[发明专利]检测客户端模板系统的注入漏洞

权利要求书

1.一种方法(800)，其特征在于，包括：

在数据处理硬件(118)处接收网页(200)；

由所述数据处理硬件(118)确定所述网页(200)实施具有客户端模板的解释编程语言框架(142)；

由所述数据处理硬件(118)从所述网页(200)提取所述解释编程语言框架(142)的版本(144)和插值符号(146)；

由所述数据处理硬件(118)基于所述解释编程语言框架(142)的所述版本(144)和所述插值符号(146)，生成所述网页(200)的至少一个注入漏洞情境(210)的攻击有效载荷(152a)；

由所述数据处理硬件(118)对所述网页(200)进行插装，以将所述攻击有效载荷(152a)注入到所述网页(200)的所述至少一个注入漏洞情境(210)中；以及

由所述数据处理硬件(118)执行插装后的所述网页(200)。

2.根据权利要求1所述的方法(800)，其特征在于，进一步包括：

在执行插装后的所述网页(200)期间，由所述数据处理硬件(118)捕获由所述攻击有效载荷(152a)触发的抛出异常(182)；以及

由所述数据处理硬件(118)基于所述抛出异常(182)来识别所述网页(200)的漏洞(192)。

3.根据权利要求2所述的方法(800)，其特征在于，进一步包括，由所述数据处理硬件(118)修改所述解释编程语言框架(142)的异常处理程序(312)以拦截所述抛出异常(182)。

4.根据权利要求2或3所述的方法(800)，其特征在于，所述抛出异常(182)包括语法异常(182a)。

5.根据权利要求1所述的方法(800)，其特征在于，所述攻击有效载荷(152a)包括验证函数(154)，所述验证函数(154)被配置为验证对所述数据处理硬件(118)的所述验证函数(154)的执行。

6.根据权利要求5所述的方法(800)，其特征在于，进一步包括：

在执行插装后的所述网页(200)期间，由所述数据处理硬件(118)捕获由所述攻击有效载荷(152a)触发的所述验证函数(154)的响应(530a)；以及

由所述数据处理硬件(118)基于所述响应(530a)来识别所述网页(200)的漏洞(192)。

7.根据权利要求1-6中任一项所述的方法(800)，其特征在于，从所述网页(200)提取所述插值符号(146)包括：

由所述数据处理硬件(118)执行所述网页(200)，以公开所述解释编程语言框架(142)的应用编程接口API(412)；

由所述数据处理硬件(118)修改所述API(412)；以及

由所述数据处理硬件(118)至少使用修改后的所述API(414)来拦截所述插值符号(146)的重新配置。

8.根据权利要求1-7中任一项所述的方法(800)，其特征在于，生成所述攻击有效载荷(152a)包括，对于所述网页(200)的每个注入漏洞情境(210)，生成被配置用于插装到所述网页(200)中的单个攻击有效载荷(152a)。

9.根据权利要求1-7中任一项所述的方法(800)，其特征在于，对所述网页(200)进行插装以注入所述攻击有效载荷(152a)包括，由所述数据处理硬件(118)将所述攻击有效载荷(152a)注入到所述网页(200)的可能的输入向量(510a)中。

10.根据权利要求1-7中任一项所述的方法(800)，其特征在于，对所述网页(200)进行插装以注入所述攻击有效载荷(152a)包括：

对于所述网页(200)的每个可能的输入向量(510)，由所述数据处理硬件(118)生成单独的测试用例(520)；以及

由所述数据处理硬件(118)将所述攻击有效载荷(152a)注入到每个测试用例(520)的相应的所述可能的输入向量(510)中。