[发明专利]基于业务规则的网站安全漏洞检测方法及装置

权利要求书

1.一种基于业务规则的网站安全漏洞检测方法，其特征在于，所述方法包括：

步骤1：提取所述网站的业务规则；

步骤2：根据所述业务规则，获取与每项业务规则相关的业务流程； 

步骤3：基于业务流程，生成对应于每条业务流程的测试点；

步骤4：对每个测试点生成测试例；

步骤5：采用安全测试方法对测试例进行测试，得到测试结果；

步骤6：对测试结果进行分析，判断是否存在违反业务规则的安全漏洞。

2.根据权利要求1所述的一种基于业务规则的网站安全漏洞检测方法，其特征在于，所述步骤1包括：

步骤1.1：确定网站的业务范围或者具体功能；

步骤1.2：基于确定的业务范围或者具体功能，提取所述网站的业务规则。

3.根据权利要求1所述的一种基于业务规则的网站安全漏洞检测方法，其特征在于，所述步骤1包括：

步骤1.1：根据网站的业务范围或者具体功能对网站进行分类；

步骤1.2：基于网站类型，从基本业务规则库中查找对于所述网站类型的业务规则。

4.根据权利要求3所述的一种基于业务规则的网站安全漏洞检测方法，其特征在于，所述步骤1还包括：

步骤1.3：根据网站的业务范围或者具体功能，提取网站的特殊业务规则；

步骤1.4：将从基本业务规则库中查找到的业务规则和特征业务规则一起作为提取的所述网站的业务规则。

5.根据权利要求1所述的一种基于业务规则的网站安全漏洞检测方法，其特征在于，所述步骤2包括：

步骤2.1：基于每项业务规则，对网站的全部业务流程进行分析；

步骤2.2：分别确定与每项业务规则相关的业务流程。

6.根据权利要求1所述的一种基于业务规则的网站安全漏洞检测方法，其特征在于，所述步骤4对测试点添加输入、操作步骤以及输出后形成测试例。

7.根据权利要求1所述的一种基于业务规则的网站安全漏洞检测方法，其特征在于，所述步骤5采用截获通信、修改权限或记录连接对测试例进行测试，得到测试结果。

8.一种基于业务规则的网站安全漏洞检测装置，其特征在于，所述装置包括：

业务规则提取模块：用于提取所述网站的业务规则；

业务流程获取模块：用于根据业务规则提取模块提取的业务规则，获取与每项业务规则相关的业务流程； 

测试点生成模块：用于根据业务流程获取模块获取的业务流程，生成对应于每条业务流程的测试点；

测试例生成模块：用于对每个测试点生成测试例；

测试模块：用于采用安全测试方法对测试例进行测试，得到测试结果；

结果分析模块：用于对测试结果进行分析，确定是否存在违反业务规则的安全漏洞。

9.根据权利要求8所述的一种基于业务规则的网站安全漏洞检测装置，其特征在于，所述业务规则提取模块包括：

确定子模块：用于确定网站的业务范围或者具体功能；

提取子模块：用于基于确定子模块确定的业务范围或者具体功能，提取所述网站的业务规则。

10.根据权利要求8所述的一种基于业务规则的网站安全漏洞检测装置，其特征在于，所述业务规则提取模块包括：

确定子模块：用于确定网站的业务范围或者具体功能；

分类子模块：用于根据确定子模块确定的业务范围或者具体功能对网站进行分类；

查找子模块：用于基于分类子模块得到的网站类型，从基本业务规则库中查找对于所述网站类型的业务规则。

11.根据权利要求10所述的一种基于业务规则的网站安全漏洞检测装置，其特征在于，所述业务规则提取模块还包括：

特殊业务规则提取子模块：用于根据确定子模块确定的业务范围或者具体功能，提取网站的特殊业务规则；

合并子模块：用于将查找子模块查找到的业务规则和特殊业务规则提取子模块提取到的特征业务规则一起作为提取的所述网站的业务规则。