技術(shù)領(lǐng)域

本發(fā)明總體上涉及網(wǎng)絡(luò)安全，具體地涉及一種用于防護WEB漏洞的方法和設(shè)備。

背景技術(shù)

隨著網(wǎng)絡(luò)和計算機技術(shù)的日益發(fā)展，使用網(wǎng)絡(luò)的人員增多，網(wǎng)絡(luò)安全環(huán)境日益惡化。網(wǎng)絡(luò)和軟件技術(shù)的逐漸復(fù)雜化為各種網(wǎng)絡(luò)攻擊和黑客行為提供了肥沃的土壤。網(wǎng)絡(luò)上層出不窮的攻擊和不停產(chǎn)生的漏洞使網(wǎng)絡(luò)使用者不勝其煩，尤其是其中與網(wǎng)絡(luò)接觸頻繁WEB開發(fā)者、各種網(wǎng)站的管理員等深受其害。

在各種網(wǎng)絡(luò)危害中，WEB漏洞的危害程度很大。具體而言，WEB漏洞是指WEB應(yīng)用、WEB框架、WEB語言和WEB服務(wù)器等存在的安全隱患。常見的WEB漏洞有SQL注入漏洞、XSS漏洞、文件包含漏洞、代碼執(zhí)行漏洞和文件解析漏洞等。攻擊者利用WEB漏洞可以實現(xiàn)以下惡意操作：獲取網(wǎng)站數(shù)據(jù)庫數(shù)據(jù)、網(wǎng)站上傳后門、網(wǎng)頁掛馬和植入暗鏈等。WEB漏洞的危害之所以嚴(yán)重是因為WEB應(yīng)用使用的操作系統(tǒng)和第三方應(yīng)用程序中的所有程序錯誤或者可以被利用的漏洞都是WEB漏洞的來源。甚至錯誤配置也可產(chǎn)生漏洞，并且包含有不安全的默認設(shè)置或管理員沒有進行安全配置的應(yīng)用程序也會產(chǎn)生漏洞。例如，WEB服務(wù)器被配置成可以讓任何用戶從系統(tǒng)上的任何目錄路徑通過，這樣可能會導(dǎo)致泄露存儲在WEB服務(wù)器上的一些敏感信息，如口令、源代碼或客戶信息等。

針對上述WEB漏洞，常用的檢測和防御工具是WEB安全掃描器和WEB安全防火墻。WEB安全掃描器是指針對WEB服務(wù)器進行掃描檢測，以發(fā)現(xiàn)其存在安全隱患的設(shè)備。WEB安全防火墻是指為WEB服務(wù)器提供安全防護的設(shè)備。

然而，雖然具有檢測和防御工具，但是如果不能有效地為其設(shè)置掃描和防御規(guī)則，往往對于WEB漏洞的防護還是無能為力。而設(shè)置檢測和防御規(guī)則必須在對漏洞進行分析并得到其原理之后才能得到更新。這就使規(guī)則的更新和對漏洞的防護嚴(yán)重依賴于對漏洞的研究分析結(jié)果。只有分析結(jié)果越細致、越快速以及越全面才能為WEB漏洞的防護提供越有利的條件?，F(xiàn)在為了防護WEB漏洞而進行的WEB安全研究包括WEB漏洞收集、WEB漏洞重現(xiàn)、WEB漏洞分析和WEB漏洞利用，最終形成對WEB漏洞的描述信息：WEB漏洞名稱、WEB漏洞適用版本、WEB漏洞描述和WEB漏洞利用方法等。而通過這個流程產(chǎn)生的WEB漏洞防護是不夠全面的，因為現(xiàn)有的WEB安全研究方案缺少了對WEB漏洞的研究的綜合利用，也就是不能將對WEB漏洞的重現(xiàn)、分析和利用的結(jié)果轉(zhuǎn)換成用于防護漏洞的最終方案。換言之，在現(xiàn)有技術(shù)中，對WEB漏洞做出的重現(xiàn)、分析以及利用僅僅是為了研究該WEB漏洞的特性，而得到的結(jié)果并沒有被充分利用，這是不利于WEB漏洞防護的。并且在現(xiàn)有技術(shù)中，WEB漏洞分析環(huán)節(jié)不夠深入透徹，只形成對漏洞的一個簡單描述。

因此，在現(xiàn)有WEB漏洞防護方法中，對漏洞的分析研究僅僅停留在表面，對漏洞成因的描述也只有片言只語，僅僅是表面上的分析，不夠深入，不能指出漏洞的根源所在，這樣簡單的漏洞分析對后續(xù)的防護起不到任何的作用。對比之下，在根據(jù)本發(fā)明的WEB漏洞防護方法中，對WEB漏洞的分析更加透徹，能夠指出漏洞產(chǎn)生的根源所在，分析出漏洞觸發(fā)的整個過程；通過深入詳細的漏洞分析，最終給出針對性的修復(fù)方案、掃描方法以及防御方法，這對WEB漏洞防護具有積極的意義。

此外，現(xiàn)有的WEB漏洞防護方法缺少對WEB漏洞的綜合分析和轉(zhuǎn)換環(huán)節(jié)，僅僅是對單個WEB漏洞的分析研究，不能將WEB安全研究分析的成果轉(zhuǎn)化為WEB安全掃描器和WEB安全防火墻的規(guī)則。在根據(jù)本發(fā)明的WEB漏洞防護方法中，可以及時地將針對WEB漏洞的重現(xiàn)、分析和利用成果轉(zhuǎn)換成WEB漏洞掃描規(guī)則和WEB漏洞防御規(guī)則，供WEB安全掃描器和WEB安全防火墻使用，這極大的提高了WEB安全掃描和WEB安全防御的及時性和準(zhǔn)確性。換言之，根據(jù)本發(fā)明的技術(shù)方案充分利用了對WEB漏洞的分析、重現(xiàn)和利用的成果，其成果的基礎(chǔ)上發(fā)展出WEB漏洞防護的有效方案并能夠全方位地覆蓋WEB漏洞從產(chǎn)生到危害的各個環(huán)節(jié)。

發(fā)明內(nèi)容

因此，本發(fā)明的目的在于針對日益惡化的網(wǎng)絡(luò)安全環(huán)境提供一種用于及時、準(zhǔn)確以及全面地防護WEB漏洞的方法和設(shè)備。

在本發(fā)明的第一方面中，本發(fā)明提供一種用于防護WEB漏洞的方法。所述方法包括：收集WEB漏洞；重現(xiàn)所述WEB漏洞；分析所述WEB漏洞；基于重現(xiàn)和分析所述WEB漏洞的結(jié)果來利用所述WEB漏洞；基于重現(xiàn)、分析和利用所述WEB漏洞的結(jié)果來防護WEB漏洞。

在本發(fā)明的一個優(yōu)選實施例中，所述方法進一步包括在收集所述WEB漏洞之后基于篩選標(biāo)準(zhǔn)對所收集的所述WEB漏洞進行篩選。