[发明专利]一种用于检测FlashXSS漏洞的方法、装置与设备

说明书

技术领域

本发明涉及Flash技术领域，尤其涉及一种用于检测Flash XSS漏洞的方法、装置与设备。

背景技术

随着Flash文件在网络上的广泛应用，Flash应用程序的安全问题备受关注，从而出现了较多且成熟度高的Flash漏洞检测方式；其中，Flash漏洞意指Flash应用程序的安全漏洞。但是，与此相伴随的FlashXSS漏洞检测方式却没有得到充分发展；Flash XSS漏洞即Flash跨站脚本攻击，是指攻击者在Web网页里加载插入恶意Flash动作脚本(如ActionScript代码)的Flash文件；当用户浏览该Web网页之时，嵌入Flash文件中的Flash动作脚本会被执行，从而达到攻击访问网站的目的。

现有技术中Flash XSS漏洞挖掘技术与工具在漏洞挖掘中不具备通用性，因而兼容性较差，且漏洞挖掘过程中的自动化部分较弱，需要大量人工操作，因此耗费大量人力及时间成本且检测效果不高。

因此，如何提供一种用于检测Flash XSS漏洞的方法、装置与设备，从而能够高效地针对Flash XSS漏洞进行检测，成为目前急需解决的问题之一。

发明内容

本发明的目的是提供一种用于检测Flash XSS漏洞的方法、装置与设备。

根据本发明的一个方面，提供了一种用于检测Flash XSS漏洞方法，该方法包括以下步骤：

a获取待检测的Flash可执行文件；

b对所述待检测的Flash可执行文件进行反编译处理，来获取其所对应的源程序文件；

c对所述源程序文件进行检查，以判断所述待检测的Flash文件中是否包括XSS漏洞。

根据本发明的另一方面，还提供了一种用于检测Flash XSS漏洞的检测装置，该检测设备包括：

第一获取装置，用于获取待检测的Flash可执行文件；

反编译装置，用于对所述待检测的Flash可执行文件进行反编译处理，来获取其所对应的源程序文件；

第一判断装置，用于对所述源程序文件进行检查，以判断所述待检测的Flash文件中是否包括XSS漏洞。

与现有技术相比，本发明与现有技术的区别在于：1)通过对待检测的Flash可执行文件反编译后的源程序文件进行检查来判断该待检测的Flash可执行文件中是否包括XSS漏洞，由于该检测方法可对绝大部分Flash XSS漏洞进行准确检测，因此提高了检测的通用性；同时由于检测Flash XSS漏洞过程的全自动化，极大地降低了人工及时间成本，从而实现了检测的高效性及准确性；2)通过对Flash可执行文件的配置属性是否合理进行检测，可确定该Flash可执行文件的安全策略配置是否完善，实现了对Flash可执行文件遭受Flash跨站脚本攻击的可能性的预估，从而为后续对Flash可执行文件的配置属性进行优化调整以提高其安全性的操作提供参考依据。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1示出根据本发明一个方面的用于检测Flash XSS漏洞的检测装置的结构示意图；

图2示出根据本发明一个优选实施例的用于判断待检测的Flash可执行文件是否存在XSS漏洞的第一判断装置的结构示意图；

图3示出根据本发明另一个方面的用于检测Flash XSS漏洞的方法流程图；

图4示出根据本发明一个优选实施例的用于判断待检测的Flash可执行文件是否存在XSS漏洞的方法流程图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本发明作进一步详细描述。

图1示出根据本发明一个方面的用于检测Flash XSS漏洞的检测装置的结构示意图。本实施例的检测装置包含于网络设备中；该检测装置包括第一获取装置1、反编译装置2和第一判断装置3。

其中，所述网络设备包括但不限于网络主机、单个网络服务器、多个网络服务器集或多个服务器构成的云。在此，云由基于云计算(Cloud Computing)的大量计算机或网络服务器构成，其中，云计算是分布式计算的一种，由一群松散耦合的计算机集组成的一个超级虚拟计算机。本领域技术人员应能理解上述网络设备仅为举例，其他现有的或今后可能出现的网络设备如可适用于本发明，也应包含在本发明保护范围以内，并在此以引用方式包含于此。