Web安全檢測方法和裝置的制造方法
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及互聯(lián)網(wǎng)技術(shù)領(lǐng)域，尤其是涉及一種WEB安全檢測方法以及WEB安全檢測裝置。
【背景技術(shù)】
[0002]WEB安全檢測通常是指檢測WEB應(yīng)用程序的安全服務(wù)性能，并識別WEB應(yīng)用程序潛在的安全性缺陷的過程。
[0003]WEB安全檢測通常會對WEB應(yīng)用程序的多個方面分別進行檢測，例如對WEB應(yīng)用程序的部署與基礎(chǔ)結(jié)構(gòu)方面、輸入驗證方面、身份驗證方面、授權(quán)方面、配置管理方面、敏感數(shù)據(jù)方面、會話管理方面以及日志記錄方面等分別進行檢測。
[0004]發(fā)明人在實現(xiàn)本發(fā)明過程中發(fā)現(xiàn)，在實現(xiàn)WEB安全檢測過程中，尤其是在面對為數(shù)眾多的待檢測WEB應(yīng)用的情況下，如何安全且高效的對多個WEB應(yīng)用進行安全檢測是一個值得關(guān)注的問題。

【發(fā)明內(nèi)容】

[0005]本發(fā)明的目的是提供一種WEB安全檢測方法和裝置。
[0006]根據(jù)本發(fā)明的一個方面，提供一種WEB安全檢測方法，該方法包括以下步驟:將WEB安全檢測前端提交的檢測任務(wù)信息存儲于WEB安全檢測數(shù)據(jù)集合中；從WEB安全檢測數(shù)據(jù)集合中讀取待處理的至少一條檢測任務(wù)信息，并將所述讀取的檢測任務(wù)信息寫入緩存數(shù)據(jù)集合中；針對讀取的各條檢測任務(wù)信息均產(chǎn)生多個檢測子任務(wù)，將各檢測子任務(wù)分別分配給WEB安全檢測后端的集群系統(tǒng)；將集群系統(tǒng)執(zhí)行檢測子任務(wù)過程中提交的信息寫入緩存數(shù)據(jù)集合中；在一條檢測任務(wù)信息對應(yīng)的各檢測子任務(wù)執(zhí)行完成后，將該條檢測任務(wù)信息在所述緩存數(shù)據(jù)集合中的檢測結(jié)果存儲于所述WEB安全檢測數(shù)據(jù)集合中。
[0007]根據(jù)本發(fā)明的另一個方面，還提供了一種WEB安全檢測裝置，該裝置主要包括:第一數(shù)據(jù)處理模塊，適于將WEB安全檢測前端提交的檢測任務(wù)信息存儲于WEB安全檢測數(shù)據(jù)集合中；第二數(shù)據(jù)處理模塊，適于從所述WEB安全檢測數(shù)據(jù)集合中讀取待處理的至少一條檢測任務(wù)信息，并將所述讀取的檢測任務(wù)信息寫入緩存數(shù)據(jù)集合中；檢測任務(wù)分解模塊，適于針對讀取的各條檢測任務(wù)信息均產(chǎn)生多個檢測子任務(wù)；子任務(wù)調(diào)度模塊，適于將各檢測子任務(wù)分別分配給WEB安全檢測后端的集群系統(tǒng)；第三數(shù)據(jù)處理模塊，適于將集群系統(tǒng)執(zhí)行檢測子任務(wù)過程中提交的信息寫入緩存數(shù)據(jù)集合中；第四數(shù)據(jù)處理模塊，適于在一條檢測任務(wù)信息對應(yīng)的各檢測子任務(wù)執(zhí)行完成后，將該條檢測任務(wù)信息在所述緩存數(shù)據(jù)集合中的檢測結(jié)果存儲于所述WEB安全檢測數(shù)據(jù)集合中。
[0008]與現(xiàn)有技術(shù)相比，本發(fā)明具有以下優(yōu)點:本發(fā)明實施例提供的技術(shù)方案其實質(zhì)上是在WEB安全檢測前端和WEB安全檢測后端之間形成了一個API (應(yīng)用程序編程接口)，該API使WEB安全檢測前端和WEB安全檢測后端均不會直接與WEB安全檢測的數(shù)據(jù)存儲部分(即WEB安全檢測數(shù)據(jù)集合)進行數(shù)據(jù)交互，有效保證了 WEB安全檢測的數(shù)據(jù)安全性；同時，本實施例通過從WEB安全檢測的數(shù)據(jù)存儲部分讀取多條檢測任務(wù)信息，并針對每一條檢測任務(wù)信息分別產(chǎn)生多個檢測子任務(wù)，且不同檢測任務(wù)信息對應(yīng)的多個檢測子任務(wù)被分配給WEB安全檢測后端的集群系統(tǒng)進行處理，不僅可以實現(xiàn)針對不同檢測任務(wù)信息的WEB安全檢測并行處理，還可以實現(xiàn)同一個檢測任務(wù)信息對應(yīng)的不同檢測子任務(wù)的并行處理，使WEB安全檢測的多任務(wù)調(diào)度實現(xiàn)方式具有靈活性；從而本發(fā)明實施例提供的技術(shù)方案提高了WEB安全檢測的安全性，并提高了 WEB安全檢測的效率。
【附圖說明】
[0009]通過閱讀參照以下附圖所作的對非限制性實施例所作的詳細描述，本發(fā)明的其它特征、目的和優(yōu)點將會變得更明顯:
[0010]圖1為本發(fā)明一個實施例的WEB安全檢測方法的流程示意圖；
[0011]圖2為本發(fā)明另一個實施例的WEB安全檢測方法中的接口示意圖；
[0012]圖3為本發(fā)明另一個實施例的WEB安全檢測方法的示意圖；
[0013]圖4為本發(fā)明再一個實施例的WEB安全檢測裝置的結(jié)構(gòu)示意圖。
[0014]附圖中相同或相似的附圖標記代表相同或相似的部件。
【具體實施方式】
[0015]在更加詳細地討論示例性實施例之前應(yīng)當(dāng)提到的是，一些示例性實施例被描述成作為流程圖描繪的處理或方法。雖然流程圖將各項操作描述成順序的處理，但是其中的許多操作可以被并行地、被并發(fā)地或者同時被實施。此外，各項操作的順序可以被重新安排。當(dāng)其操作完成時，所述處理可以被終止，但是還可以具有未包括在附圖中的附加步驟。另夕卜，所述處理可以對應(yīng)于方法、函數(shù)、規(guī)程、子例程、子程序等等。
[0016]在上下文中所稱“計算機設(shè)備”，也可以稱為“電腦”，是指可以通過運行預(yù)定程序或指令來執(zhí)行數(shù)值計算和/或邏輯計算等預(yù)定處理過程的智能電子設(shè)備，其可以包括處理器與存儲器，由處理器執(zhí)行在存儲器中預(yù)存的存續(xù)指令來執(zhí)行預(yù)定處理過程，或是由ASIC、FPGA、DSP等硬件執(zhí)行預(yù)定處理過程，或是由上述二者組合來實現(xiàn)。計算機設(shè)備包括但不限于服務(wù)器、個人電腦、筆記本電腦、平板電腦、智能手機等。
[0017]所述計算機設(shè)備包括用戶設(shè)備與網(wǎng)絡(luò)設(shè)備。其中，所述用戶設(shè)備包括但不限于電腦、智能手機以及PDA等；所述網(wǎng)絡(luò)設(shè)備包括但不限于單個網(wǎng)絡(luò)服務(wù)器、多個網(wǎng)絡(luò)服務(wù)器組成的服務(wù)器組或基于云計算(Cloud Computing)的由大量計算機或網(wǎng)絡(luò)服務(wù)器構(gòu)成的云，其中，云計算是分布式計算的一種，由一群松散耦合的計算機集組成的一個超級虛擬計算機。其中，所述計算機設(shè)備可單獨運行來實現(xiàn)本發(fā)明，也可接入網(wǎng)絡(luò)并通過與網(wǎng)絡(luò)中的其他計算機設(shè)備的交互操作來實現(xiàn)本發(fā)明。其中，所述計算機設(shè)備所處的網(wǎng)絡(luò)包括但不限于互聯(lián)網(wǎng)、廣域網(wǎng)、城域網(wǎng)、局域網(wǎng)、VPN網(wǎng)絡(luò)等。
[0018]需要說明的是，所述用戶設(shè)備、網(wǎng)絡(luò)設(shè)備和網(wǎng)絡(luò)等僅為舉例，其他現(xiàn)有的或今后可能出現(xiàn)的計算機設(shè)備或網(wǎng)絡(luò)如可適用于本發(fā)明，也應(yīng)包含在本發(fā)明保護范圍以內(nèi)，并以引用方式包含于此。
[0019]后面所討論的方法(其中的一些是通過流程圖示出的)通?？梢酝ㄟ^硬件、軟件、固件、中間件、微代碼、硬件描述語言或其任意組合來實施。當(dāng)用軟件、固件、中間件或微代碼來實施時，用以實施必要任務(wù)的程序代碼或代碼段可以被存儲在機器或者計算機可讀介質(zhì)(比如存儲介質(zhì))中。(一個或多個)處理器可以實施必要的任務(wù)。
[0020]這里所公開的具體結(jié)構(gòu)以及功能細節(jié)僅僅是代表性的，并且是用于描述本發(fā)明的示例性實施例的目的。但是本發(fā)明可以通過許多替換形式來具體實現(xiàn)，并且不應(yīng)當(dāng)被解釋成僅僅受限于這里所闡述的實施例。
[0021]應(yīng)當(dāng)理解的是，雖然在這里可能使用了術(shù)語“第一”、“第二”等等來描述各個單元，但是這些單元不應(yīng)當(dāng)受這些術(shù)語限制。使用這些術(shù)語僅僅是為了將一個單元與另一個單元進行區(qū)分。舉例來說，在不背離示例性實施例的范圍的情況下，第一單元可以被稱為第二單元，并且類似地第二單元可以被稱為第一單元。這里所使用的術(shù)語“和/或”包括其中一個或更多所列出的相關(guān)聯(lián)項目的任意和所有組合。
[0022]應(yīng)當(dāng)理解的是，當(dāng)一個單元被稱為“連接”或者“耦合”到另一個單元時，其可以直接連接或者親合到所述另一單元，或者可存在一中間單元。與此相對，當(dāng)一個單元被稱為“直接連接”或“直接耦合”到另一單元時，則不存在一中間單元。應(yīng)當(dāng)按照類似的方式來解釋被用于描述單元之間的關(guān)系的其他類似詞語(例如“處于...之間”相比于“直接處于...之間”，“與...鄰近”相比于“與...直接鄰近”等等)。
[0023]這里所使用的術(shù)語僅僅是為了描述具體實施例而不意圖限制示例性實施例。除非上下文明確地另有所指，否則，這里所使用的單數(shù)形式“一個”或者“一項”等還意圖包括復(fù)數(shù)。還應(yīng)當(dāng)理解的是，這里所使用的術(shù)語“包括”和/或“包含”規(guī)定所陳述的特征、整數(shù)、步驟、操作、單元和/或組件的存在，而不排除存在或者添加一個或者更多其他特征、整數(shù)、步驟、操作、單元、組件和/或其組合。
[0024]還應(yīng)當(dāng)提到的是，在一些替換實現(xiàn)方式中，所提到的功能/動作可按照不同于附圖中標示的順序發(fā)生。舉例來說，取決于所涉及的功能/動作，相繼示出的兩幅圖實際上可基本上同時執(zhí)行或者有時可以按照相反的順序來執(zhí)行。
[0025]下面結(jié)合附圖對本發(fā)明作進一步詳細描述。
[0026]實施例一、WEB安全檢測方法。
[0027]本實施例所涉及的WEB安全檢測存在WEB安全檢測前端以及WEB安全檢測后端兩部分，本實施例提供的技術(shù)方案其實質(zhì)上是在WEB安全檢測前端和WEB安全檢測后端之間形成了一個API (應(yīng)用程序編程接口，Applicat1n Programming Interface)，該API 使WEB安全檢測前端和WEB安全檢測后端都不能夠直接與WEB安全檢測數(shù)據(jù)集合進行數(shù)據(jù)交互，而只能通過該API與WEB安全檢測數(shù)據(jù)集合進行數(shù)據(jù)交互；而且，該API可以實現(xiàn)對不同檢測任務(wù)信息對應(yīng)的各檢測任務(wù)、檢測任務(wù)中的各檢測子任務(wù)以及WEB安全檢測后端的集群系統(tǒng)均進行調(diào)度。
[0028]圖1為本發(fā)明一個實施例的WEB安全檢測方法的流程示意圖。
[0029]本實施例的方法通常通過數(shù)據(jù)處理設(shè)備來實現(xiàn)；且該數(shù)據(jù)處理設(shè)備通常包括但不限于PC(Personal Computer，個人計算機，如臺式計算機或者筆記型計算機等)以及服務(wù)器(如nginx服務(wù)器)等。
[0030]需要說明的是，本實施例中的數(shù)據(jù)處理設(shè)備僅為舉例，其他現(xiàn)有的或今后可能出現(xiàn)的可接入互聯(lián)網(wǎng)的網(wǎng)絡(luò)設(shè)備如可適用于本發(fā)明，也應(yīng)該包含在本發(fā)明保護范圍以內(nèi)，并以引用方式包含于此。
[0031]在圖1中，S100、將WEB安全檢測前端提交的檢測任務(wù)信息存儲于WEB安全檢測數(shù)據(jù)集合中。
[0032]具體的，本實施例中的檢測任務(wù)信息是對WEB安全檢測任務(wù)的描述，該檢測任務(wù)信息可以表示出對WEB安全檢測對象所執(zhí)行的WEB安全檢測；其中的WEB安全檢測對象可以使用能夠唯一標識出WEB應(yīng)用的信息來表示；在對所有的WEB安全檢測對象都執(zhí)行相同的WEB安全檢測的情況下，檢測任務(wù)信息中可以缺省對所執(zhí)行的WEB安全檢測的描述信息。由此可知，本實施例的檢測任務(wù)信息可以包括能夠標識出WEB應(yīng)用的信息以及所執(zhí)行的WEB安全檢測的描述信息，也可以不包括所執(zhí)行的WEB安全檢測的描述信息而僅包括能夠標識出WEB應(yīng)用的信息。上述能夠唯一標識出WEB應(yīng)用的信息可以采用WEB應(yīng)用的URL (Uniform Resoure Locator，統(tǒng)一資源定位符)等。另外，本實施例中的檢測任務(wù)信息還可以包括其他信息，如執(zhí)行WEB安全檢測的時間或者周期性執(zhí)行WEB安全檢測的時間間隔或者修復(fù)后再次進行WEB安全檢測的信息等。
[0033]上述所執(zhí)行的WEB安全檢測的描述信息、執(zhí)行WEB安全檢測的時間、周期性執(zhí)行WEB安全檢測的時間間隔以及修復(fù)后再次進行WEB安全檢測的信息等可以稱為WEB安全檢測配置信息。本實施例不限制檢測任務(wù)信息所包含的具體內(nèi)容。
[0034]本實施例的WEB安全檢測前端可以通過調(diào)用創(chuàng)建任務(wù)接口來提交一條或者多條檢測任務(wù)信息，例如，WEB安全檢測前端為用戶提供WEB安全檢測頁面，該檢測頁面中包含有允許用戶輸入檢測任務(wù)信息的區(qū)域，如WEB標識欄等，用戶在相應(yīng)的區(qū)域(如WEB標識欄)中輸入了檢測任務(wù)信息(如待檢測WEB應(yīng)用的URL)后，可以通過鼠標點擊檢測按鈕/提交按鈕或者回車鍵等方式通知WEB安全檢測前端檢測任務(wù)信息輸入完成，WEB安全檢測前端在接收