(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111277713.9 (22)申请日 2021.10.2 9 (71)申请人 中国建设银行股份有限公司 地址 100033 北京市西城区金融大街25号 (72)发明人 陈福祥　阳骁尧　邹为　陈果　 夏伟　涂耀旭　 (74)专利代理 机构 北京同立钧成知识产权代理 有限公司 1 1205 代理人 张娜　黄健 (51)Int.Cl. G06F 21/57(2013.01) G06F 21/56(2013.01) G06N 3/08(2006.01) G06N 20/00(2019.01) (54)发明名称 漏洞检测方法、 装置、 设备及存 储介质 (57)摘要 本申请提供一种漏洞检测方法、 装置、 设备 及存储介质。 该方法包括： 在接收目标应用返回 的待检测字段后， 对待检测字段进行特征提取， 获取待检测字段的特征向量， 将该特征向量输入 预先训练好的漏洞检测模型， 获取待检测字段的 检测结果， 检测结果用于指示待检测字段中是否 有漏洞和/或漏洞位置。 通过采用有监督的机器 学习模型对待检测字段进行漏洞检测， 检测准确 率高。 另外， 上述检测过程可以辅助测试人员进 行字段初筛， 提高漏洞检测效率。 权利要求书2页 说明书11页 附图3页 CN 114048480 A 2022.02.15 CN 114048480 A 1.一种漏洞检测方法， 其特 征在于， 包括： 接收待检测字段， 所述待检测字段包括目标应用响应于测试请求的各项参数的返回 值； 获取所述待检测字段的特 征向量； 将所述待检测字段的特征向量输入预设的漏洞检测模型中， 得到所述待检测字段的检 测结果， 所述漏洞检测模型是采用有监督的机器学习模型对样本字段进行训练得到的， 所 述检测结果用于指示所述待检测字段 是否存在漏洞和/或漏洞位置 。 2.根据权利要求1所述的方法， 其特征在于， 所述获取所述待检测字段的特征向量， 包 括： 对所述待检测字段中各项参数的返回值进行矢量化处理， 得到所述待检测字段的特征 向量。 3.根据权利要求2所述的方法， 其特征在于， 所述对所述待检测字段中各项参数的返回 值进行矢量 化处理， 得到所述待检测字段的特 征向量， 包括： 通过预定义的转化表， 获取所述各项参数的返回值对应的数字化序列， 所述转化表包 括每项参数的输出位置对应的第一数字， 可用符号对应的第二数字以及函数对应的第三数 字； 将所述各项参数的返回值对应的数字化序列 作为所述待检测字段的特 征向量。 4.根据权利要求1 ‑3任一项所述的方法， 其特征在于， 所述漏洞检测模型是采用如下方 式训练得到的： 获取样本字段的特征向量， 以及所述样本字段对应的标注结果， 所述标注结果包括所 述样本字段是否存在漏洞和/或漏洞位置； 将所述样本字段的特征向量作为初始漏洞检测模型的输入项， 将所述样本字段对应的 标注结果作为所述初始漏洞检测模型的输出项， 对所述漏洞检测模型进行训练； 当所述漏洞检测模型对应的损失函数收敛时， 得到训练好的所述漏洞检测模型。 5.根据权利要求1所述的方法， 其特征在于， 所述漏洞检测模型的检测结果还用于指示 所述待检测字段存在漏洞的漏洞类型； 其中， 所述漏洞类型包括反射型跨站脚本攻击XSS漏洞， 存储型XSS漏洞以及文件对象 模型DOM型 XSS漏洞； 相应的， 所述样本 字段对应的标注结果还 包括所述样本 字段存在漏洞的漏洞类型。 6.根据权利要求5所述的方法， 其特 征在于， 所述方法还 包括： 若所述检测结果用于指示所述待检测字段存在漏洞以及漏洞类型， 根据 所述漏洞类型 获取与所述漏洞类型对应的漏洞注入代码； 输出所述漏洞注入代码， 所述漏洞注入代码用于测试人员对所述目标应用进行漏洞验 证。 7.根据权利要求6所述的方法， 其特征在于， 若输出的所述漏洞注入代码包括多组漏洞 注入代码， 所述输出 所述漏洞注入代码， 包括： 按照漏洞注入代码的检测成功率从高到低的顺序， 输出 所述多组漏洞注入代码。 8.一种漏洞检测装置， 其特 征在于， 包括： 接收模块， 用于接收待检测字段， 所述待检测字段包括目标应用响应于测试请求的各权　利　要　求　书 1/2 页 2 CN 114048480 A 2项参数的返回值； 获取模块， 用于获取 所述待检测字段的特 征向量； 处理模块， 用于将所述待检测字段的特征向量输入预设的漏洞检测模型中， 得到所述 待检测字段的检测结果， 所述漏洞检测模型是采用有监督的机器学习模型对样本字段进 行 训练得到的， 所述检测结果用于指示所述待检测字段 是否存在漏洞和/或漏洞位置 。 9.一种电子设备， 其特 征在于， 包括： 存储器； 处理器； 以及 计算机程序； 其中， 所述计算机程序存储在所述存储器中， 并被配置为由所述处理器执行以实现如 权利要求1 ‑7中任一项所述的方法。 10.一种计算机可读存储介质， 其特征在于， 其上存储有计算机程序， 所述计算机程序 被处理器执行以实现如权利要求1 ‑7中任一项所述的方法。 11.一种计算机程序产品， 其特征在于， 包括计算机程序， 所述计算机程序被处理器执 行时实现权利要求1 ‑7中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 114048480 A 3