CN105279086A - 一种基于流程图的自动检测电子商务网站逻辑漏洞的方法 - Google Patents

Abstract

本发明公开了一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，包括以下步骤：通过代理采集用户使用电子商务网站的踪迹，将其结构化为流程图；对已有的流程图进行拓展，寻找未发现的电子商务流程，并将其集成到已有流程图中；对拓展流程图进行解析，识别流程图中所体现的电子商务网站的功能，用生成的测试用例对电子商务网站进行逻辑漏洞的检测，生成测试结果，将计算测试返回页面与输入流程图返回页面的相似度并与阈值比较，确定是否存在对应漏洞。本发明解决了传统非逻辑漏洞检测工具爬虫爬行效率低下的问题，覆盖全部测试参数需要大量时间的问题，更加适用于对电子商务网站逻辑漏洞的全面检测。

Description

一种基于流程图的自动检测电子商务网站逻辑漏洞的方法

技术领域

本发明涉及一种基于流程图的自动检测电子商务网站逻辑漏洞的方法。

背景技术

目前检测电子商务网站逻辑漏洞的方法是传统的手工检测。方法的提出基于传统手工分析电子商务网站逻辑漏洞过程中所暴露的缺陷：

(1)目前，传统的电子商务网站逻辑漏洞的检测只能依靠手工进行，而手工检测通常依靠代理拦截电子商务网站与购物者之间的请求-响应对并修改其中的参数来完成。因购物过程中参数众多所以极易遗漏测试参数造成漏报。由于大部分逻辑漏洞在检测过程中需要保持被测试参数的单一变量(否则即使检测出错误也不能判断究竟是哪一个参数造成该错误)，所以当传统的手工检测面对众多待测试参数时，不但工作量巨大而且难免会发生参数遗漏的情况，完全依靠测试者的经验，效率、准确率均难以提高。

(2)电子商务网站逻辑漏洞种类繁多，与普通的非逻辑漏洞相比，逻辑漏洞形式多变，出现位置不定且需跨越多个页面。传统的手工测试难以同时兼顾常见的典型漏洞形式。

发明内容

本发明为了解决上述问题，提出了一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，本方法通过用户使用电子商务网站的踪迹生成流程图，以流程图作为自动检测过程的基本依据，在流程图的基础上运用爬虫进行拓展，解决了传统自动爬取页面的准确度不够和效率低下问题。

为了实现上述目的，本发明采用如下技术方案：

一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，包括以下步骤：

(1)进行踪迹采集与流程图生成：通过代理采集使用电子商务网站的踪迹，将用户使用电子商务网站功能过程中的HTTP请求信息，过滤掉无关请求后进行保存，并将其结构化为流程图；

(2)对已有的流程图用爬虫技术进行拓展，寻找步骤(1)中未发现的电子商务流程，并将其集成到已有流程图中；

(3)对拓展流程图进行解析，通过匹配url中的关键字，无法匹配时配合手工标注，识别流程图中所体现的电子商务网站的功能，存储每一个功能的url链以及参数，以作为测试用例生成的基础；

(4)建立逻辑漏洞的知识库，并根据基础知识库中的信息，结合流程图解析分析出的url链和参数生成测试用例；

(5)用生成的测试用例对电子商务网站进行电子商务网站进行逻辑漏洞的检测，生成测试结果，将计算测试返回页面与输入流程图返回页面的相似度并与阈值比较，确定是否存在对应漏洞。

所述步骤(1)中，利用代理为BurpSuite，通过实现BurpSuite提供的IContextMenuFactory接口，获取用户使用踪迹中的url，参数和cookie的二进制数据流，转换为可读字符串数据后结构化为文档；再将其以dot语言构造输出为可视化流程图，其中的参数信息以注释形式存储于流程图，以此流程图中的功能路径作为整个电子商务网站功能的根路径。

所述步骤(2)中，对根路径上每一个节点进行遍历，以节点为基础向外拓展，获取当前页面所有url后，利用正则表达式去除相似链接，并检测请求返回的html页面是否存在于信息池内，如果html页面不存在则存储返回的html存储于信息池中；如果html页面存在于信息池内，则证明该路径已经爬取过，结束当前爬行路径，以下一个节点为基础重复爬行过程。爬行到设定深度后，将能够返回根路径的拓展路径加入到流程图中，进一步对已有的流程图进行拓展，实现对未发现的电子商务网站流程的发现并集成到已有流程中，完成对电子商务网站功能的完整概述。

所述步骤(3)中，具体方法为：按照其结构化的形式及对应电子商务网站的不同功能将其中的url信息和参数信息提取出并存储于列表中备用。

所述步骤(4)中，遍历基础知识库中的相应的请求的逻辑漏洞项目，识别出当前电子商务网站的相应的项目，并进行修改。

所述步骤(5)中，按照测试用例url列表中的顺序，对应其参数列表中的内容进行顺序访问以进行对电子商务网站的模拟攻击。

所述步骤(5)中，判断是否存在逻辑漏洞，其依据包括两种：

(1)判断支付接口网站返回的token，检测到合法的token信息返回即可判定攻击成功；

(2)计算测试用例返回页面与流程图中支付页面的相似度，当攻击用例得到的结果与输入流程得到的测试结果相似度为100％时可判定为攻击失败，即漏洞不存在，相似度小于100％而大于某个阈值时判定为攻击成功，相似度小于阈值时判定为攻击失败。

一种基于上述方法的系统，包括踪迹采集与流程图生成模块、流程图拓展模块、流程图解析模块、测试用例生成模块、测试模块和基础知识库；

其中，所述踪迹采集与流程图生成模块，用于通过代理采集用户使用电子商务网站的踪迹，将整个电子商务网站功能实现过程中的HTTPRequest中的信息进行有针对性的保存，并将其结构化为流程图；

所述流程图拓展模块，用于对已有的流程图用爬虫技术进行拓展，将未发现的电子商务流程集成到已有流程；

所述流程图解析模块，用于对拓展流程图进行解析，识别流程图中所体现的电子商务网站的功能，存储每一个功能的url链以及参数，以作为测试用例生成的基础；

所述测试用例生成模块，用于根据基础知识库中的信息，结合流程图解析模块分析出的url链和参数生成测试用例；

所述测试模块，用于根据生成的测试用例对电子商务网站进行电子商务网站进行逻辑漏洞的检测，计算测试返回页面与输入流程图返回页面的相似度并与阈值比较，确认是否存在对应漏洞；

所述基础知识库，用于存储电子商务网站的待测参数及url信息。

本发明的有益效果为：

(1)与自动检测非逻辑漏洞工具相比，本发明一定程度上消除了爬虫爬行过程的盲目性，提高了爬行效率与结果的准确度；

(2)与传统手工检测逻辑漏洞方法相比，通过计算机遍历参数及漏洞种类的继而进行检测的过程，达到手工检测难以达到效率；基础知识库的可拓展性保证了逻辑漏洞检测的准确性，解决了由于检测人员经验不足造成的遗漏漏洞种类的问题。

附图说明

图1为本发明的系统结构图；

图2为流程图存储节点链表结构图；

图3为本发明流程图生成模块生成的流程图；

图4为本发明程序运行流程图。

具体实施方式：

下面结合附图与实施例对本发明作进一步说明。

如图1所示，为本发明的系统结构图。

该系统的踪迹采集与流程图生成部分用BurpSuite结合其拓展作为代理，拓展中调用BurpSuite代理接口，获取用户在电子商务网站的操作踪迹，分析其中参数和cookies信息并提取其中的url，参数和cookies信息，结构化为trace.txt文档供形成流程图。所以踪迹采集的复杂度为O(1)；流程图生成部分读入生成的trace.txt文档，过滤掉无关内容后将其其结构化的内容存入节点，所以复杂度为O(n)。

其中，BurpSuite拓展插件实现步骤如下：

输入：BurpSuite代理接口捕获的http请求messages[]；

输出：踪迹文件trace；

①遍历messages[]数组；

②从messages中获取request信息；

③二进制request息转换成可读字符串；

④request中提取url；

⑤request中提取参数数组；

⑥遍历参数数组；

⑦将每一个数组中的参数结构化为param1＝data1的形式；

⑧创建trace文件并写入。

而Trace文件构造图文件过程如下：

输入：trace文件；

输出：流程图；

①遍历trace文件的每一条request信息；

②判断是否为get方法，如果是标记为get，存储url信息；

③否则为post方法，标记为post，存储url信息和参数信息；

④创建图文件，以dot语法将存储的所有信息写入，参数以注释形式写入。

流程图拓展部分进一步设计流程图拓展算法对已有的流程图用爬虫技术进行拓展，实现对上步未发现的电子商务流程的发现并集成到已有流程中。

流程图解析部分，读入流程图，遍历其中的结构化了的信息，运用正则表达式解析出url和参数并存入到两个list中。所以其时间复杂度为O(n)。

测试用例生成部分，根据目前常见的电子商务网站逻辑漏洞的模式构建测试用例。测试用例包括url的构建参数构建以及cookies信息的构建。目前能检测的逻辑漏洞有：修改支付金额为较低金额的漏洞，未对购买数量做负数限制的漏洞，消费他人账户余额的漏洞，绕过支付过程直接生成订单的漏洞，支付总价溢出归零的漏洞和多线程消费造成余额为负数的漏洞。具体检测方法：

对于修改支付金额为较低金额的漏洞，构造的url链与输入流程图url链一致，在将购买参数提交至支付网站时修改购买金额参数为1。

对于未对购买数量做负数限制的漏洞，构造的url链与输入流程图url链一致，在将购买参数提交至支付网站时修改购买数量参数为-1。

对于消费他人账户余额的漏洞，有两种检测方式。1，构造的url链与输入流程图url链一致，在将购买参数提交至支付网站时修改用户ID数量参数为其他用户ID；2，构造的两条url链与输入流程图url链一致，用两个用户账户登录，其中账户1用于取得SessionID信息，另一条url链在将购买参数提交至支付网站时修改SessionID参数为另一用户SessionID。

对于绕过支付过程直接生成订单的漏洞，构造的url为生成订单的url，参数列表为生成订单时所需的所有参数。

对于支付总价溢出归零的漏洞，构造的url链与输入流程图url链一致，在将购买参数提交至支付网站时修改商品总价参数为32767(16位开发环境下int的范围上限+1)和2147483648(32位开发环境下int的范围上限+1)分别进行测试。

对于多线程消费造成余额为负数的漏洞，构造的两条url链输入流程图url链一致，构造支付总价参数为购买商品总价×2>账户余额，其他参数与输入流程图参数一致，开启两条线程同时进行支付测试。

测试部分，用成生的测试用例，包括Urlchain和每一个httprequest对应的参数及其cookies信息，模拟整个购物流程。用最后的返回页面与程序输入的流程图的最终返回页面进行页面相似度比较。页面相似度比较算法引入difflib库，用库中的SequenceMatcher类的get_matching_blocks方法计算出匹配的区块，将所有长度大于1(去除无意义相似区块)的区块长度之和与输入流程图的返回结果页面长度做商，得出值为页面相似度。经学习知，当购买成功时(即存在漏洞)页面相似度>0.9，购买失败时(不存在漏洞或经过检错)页面相似度<0.3。

基础知识库存储不同种类漏洞的url链构造方式及其检测参数。在生成测试用例时需检索基础知识库中的漏洞url信息和参数信息，根据库中信息构造url链和参数列表。

如图2所示，为本发明流程图存储节点链表结构图。在该链表当中，node[“GET_or_POST”]存储请求的类型信息，区别get与post请求；node[“URL”]存储该请求的Url；node[“pd”]为一个布尔值，记录该请求是否包含参数。

如果包含参数，node[“post_data”]存储这些参数；node[“Referer”]存储该请求的Referer信息。

如图3所示，为本发明生成的流程图。其中图的节点表示当前购买过程所处的状态，边表示造成从一个状态向另一个状态转变的请求。

如图4所示，为本发明的程序运行流程图。

上述虽然结合附图对本发明的具体实施方式进行了描述，但并非对本发明保护范围的限制，所属领域技术人员应该明白，在本发明的技术方案的基础上，本领域技术人员不需要付出创造性劳动即可做出的各种修改或变形仍在本发明的保护范围以内。

Claims (9)

1.一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：包括以下步骤：

(1)进行踪迹采集与流程图生成：通过代理采集用户使用电子商务网站的踪迹，将用户使用电子商务网站功能过程中的HTTP请求信息，过滤掉无关请求后进行保存，并将其结构化为流程图；

(2)对已有的流程图用爬虫技术进行拓展，寻找步骤(1)中未发现的电子商务流程，并将其集成到已有流程图中；

(3)对拓展流程图进行解析，通过匹配url中的关键字，无法匹配时配合手工标注，识别流程图中所体现的电子商务网站的功能，存储每一个功能的url链以及参数，以作为测试用例生成的基础；

(4)建立逻辑漏洞的知识库，并根据基础知识库中的信息，结合流程图解析分析出的url链和参数生成测试用例；

(5)用生成的测试用例对电子商务网站进行电子商务网站进行逻辑漏洞的检测，生成测试结果，将计算测试返回页面与输入流程图返回页面的相似度并与阈值比较，确定是否存在对应漏洞。

2.如权利要求1所述的一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：所述步骤(1)中，利用代理为BurpSuite及自主开发拓展应用graphextender，通过实现BurpSuite提供的IContextMenuFactory接口，获取用户使用踪迹中的url，参数和cookie的二进制数据流，转换为可读数据后结构化为文档；再将其以dot语言构造输出为可视化流程图，其中的参数信息以注释形式存储于流程图，以此流程图中的功能路径作为整个电子商务网站功能的根路径。

3.如权利要求1所述的一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：所述步骤(2)中，对跟路径上每一个节点的遍历，以节点为基础向外拓展，获取当前页面所有url后，利用正则表达式去除相似链接，并检测请求返回的html页面是否存在于信息池内，如果html页面不存在则存储返回的html存储于信息池中；如果html页面存在于信息池内，则证明该路径已经爬取过，结束当前爬行路径，以下一个节点为基础重复爬行过程；爬行到设定深度后，将能够返回根路径的拓展路径加入到流程图中，进一步对已有的流程图进行拓展，实现对未发现的电子商务网站流程的发现并集成到已有流程中。

4.如权利要求1所述的一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：所述步骤(2)中，去重后，爬行到设定深度后，将能够返回根路径的拓展路径加入到流程图中，进一步对已有的流程图进行拓展，实现对未发现的电子商务网站流程的发现并集成到已有流程中，完成对电子商务网站功能的完整概述。

5.如权利要求1所述的一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：所述步骤(3)中，具体方法为：按照其结构化的形式及对应电子商务网站的不同功能将其中的url信息和参数信息分别提取出并存储于列表中备用。

6.如权利要求1所述的一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：所述步骤(4)中，遍历基础知识库中的相应的请求的逻辑漏洞项目，识别出当前电子商务网站的相应的项目，并进行修改。

7.如权利要求1所述的一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：所述步骤(5)中，按照测试用例url列表中的顺序，对应其参数列表中的内容进行顺序访问以进行对电子商务网站的模拟攻击。

8.如权利要求1所述的一种基于流程图的自动检测电子商务网站逻辑漏洞的方法，其特征是：所述步骤(5)中，判断是否存在逻辑漏洞，其依据包括两种：

(1)判断支付接口网站返回的token，检测到合法的token信息返回即可判定攻击成功；

(2)计算测试用例返回页面与流程图中支付页面的相似度，当攻击用例得到的结果与输入流程得到的测试结果相似度为100％时可判定为攻击失败，即漏洞不存在，相似度小于100％而大于某个阈值时判定为攻击成功，相似度小于阈值时判定为攻击失败。

9.一种基于如权利要求1-8中任一项所述的方法的系统，其特征是：包括踪迹采集与流程图生成模块、流程图拓展模块、流程图解析模块、测试用例生成模块、测试模块和基础知识库；

其中，所述踪迹采集与流程图生成模块，用于通过代理采集用户使用电子商务网站的踪迹，将整个电子商务网站功能实现过程中的HTTPRequest中的信息进行有针对性的保存，并将其结构化为流程图；

所述流程图拓展模块，用于对已有的流程图用爬虫技术进行拓展，将未发现的电子商务流程集成到已有流程；

所述流程图解析模块，用于对拓展流程图进行解析，识别流程图中所体现的电子商务网站的功能，存储每一个功能的url链以及参数，以作为测试用例生成的基础；

所述测试用例生成模块，用于根据基础知识库中的信息，结合流程图解析模块分析出的url链和参数生成测试用例；

所述测试模块，用于根据生成的测试用例对电子商务网站进行电子商务网站进行逻辑漏洞的检测，计算测试返回页面与输入流程图返回页面的相似度并与阈值比较，确认是否存在对应漏洞；

所述基础知识库，用于存储电子商务网站的待测参数及url信息。