Web漏洞風險掃描技術分析

◆張偉

（濱州市醫療保險事業中心 山東 256600）

近幾年，計算機在諸多領域得到了廣泛應用，在網絡規模持續擴大的背景下，安全事故發生頻率也較之前有所增加，一旦網絡自帶安全系統被不法分子突破，不僅會導致服務器被病毒入侵，還會使網絡資源遭受到難以補救的毀滅性打擊，由此可見，要想使計算機優勢得到更充分的發揮，關鍵是要對安全風險進行科學掃描與評估。而漏洞掃描的關鍵是以漏洞數據庫為基礎，充分利用掃描技術對系統進行全面檢測，確保潛在漏洞可被及時發現并得到處理，通過弱化系統所具有安全脆弱性的方式，為使用者提供理想的網絡環境。

1 研究背景

1.1 什么是漏洞掃描

Web漏洞是指系統、軟件協議或硬件實體所應用安全策略的弱點，一旦存在Web漏洞，不法分子便能突破系統防護對其進行訪問或破壞，由此來獲取自身所需信息[1]。現有技術并不能杜絕漏洞出現，要想最大程度弱化Web漏洞所造成影響，實證有效的方法便是全面檢查計算機系統，確保潛在漏洞可盡快得到處理。在此背景下，漏洞掃描技術應運而生，該技術可以簡單地理解為以Web為載體，對主機、目標網絡所具有弱點及安全性進行全面檢測的技術，具體檢測原理如下：以利用文件、腳本模擬安全審計與攻擊實驗為前提，在深入分析模擬結果的基礎上，通過掃描漏洞的方式明確服務器各端口所對應服務類型及分配情況，同時明確各版本軟件和服務所存在安全漏洞。

1.2 掃描Web漏洞的意義

基于訪問控制視角進行分析可知，若安全策略、系統操作存在沖突，則有較大概率出現Web漏洞，而從技術的角度來看，導致Web較易被外界所攻擊的原因，主要是網絡協議、軟件配置不對等。漏洞產生的源頭并不固定，既有可能是系統、應用軟件存在缺陷，又有可能是編碼遺留所造成的錯誤，還有可能是業務處理流程存在邏輯缺陷或是設計缺陷。

Web漏洞的影響范圍極廣，既包括系統本身，系統內部所安裝防火墻、支撐組件與路由設備，同時還包括軟硬件設備。考慮到系統需要借助信息載體完成交互操作，完美的主機并不存在，換言之，在不同種設備間、相同設備的不同版本間，均有相應的漏洞風險存在，通過全面掃描的方式，使潛在漏洞被及時發現并得到處理，其現實意義有目共睹[2]。

1.3 研發全新掃描技術的必要性

Web漏洞庫是確保漏洞掃描相關操作得以有序開展的前提，而確認系統漏洞的操作，通常需要依托系統所提供規則庫才能取得應有效果。由系統所提供規則庫往往存在以下局限：其一，若規則庫所采取設計方案存在漏洞，則無法保證預報結果準確。其二，規則庫通常以現有安全漏洞為依據，對相關操作進行規劃，但網絡系統所遭受安全威脅多源于未知漏洞，只有及時更新規則庫內容，才能使預報準確度達到理想水平。其三，漏洞庫所能覆蓋范圍有限，無法保證各類系統漏洞均有觸發條件對應，不觸發規則的漏洞自然無法得到及時且準確的檢測。由此可見，通過定期擴充并修正規則庫的方式，確保漏洞庫得到完善極為重要，未來相方面關工作將是業內人士研究的重點。

2 Web漏洞的掃描原理

2.1 掃描方式

2.1.1 被動掃描

該策略需要配合中間代理或其他方式，才能對漏洞進行準確掃描。實踐所積累經驗表明，被動掃描對主機具有極強的依賴性，既能夠被用來對系統所存在弱口令和非法設置進行掃描，又可以保證不符合安全規則的軟硬件設備及服務得到處理，為系統打造安全且理想的運行環境，使其價值得到充分實現。

2.1.2 主動掃描

主動策略強調直接發出掃描請求并完成掃描工作。該策略通常以智能網絡為載體，通過借助現有腳本文件對系統攻擊進行模擬，同時對系統映射進行序列化處理的方式，確保潛在漏洞能夠被及時發現并得到有效處理。

2.2 探測分析

2.2.1 檢測主機

該技術強調以被動掃描策略為基礎，對系統潛在漏洞進行全面檢測。該技術的優點在于能夠深入系統內核，針對操作系統所存在修復及更新補丁、文件基本屬性展開檢測。加之該技術新增了口令解密，可使簡單弱口令得到有效篩除，確保系統所存在問題能夠得到準確且快速的定位，以免Web漏洞造成更嚴重的后果。當然，該技術也有較為明顯的不足存在，具體表現為日常應用需要投入大量精力與時間進行維護，同時技術優勢往往難以得到充分發揮，導致上述問題出現的原因，主要是對相關技術進行設計并應用，通常需要對軟硬件條件加以考慮，且技術應用效果極易被外界因素所影響[3]。

2.2.2 檢測網絡

基于主動掃描策略對系統脆弱性進行檢驗，根據檢驗結果推測出系統對外界攻擊所具有的抵抗能力。借助腳本文件對系統可能遭遇的攻擊行為進行模擬，在深入分析模擬所得結果的基礎上，完成對已知漏洞進行檢驗的工作。

2.2.3 檢測應用

相關技術的掃描原理如下：以被動掃描策略為依托，通過對應用軟件包當前設置、軟件包內部所存儲信息進行檢查的方式，達到發現潛在安全漏洞的目的。

2.2.4 檢測目標漏洞

該技術同樣屬于被動掃描技術，通常需要在相關策略的驅使下，才能完成對文件參數、系統內部屬性進行檢測的工作。在實際操作中，有關人員需借助消息文摘算法對文件實際加密數進行校驗，該算法的特點是可實現閉環運行，即：在運行期間重復進行業務處理——目標設定——目標屬性設定等操作，獲得閉環內所對應標志值后，通過對比初始標志值、閉環內所對應標志值的方式，得出最終結論。若二者數值不匹配，則表明系統有漏洞存在，此時，便需要盡快通知管理人員及使用者，以免造成更嚴重的后果。

3 掃描技術的研發步驟

3.1 收集信息

掃描系統借助爬蟲程序對整個網站進行掃描，由此來獲得網站敏感信息、相關鏈接、指紋信息還有子域名。爬蟲程序是指按照特定規則，對萬維網信息進行自動抓取的腳本及程序。作為可對網頁進行自動提取的程序，爬蟲程序對搜索引擎正常運行具有重要作用，目前，得到廣泛應用的爬蟲程序主要分為通用爬蟲以及聚焦爬蟲兩類，其中，通用程序的運行原理如下：通過對網頁URL進行抓取的方式，得到相應URL隊列，待URL數量達到系統要求，方可停止抓取。聚焦程序則需要以網頁分析算法為依據，在對無關鏈接進行過濾的前提下，將相關鏈接放入URL隊列，隨后，基于特定搜索策略對網頁URL進行篩選，直至RUL隊列滿足系統條件，方可停止抓取操作。由爬蟲所抓取網頁均會被存儲在系統內，經過分析與過濾后，通過建立相關索引的方式，為日后的檢索及查詢操作提供便利。由聚焦程序所得出分析結論，還可被用來為后續抓取操作提供指導，要想使聚焦程序優勢得到充分發揮，關鍵要解決以下問題：首先是準確定義抓取目標。其次是快速分析并準確過濾網頁數據。最后是基于URL特征對相應搜索策略進行制定。

在對掃描漏洞所用爬蟲程序鏈接進行設計時，下列內容需要引起重視：其一是對計劃訪問的URL進行定義，借助urllib2模塊對相關內容進行讀取，基于Beautiful Soup庫完成URL解析的操作，確保當前網頁與標簽相關的屬性值均能夠得到快速且精準的提取。其二是對特定網頁鏈接信息進行獲取，將所獲取鏈接視為全新定義的URL，通過遞歸查詢的方式，得出其他漏洞判斷所需信息。其三是對數據庫進行設計，對網站目錄進行導入并生成相應字典，在將已存字典導出后，便可完成后續的爬取操作。

3.2 發現漏洞

對發現漏洞技術進行設計時，研究人員應對以下模塊引起重視：其一，面向端口模塊——對端口服務進行識別并爆破。其二，面向文件模塊——對備份目錄及文件進行審查，提煉并整合跨站腳本攻擊、高頻訪問文件，同時對潛在腳本錯誤進行展示。其三，面向版本模塊——該模塊所涵蓋內容主要有Web服務器和該服務器所使用各項技術。其四，面向目錄模塊——定期瀏覽常見文件，對敏感目錄、文件加以確定，保證路徑所存在跨站腳本攻擊能夠被及時發現并得到處理。其五，面向URL模塊——對代碼執行、跨站腳本攻擊以及注入攻擊等參數進行識別。其六，面向CMS模塊——對指紋進行識別，通過入庫匹配的方式，獲得指紋對應POS。其七，面向HTTP模塊——該模塊主要負責改變參數并完成Fuzz。事實證明，只有立足實際對上述模塊進行科學設計，確保各模塊均能夠發揮出應有作用，才能使Web漏洞得到全面且準確的掃描，鑒于此，這一環節需要有關人員引起重視。

4 如何高效掃描Web漏洞

4.1 新增功能插件

插件是應用程序接口遵循相應規范所編寫的程序，此類程序只能依托指定系統平臺運行，而不具備單獨運行的功能，這是因為此類程序要想發揮出應有作用，通常要對純凈系統現有數據、函數庫進行調用[4]。

本文所討論技術新增了漏洞發現及漏洞利用插件，運行流程如下：以漏洞發現插件采集并提供信息為依據，根據信息分析所得結論，對漏洞利用插件進行科學調用。可供相關技術調用的插件較多，主要有利用Python腳本對網站是否存在XSS漏洞進行檢測的插件，利用腳本對網站是否存在CSRF漏洞、DDOS漏洞進行檢測的插件，對SQL注入及LDAP注入情況進行檢測的插件，對SQL盲注進行檢測的插件，對文件是否存在上傳漏洞進行檢測的插件，對緩沖區是否存在溢出漏洞存在進行檢測的插件。在實際應用中，有關人員可視情況對其他插件進行增設，確保Web漏洞得到系統且全面的掃描。

4.2 新增人工智能

近幾年，人工智能逐漸走進人們的生活，越來越多領域選擇對該技術加以應用。對漏洞掃描而言，人工智能的作用主要體現在以下方面：通過智能清洗并系統過濾相關數據的方式，對網站敏感內容進行提取，根據敏感內容對其所屬風險等級進行評估。待分析網絡的環節告一段落，便可生成相應的漏洞報告，確保漏洞情況得到清晰羅列，為使用者向漏洞網站反饋漏洞風險提供便利。

4.3 新增數據庫

數據庫是指以數據結構為依據，對數據進行組織、管理并存儲的“倉庫”，其特點可被概括為可共享、有組織以及能夠統一管理。作為以數據結構為基礎開展各項工作的軟件系統，數據庫這一概念往往包括兩方面含義：一是將數據庫視為對數據進行科學保管的實體“倉庫”，使用者可將需要管理的數據信息存放在倉庫內。二是將數據庫視為對數據進行管理的技術方法，該方法具有能夠科學組織數據、有效維護數據、全面管控數據、充分利用數據的特點。對本技術而言，新增數據庫的關鍵是將MySQL打造成后端數據庫，先對采集所得URL進行存儲，再對標志字段進行添加，以此來說明URL的掃描及爬取情況。隨后，基于正則表達式完成匹配操作，以免出現重復掃描相同網站的問題，導致資源系統出現不必要的浪費。

4.4 生成掃描報告

待上述掃描技術投入應用，相關掃描系統可對掃描數量、已發現漏洞數量、漏洞類型及相關信息、分析結果等參數進行實時顯示，同時根據使用者的需求，自動生成Excel或HTML報告，確保漏洞信息能夠得到完整且直觀的顯示。隨后，借助該系統所具有插件功能，對可有效解決此類漏洞的方案加以顯示，使掃描過程變得更加完善。而新增多任務UI的作用，主要是確保計算機所具有硬件資源能夠得到最大程度的利用。

綜上，基于智能網絡所設計主動掃描技術，新增實時檢測、自動爬蟲功能，無需工作人員手動進行配置，便可對網絡空間進行自動掃描。另外，該技術還新增了智能分析功能，確保潛在漏洞能夠被及時發現，將漏洞提交至對應網站，由專業人員對其加以解決。