缓存中毒漏洞检测方法、装置、电子设备及存储介质.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN114244581A(43)申请公布日2022.03.25(21)申请号202111433369.8(22)申请日2021.11.29(71)申请人西安四叶草信息技术有限公司地址710075陕西省西安市高新区鱼化街办软件新城天谷八路156号云汇谷C2楼1701室(72)发明人陆泳吉(74)专利代理机构北京挺立专利事务所(普通合伙)11265代理人韩畅(51)Int.Cl.H04L9/40(2022.01)权利要求书2页说明书7页附图3页(54)发明名称缓存中毒漏洞检测方法、装置、电子设备及存储介质(57)摘要本公开提供一种缓存中毒漏洞检测方法装置、电子设备及存储介质，涉及网络安全领域，具体技术方案为：将指示信息插入用于获取第一缓存资源文件的第一请求数据包，生成第二请求数据包，指示信息用于指示修改第一缓存文件的目标内容；将第二请求数据包发送至后台服务器并获取后台服务器根据第二请求数据包返回的第二缓存资源文件；修改第一请求数据包中的指定信息，生成第三请求数据包；将第三请求数据包发送至后台服务器并获取所述后台服务器根据述第三请求数据包返回的第三缓存资源文件；若第三缓存资源文件与第二缓存资源文件的目标内容一致，则确定后台服务器存在缓存中毒漏洞。本发明用于进行缓存中毒漏洞检测。CN114244581ACN114244581A权利要求书1/2页1.一种缓存中毒漏洞检测方法，其特征在于，包括：将指示信息插入用于获取第一缓存资源文件的第一请求数据包，生成第二请求数据包，所述第一请求数据包括所述第一缓存资源文件的第一标识信息以及后台服务器的第二标识信息，所述指示信息用于指示修改所述第一缓存文件的目标内容；根据所述第二标识信息将所述第二请求数据包发送至所述后台服务器并获取所述后台服务器根据所述第二请求数据包返回的第二缓存资源文件，所述第二缓存资源文件是所述后台服务器根据所述指示信息对所述第一缓存资源文件的目标内容进行修改后生成的；修改所述第一请求数据包中的指定信息，生成第三请求数据包；将所述第三请求数据包发送至所述后台服务器并获取所述后台服务器根据所述第三请求数据包返回的第三缓存资源文件；若所述第三缓存资源文件与所述第二缓存资源文件的目标内容一致，则确定所述后台服务器存在缓存中毒漏洞。2.根据权利要求1所述的方法，其特征在于，所述指示信息包括所述目标内容待修改至的目标信息，所述修改所述第一请求数据包中的指定信息包括：若所述第二缓存资源文件的目标内容为所述目标信息，则修改所述第一请求数据包中的指定信息。3.根据权利要求1所述的方法，其特征在于，所述目标内容为所述缓存资源文件的a标签，所述指示信息包括所述a标签待修改至的目标标签，所述确定所述后台服务器存在缓存中毒漏洞包括：若所述第三缓存资源文件与所述第二缓存资源文件的a标签均为目标标签，则确定所述后台服务器存在缓存中毒漏洞。4.根据权利要求1所述的方法，其特征在于，所述第一请求数据包还至少包括语言模式信息、文件压缩模式信息、设备属性信息，所述指定信息包括所述语言模式信息、所述文件压缩模式信息、所述设备属性信息中的至少一个。5.根据权利要求1所述的方法，其特征在于，所述确定所述后台服务器存在缓存中毒漏洞后，所述方法还包括：向用户展示提示信息，所述提示信息用于提示用户所述后台服务器存在缓存中毒漏洞。6.根据权利要求1所述的方法，其特征在于，所述将指示信息插入所述用于获取目标缓存资源文件的第一请求数据包前，所述方法还包括：获取所述第一请求数据包。7.一种缓存中毒漏洞检测装置，其特征在于，包括：第二请求数据包生成模块，用于将指示信息插入用于获取第一缓存资源文件的第一请求数据包，生成第二请求数据包，所述第一请求数据包括所述第一缓存资源文件的第一标识信息以及后台服务器的第二标识信息，所述指示信息用于指示修改所述第一缓存文件的目标内容；第二缓存资源文件获取模块，用于根据所述第二标识信息将所述第二请求数据包发送至所述后台服务器并获取所述后台服务器根据所述第二请求数据包返回的第二缓存资源文件，所述第二缓存资源文件是所述后台服务器根据所述指示信息对所述第一缓存资源文2CN114244581A权利要求书2/2页件的目标内容进行修改后生成的；第三请求数据包生成模块，用于修改所述第一请求数据包中的指定信息，生成第三请求数据包；第三缓存资源文件获取模块，用于将所述第三请求数据包发送至所述后台服务器并获取所述后台服务器根据所述第三请求数据包返回的第三缓存资源文件；缓存中毒漏洞确定模块，用于若所述第三缓存资源文件与所述第二缓存资源文件的目标内容一致，则确定所述后台服务器存在缓存中毒漏洞。8.根据权利要求7所述的装置，其特征在于，所述指示信息包括所述目标内