滲透測試的方法及裝置制造方法及圖紙

本發明專利技術實施例提供了一種滲透測試的方法及裝置，涉及代碼審計領域，方法包括：獲取待測試的鏈接數據流；通過預設的漏洞庫，對所述數據流進行漏洞掃描；所述漏洞庫中存儲有，用于驗證數據流存在漏洞的多條漏洞驗證代碼POC，且所述POC為通過對歷史數據流進行機器學習后獲得；輸出第一漏洞掃描結果。本發明專利技術實施例的方案，通過機器學習更新漏洞庫中的POC，并利用不斷更新的漏洞庫對待測試的數據流進行漏洞掃描，以滿足查找形式多樣化的漏洞的需求。

Method and apparatus for penetration testing

The embodiment of the invention provides a method and apparatus for penetration testing, involving code audit, methods include: link data acquisition for testing flow; through the preset vulnerability database, vulnerability scanning of the data stream; the vulnerability is stored in a database, used to verify the number according to a plurality of holes to flow loopholes the verification code POC, and the POC for machine learning based on historical data flow after the output of the first vulnerability scan results. The embodiment of the invention, update vulnerability in the POC library through machine learning, and use the updated vulnerability testing data flow to vulnerability scanning, to meet the diverse needs to find loopholes form.

【技術實現步驟摘要】
滲透測試的方法及裝置
本專利技術實施例涉及代碼審計領域，特別涉及一種滲透測試的方法及裝置。
技術介紹
代碼審計顧名思義就是檢查源代碼中的缺點和錯誤信息，分析并找到這些問題引發的安全漏洞，并提供代碼修訂措施和建議，從而在系統開發階段/運維階段進行深入的問題查找和消滅過程。滲透測試是代碼審計中，對代碼進行漏洞查找，以及修復的關鍵環節。現有的滲透測試過程，主要是以人工方式，對待測試的源代碼數據流(以下簡稱“數據流”)進行觀察，并依據程序員自身的專業水平和經驗來查找數據流中可能存在的漏洞。當然，還存在以漏洞驗證代碼(ProofOfConcept，POC)進行自動化的漏洞查找方式。專利技術人在實現本專利技術的過程中，發現現有技術存在如下缺陷：采用人工方式進行漏洞查找，需耗費大量人力，且耗時，測試效率低；而采用現有的POC查找漏洞的方式，雖然可以節省人力，但只能查找相對單一的漏洞，并不能滿足查找形式多樣化的漏洞的需求。
技術實現思路
本專利技術實施例提供一種滲透測試的方法及裝置，通過機器學習更新漏洞庫中的POC，并利用不斷更新的漏洞庫對待測試的數據流進行漏洞掃描，以滿足查找形式多樣化的漏洞的需求。為達到上述目的，本專利技術實施例提供了一種滲透測試的方法，包括：獲取待測試的鏈接數據流；通過預設的漏洞庫，對所述數據流進行漏洞掃描；所述漏洞庫中存儲有，用于驗證數據流存在漏洞的多條漏洞驗證代碼POC，且所述POC為通過對歷史數據流進行機器學習后獲得；輸出第一漏洞掃描結果。本專利技術實施例提供了一種滲透測試的裝置，包括：數據采集模塊，用于獲取待測試的鏈接數據流；第一漏洞掃描模塊，用于通過預設的漏洞庫，對所述數據流進行漏洞掃描；所述漏洞庫中存儲有，用于驗證數據流存在漏洞的多條漏洞驗證代碼POC，且所述POC為通過對歷史數據流進行機器學習后獲得；漏洞輸出模塊，用于輸出第一漏洞掃描結果。本專利技術實施例的滲透測試的方法及裝置，利用能夠不斷自動更新POC的漏洞庫，且更新的POC為通過對歷史數據流進行機器學習后獲得，從而使在對待測試數據流進行漏洞掃描時，能夠查找出更為多樣化、復雜的漏洞。上述說明僅是本專利技術技術方案的概述，為了能夠更清楚了解本專利技術的技術手段，而可依照說明書的內容予以實施，并且為了讓本專利技術的上述和其它目的、特征和優點能夠更明顯易懂，以下特舉本專利技術的具體實施方式。附圖說明圖1為本專利技術實施例提供的滲透測試的方法流程圖一；圖2為本專利技術實施例提供的滲透測試的流程框架圖；圖3為本專利技術實施例提供的滲透測試的方法流程圖二；圖4為本專利技術實施例提供的滲透測試的裝置結構示意圖一；圖5為本專利技術實施例提供的滲透測試的裝置結構示意圖二；圖6為本專利技術實施例提供的數據學習模塊的結構示意圖；圖7為本專利技術實施例提供的數據采集模塊的結構示意圖。具體實施方式下面將參照附圖更詳細地描述本公開的示例性實施例。雖然附圖中顯示了本公開的示例性實施例，然而應當理解，可以以各種形式實現本公開而不應被這里闡述的實施例所限制。相反，提供這些實施例是為了能夠更透徹地理解本公開，并且能夠將本公開的范圍完整的傳達給本領域的技術人員。實施例一圖1為本專利技術實施例提供的滲透測試的方法流程圖一，該方法的執行主體可以是具有滲透測試功能的終端或服務器。如圖1所示，該滲透測試的方法包括步驟如下：S110，獲取待測試的鏈接數據流；鏈接也稱超級鏈接，所謂的超鏈接是指從一個網頁指向一個目標的連接關系，而在一個網頁中用來超鏈接的對象，可以是一段文本或者是一個圖片，當瀏覽者單擊已經鏈接的文字或圖片后，鏈接目標將顯示在瀏覽器上，并且根據目標的類型來打開或運行。網頁上的超鏈接，通常采用統一資源定位符(UniformResourceLocator，URL)實現。本實施例中的鏈接數據流(以下簡稱“數據流”)，可以理解為是在完成一次鏈接的過程中，所需要傳送的所有用于請求鏈接新網址的數據包的集合，以網頁鏈接為例，該鏈接對應的數據流可以是用于請求鏈接的URL數據所包含的所有數據包。具體地，當以URL數據作為待測試的數據流時，可通過如下方法獲取URL數據流：步驟1，在地址欄中輸入指定域名IP進行網頁鏈接，并通過爬蟲技術獲取目標網頁的URL數據，例如，在網頁瀏覽器的地址欄中輸入目標網頁的IP地址，然后進行網頁鏈接，在鏈接過程中，通過爬蟲技術抓取從當前網頁請求跳轉到目標網頁的URL數據，記為目標網頁的URL數據。步驟2，對URL數據進行指紋識別對比，以去除重復的URL數據。具體地，在通過網絡爬蟲抓取到大量的URL數據后，這些URL數據中可能存在重復的數據，因此本實施例通過對獲取的所有URL數據進行指紋識別對比，去除重復的URL數據，以減少不必要的工作量。S120，通過預設的漏洞庫，對數據流進行漏洞掃描；該漏洞庫中存儲有，用于驗證數據流存在漏洞的多條漏洞驗證代碼POC，且這些POC為通過對歷史數據流進行機器學習后獲得。本實施例基于現有技術中，采用漏洞驗證代碼POC自動進行漏洞驗證的方式，預先建立了一個包含多條POC的漏洞庫，通過該漏洞庫，對數據流進行漏洞掃描。具體地，在執行漏洞掃描時，將待測試的數據流逐一經漏洞庫中的各POC進行驗證，若驗證通過，則確定該數據流中存在漏洞。所謂的POC驗證通過，指在驗證數據流時，POC的代碼程序可被成功的執行一次，若POC的代碼程序未被成功執行，則記為POC驗證未通過。與現有技術不同的是，本實施例中用于驗證數據流的漏洞庫中的POC是不斷更新的，且更新的POC為通過對歷史數據流進行機器學習后獲得。其中，所述的歷史數據流，是指在過去時間內，各次測試所對應的數據流。具體地，針對通過對歷史數據流進行機器學習，生成POC的方法步驟將在圖2所對應實施例中進行詳細說明。S130，輸出第一漏洞掃描結果。所述的第一漏洞掃面結果，指在每次對待測試的數據流進行一次測試后所形成的測試結果數據，該測試結果數據中可以包括測試時間、存在漏洞的數據流部分，如URL數據中存在漏洞的請求數據包、參數值、地址等數據流部分。例如，以下為一個存在漏洞的URL數據：http://www.ftcredit.com/news.asp？fenlei＝5經漏洞掃描確定，fenlei＝5為觸發漏洞的數據流部分，在第一漏洞掃面結果中可以包括該數據流部分，還可以包括該數據流部分所在的整個URL數據。另外，在第一漏洞掃描結果中，還可以標注各漏洞所屬的種類，這些漏洞種類可以包括：1.注入漏洞，包括結構化查詢語言(StructuredQueryLanguage，SQL)、操作系統和輕量目錄訪問協議(LightweightDirectoryAccessProtocol，LDAP)注入等。2.有問題的鑒別與會話管理。3.跨站腳本攻擊(XSS)。4.不安全的直接對象引用。5.安全配置錯誤。6.暴露敏感數據。7.函數級訪問控制缺失。8.跨站請求偽造(CSRF)。9.使用存在已知漏洞的組件。10.未驗證的重定向。這些漏洞還可以根據其不同的影響范圍以及影響程度進行等級劃分。本專利技術實施例的滲透測試的方法，通過預設的漏洞庫對待測試數據流進行漏洞掃描，以確定數據流中存在的漏洞，并且上述漏洞庫中的POC可以不斷被更新，且更新的POC為通過對歷史數據流進行機器學習后獲得，從而使在對待測試數據流進本文檔來自技高網...

【技術保護點】
一種滲透測試的方法，其特征在于，包括：獲取待測試的鏈接數據流；通過預設的漏洞庫，對所述數據流進行漏洞掃描；所述漏洞庫中存儲有，用于驗證數據流存在漏洞的多條漏洞驗證代碼POC，且所述POC為通過對歷史數據流進行機器學習后獲得；輸出第一漏洞掃描結果。

【技術特征摘要】
1.一種滲透測試的方法，其特征在于，包括：獲取待測試的鏈接數據流；通過預設的漏洞庫，對所述數據流進行漏洞掃描；所述漏洞庫中存儲有，用于驗證數據流存在漏洞的多條漏洞驗證代碼POC，且所述POC為通過對歷史數據流進行機器學習后獲得；輸出第一漏洞掃描結果。2.根據權利要求1所述的方法，其特征在于，所述通過預設的漏洞庫，對所述數據流進行漏洞掃描包括：將所述數據流逐一經所述漏洞庫中的各所述POC進行驗證，若驗證通過，則確定所述數據流中存在漏洞。3.根據權利要求2所述的方法，其特征在于，所述漏洞掃描結果包括：存在漏洞的數據流部分；所述方法還包括：在原所述數據流中，提取除所述存在漏洞的數據流部分以外的第一數據流，進行機器學習，生成具有潛在漏洞的第二數據流；通過所述漏洞庫，對所述第二數據流進行漏洞掃描，以確定存在漏洞的部分第二數據流；依據所述存在漏洞的部分第二數據流，生成對應的POC，并添加到所述漏洞庫中。4.根據權利要求3所述的方法，其特征在于，所述在原所述數據流中，提取除所述存在漏洞的數據流部分以外的第一數據流，進行機器學習，生成具有潛在漏洞的第二數據流包括：對所述第一數據流中的第一參數內容，通過樸素貝葉斯算法進行類別學習，生成與所述第一參數內容為同類別的多個第二參數內容；將原所述第一數據流中的第一參數內容替換為對應的所述第二參數內容，以形成所述第二數據流。5.根據權利要求1-4任一種所述的方法，其特征在于，所述數據流為統一資源定位符URL數據，所述獲取待測試的鏈接數據流包括：在地址欄中輸入指定域名IP進行網頁鏈接，并通過爬蟲技術獲取目標網頁的URL數據；對所述URL數據進行指紋識別對比，以去除重復的URL數據。6.一種滲透測試的裝置，...

【專利技術屬性】
技術研發人員：姚勇，譚智勇，薛兆云，鐘鋒，張勇，
申請(專利權)人：北京瑞卓喜投科技發展有限公司，
類型：發明
國別省市：北京,11