[发明专利]一种网页端的文件上传漏洞检测方法和装置

权利要求书

1.一种网页端的文件上传漏洞检测方法，其特征在于，包括执行以下步骤：

基于网页端的提示信息使用页面自动化工具确定需要执行文件扩展名校验的文件上传接口，并获取符合所述文件上传接口要求的第一文件扩展名；

生成具有所述第一文件扩展名的文件以使用所述页面自动化工具将所述文件上传到所述文件上传接口，并使用抓包工具截获所述文件上传接口的文件上传请求；

加载常用文件名扩展库并从中选取不同于所述第一文件扩展名的第二文件扩展名来替换所述文件上传请求中的所述第一文件扩展名，重新上传经过修改的所述文件上传请求；

响应于接收到所述文件上传请求的成功响应信息而基于所述文件上传接口所对应的默认文件路径发送文件执行请求，并响应于接收到所述文件执行请求的执行特征信息而判定存在文件上传漏洞；

其中，生成具有所述第一文件扩展名的文件包括：基于随机数发生器生成唯一标识信息，并将所述唯一标识信息写入所述文件；

接收到所述文件执行请求的执行特征信息包括：接收到所述文件执行请求的执行响应信息，并且在所述执行响应信息中执行字符匹配获得了作为所述文件的执行特征的所述唯一标识信息。

2.根据权利要求1所述的方法，其特征在于，获取符合所述文件上传接口要求的第一文件扩展名包括：获取符合所述文件上传接口要求的文件类型，并基于所述文件类型确定一个或多个所述第一文件扩展名。

3.根据权利要求1所述的方法，其特征在于，从常用文件名扩展库中选取不同于所述第一文件扩展名的第二文件扩展名包括：从常用文件名扩展库中移除一个或多个所述第一文件扩展名，并从剩余的扩展名中每次选定一个作为所述第二文件扩展名。

4.根据权利要求3所述的方法，其特征在于，使用第二文件扩展名来替换所述文件上传请求中的所述第一文件扩展名，重新上传经过修改的所述文件上传请求包括：分别以每次选定的所述第二文件扩展名替换所述文件上传请求中的所述第一文件扩展名，并分别针对每次选定的所述第二文件扩展名重新上传经过修改的所述文件上传请求，直到选定过的所述第二文件扩展名已经遍历所述剩余的扩展名为止。

5.根据权利要求1所述的方法，其特征在于，所述随机数发生器配置为发生真随机数或伪随机数。

6.根据权利要求1所述的方法，其特征在于，所述文件上传请求和所述文件执行请求均为HTTP请求。

7.一种网页端的文件上传漏洞检测装置，其特征在于，包括：

处理器；和

存储器，存储有处理器可运行的程序代码，所述程序代码在被运行时执行以下步骤：

基于网页端的提示信息使用页面自动化工具确定需要执行文件扩展名校验的文件上传接口，并获取符合所述文件上传接口要求的第一文件扩展名；

生成具有所述第一文件扩展名的文件以使用所述页面自动化工具将所述文件上传到所述文件上传接口，并使用抓包工具截获所述文件上传接口的文件上传请求；

加载常用文件名扩展库并从中选取不同于所述第一文件扩展名的第二文件扩展名来替换所述文件上传请求中的所述第一文件扩展名，重新上传经过修改的所述文件上传请求；

响应于接收到所述文件上传请求的成功响应信息而基于所述文件上传接口所对应的默认文件路径发送文件执行请求，并响应于接收到所述文件执行请求的执行特征信息而判定存在文件上传漏洞；

其中，生成具有所述第一文件扩展名的文件包括：基于随机数发生器生成唯一标识信息，并将所述唯一标识信息写入所述文件；

接收到所述文件执行请求的执行特征信息包括：接收到所述文件执行请求的执行响应信息，并且在所述执行响应信息中执行字符匹配获得了作为所述文件的执行特征的所述唯一标识信息。