(19)中华人民共和国国家知识产权局
(12)发明专利说明书 | ||
(10)申请公布号 CN 109194670 A (43)申请公布日 2019.01.11 | ||
(21)申请号 CN201811096616.8
(22)申请日 2018.09.19
(71)申请人 杭州安恒信息技术股份有限公司
地址 310052 浙江省杭州市滨江区通和路68号浙江中财大厦15层
(72)发明人 廖喜君 范渊
(74)专利代理机构 杭州赛科专利代理事务所(普通合伙)
代理人 郭薇
(51)Int.CI
权利要求说明书 说明书 幅图 |
(54)发明名称
一种网站任意文件下载漏洞检测方法 | |
(57)摘要
本发明涉及一种网站任意文件下载漏洞检测方法，通过获取网站中所有的请求URL，对URL进行基于是否具有下载特征的过滤，如无则输出检测结果并结束，如有则获取请求URL的参数，通过payload请求器修改参数值重发请求，进行检测，若返回的数据包含下载文件的特征，则存在任意文件下载漏洞，生成任意文件下载漏洞检测的报告。本发明以黑盒自动化的方式进行漏洞检测，解决了传统的手工测试任意文件下载漏洞的效率低和对安全测试人员要求高的问题，提高检测的覆盖率同时也大大降低人工时间成本，降低检测的技术人员门槛。 | |
法律状态
法律状态公告日 | 法律状态信息 | 法律状态 |
权 利 要 求 说 明 书
1.一种网站任意文件下载漏洞检测方法,其特征在于:所述方法包括以下步骤:
步骤1:获取网站中所有的请求URL;
步骤2:对所有的请求URL进行过滤,判断是否存在具有下载特征的URL,若是,进行下一步,否则,输出检测结果,结束;
步骤3:获取请求URL的参数,通过payload请求器修改参数值重发请求,进行检测;
步骤4:判断步骤3检测返回的数据是否包含下载文件的特征,若是,则存在任意文件下载漏洞,若否,则不存在任意文件下载漏洞;
步骤5:根据步骤4生成任意文件下载漏洞检测的报告。
2.根据权利要求1所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述步骤1中,通过爬虫模块获取网站中所有的请求URL。
3.根据权利要求1所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述步骤2中,通过正则表达式对所有的请求URL进行过滤。
4.根据权利要求3所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述步骤2中,所有的请求URL都不具有下载特征时,输出检测结果为不存在任意文件下载漏洞。
5.根据权利要求1所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述步骤3中,请求URL的参数包括文件目录、文件名、下载路径、下载文件。
6.根据权利要求5所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述步骤3中,通过payload请求器修改参数值重发请求,检测内容包括是否能下载web容器xml文件、是否可以通过特殊字符绕过访问目录、是否可以下载系统敏感文件。
7.根据权利要求1所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述步骤4中,通过响应分析器判断步骤3检测返回的数据是否包含下载文件的特征,当响应分析器的响应值与payload请求器的预期返回值对应时,则存在任意文件下载漏洞。
8.根据权利要求1所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述步骤5中,报告包括请求的URL、参数和检测结果。
9.根据权利要求8所述的一种网站任意文件下载漏洞检测方法,其特征在于:所述报告还包括文本格式的测试请求数据包和响应数据包。
说 明 书
<p>技术领域
本发明涉及数字信息的传输,例如电报通信的技术领域,特别涉及一种能自动、快速完成的网站任意文件下载漏洞检测方法。
背景技术
基于互联网的不断发展、扩大,时至今日,互联网已经成为了我们工作、学习、生活中不可或缺的一部分,而一些网站由于业务需求,可能为用户提供文件查看或下载的功能。事实上,如果对用户查看或下载的文件不做限制,则恶意用户能够查看或下载任意的文件,可以是源代码文件、敏感文件等,这将造成难以预估的危害。
现有技术中,检测任意文件下载漏洞的方法主要是对网站业务中存在的下载功能进行请求参数的抓取,并进行修改验证,测试恶意用户是否可以绕过下载限制的目录,是否存在任意文件下载漏洞。传统的手动测试方法虽然可以检测出任意文件下载漏洞,但是需要花费较多的时间成本,而且容易出现覆盖不全的情况,并且对检测人员的安全技能和经验要求比较高。
发明内容
本发明解决的技术问题是,现有技术中,以人工操作的方式进行任意文件下载漏洞的检测,时间成本高,检测精度低,对检测人员的安全技能和经验要求高,本发明提供了一种优化的网站任意文件下载漏洞检测方法,通过自动化检测和验证,简化安全测试人员的操作,大大提升检测效率和检测覆盖率。
本发明所采用的技术方案是,一种网站任意文件下载漏洞检测方法,所述方法包括以下步骤:
步骤1:获取网站中所有的请求URL;
步骤2:对所有的请求URL进行过滤,判断是否存在具有下载特征的URL,若是,进行下一步,否则,输出检测结果,结束;
步骤3:获取请求URL的参数,通过payload请求器修改参数值重发请求,进行检测;
步骤4:判断步骤3检测返回的数据是否包含下载文件的特征,若是,则存在任意文件下载漏洞,若否,则不存在任意文件下载漏洞;
步骤5:根据步骤4生成任意文件下载漏洞检测的报告。
优选地,所述步骤1中,通过爬虫模块获取网站中所有的请求URL。
优选地,所述步骤2中,通过正则表达式对所有的请求URL进行过滤。
优选地,所述步骤2中,所有的请求URL都不具有下载特征时,输出检测结果为不存在任意文件下载漏洞。
优选地,所述步骤3中,请求URL的参数包括文件目录、文件名、下载路径、下载文件。
优选地,所述步骤3中,通过payload请求器修改参数值重发请求,检测内容包括是否能下载web容器xml文件、是否可以通过特殊字符绕过访问目录、是否可以下载系统敏感文件。
优选地,所述步骤4中,通过响应分析器判断步骤3检测返回的数据是否包含下载文件的特征,当响应分析器的响应值与payload请求器的预期返回值对应时,则存在任意文件下载漏洞。
版权声明：本站内容均来自互联网，仅供演示用，请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系QQ:729038198，我们将在24小时内删除。
发表评论