检测脚本进行请求得到请求结果以确定所述待检测网站中是否存在SSTI漏洞。

优选地，在所述启动浏览器爬虫以爬取属于所述待检测网站的URL路径之后还包括：

解析各所述URL路径以确定各所述URL路径对应的可控参数和http请求方式。

优选地，根据各所述URL路径和预先建立的检测Payload库编写SSTI检测脚本包括：

将各所述可控参数对应的参数值依次替换为所述检测Payload库中的各检测Payload；

对各所述检测Payload赋值预设表达式；