基于模拟攻击的Web应用程序漏洞检测方法

摘要

本发明公开了一种基于模拟攻击的Web应用程序漏洞检测方法。该方法主要包括漏洞检测系统，目标系统和后台数据库三部分。其中，漏洞检测系统中主要包括控制模块，设置模块，爬虫模块，模拟攻击检测模块，显示分析模块等，分别完成整体控制，检测设置，Web页面爬虫和结构提取，模拟攻击以及显示分析功能。本发明的优点在于：1）采用模拟攻击的检测模式，更具有实用性；2）将各漏洞检测引擎模块化、插件化，便于不同漏洞检测引擎的整合以及新的漏洞检测引擎的扩充；3）对Web应用程序的漏洞进行了分类，使安全检测更全面准确。

主权项

基于模拟攻击的Web应用程序漏洞检测方法，该方法包括漏洞检测系统，目标系统和后台数据库三部分，其特征在于：包括步骤如下：步骤1：通过爬虫模块遍历整个Web应用程序，分析HTML源代码并从中提取关键信息，得到传递数据使用的方式，包括GET方式和POST方式，同时根据远程文件包含漏洞、文件上传漏洞和路径遍历漏洞的特征将可能存在漏洞的页面进行分类并做出标记；步骤2：进行模拟攻击，模拟攻击检测模块通过爬虫模块获得URL地址，发送经过参数替换的URL地址向目标Web应用程序请求数据，并通过Web应用程序返回信息来判断是否存在漏洞；步骤3：采取分级漏洞检测方法，在同一个Web应用程序中设置有不同等级漏洞的页面，针对同一个页面使用不同的包含参数，通过使用不同包含参数改造的URL地址请求得到的Web应用程序的反应来判断该页面的漏洞级别。