CN110414242A - 用于检测业务逻辑漏洞的方法、装置、设备及介质 - Google Patents

Abstract

本公开提供了一种用于检测业务逻辑漏洞的方法，包括：响应于获得客户端向服务端发送的业务报文，基于业务报文，确定业务场景信息；确定与业务场景信息对应的目标参数和测试案例；通过使用测试案例中的目标参数的值替换业务报文中的目标参数的值，生成测试报文，并将测试报文发送到服务端；接收来自服务端的针对测试报文的第一响应信息；处理第一响应信息，以得到是否存在业务逻辑漏洞的检测结果；以及输出检测结果。本公开还提供了一种用于检测业务逻辑漏洞的装置、一种电子设备以及一种计算机可读存储介质。

Description

用于检测业务逻辑漏洞的方法、装置、设备及介质

技术领域

本公开涉及自动化测试技术领域，尤其涉及一种用于检测业务逻辑漏洞的方法、装置、设备及介质。

背景技术

业务逻辑漏洞是指由于程序逻辑控制不严或者逻辑太复杂，导致一些逻辑分支不能够正常处理或处理错误，如任意金额支付、越权访问、认证绕过等。不同于传统的安全漏洞，逻辑漏洞由于业务场景复杂且不统一，目前并没有工具可以自动化的完成逻辑漏洞检测，只能由安全测试人员手工测试发现。安全测试人员一般的测试方法为：通过抓包工具截获客户端和服务器端的交互报文，构造正常业务规则范围外的测试数据，将截获的报文中的参数值篡改为测试数据，观察客户端和服务端的响应效果，以此来判断是否存在业务逻辑漏洞。但是手工测试存在以下问题：

1.测试场景覆盖不全，漏洞漏报：有些业务功能场景多，业务逻辑复杂，如网银中的购买理财交易，因为理财产品多样，每种产品的处理逻辑不同，安全测试人员对业务功能了解不够深入，完全依靠自身测试经验来测试，很容易导致测试场景覆盖不全，漏洞漏报。

2.手工测试效率低：对于复杂的业务功能，交互报文中的参数多达几十甚至上百个，手工对报文中的参数值进行篡改的话，一个业务功能就要耗费很长时间，测试效率很低。

发明内容

本公开的第一方面提供了一种用于检测业务逻辑漏洞的方法，包括：响应于获得客户端向服务端发送的业务报文，基于所述业务报文，确定业务场景信息；确定与所述业务场景信息对应的目标参数和测试案例；通过使用所述测试案例中的目标参数的值替换所述业务报文中的目标参数的值，生成测试报文，并将所述测试报文发送到所述服务端；接收来自所述服务端的针对所述测试报文的第一响应信息；处理所述第一响应信息，以得到是否存在业务逻辑漏洞的检测结果；以及输出所述检测结果。

可选地，所述基于所述业务报文，确定业务场景信息包括：获得包括多个样本报文的业务场景样本库，其中，所述多个样本报文中的每个样本报文包括用于表示业务场景的标识信息；通过将所述多个样本报文的参数名作为特征值以及将用于表示业务场景的标识信息作为预测值，通过朴素贝叶斯算法训练业务场景识别模型；基于所述业务场景识别模型，预测与所述业务报文对应的业务场景信息。

可选地，所述确定与所述业务场景信息对应的目标参数和测试案例包括：获得所述业务场景下的多个样本报文，其中，所述多个样本报文中的每个样本报文包括多个参数，每个参数包括参数名和参数值；基于与每个参数名对应的参数值的熵，从多个参数中确定至少一个目标参数；确定所述多个样本报文中所述目标参数的多个参数值作为测试案例。

可选地，所述处理所述第一响应信息以得到是否存在业务逻辑漏洞的检测结果包括：获得所述服务端针对正常业务请求的第二响应信息；确定所述第一响应信息与所述第二响应信息之间的相似度；基于所述相似度生成是否存在业务逻辑漏洞的检测结果。

本公开的第二方面提供了一种用于检测业务逻辑漏洞的装置，包括：第一确定模块，用于响应于获得客户端向服务端发送的业务报文，基于所述业务报文，确定业务场景信息；第二确定模块，用于确定与所述业务场景信息对应的目标参数和测试案例；生成模块，用于通过使用所述测试案例中的目标参数的值替换所述业务报文中的目标参数的值，生成测试报文，并将所述测试报文发送到所述服务端；接收模块，用于接收来自所述服务端的针对所述测试报文的第一响应信息；处理模块，用于处理所述第一响应信息，以得到是否存在业务逻辑漏洞的检测结果；以及输出模块，用于输出所述检测结果。

可选地，所述第一确定模块包括：第一获得子模块，用于获得包括多个样本报文的业务场景样本库，其中，所述多个样本报文中的每个样本报文包括用于表示业务场景的标识信息；训练子模块，用于通过将所述多个样本报文的参数名作为特征值以及将用于表示业务场景的标识信息作为预测值，通过朴素贝叶斯算法训练业务场景识别模型；预测子模块，用于基于所述业务场景识别模型，预测与所述业务报文对应的业务场景信息。

可选地，所述第二确定模块包括：第二获得子模块，用于获得所述业务场景下的多个样本报文，其中，所述多个样本报文中的每个样本报文包括多个参数，每个参数包括参数名和参数值；第一确定子模块，用于基于与每个参数名对应的参数值的熵，从多个参数中确定至少一个目标参数；第二确定子模块，用于确定所述多个样本报文中所述目标参数的多个参数值作为测试案例。

可选地，所述处理模块包括：第三获得子模块，用于获得所述服务端针对正常业务请求的第二响应信息；第三确定子模块，用于确定所述第一响应信息与所述第二响应信息之间的相似度；生成子模块，用于基于所述相似度生成是否存在业务逻辑漏洞的检测结果。

本公开的第三方面提供了一种电子设备，包括：处理器；以及存储器，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行上述的方法。

本公开的第四方面提供了一种计算机可读存储介质，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行上述的方法。

本公开提供了一种用于检测业务逻辑漏洞的方法、装置、设备及介质，该方法通过匹配业务场景信息，自动生成测试报文，服务端对该测试报文进行响应得到第一响应信息，处理第一响应信息得到检测结果，从而实现自动检测业务逻辑漏洞，提高漏洞检测的准确率和测试效率。

附图说明

图1示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的方法的应用场景示意图；

图2示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的方法的流程图；

图3示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的系统的框图；

图4示意性示出了根据本公开实施例的业务场景智能识别模块的框图；

图5示意性示出了根据本公开实施例的安全测试案例自动执行模块的框图；

图6示意性示出了根据本公开实施例的案例执行结果智能分析模块的框图；

图7示意性示出了根据本公开实施例的检测结果反馈模块的框图；

图8示意性示出了根据本公开另一实施例的用于检测业务逻辑漏洞的方法的流程图；

图9示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的装置的框图；

图10示意性示出了根据本公开实施例的第一确定模块的框图；

图11示意性示出了根据本公开实施例的第二确定模块的框图；

图12示意性示出了根据本公开实施例的处理模块的框图；以及

图13示意性示出了根据本公开实施例的电子设备的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。

图1示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的方法的应用场景示意图。本领域技术人员可以理解，图1所示仅为可以应用本公开实施例的场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，该应用场景包括测试人员110、浏览器或APP120、业务逻辑漏洞检测系统130以及应用服务器140。测试人员110通过浏览器或APP120向应用服务器140发起业务报文。业务逻辑漏洞检测系统130设于浏览器或APP120和应用服务器140之间，用于检测浏览器或APP120与应用服务器140之间的交互数据。

测试人员110可以为软件开发阶段的开发人员、软件功能测试阶段的功能测试人员、软件安装测试阶段的安全测试人员等。

浏览器或APP120，测试人员110通过该浏览器或APP120向应用服务器140发送业务请求对应的业务报文。

业务逻辑漏洞检测系统130用于检测业务逻辑漏洞。该业务逻辑漏洞检测系统130可以根据业务报文确定业务报文对应的业务场景信息，根据业务场景信息确定业务报文中的重要参数作为目标参数和案例库中对应的测试案例，将测试案例或者的目标参数值替换原业务报文中的目标参数值，生成测试报文，将该测试报文发至应用服务器140。例如，该业务逻辑漏洞检测系统130可以业务场景智能识别模块131、安全测试案例自动执行模块132、案例执行结果智能分析模块133以及检测结果反馈模块134。业务场景智能识别模块131用于识别该业务报文对应的业务场景。安全测试案例自动执行模块132根据业务场景确定业务报文中的重要参数作为目标参数，并从案例库中选出测试案例，用测试案例中的目标参数值代替业务报文中的目标参数值以形成测试报文，并将该测试报文发送至应用服务器140，以使应用服务器140对该测试报文进行响应得到第一响应信息。案例执行结果智能分析模块133用于将第一响应信息与未替换目标参数的正常业务报文的响应信息进行相似度匹配，根据其差异性判断该业务逻辑是否存在漏洞，并生成检测结果。检测结果反馈模块134用于存储并输出检测结果，如可以以网页的形式将检测结果反馈至测试人员，以使测试人员对其进行下一步处理。

应用服务器140对上述测试报文进行响应，向业务逻辑漏洞检测系统130发送第一响应信息，以使业务逻辑漏洞检测系统130判断该业务逻辑是否存在漏洞，并将判断结果输出。

需要说明的是，以下参考图2和图3所描述的用于检测业务逻辑漏洞的方法例如可以由业务逻辑漏洞检测系统130执行，相应地，以下参考图9所描述的用于检测业务逻辑漏洞的装置一般可以设置于业务逻辑漏洞检测系统130中。

应该理解，图1中的各个浏览器或APP和应用服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的浏览器或APP和应用服务器。

图2示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的方法的流程图。

如图2所示，该方法可以包括操作S210～S260。

在操作S210，响应于获得客户端向服务端发送的业务报文，基于该业务报文，确定业务场景信息。

在操作S220，确定与上述业务场景信息对应的目标参数和测试案例。

在操作S230，通过使用上述测试案例中的目标参数的值替换该业务报文中的目标参数的值，生成测试报文，并将该测试报文发送到服务端。

在操作S240，接收来自服务端的针对上述测试报文的第一响应信息。

在操作S250，处理上述第一响应信息，以得到是否存在业务逻辑漏洞的检测结果。

在操作S260，输出上述检测结果。

本公开实施例的方法通过匹配业务场景信息，自动生成测试报文，服务端对该测试报文进行响应得到第一响应信息，处理第一响应信息得到检测结果，从而实现自动检测业务逻辑漏洞，提高漏洞检测的准确率和测试效率。

下面结合图3～图8所示意的实施例对上述方法进行说明。

图3示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的系统300的框图。例如图1中的业务逻辑漏洞检测系统130可以实现为该用于检测业务逻辑漏洞的系统300。

请参照图3，该系统300可以包括业务场景智能识别模块310、安全测试案例自动执行模块320、案例执行结果智能分析模块330以及检测结果反馈模块340。

业务场景智能识别模块310用于基于业务报文，确定业务场景信息。例如，可以根据业务报文的特征分析出该业务报文对应的业务场景。

例如，图4示意性示出了根据本公开实施例的业务场景智能识别模块400的框图。

请参照图4，该业务场景智能识别模块400可以包括业务场景样本库410以及业务场景识别模型420。

业务场景样本库410可以包括有多个样本报文，其中，该多个样本报文中的每个样本报文包括用于表示业务场景的标识信息。每一样本报文包括参数名和参数值。例如，每一样本报文对应的业务场景可以设置一个标识信息，以代表该样本报文对应的业务场景，如网上银行转账、网上银行理财等。

业务场景识别模型420用于将上述多个样本报文的参数名作为特征值以及将用于表示业务场景的标识信息作为预测值，通过朴素贝叶斯算法训练业务场景识别模型。基于该业务场景识别模型，即可预测与业务报文对应的业务场景信息。例如，以业务报文中的参数名作为特征值，业务场景作为预测值，用朴素贝叶斯算法训练业务场景样本库也即业务场景识别模型。当将一条新的业务报文中的参数名输入业务场景识别模型中得到正确的业务场景的概率满足一定条件时，认为该业务场景识别模型训练完成，则可以通过该模型处理业务报文以预测业务场景。

返回参考图3。安全测试案例自动执行模块320用于确定与业务场景信息对应的目标参数和测试案例，通过使用该测试案例中的目标参数的值替换业务报文中的目标参数的值，生成测试报文，并将该测试报文发送到服务端。例如，可以根据业务场景确定业务报文中的重要参数作为目标参数，并从案例库中选出测试案例，用测试案例中的目标参数值代替业务报文中的目标参数值以形成测试报文，并将该测试报文发送至服务器，以使服务器对该测试报文进行响应得到第一响应信息。

例如，图5示意性示出了根据本公开实施例的安全测试案例自动执行模块500的框图。

请参照图5，该安全测试案例自动执行模块500可以包括业务场景关键参数模型510、测试案例库模型520、参数值推荐模型530以及安全测试案例发送模型540。

业务场景关键参数模型510用于获得业务场景下的多个样本报文，其中，多个样本报文中的每个样本报文包括多个参数，每个参数包括参数名和参数值，基于与每个参数名对应的参数值的熵，从多个参数中确定至少一个目标参数。例如，从业务场景样本库中选取相同业务场景的所有样本报文，每一样本报文均包括多个参数，每个参数包括参数名和参数值。计算与每个参数名对应的参数值的熵，熵值越大，代表该参数值在该业务场景中越不稳定，变化的次数越多，则将该参数作为影响业务的关键参数也即目标参数。以此方式，计算出所有业务场景中的目标参数。

测试案例库模型520用于确定多个样本报文中目标参数的多个参数值作为测试案例。例如，在业务场景样本库中取出相同业务场景下的所有业务报文中同一参数的所有参数值，参数名和参数值是一对多的关系，每一个参数值即为可替换的案例，由此生成测试案例库。

参数值推荐模型530用于根据业务报文中的目标参数，在测试案例库中找到对应的测试案例，其中，每一测试案例均包括参数名和参数值，将业务报文中的目标参数替换为测试案例中对应的参数值。例如，对于一个新的业务报文，经业务场景智能识别模块识别出业务场景，而后在测试案例库模型520中找到该业务场景对应的测试案例，该测试案例包括参数名和可以替换的参数值。提取该业务报文中的所有参数名，可以利用开源语义分析库，计算每一参数名与该业务场景对应的测试案例中的所有参数名进行相似度比对，并提取测试案例中相似度最高的参数名，该参数名对应的参数值即为可以替换的参数值。

安全测试案例发送模型540用于将业务报文中的目标参数值替换为测试案例中对应的可替换的参数值，生成测试报文，并向服务端发送该测试报文，以使服务端对其进行响应生成第一响应信息。可以一次替换一个参数，也可以一次替换多个参数组合。替换完成后生成测试报文，将测试报文发送到服务器。

返回参考图3。案例执行结果智能分析模块330用于获得服务端针对正常业务请求的第二响应信息，确定上述第一响应信息与该第二响应信息之间的相似度，基于该相似度生成是否存在业务逻辑漏洞的检测结果。例如，将第一响应信息与未替换目标参数的正常业务报文的响应信息进行相似度匹配，根据其差异性判断该业务逻辑是否存在漏洞，并生成检测结果。

例如，图6示意性示出了根据本公开实施例的案例执行结果智能分析模块600的框图。

请参照图6，该案例执行结果智能分析模块600可以包括报文类型分析模块610以及报文相似度分析模块620。

报文类型分析模块610用于根据业务报文的特征确定该业务报文的数据格式。该数据格式可以包括html、XML和json。

报文相似度分析模块620用于将第一响应信息与第二响应信息进行相似度比对，生成检测结果。如果相似度较高，则证明服务端未校验篡改后的业务报文，则判断可能存在业务逻辑漏洞。针对html或xml类型的业务报文，可以通过计算页面标签节点树的树编辑距离来计算相似度。针对json类型的业务报文，可以计算文本的海明距离来计算相似度。

检测结果反馈模块340用于存储并输出检测结果。

例如，图7示意性示出了根据本公开实施例的检测结果反馈模块700的框图。

请参照图7，该检测结果反馈模块700可以包括检测结果归类存储模块710以及检测结果显示模块720。

检测结果归类存储模块710用于将检测结果保证至数据库，以便测试人员查看。

检测结果显示模块720用于将检测结果可视化显示。便于测试人员直观查看。

图8示意性示出了根据本公开另一实施例的用于检测业务逻辑漏洞的方法的流程图。

在操作S810，业务场景智能识别模块310基于业务报文，确定业务场景信息。

在操作S820，利用安全测试案例自动执行模块320确定与业务场景信息对应的目标参数和测试案例，通过使用该测试案例中的目标参数的值替换业务报文中的目标参数的值，生成测试报文，并将该测试报文发送到服务端。

在操作S830，利用案例执行结果智能分析模块330获得服务端针对正常业务请求的第二响应信息，确定上述第一响应信息与该第二响应信息之间的相似度，基于该相似度生成是否存在业务逻辑漏洞的检测结果。

在操作S840，检测结果反馈模块340存储并输出检测结果。

基于同一发明构思，本公开实施例还提供了一种用于检测业务逻辑漏洞的装置，下面结合图9对本公开实施例的用于检测业务逻辑漏洞的装置进行介绍。

图9示意性示出了根据本公开实施例的用于检测业务逻辑漏洞的装置900的框图。

如图9所示，用于检测业务逻辑漏洞的装置900包括第一确定模块910、第二确定模块920、生成模块930、接收模块940、处理模块950以及输出模块960。

第一确定模块910例如执行参考上文图2描述的操作S210，用于响应于获得客户端向服务端发送的业务报文，基于该业务报文，确定业务场景信息。

第二确定模块920例如执行参考上文图2描述的操作S220，用于确定与上述业务场景信息对应的目标参数和测试案例。

生成模块930例如执行参考上文图2描述的操作S230，用于通过使用测试案例中的目标参数的值替换业务报文中的目标参数的值，生成测试报文，并将该测试报文发送到服务端。

接收模块940例如执行参考上文图2描述的操作S240，用于接收来自服务端的针对上述测试报文的第一响应信息；

处理模块950例如执行参考上文图2描述的操作S250，用于处理上述第一响应信息，以得到是否存在业务逻辑漏洞的检测结果。

输出模块960例如执行参考上文图2描述的操作S260，用于输出上述检测结果。

图10示意性示出了根据本公开实施例的第一确定模块1000的框图。

请参照图10，该第一确定模块1000可以包括第一获得子模块1010、训练子模块1020以及预测子模块1030。

第一获得子模块1010，用于获得包括多个样本报文的业务场景样本库，其中，多个样本报文中的每个样本报文包括用于表示业务场景的标识信息。

训练子模块1020，用于通过将上述多个样本报文的参数名作为特征值以及将用于表示业务场景的标识信息作为预测值，通过朴素贝叶斯算法训练业务场景识别模型。

预测子模块1030，用于基于上述业务场景识别模型，预测与该业务报文对应的业务场景信息。

图11示意性示出了根据本公开实施例的第二确定模块1100的框图。

请参照图11，该第二确定模块1100可以包括第二获得子模块1110、第一确定子模块1120以及第二确定子模块1130。

第二获得子模块1110，用于获得业务场景下的多个样本报文，其中，多个样本报文中的每个样本报文包括多个参数，每个参数包括参数名和参数值。

第一确定子模块1120，用于基于与每个参数名对应的参数值的熵，从多个参数中确定至少一个目标参数。

第二确定子模块1130，用于确定多个样本报文中所述目标参数的多个参数值作为测试案例。

图12示意性示出了根据本公开实施例的处理模块1200的框图。

请参照图12，该处理模块1200包括第三获得子模块1210、第三确定子模块1220以及生成子模块1230。

第三获得子模块1210，用于获得服务端针对正常业务请求的第二响应信息；

第三确定子模块1220，用于确定第一响应信息与第二响应信息之间的相似度。

生成子模块1230，用于基于相似度生成是否存在业务逻辑漏洞的检测结果。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图13示意性示出了根据本公开实施例的适于实现上文描述的方法的电子设备的方框图。图13示出的电子设备仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图13所示，本发明提供了一种电子设备1300，包括处理器1310以及存储器1320，该电子设备1300可以执行根据本发明实施例的方法。

具体的，处理器1310例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器1310还可以包括用于缓存用途的板载存储器。处理器1310可以是用于执行根据本发明实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

存储器1320，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(HDD)；光存储装置，如光盘(CD-ROM)；存储器，如随机存取存储器(RAM)或闪存；和/或有线/无线通信链路。

存储器1320可以包括计算机程序1321，该计算机程序1321可以包括代码/计算机可执行指令，其在由处理器1310执行时使得处理器1310执行例如上面本发明实施例的方法流程及其任何变形。

计算机程序1321可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序1321中的代码可以包括一个或多个程序模块，例如包括1321A、模块1321B、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器1310执行时，使得处理器1310可以执行例如上面结合本发明实施例的方法流程及其任何变形。

本公开还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本申请实施例的方法。

根据本申请的实施例，计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种用于检测业务逻辑漏洞的方法，包括：

响应于获得客户端向服务端发送的业务报文，基于所述业务报文，确定业务场景信息；

确定与所述业务场景信息对应的目标参数和测试案例；

通过使用所述测试案例中的目标参数的值替换所述业务报文中的目标参数的值，生成测试报文，并将所述测试报文发送到所述服务端；

接收来自所述服务端的针对所述测试报文的第一响应信息；

处理所述第一响应信息，以得到是否存在业务逻辑漏洞的检测结果；以及

输出所述检测结果。

2.根据权利要求1所述的方法，其中，所述基于所述业务报文，确定业务场景信息包括：

获得包括多个样本报文的业务场景样本库，其中，所述多个样本报文中的每个样本报文包括用于表示业务场景的标识信息；

通过将所述多个样本报文的参数名作为特征值以及将用于表示业务场景的标识信息作为预测值，通过朴素贝叶斯算法训练业务场景识别模型；

基于所述业务场景识别模型，预测与所述业务报文对应的业务场景信息。

3.根据权利要求1所述的方法，其中，所述确定与所述业务场景信息对应的目标参数和测试案例包括：

获得所述业务场景下的多个样本报文，其中，所述多个样本报文中的每个样本报文包括多个参数，每个参数包括参数名和参数值；

基于与每个参数名对应的参数值的熵，从多个参数中确定至少一个目标参数；

确定所述多个样本报文中所述目标参数的多个参数值作为测试案例。

4.根据权利要求1所述的方法，其中，所述处理所述第一响应信息以得到是否存在业务逻辑漏洞的检测结果包括：

获得所述服务端针对正常业务请求的第二响应信息；

确定所述第一响应信息与所述第二响应信息之间的相似度；

基于所述相似度生成是否存在业务逻辑漏洞的检测结果。

5.一种用于检测业务逻辑漏洞的装置，包括：

第一确定模块，用于响应于获得客户端向服务端发送的业务报文，基于所述业务报文，确定业务场景信息；

第二确定模块，用于确定与所述业务场景信息对应的目标参数和测试案例；

生成模块，用于通过使用所述测试案例中的目标参数的值替换所述业务报文中的目标参数的值，生成测试报文，并将所述测试报文发送到所述服务端；

接收模块，用于接收来自所述服务端的针对所述测试报文的第一响应信息；

处理模块，用于处理所述第一响应信息，以得到是否存在业务逻辑漏洞的检测结果；以及

输出模块，用于输出所述检测结果。

6.根据权利要求5所述的装置，其中，所述第一确定模块包括：

第一获得子模块，用于获得包括多个样本报文的业务场景样本库，其中，所述多个样本报文中的每个样本报文包括用于表示业务场景的标识信息；

训练子模块，用于通过将所述多个样本报文的参数名作为特征值以及将用于表示业务场景的标识信息作为预测值，通过朴素贝叶斯算法训练业务场景识别模型；

预测子模块，用于基于所述业务场景识别模型，预测与所述业务报文对应的业务场景信息。

7.根据权利要求5所述的装置，其中，所述第二确定模块包括：

第二获得子模块，用于获得所述业务场景下的多个样本报文，其中，所述多个样本报文中的每个样本报文包括多个参数，每个参数包括参数名和参数值；

第一确定子模块，用于基于与每个参数名对应的参数值的熵，从多个参数中确定至少一个目标参数；

第二确定子模块，用于确定所述多个样本报文中所述目标参数的多个参数值作为测试案例。

8.根据权利要求5所述的装置，其中，所述处理模块包括：

第三获得子模块，用于获得所述服务端针对正常业务请求的第二响应信息；

第三确定子模块，用于确定所述第一响应信息与所述第二响应信息之间的相似度；

生成子模块，用于基于所述相似度生成是否存在业务逻辑漏洞的检测结果。

9.一种电子设备，包括：

处理器；以及

存储器，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行权利要求1～4中任意一项所述的方法。

10.一种计算机可读存储介质，其上存储有计算机可读指令，所述指令被处理器执行时使得处理器执行权利要求1～4中任意一项所述的方法。