CN106657096B - Web漏洞检测方法、装置及系统 - Google Patents

Abstract

本发明公开了一种WEB漏洞检测方法、装置及系统，至少能够解决现有技术中的WEB漏洞检测方式无法更加灵活而全面地检测漏洞的技术问题。该WEB漏洞检测方法包括：获取并展示与待检测网站相关的发布信息，其中，发布信息中包括与待检测网站相关的待检测地址；获取针对待检测网站提交的漏洞描述信息，漏洞描述信息是漏洞检测终端针对待检测网站检测出的漏洞的描述信息；根据漏洞描述信息对漏洞进行确认；将已确认漏洞的漏洞描述信息发送至与待检测网站相对应的漏洞接收服务器。

Description

WEB漏洞检测方法、装置及系统

技术领域

本发明涉及网络通信技术领域，具体涉及一种WEB漏洞检测方法及装 置。

背景技术

随着互联网的发展，企业的WEB业务在各类业务中所占的比重越来越 大。与其他类型的业务不同，WEB业务直接暴露在互联网中，而且承载着用 户的个人隐私信息(如网易邮箱的邮箱用户数据、订票网站的用户身份证信 息、订票信息等)。因此，一旦企业网站存在漏洞，一些黑客组织就能够利 用这些漏洞进行拖库，将企业网站对应的数据库里的用户信息全部导出，从 而给企业和社会带来巨大的损失。

通常情况下，企业的普通员工并不具备发现漏洞的能力，因此，需要企 业另行设立信息安全部门，由该部门执行漏洞检测工作。然而，发明人在实 现本发明的过程中发现，现有技术中的上述方式至少存在如下问题：一方面， 另行设立信息安全部门的开销较大，一般企业难以承受；另一方面，由各个 企业自行检测网站漏洞的方式较为单一，无法更加灵活而全面地检测漏洞。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分 地解决上述问题的WEB漏洞检测方法及装置。

依据本发明的一个方面，提供了一种WEB漏洞检测方法，包括：获取并 展示与待检测网站相关的发布信息，其中，所述发布信息中包括与所述待检 测网站相关的待检测地址；获取针对所述待检测网站提交的漏洞描述信息， 所述漏洞描述信息是漏洞检测终端针对所述待检测网站检测出的漏洞的描述 信息；根据所述漏洞描述信息对所述漏洞进行确认；将已确认漏洞的所述漏 洞描述信息发送至与所述待检测网站相对应的漏洞接收服务器。

依据本发明的另一个方面，提供了一种WEB漏洞检测装置，包括：第一 获取模块，适于获取并展示与待检测网站相关的发布信息，其中，所述发布 信息中包括与所述待检测网站相关的待检测地址；第二获取模块，适于获取 针对所述待检测网站提交的漏洞描述信息，所述漏洞描述信息是漏洞检测终 端针对所述待检测网站检测出的漏洞的描述信息；确认模块，适于根据所述 漏洞描述信息对所述漏洞进行确认；发送模块，适于将已确认漏洞的所述漏 洞描述信息发送至与所述待检测网站相对应的漏洞接收服务器。

依据本发明的再一个方面，提供了一种WEB漏洞检测系统，包括：上 述任一所述的漏洞检测装置、所述待检测对象以及所述漏洞检测终端。

在本发明提供的WEB漏洞检测方法及装置中，一方面，能够获取并展示 与待检测网站相关的发布信息，从而将待检测网站的发布信息提供给漏洞检 测终端，以供漏洞检测终端根据发布信息对待检测网站进行有针对性地检测； 另一方面，能够获取漏洞检测终端针对待检测网站提交的漏洞描述信息，并 对漏洞描述信息中的漏洞进行确认后将该漏洞描述信息发送至与待检测网站 相对应的漏洞接收服务器。由此可见，本发明中的方式不需要企业另行设立 信息安全部门，能够通过展示企业发布信息的方式来获取漏洞检测终端的漏 洞检测结果，从而降低了企业检测漏洞的成本，为企业提供了更加灵活而全 面的漏洞检测方式。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技 术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它 目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本 领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的， 而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示 相同的部件。在附图中：

图1示出了本发明一个实施例提供的WEB漏洞检测方法的流程图；

图2示出了本发明另一个具体实施例提供的WEB漏洞检测方法的流程 图；

图3a和图3b示出了本发明各种级别的漏洞所对应的漏洞定义。

图4示出了本发明一个实施例提供的一种WEB漏洞检测装置的结构示意 图；

图5示出了本发明另一个具体实施例提供的一种WEB漏洞检测装置的结 构示意图；

图6示出了本发明再一个实施例提供的一种WEB漏洞检测系统的结构示 意图；

图7示出了本发明再一个具体实施例提供的一种WEB漏洞检测系统的结 构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示 了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不 应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地 理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明实施例提供了一种WEB漏洞检测方法及装置，至少能够解决现有 技术中的WEB漏洞检测方式无法更加灵活而全面地检测漏洞的技术问题。

图1示出了本发明一个实施例提供的WEB漏洞检测方法的流程图。如图 1所示，该方法包括以下步骤：

步骤S110：获取并展示与待检测网站相关的发布信息，其中，发布信息 中包括与待检测网站相关的待检测地址。

通常情况下，待检测网站为预先注册的网站，待检测网站的数量可以为 一个或多个。在每个待检测网站的注册过程中，获取与该待检测网站相关的 待检测地址。其中，对于一个待检测网站而言，其相关的待检测地址可以包 括以下中的至少一个：网站首页的地址、网站中包含的链接地址、以及网站 中包含的一级页面、二级页面等各级页面的地址。

具体实施时，当待检测网站为多个时，可以根据各种方式确定待检测网 站的展示顺序，例如，可以根据注册时间、待检测网站的重要程度等因素确 定。另外，各个待检测网站对应的发布信息中可以包含多种内容，例如，除 待检测地址外，还可以包括该待检测网站的访问量、用户数等各种信息，总 之，本发明对发布信息的具体内容及展现方式不做限定。

步骤S120：获取针对待检测网站提交的漏洞描述信息，该漏洞描述信息 是漏洞检测终端针对上述待检测网站检测出的漏洞的描述信息。

其中，漏洞检测终端能够根据上一步骤中展示的待检测网站的发布信息 确定与待检测网站相关的待检测地址，根据待检测地址对相应网站的漏洞进 行检测，并在检测到漏洞时提交相应的漏洞描述信息。具体实施时，可以通 过多种方式获取漏洞检测终端针对待检测网站提交的漏洞描述信息，本发明 对具体的获取方式不做限定，例如可以通过电子邮件、站内信、聊天消息等 多种方式进行获取。另外，漏洞描述信息的具体内容也可由本领域技术人员 灵活设定。

在实际情况中，漏洞检测终端的数量也可能为多个，因此，一方面，为 了便于确定提交该漏洞描述信息的漏洞检测终端的终端标识；另一方面，为 了便于确定该漏洞描述信息所对应的待检测网站的网站标识，在具体实施中， 可以预先为各个待检测网站分别设置对应的漏洞提交入口，漏洞检测终端通 过待检测网站对应的漏洞提交入口提交针对于该待检测网站的漏洞描述信 息，并在提交过程中携带漏洞检测终端的终端标识。由此可见，通过预设的 漏洞提交入口能够快速准确地确定与漏洞描述信息相对应的待检测网站以及漏洞检测终端。

步骤S130：根据漏洞描述信息对漏洞进行确认。

具体地，漏洞描述信息中通常包含漏洞类型、漏洞内容等详细信息。为 了防止漏洞检测终端提交错误的漏洞描述信息，在本步骤中，需要对漏洞描 述信息中的漏洞进行确认和审核，以确定漏洞描述信息是否正确有效。具体 的确认方式可由本领域技术人员灵活选择，本发明对此不做限定。

步骤S140：将已确认漏洞的漏洞描述信息发送至与待检测网站相对应的 漏洞接收服务器。

具体地，可以通过电子邮件、短消息等各种方式发送已确认漏洞的漏洞 描述信息，本发明对具体发送方式不做限定。在本实施例中，为了提高发送 过程的便捷性，可以预先保存各个待检测网站相对应的漏洞接收服务器的通 信地址，并为各个待检测网站分别设置与其通信地址相对应的信息发送入口， 通过点击该信息发送入口实现自动发送漏洞描述信息的目的。

由此可见，本发明中的方式不需要企业另行设立信息安全部门，能够通 过展示企业发布信息的方式来获取漏洞检测终端的漏洞检测结果，从而降低 了企业检测漏洞的成本，为企业提供了更加灵活而全面的漏洞检测方式。

图2示出了本发明另一个具体实施例提供的WEB漏洞检测方法的流程 图。该方法的执行主体可以为WEB漏洞检测平台。如图2所示，该方法包括 以下步骤：

步骤S210：获取并展示与待检测网站相关的发布信息，其中，发布信息 中包括与待检测网站相关的待检测地址。

通常情况下，待检测网站为预先注册的网站，待检测网站的数量可以为 一个或多个，本实施例中，以待检测网站的数量为多个为例进行说明。在每 个待检测网站的注册过程中，获取与该待检测网站相关的网站信息，例如待 检测地址、待检测网站相对应的漏洞接收服务器、待检测网站的访问量、以 及用户数等各种信息等。

完成注册的网站可以通过预设的信息发布入口提交发布信息，相应地， WEB漏洞检测平台能够通过该信息发布入口获取并展示待检测网站提交的发 布信息。发布信息中至少包括与待检测网站相关的待检测地址，以供漏洞检 测终端进行漏洞检测。其中，对于一个待检测网站而言，其相关的待检测地 址可以包括以下中的至少一个：网站首页的地址、网站中包含的链接地址、 以及网站中包含的一级页面、二级页面等各级页面的地址。在本实施例中， 各个待检测网站提交的发布信息中进一步包括：至少一个漏洞级别以及各个漏洞级别对应的漏洞价值信息；其中，漏洞级别包括以下中的至少一个：高 危级别、中危级别以及低危级别。例如，图3a和图3b示出了各种级别的漏 洞所对应的漏洞定义，并且，在各个待检测网站提交的发布信息中可以进一 步包括各个漏洞级别对应的漏洞价值信息，例如，高危级别的漏洞对于企业 的安全运营具有重大意义，而低危级别的漏洞对于企业的安全运营则影响较 小，因此，高危级别的漏洞对应的漏洞价值信息最高，而低危级别的漏洞对 应的漏洞价值信息最低。用户可以根据待检测网站的重要程度、遭受攻击的 概率等多种因素为自身的待检测网站中各级别的漏洞设置漏洞价值信息。例 如，包含用户信息较多、对安全要求较高的待检测网站提交的发布信息中所 包含的各个漏洞级别对应的漏洞价值信息往往高于包含用户信息较少、对安 全要求较低的待检测网站提交的发布信息中所包含的各个漏洞级别对应的漏 洞价值信息。漏洞价值信息用于展示给漏洞检测终端，以供漏洞检测终端根 据漏洞价值信息的高低确定检测顺序，例如，对于漏洞检测终端而言，漏洞 价值信息高的待检测网站的检测优先级高于漏洞价值信息低的待检测网站的 检测优先级。具体实施时，可以根据各种方式确定多个待检测网站及其发布 信息的展示顺序，例如，可以根据网站注册时间、信息发布时间、待检测网 站的重要程度、漏洞价值信息高低等多种因素确定。

步骤S220：为待检测网站设置对应的漏洞提交入口，获取并展示待检测 网站对应的漏洞提交入口。

其中，步骤S220与步骤S210可合并为一个步骤执行，并且，步骤S220 与步骤S210的执行顺序还可互换。在本步骤中，为每个待检测网站分别设置 一个对应的漏洞提交入口，并且，在展示待检测网站的发布信息时，进一步 展示该待检测网站的漏洞提交入口，以供漏洞检测终端通过该漏洞提交入口 提交关于该待检测网站的漏洞描述信息。具体地，由于漏洞提交入口与待检 测网站为一一对应的关系，因此，通过漏洞提交入口能够快速准确地确定漏 洞检测终端后续提交的漏洞描述信息所对应的待检测网站。

步骤S230：通过漏洞提交入口获取针对待检测网站提交的漏洞描述信息， 该漏洞描述信息是漏洞检测终端针对上述待检测网站检测出的漏洞的描述信 息。

其中，漏洞检测终端能够根据展示的待检测网站的发布信息确定与待检 测网站相关的待检测地址，根据待检测地址对相应网站的漏洞进行检测，并 在检测到漏洞时提交相应的漏洞描述信息。具体地，漏洞检测终端通过待检 测网站对应的漏洞提交入口提交针对于该待检测网站的漏洞描述信息，并在 提交过程中携带漏洞检测终端的终端标识。由此可见，通过预设的漏洞提交 入口能够快速准确地确定与漏洞描述信息相对应的待检测网站以及漏洞检测 终端。

步骤S240：根据漏洞描述信息对漏洞进行确认。

具体地，漏洞描述信息中通常包含漏洞类型、漏洞级别、以及漏洞内容 等详细信息。为了防止漏洞检测终端提交的漏洞描述信息出现错误，在本步 骤中，需要对漏洞描述信息中的漏洞进行确认和审核，以确定漏洞描述信息 是否正确有效。具体的确认方式可由本领域技术人员灵活选择，本发明对此 不做限定。

步骤S250：将已确认漏洞的漏洞描述信息发送至与待检测网站相对应的 漏洞接收服务器。

具体地，可以预先接收并保存与待检测网站相对应的漏洞接收服务器的 通信地址，相应地，根据漏洞接收服务器的通信地址将漏洞描述信息发送给 漏洞接收服务器。例如，可以在各个待检测网站注册时或提交发布信息时获 取并保存该待检测网站的通信地址。其中，通信地址可以包括邮箱地址、联 系人电话等各种方式。

步骤S260：根据待检测网站确定对其相应的漏洞描述信息进行展示或隐 藏。

具体地，可以在待检测网站的注册页面中或发布信息的提交页面中进一 步添加展示选项入口，该展示选项入口能够接收用户(即：待检测网站的管 理者)输入的展示参数，根据该展示参数的具体值确定在WEB漏洞检测平台 上对该待检测网站对应的漏洞描述信息进行展示或隐藏。例如，若用户希望 公开本网站的漏洞描述信息，则通过上述的展示选项入口将本网站对应的漏 洞描述信息的展现方式设置为“展示”；若用户不希望公开本网站的漏洞描述信 息，则通过上述的展示选项入口将本网站对应的漏洞描述信息的展现方式设 置为“隐藏”。另外，除了由用户确定漏洞描述信息的展示方式之外，本领域技 术人员还可以灵活选择其他各种方式确定漏洞描述信息的展示方式。例如， 还可以由WEB漏洞检测平台根据待检测网站的业务类型和/或漏洞描述信息 的详细程度等多种因素确定对相应的漏洞描述信息进行展示或隐藏。

步骤S270：接收漏洞接收服务器根据漏洞级别和/或漏洞价值信息发送的 漏洞确认信息，将该漏洞确认信息发送给对应的漏洞检测终端。

具体地，漏洞接收服务器接收到上述已确认漏洞的漏洞描述信息之后， 进一步对漏洞描述信息中描述的漏洞级别和/或漏洞价值信息进行评估，并根 据评估结果生成并发送相应的漏洞确认信息，WEB漏洞检测平台接收到漏洞 接收服务器发送的漏洞确认信息后，将该漏洞确认信息转发给对应的漏洞检 测终端，即：提交与该漏洞确认信息相对应的漏洞描述信息的漏洞检测终端。 具体实施时，由于WEB漏洞检测平台中已注册的漏洞检测终端的数量为多 个，因此，可以预先接收并保存各个漏洞检测终端的通信地址，相应地，根据漏洞检测终端的通信地址将漏洞确认信息发送给漏洞检测终端。其中，漏 洞确认信息中可以包含由漏洞级别和/或漏洞价值信息确定的评分分值，WEB 漏洞检测平台还可以根据漏洞确认信息中包含的评分分值为相应的漏洞检测 终端进行评分，以便在后续过程中根据评分确认各个漏洞检测终端的等级。

由此可见，在本发明实施例提供的一种WEB漏洞检测方法中，首先预先 接收并保存与所述待检测网站相对应的漏洞接收服务器的通信地址，以及， 预先接收并保存所述漏洞检测终端的通信地址；然后获取并展示与待检测网 站相关的发布信息，其中，发布信息中包括与待检测网站相关的待检测地址， 并获取针对待检测网站提交的漏洞描述信息，然后进一步根据漏洞描述信息 对漏洞进行确认，并将已确认漏洞的漏洞描述信息发送至与待检测网站相对 应的漏洞接收服务器，最后根据待检测网站确定对其相应的漏洞描述信息进 行展示或隐藏，并接收漏洞接收服务器根据漏洞级别和/或漏洞价值信息发送 的漏洞确认信息，将漏洞确认信息发送给漏洞检测终端。通过上述的各个步 骤即可灵活方便地实现WEB漏洞的检测过程，在上述过程中，WEB漏洞检 测平台能够获取并展示待检测网站的相关信息，进而使漏洞检测终端能够根 据待检测网站的相关信息完成漏洞检测；并且，WEB漏洞检测平台还可以获 取漏洞检测终端针对待检测网站提交的漏洞描述信息，并对漏洞描述信息进 行确认后提供给待检测网站，从而为待检测网站的漏洞检测过程提供了便利。

另外，本领域技术人员还可以对上述实施例进行各种改动和变形。例如， 可以将上述实施例中的各个步骤拆分成更多的步骤，或合并为更少的步骤， 还可以调整各个步骤之间的执行顺序，甚至可以删减部分步骤或新增一些步 骤，总之，本发明对具体的实现细节不做限定。

而且，在上述的步骤S210中展示与待检测网站相关的发布信息时，可以 灵活采取下述三种展示方式中的任一方式：

在第一种展示方式中，可以将待检测网站相关的发布信息以完全公开的 方式展示给WEB漏洞检测平台上的所有用户(包括已注册用户和未注册用户 等)，该种方式能够扩大发布信息的传播广度，以使尽可能多的漏洞检测终 端查阅并处理该发布信息。

在第二种展示方式中，可以将待检测网站相关的发布信息以部分公开的 方式展示给WEB漏洞检测平台上所有已注册的漏洞检测终端(未注册用户则 无法查看发布信息)，该种方式能够将发布信息传播给所有已注册的漏洞检 测终端，从而兼顾信息传播的广度以及信息传播的私密度。

在第三种展示方式中，可以将待检测网站相关的发布信息以私密方式推 送给筛选出的预设的漏洞检测终端，该种方式更具针对性，能够将发布信息 推送给经过甄选的漏洞检测终端，并且能够保证发布信息的私密性，防止无 关人员的查看，从而尽可能避免遭受恶意程序的攻击。具体实现时，本领域 技术人员以及待检测网站的管理者可以根据实际需求选择适合的展示方式。 例如，在第三种方式中，首先，根据待检测网站相关的发布信息确定待检测 网站的网站信息，例如，待检测网站的业务类型、用户量级、和/或重要程度等，具体地，可以根据待检测网站的网站信息对待检测网站进行等级划分和/ 或类型划分。其次，获取WEB漏洞检测平台上所有已注册的漏洞检测终端的 终端信息，例如，各个漏洞检测终端已提交的漏洞描述信息的数量、有效性、 漏洞描述信息所对应的漏洞类型、业务类型、以及各个漏洞检测终端已获得 的评分等，具体地，可以根据漏洞检测终端的终端信息对漏洞检测终端进行 等级划分和/或类型划分。最后，将终端等级和/或终端类型与待检测网站的网 站等级和/或网站类型相匹配的漏洞检测终端筛选为预设的漏洞检测终端，仅向筛选出的预设的漏洞检测终端推送该待检测网站的发布信息，从而既提高 了发布信息推送成功的概率，又保障了发布信息的私密性。

同理，在步骤S260中根据待检测网站确定对其相应的漏洞描述信息进行 展示或隐藏时，也可以参照上述处理方式实现。例如，当步骤S210采用第一 种方式时，可以将漏洞描述信息以完全公开的方式展示给WEB漏洞检测平台 上的所有用户；当步骤S210采用第二种方式时，可以将漏洞描述信息以部分 公开的方式展示给WEB漏洞检测平台上所有已注册的漏洞检测终端；当步骤 S210采用第三种方式时，可以将漏洞描述信息以私密方式推送给筛选出的预 设的漏洞检测终端。

图4示出了本发明一个实施例提供的一种WEB漏洞检测装置的结构示意 图。如图4所示，该装置包括：第一获取模块41、第二获取模块42、确认模 块43以及发送模块44。

第一获取模块41适于获取并展示与待检测网站相关的发布信息，其中， 发布信息中包括与待检测网站相关的待检测地址。

通常情况下，待检测网站为预先注册的网站，待检测网站的数量可以为 一个或多个。在每个待检测网站的注册过程中，第一获取模块41获取与该待 检测网站相关的待检测地址。其中，对于一个待检测网站而言，其相关的待 检测地址可以包括以下中的至少一个：网站首页的地址、网站中包含的链接 地址、以及网站中包含的一级页面、二级页面等各级页面的地址。当待检测 网站为多个时，第一获取模块41还可以根据各种方式确定待检测网站的展示 顺序，例如，可以根据注册时间、待检测网站的重要程度等因素确定。另外， 各个待检测网站对应的发布信息中可以包含多种内容，例如，除待检测地址 外，还可以包括该待检测网站的访问量、用户数等各种信息，总之，本发明 对发布信息的具体内容及展现方式不做限定。

第二获取模块42适于获取针对待检测网站提交的漏洞描述信息，漏洞描 述信息是漏洞检测终端针对待检测网站检测出的漏洞的描述信息。

其中，漏洞检测终端能够根据上一步骤中展示的待检测网站的发布信息 确定与待检测网站相关的待检测地址，根据待检测地址对相应网站的漏洞进 行检测，并在检测到漏洞时提交相应的漏洞描述信息，第二获取模块42获取 上述针对待检测网站提交的漏洞描述信息。具体实施时，第二获取模块42可 以通过多种方式获取漏洞检测终端针对待检测网站提交的漏洞描述信息，本 发明对具体的获取方式不做限定，例如可以通过电子邮件、站内信、聊天消 息等多种方式进行获取。另外，漏洞描述信息的具体内容也可由本领域技术 人员灵活设定。

确认模块43适于根据漏洞描述信息对漏洞进行确认。

具体地，漏洞描述信息中通常包含漏洞类型、漏洞内容等详细信息。为 了防止漏洞检测终端提交错误的漏洞描述信息，需要通过确认模块43对漏洞 描述信息中的漏洞进行确认和审核，以确定漏洞描述信息是否正确有效。具 体的确认方式可由本领域技术人员灵活选择，本发明对此不做限定。

发送模块44适于将已确认漏洞的漏洞描述信息发送至与待检测网站相对 应的漏洞接收服务器。

具体地，发送模块44可以通过电子邮件、短消息等各种方式发送已确认 漏洞的漏洞描述信息，本发明对具体发送方式不做限定。在本实施例中，为 了提高发送过程的便捷性，可以预先保存各个待检测网站相对应的漏洞接收 服务器的通信地址，并为各个待检测网站分别设置与其通信地址相对应的信 息发送入口，通过点击该信息发送入口实现自动发送漏洞描述信息的目的。

由此可见，在本发明实施例提供的WEB漏洞检测装置中，首先通过第一 获取模块41获取并展示与待检测网站相关的发布信息，其中，发布信息中包 括与待检测网站相关的待检测地址；然后通过第二获取模块42获取针对待检 测网站提交的漏洞描述信息，漏洞描述信息是漏洞检测终端针对待检测网站 检测出的漏洞的描述信息；并通过确认模块43根据漏洞描述信息对漏洞进行 确认，最后通过发送模块44将已确认漏洞的漏洞描述信息发送至与待检测网 站相对应的漏洞接收服务器。因此本发明中的方式不需要企业另行设立信息 安全部门，能够通过展示企业发布信息的方式来获取漏洞检测终端的漏洞检 测结果，从而降低了企业检测漏洞的成本，为企业提供了更加灵活而全面的 漏洞检测方式。

图5示出了本发明另一个具体实施例提供的一种WEB漏洞检测装置的结 构示意图。该装置的执行主体可以为WEB漏洞检测平台。如图5所示，该装 置包括：第一获取模块51、第二获取模块52、确认模块53、发送模块54、 信息反馈模块55、预处理模块56以及信息处理模块57。

预处理模块56适于预先接收并保存与所述待检测网站相对应的漏洞接收 服务器的通信地址，以及，预先接收并保存所述漏洞检测终端的通信地址。

其中，上述漏洞接收服务器的通信地址以及漏洞检测终端的通信地址可 以包括邮箱地址、联系人电话等。具体地，可以为待检测网站以及漏洞检测 终端设置一个注册过程，在该注册过程中，通过预处理模块56来实现预先接 收并保存与待检测网站相对应的漏洞接收服务器的通信地址，以及，通过预 处理模块56来实现预先接收并保存漏洞检测终端的通信地址。

第一获取模块51适于获取并展示与待检测网站相关的发布信息，其中， 发布信息中包括与待检测网站相关的待检测地址。

通常情况下，待检测网站为预先注册的网站，待检测网站的数量可以为 一个或多个，本实施例中，以待检测网站的数量为多个为例进行说明。在每 个待检测网站的注册过程中，第一获取模块51获取与该待检测网站相关的网 站信息，例如待检测地址、待检测网站相对应的漏洞接收服务器、待检测网 站的访问量、以及用户数等各种信息等。

完成注册的网站可以通过预设的信息发布入口提交发布信息，相应地， WEB漏洞检测平台能够通过该信息发布入口获取并展示待检测网站提交的发 布信息。发布信息中至少包括与待检测网站相关的待检测地址，以供漏洞检 测终端进行漏洞检测。其中，对于一个待检测网站而言，其相关的待检测地 址可以包括以下中的至少一个：网站首页的地址、网站中包含的链接地址、 以及网站中包含的一级页面、二级页面等各级页面的地址。在本实施例中， 各个待检测网站提交的发布信息中进一步包括：至少一个漏洞级别以及各个漏洞级别对应的漏洞价值信息；其中，漏洞级别包括以下中的至少一个：高 危级别、中危级别以及低危级别。

第二获取模块52适于获取针对待检测网站提交的漏洞描述信息，漏洞描 述信息是漏洞检测终端针对待检测网站检测出的漏洞的描述信息。

其中，漏洞检测终端能够根据展示的待检测网站的发布信息确定与待检 测网站相关的待检测地址，根据待检测地址对相应网站的漏洞进行检测，并 在检测到漏洞时提交相应的漏洞描述信息，第二获取模块52获取上述针对待 检测网站提交的漏洞描述信息。具体地，漏洞检测终端通过待检测网站对应 的漏洞提交入口提交针对于该待检测网站的漏洞描述信息，并在提交过程中 携带漏洞检测终端的终端标识。由此可见，通过预设的漏洞提交入口能够快 速准确地确定与漏洞描述信息相对应的待检测网站以及漏洞检测终端。

确认模块53适于根据漏洞描述信息对漏洞进行确认。

具体地，漏洞描述信息中通常包含漏洞类型、漏洞级别、以及漏洞内容 等详细信息。为了防止漏洞检测终端提交的漏洞描述信息出现错误，需要通 过确认模块53对漏洞描述信息中的漏洞进行确认和审核，以确定漏洞描述信 息是否正确有效。具体的确认方式可由本领域技术人员灵活选择，本发明对 此不做限定。

发送模块54适于将已确认漏洞的漏洞描述信息发送至与待检测网站相对 应的漏洞接收服务器。

具体地，可以预先接收并保存与待检测网站相对应的漏洞接收服务器的 通信地址，相应地，发送模块54根据漏洞接收服务器的通信地址将漏洞描述 信息发送给漏洞接收服务器。例如，可以在各个待检测网站注册时或提交发 布信息时获取并保存该待检测网站的通信地址。其中，通信地址可以包括邮 箱地址、联系人电话等各种方式。

信息反馈模块55适于接收所述漏洞接收服务器根据漏洞级别和/或漏洞 价值信息发送的漏洞确认信息，将所述漏洞确认信息发送给所述漏洞检测终 端。

具体地，漏洞接收服务器接收到上述已确认漏洞的漏洞描述信息之后， 信息反馈模块55进一步对漏洞描述信息中描述的漏洞级别和/或漏洞价值信 息进行评估，并根据评估结果生成并发送相应的漏洞确认信息，WEB漏洞检 测平台接收到漏洞接收服务器发送的漏洞确认信息后，将该漏洞确认信息转 发给对应的漏洞检测终端，即：提交与该漏洞确认信息相对应的漏洞描述信 息的漏洞检测终端。具体实施时，由于WEB漏洞检测平台中已注册的漏洞检 测终端的数量为多个，因此，通过预处理模块56预先接收并保存各个漏洞检测终端的通信地址，相应地，根据漏洞检测终端的通信地址将漏洞确认信息 发送给漏洞检测终端。其中，漏洞确认信息中可以包含由漏洞级别和/或漏洞 价值信息确定的评分分值，WEB漏洞检测平台还可以根据漏洞确认信息中包 含的评分分值为相应的漏洞检测终端进行评分，以便在后续过程中根据评分 确认各个漏洞检测终端的等级。

信息处理模块57适于根据待检测网站确定对其相应的漏洞描述信息进行 展示或隐藏。

具体地，信息处理模块57在根据待检测网站确定对其相应的漏洞描述信 息进行展示或隐藏时，可以在待检测网站的注册页面中或发布信息的提交页 面中进一步添加展示选项入口，该展示选项入口能够接收用户(即：待检测 网站的管理者)输入的展示参数，根据该展示参数的具体值确定在WEB漏洞 检测平台上对该待检测网站对应的漏洞描述信息进行展示或隐藏。例如，若 用户希望公开本网站的漏洞描述信息，则通过上述的展示选项入口将本网站 对应的漏洞描述信息的展现方式设置为“展示”；若用户不希望公开本网站的漏 洞描述信息，则通过上述的展示选项入口将本网站对应的漏洞描述信息的展 现方式设置为“隐藏”。另外，除了由用户确定漏洞描述信息的展示方式之外， 本领域技术人员还可以灵活选择其他各种方式确定漏洞描述信息的展示方 式。例如，还可以由WEB漏洞检测平台根据待检测网站的业务类型和/或漏 洞描述信息的详细程度等多种因素确定对相应的漏洞描述信息进行展示或隐 藏。

上述各个模块的具体结构和工作原理可参照方法实施例中相应步骤的描 述，此处不再赘述。

由此可见，在本发明实施例提供的一种WEB漏洞检测装置中，首先通过 预处理模块56预先接收并保存与所述待检测网站相对应的漏洞接收服务器的 通信地址，以及，通过预处理模块56预先接收并保存所述漏洞检测终端的通 信地址；然后通过第一获取模块51获取并展示与待检测网站相关的发布信息， 其中，发布信息中包括与待检测网站相关的待检测地址，并通过第二获取模 块52获取针对待检测网站提交的漏洞描述信息，然后进一步通过确认模块53 根据漏洞描述信息对漏洞进行确认，并通过发送模块54将已确认漏洞的漏洞 描述信息发送至与待检测网站相对应的漏洞接收服务器，最后通过信息处理 模块57根据待检测网站确定对其相应的漏洞描述信息进行展示或隐藏，并通 过信息反馈模块55接收漏洞接收服务器根据漏洞级别和/或漏洞价值信息发 送的漏洞确认信息，将漏洞确认信息发送给漏洞检测终端。因此，通过上述 的各个模块即可灵活方便地实现WEB漏洞的检测过程，在上述过程中，WEB 漏洞检测平台能够获取并展示待检测网站的相关信息，进而使漏洞检测终端 能够根据待检测网站的相关信息完成漏洞检测；并且，WEB漏洞检测平台还可以获取漏洞检测终端针对待检测网站提交的漏洞描述信息，并对漏洞描述 信息进行确认后提供给待检测网站，从而为待检测网站的漏洞检测过程提供 了便利。

图6示出了本发明再一个实施例提供的一种WEB漏洞检测系统600的结 构示意图。如图6所示，该WEB漏洞检测系统包括上述图6所示的WEB漏 洞检测装置60、待检测网站65以及漏洞检测终端66，其中，WEB漏洞检测 装置60具体包括：第一获取模块61、第二获取模块62、确认模块63以及发 送模块64。待检测网站65以及漏洞检测终端66的具体结构和工作原理可参 照方法实施例中相应步骤的描述，此处不再赘述。

图7示出了本发明再一个具体实施例提供的一种WEB漏洞检测系统700 的结构示意图。如图7所示，该WEB漏洞检测系统包括上述图7所示的WEB 漏洞检测装置70、待检测网站78以及漏洞检测终端79，其中，WEB漏洞检 测装置70具体包括：第一获取模块71、第二获取模块72、确认模块73、发 送模块74、信息反馈模块75、预处理模块76以及信息处理模块77。待检测 网站78以及漏洞检测终端79的具体结构和工作原理可参照方法实施例中相 应步骤的描述，此处不再赘述。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固 有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述， 构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定 编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容， 并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本 发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未 详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个 或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时 被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开 的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求 中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映 的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循 具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自 适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以 把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可 以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者 单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴 随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或 者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴 随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相 似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实 施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意 味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要 求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理 器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当 理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本 发明实施例的装置中的一些或者全部部件的一些或者全部功能。本发明还可 以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序 (例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存 储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信 号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他 形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制， 并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实 施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要 求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件 之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括 有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干 装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具 体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单 词解释为名称。

Claims (11)

1.一种WEB漏洞检测方法，所述方法由WEB漏洞检测平台执行，包括：

获取并展示与待检测网站相关的发布信息，其中，所述发布信息中包括与所述待检测网站相关的待检测地址；其中，预先为各个待检测网站分别设置对应的漏洞提交入口；

获取针对所述待检测网站提交的漏洞描述信息，所述漏洞描述信息是漏洞检测终端针对所述待检测网站检测出的漏洞的描述信息；其中，将待检测网站相关的发布信息以私密方式推送给筛选出的预设的漏洞检测终端，漏洞检测终端通过待检测网站对应的漏洞提交入口提交针对于该待检测网站的漏洞描述信息，并在提交过程中携带漏洞检测终端的终端标识；

其中，所述将待检测网站相关的发布信息以私密方式推送给筛选出的预设的漏洞检测终端进一步包括：根据待检测网站的网站信息对待检测网站进行等级划分和/或类型划分；获取WEB漏洞检测平台上所有已注册的漏洞检测终端的终端信息；根据漏洞检测终端的终端信息对漏洞检测终端进行等级划分和/或类型划分；将终端等级和/或终端类型与待检测网站的网站等级和/或网站类型相匹配的漏洞检测终端筛选为预设的漏洞检测终端；向筛选出的预设的漏洞检测终端推送该待检测网站的发布信息；

根据所述漏洞描述信息对所述漏洞进行确认；

将已确认漏洞的所述漏洞描述信息发送至与所述待检测网站相对应的漏洞接收服务器；

根据所述待检测网站确定对其相应的所述漏洞描述信息进行展示或隐藏；具体包括：将所述漏洞描述信息以私密方式推送给筛选出的预设的漏洞检测终端。

2.根据权利要求1所述的方法，其中，所述发布信息中进一步包括：至少一个漏洞级别以及各个漏洞级别对应的漏洞价值信息；

其中，所述漏洞级别包括以下中的至少一个：高危级别、中危级别以及低危级别。

3.根据权利要求1所述的方法，其中，所述将已确认漏洞的所述漏洞描述信息发送至与所述待检测网站相对应的漏洞接收服务器的步骤之后，进一步包括步骤：

接收所述漏洞接收服务器根据漏洞级别和/或漏洞价值信息发送的漏洞确认信息，将所述漏洞确认信息发送给所述漏洞检测终端。

4.根据权利要求3所述的方法，其中，所述方法进一步包括步骤：

预先接收并保存与所述待检测网站相对应的漏洞接收服务器的通信地址，则所述将已确认漏洞的所述漏洞描述信息发送至与所述待检测网站相对应的漏洞接收服务器的步骤具体包括：根据所述漏洞接收服务器的通信地址将所述漏洞描述信息发送给所述漏洞接收服务器；以及，

预先接收并保存所述漏洞检测终端的通信地址，则将漏洞确认信息发送给所述漏洞检测终端的步骤具体包括：根据所述漏洞检测终端的通信地址将所述漏洞确认信息发送给所述漏洞检测终端。

5.根据权利要求1-4任一所述的方法，其中，所述待检测网站的数量为多个，且所述漏洞检测终端的数量为多个。

6.一种WEB漏洞检测装置，所述装置由WEB漏洞检测平台实现，包括：

第一获取模块，适于获取并展示与待检测网站相关的发布信息，其中，所述发布信息中包括与所述待检测网站相关的待检测地址；其中，预先为各个待检测网站分别设置对应的漏洞提交入口；

第二获取模块，适于获取针对所述待检测网站提交的漏洞描述信息，所述漏洞描述信息是漏洞检测终端针对所述待检测网站检测出的漏洞的描述信息；其中，将待检测网站相关的发布信息以私密方式推送给筛选出的预设的漏洞检测终端，漏洞检测终端通过待检测网站对应的漏洞提交入口提交针对于该待检测网站的漏洞描述信息，并在提交过程中携带漏洞检测终端的终端标识；其中，所述将待检测网站相关的发布信息以私密方式推送给筛选出的预设的漏洞检测终端进一步包括：根据待检测网站的网站信息对待检测网站进行等级划分和/或类型划分；获取WEB漏洞检测平台上所有已注册的漏洞检测终端的终端信息；根据漏洞检测终端的终端信息对漏洞检测终端进行等级划分和/或类型划分；将终端等级和/或终端类型与待检测网站的网站等级和/或网站类型相匹配的漏洞检测终端筛选为预设的漏洞检测终端；向筛选出的预设的漏洞检测终端推送该待检测网站的发布信息；

确认模块，适于根据所述漏洞描述信息对所述漏洞进行确认；

发送模块，适于将已确认漏洞的所述漏洞描述信息发送至与所述待检测网站相对应的漏洞接收服务器；

信息处理模块，适于根据所述待检测网站确定对其相应的所述漏洞描述信息进行展示或隐藏；具体用于：将漏洞描述信息以私密方式推送给筛选出的预设的漏洞检测终端。

7.根据权利要求6所述的装置，其中，所述发布信息中进一步包括：至少一个漏洞级别以及各个漏洞级别对应的漏洞价值信息；

其中，所述漏洞级别包括以下中的至少一个：高危级别、中危级别以及低危级别。

8.根据权利要求6所述的装置，其中，所述装置进一步包括：

信息反馈模块，适于接收所述漏洞接收服务器根据漏洞级别和/或漏洞价值信息发送的漏洞确认信息，将所述漏洞确认信息发送给所述漏洞检测终端。

9.根据权利要求8所述的装置，其中，所述装置进一步包括：

预处理模块，适于预先接收并保存与所述待检测网站相对应的漏洞接收服务器的通信地址，以及，预先接收并保存所述漏洞检测终端的通信地址；则所述发送模块具体用于：根据所述漏洞接收服务器的通信地址将所述漏洞描述信息发送给所述漏洞接收服务器，以及，根据所述漏洞检测终端的通信地址将所述漏洞确认信息发送给所述漏洞检测终端。

10.根据权利要求6-9任一所述的装置，其中，所述待检测网站的数量为多个，且所述漏洞检测终端的数量为多个。

11.一种漏洞检测系统，包括：上述权利要求6-10任一项所述的漏洞检测装置、所述待检测网站以及所述漏洞检测终端。

Images