[发明专利]web白盒扫描方法及装置

权利要求书

1.一种web白盒扫描方法，其特征在于，包括以下步骤：

搭建web环境；

使用关键字遍历所述web环境的静态代码；

根据遍历结果并基于词法分析对所述静态代码进行跟踪和/或回溯；

当跟踪到风险点并回溯至用户输入时，反馈所述风险点到所述用户输入的过程以及所述风险点的漏洞类型；

根据所述漏洞类型、所述风险点以及所述用户输入构造攻击请求；

将所述攻击请求发送到所述web环境；以及

根据所述web环境对所述攻击请求的响应页面判断所述漏洞是否是真实漏洞。

2.根据权利要求1所述的方法，其特征在于，进一步包括步骤：

如果所述漏洞是真实漏洞，则将所述漏洞输出并记录在第一报告中；以及

如果所述漏洞不是真实漏洞，则将所述漏洞输出并记录在第二报告中。

3.根据权利要求1或2所述的方法，其特征在于，使用http协议将所述攻击请求发送到所述web环境并使用http协议返回所述响应页面。

4.根据权利要求3所述的方法，其特征在于，根据所述web环境对所述攻击请求的响应页面判断所述漏洞是否是真实漏洞包括以下步骤：

获取所述响应页面中的html页面内容；以及

将所述html页面内容与正常页面以及所述响应页面对比以确定所述漏洞是否是真实漏洞。

5.根据权利要求3所述的方法，其特征在于，根据所述web环境对所述攻击请求的响应页面判断所述漏洞是否是真实漏洞包括以下步骤：

获取所述响应页面中的html页面内容；以及

使用关键字对所述html页面内容进行检索以确定所述漏洞是否是真实漏洞。

6.根据权利要求1或2所述的方法，其特征在于，根据所述漏洞类型、所述风险点以及所述用户输入构造攻击请求包括以下步骤：

根据所述漏洞类型和所述风险点来选择对应的PoC；以及

将所述PoC和所述用户输入结合以构造所述攻击请求。

7.根据权利要求1或2所述的方法，其特征在于，所述漏洞类型包括SQL注入漏洞，CGI源码泄露漏洞，缓冲区溢出漏洞和目录遍历漏洞。

8.一种web白盒扫描装置，其特征在于，包括：

搭建模块，所述搭建模块用于搭建web环境；

遍历模块，所述遍历模块用于使用关键字遍历所述web环境的静态代码；

跟踪模块，所述跟踪模块用于根据遍历结果并基于词法分析对所述静态代码进行跟踪和/或回溯；

反馈模块，所述反馈模块用于当跟踪到风险点并回溯至用户输入时，反馈所述风险点到所述用户输入的过程以及所述风险点的漏洞类型；

构造模块，所述构造模块用于根据所述漏洞类型、所述风险点以及所述用户输入构造攻击请求；

发送模块，所述发送模块用于将所述攻击请求发送到所述web环境；以及

判断模块，所述判断模块用于根据所述web环境对所述攻击请求的响应页面判断所述漏洞是否是真实漏洞。

9.根据权利要求8所述的装置，其特征在于，进一步包括：

第一输出模块，所述第一输出模块用于在所述漏洞是真实漏洞时，将所述漏洞输出并记录在第一报告中；以及

第二输出模块，所述第二输出模块用于在所述漏洞不是真实漏洞时，将所述漏洞输出并记录在第二报告中。

10.根据权利要求8或9所述的装置，其特征在于，使用http协议将所述攻击请求发送到所述web环境并使用http协议返回所述响应页面。

11.根据权利要求10所述的装置，其特征在于，所述判断模块用于：

获取所述响应页面中的html页面内容；以及

将所述html页面内容与正常页面以及所述响应页面对比以确定所述漏洞是否是真实漏洞。

12.根据权利要求10所述的装置，其特征在于，所述判断模块用于：

获取所述响应页面中的html页面内容；以及

使用关键字对所述html页面内容进行检索以确定所述漏洞是否是真实漏洞。