[发明专利]一种面向java web服务的漏洞扫描系统及方法

说明书

本发明提供了一种面向java web服务的漏洞扫描系统及方法，涉及漏洞扫描技术领域；所述扫描系统包括资产收集模块、指纹识别模块、框架漏洞扫描模块和基础漏洞扫描模块，基于该扫描系统实现的扫描方法在对于URL处理上对于非该目标资产和无效链接进行URL去除处理，提高扫描速率；在资产收集模块在常见搜索框登录框出对于输入参数进行收集整理；在目录扫描之前会处理收集到的URL资产的子目录，提高目录扫描模块的发现率；之后的SQL注入模块会对于WAF进行识别绕过处理，该方法简单集成了常见java开发模板漏洞的漏洞库。

技术领域

本发明涉及漏洞扫描技术领域，尤其涉及一种面向java web服务的漏洞扫描系统及方法。

背景技术

随着互联网的高速发展，互联网成为了联结所有人信息的交汇点。人们越来越习惯在互联网上完成各种业务功能，很多的金融公司，政府机构，私人企业的业务通过各种web系统进行交互处理，为人民提高更加方便快捷的服务。同时，网络安全形势也越来越严峻，网络攻击事件频繁，用户个人隐私大量泄露，对于企业和个人造成很大影响。做好网络安全防护越来越重要。

做好网络安全防护一般需要企业了解自身暴露资产，完整的对于企业的暴力资产做渗透测试、漏洞扫描。针对安全漏洞企业需要安排开发人员进行修复之后再进行漏洞验证等等。而其中的财力人力的开销是巨大的，对于中小型企业来讲负担较大。而漏洞扫描器可以很好的较低中小型企业的压力，漏洞扫描器操作简单，运行速率快，耗时短，可以协助安全人员更快更高效的完成系统安全评估。

在现在已知的技术中，扫描器没有具体针对不同java框架进行区分扫描，扫描不够灵活，扫描速率慢。对于URL资产处理较为复杂，一些静态文件和无效链接无需进行漏洞探测。整体扫描较为单一不够灵活，目录扫描方面只对于输入站点的子目录进行扫描，但是目标资产可能存在多级目录。框架识别不够精细，常见java开发模板漏洞没有完善的漏洞库。

发明内容

本发明的目的在于提供一种面向java web服务的漏洞扫描系统及方法，从而解决现有技术中存在的前述问题。

为了实现上述目的，本发明采用的技术方案如下：

一种面向java web服务的漏洞扫描系统，包括资产收集模块、指纹识别模块、框架漏洞扫描模块和基础漏洞扫描模块，所述资产收集模块会根据输入的目标站点收集该站点URL信息以及站点子目录信息，所述指纹识别模块针对java框架的指纹识别，通过查找几个常见的位置来确定当前框架类型，所述框架漏洞扫描模块用于在所述指纹扫描模块判断出框架类型后进入该框架进行漏洞扫描，收集常见java框架漏洞；所述基础漏洞扫描模块包括目录扫描子模块、XSS漏洞扫描子模块和SQL注入漏洞扫描子模块，所述目标扫描子模块用于扫描目标资产URL的子目录；所述XSS漏洞扫描子模块用于扫描爬虫获取的所有URL是否存在xss漏洞；所述SQL注入漏洞扫描子模块用于确定SQL注入模块是否有用户恶意构造的数据库命令进入数据库中执行。

优选的，所述资产收集模块采用广度优先爬虫策略爬取全站URL，优先爬取重要性和关联度较高的链接，使用python的BeautifulSoup模块，获取所有带href属性的a标签，把a标签中的href属性提取出来，去除重复链接，如果提取出来的非目标资产那么去除，如果是非http开头的则带上资产根目录，通过此处理好的链接加入未访问列表，已经爬虫过后的链接加入已访问列表；取出未访问列表里面的URL按照爬虫步骤再次进行爬虫，爬虫完毕将爬虫结果放入一个文件中方便之后的指纹识别模块、框架漏洞扫描模块和基础漏洞扫描模块进行调用。

优选的，所述指纹识别模块通过查找几个常见的位置来确定当前框架类型，包括HTTP头，http响应头的server,X-Powered-By和cookies，具体包括以下步骤：

首先获取响应包里面的HTTP头信息，接着确认里面是否有Server,X-Jenkins,X-Powered-By,Powered by这些HTTP头，如果存在那么直接获取对应的java框架信息。