[发明专利]EL表达式注入漏洞检测方法、装置及电子设备

权利要求书

1.一种EL表达式注入漏洞检测方法，其特征在于，包括：

获取待检测网页的目标检测参数；

构造所述目标检测参数对应的EL表达式；所述EL表达式中包括可执行的检测语句；

根据所述EL表达式以及所述待检测网页的URL，生成新的URL；

基于所述新的URL，获取新的网页内容；

判断所述新的网页内容中是否包含所述EL表达式的执行结果；

如果是，则判断所述待检测网页存在EL表达式注入漏洞。

2.根据权利要求1所述的方法，其特征在于，所述获取待检测网页的目标检测参数，包括：

获取待检测网页的URL；

从所述URL中检索出位于第一目标字符之后的目标表达式，其中，所述第一目标字符为用于表示问号的字符，所述目标表达式的数量至少为一个，且在每个所述目标表达式中均包括第二目标字符，所述第二目标字符为用于表示等号的字符；

从每个所述目标表达式中提取出位于所述第二目标字符之前的字符，作为所述目标检测参数，得到至少一个目标检测参数。

3.根据权利要求1所述的方法，其特征在于，所述构造所述目标检测参数对应的EL表达式，包括：

获取随机生成的多个数字；

将所述多个数字进行数学运算组合，得到表达式A；

基于所述表达式A构造所述EL表达式，其中，所述EL表达式的表达方式为：${A}。

4.根据权利要求2所述的方法，其特征在于，所述根据所述EL表达式以及所述待检测网页的URL，生成新的URL，包括：

在每个所述目标表达式中，检索出位于所述第二目标字符之后的目标字符；

利用所述EL表达式对所述目标字符进行替换，生成所述新的URL。

5.根据权利要求1所述的方法，其特征在于，所述基于所述新的URL，获取新的网页内容，包括：

根据所述新的URL，向所述待检测网页的服务器发送HTTP请求；

接收所述服务器对所述HTTP请求的响应内容，并基于所述响应内容得到所述新的网页内容。

6.一种EL表达式注入漏洞检测装置，其特征在于，包括：

参数获取单元，用于获取待检测网页的目标检测参数；

表达式构造单元，用于构造所述目标检测参数对应的EL表达式；所述EL表达式中包括可执行的检测语句；

URL生成单元，用于根据所述EL表达式以及所述待检测网页的URL，生成新的URL；

网页内容获取单元，用于基于所述新的URL，获取新的网页内容；

漏洞判断单元，用于判断所述新的网页内容中是否包含所述EL表达式的执行结果；如果是，则判断所述待检测网页存在EL表达式注入漏洞。

7.根据权利要求6所述的装置，其特征在于，所述参数获取单元包括：

URL获取模块，用于获取待检测网页的URL；

检索模块，用于从所述URL中检索出位于第一目标字符之后的目标表达式，其中，所述第一目标字符为用于表示问号的字符，所述目标表达式的数量至少为一个，且在每个所述目标表达式中均包括第二目标字符，所述第二目标字符为用于表示等号的字符；

提取模块，用于从每个所述目标表达式中提取出位于所述第二目标字符之前的字符，作为所述目标检测参数，得到至少一个目标检测参数。

8.根据权利要求6所述的装置，其特征在于，所述表达式构造单元包括：

数字获取模块，用于获取随机生成的多个数字；

数字组合模块，用于将所述多个数字进行数学运算组合，得到表达式A；

表达式构造模块，用于基于所述表达式A构造所述EL表达式，其中，所述EL表达式的表达方式为：${A}。

9.一种电子设备，包括存储器、处理器，所述存储器上存储有可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现上述权利要求1至5任一项所述的方法的步骤。

10.一种具有处理器可执行的非易失的程序代码的计算机可读介质，其特征在于，所述程序代码使所述处理器执行所述权利要求1至5任一项所述的方法。