本发明涉及网络信息安全技技术领域，特别涉及一种web服务器漏洞验证方法。
背景技术：
随着互联网的迅速发展，网络空间中的终端设备越来越多，cncert发布的《2016年中国互联网网络安全报告》显示，2016年我国境内约4万个ip地址对8万余个网站植入后门、约1.7万个网站被篡改，网络应用日益普及的同时，也伴随着web站点漏洞频发、安全问题日益凸显。
技术实现要素：
针对现有技术存在的不足，本发明目的是提供一种web服务器漏洞验证方法，以解决通过难以提取web应用存在的潜在脆弱点，并且从攻防对抗双方的角度研究web服务器漏洞验证技术的问题。
为解决上述技术问题，本发明所采用的技术方案是：基本构成可以分为核心数据库、web服务器漏洞验证两部分，1、核心数据库将web服务器的指纹信息发送给漏洞验证模块，漏洞验证模块通过内在逻辑选择相应的漏洞验证程序，对服务器上可能存在的漏洞进行验证，收集验证结果后返回核心数据库吗，2、web服务器漏洞验证包括第一部分是主控服务器，包含最核心的漏洞匹配规则库，第二部分是漏洞验证程序。
进一步的，目标获取：首先从核心数据库中提取若干枚(如1000枚)带有struts2框架指纹标签的web服务器地址，将其以文本文件的形式存储。
进一步的，攻击向量传输：获得目标地址后启动漏洞验证程序，程序按照列表顺序依次对web服务器传送攻击变量进行漏洞验证，根据回包确定目标服务器确实存在漏洞时，则打印success，表示执行成功，并记录成功植入的后门地址。
进一步的，结果验证：攻击向量传输过程完成后，将所有验证成功的结果保存到核心数据库中，记录的格式主要是shell类型、shell的地址以及shell的链接密码；通过相关程序连接shell成功后，可获得web服务器上的内容文件，即通过网站漏洞获得了web服务器的完整控制权限，完成漏洞验证流程。
由上述对本发明信息采集的描述可知，和现有技术相比，本发明具有如下优点：
本发明提出一种可行的web服务器漏洞验证方法，通过总结web应用漏洞的产生规律，提取web应用存在的潜在脆弱点，从攻防对抗双方的角度研究web服务器漏洞验证技术。
附图说明
图1是web服务器漏洞验证基本构成图；
图2是web服务器漏洞验证框架图；
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本专利所述的：1、主控服务器：主控服务器包含主要控制逻辑，负责与数据库之间的数据交互，需要定期从数据库获取任务，以及将任务执行结果写回数据库中；同时根据任务需要，查询漏洞匹配规则库选择适当的漏洞验证程序执行验证任务。漏洞匹配规则库规定了web指纹、web应用和漏洞验证程序三者之间的关系，主控服务器获得目标服务器及其指纹信息后，通过漏洞匹配规则库查到相应的漏洞利用程序，即可调用程序完成验证过程；2、漏洞验证程序：漏洞验证程序是针对每个漏洞编写的包含验证向量的小型脚本程序，负责按照主控服务器发来的目标地址，发送验证向量，同时监听返回数据包，根据回包内容判定任务执行情况以及是否存在漏洞，并将验证结果反馈给主控服务器。
如图1‐2所示，一种web服务器漏洞验证方法，基本构成可以分为核心数据库、web服务器漏洞验证两部分，1、核心数据库将web服务器的指纹信息发送给漏洞验证模块，漏洞验证模块通过内在逻辑选择相应的漏洞验证程序，对服务器上可能存在的漏洞进行验证，收集验证结果后返回核心数据库吗，2、web服务器漏洞验证包括第一部分是主控服务器，包含最核心的漏洞匹配规则库，第二部分是漏洞验证程序。
其中，目标获取：首先从核心数据库中提取若干枚(如1000枚)带有struts2框架指纹标签的web服务器地址，将其以文本文件的形式存储。
其中，攻击向量传输：获得目标地址后启动漏洞验证程序，程序按照列表顺序依次对web服务器传送攻击变量进行漏洞验证，根据回包确定目标服务器确实存在漏洞时，则打印success，表示执行成功，并记录成功植入的后门地址。
其中，结果验证：攻击向量传输过程完成后，将所有验证成功的结果保存到核心数据库中，记录的格式主要是shell类型、shell的地址以及shell的链接密码；通过相关程序连接shell成功后，可获得web服务器上的内容文件，即通过网站漏洞获得了web服务器的完整控制权限，完成漏洞验证流程。
以上显示和描述了本发明的基本原理和主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。本发明要求保护范围由所附的权利要求书及其等效物界定。