CN111741030A

CN111741030A - 结合Web自动化与代理拦截的网站安全检测系统及方法

Info

Publication number: CN111741030A
Application number: CN202010867012.XA
Authority: CN
Inventors: 孙勇; 谢峥; 朱先锋; 高庆官
Original assignee: Beijing Saining Wang'an Technology Co ltd
Current assignee: Beijing Saining Wang'an Technology Co ltd
Priority date: 2020-08-26
Filing date: 2020-08-26
Publication date: 2020-10-02
Anticipated expiration: 2040-08-26
Also published as: CN111741030B

Abstract

本发明公开了一种结合Web自动化与代理拦截的网站安全检测系统及方法，系统主要包括自动化脚本、Web自动化测试和代理拦截模块；自动化脚本模块实现浏览器驱动程序加载、网页输入元素内容加载，模拟用户操作等；其中全部或部分网页输入元素在网站传输信息时对用户输入内容采用了加解密算法；Web自动化测试模块用于解析自动化脚本，实现网页请求和响应；代理拦截模块用于根据处理规则对网络数据包进行拦截、修改和转发，修改包括添加、删除和/或修改HTTP头部内容和HTTP报文主体内容中与加解密算法不相关的内容。本发明可应用于自定义加解密算法网站检测中，降低检测难度，提高效率，可以在较短时间内解决自定义加解密算法鉴权问题。

Description

结合Web自动化与代理拦截的网站安全检测系统及方法

技术领域

本发明涉及一种结合Web自动化与代理拦截的网站安全检测系统及方法，属于网络安全、渗透测试领域。

背景技术

常用Web安全检测方法采用代理拦截的方式，如图1所示，以Burp Suite工具为例，Burp Suite拦截所有通过代理的网络流量，如客户端的请求数据、服务器端的返回信息等。Burp Suite主要拦截HTTP和HTTPS协议的流量，通过拦截，Burp Suite以中间人的方式，可以对客户端请求数据、服务端返回做各种处理，以达到安全评估测试的目的。对于常规网站，代理拦截安全检测方法能够满足网站安全检测需求。

网站传输信息时，为了保证用户信息传输的安全性，通常引入加解密算法，对于网站采用常规RSA、AES等加解密算法，代理拦截方式使用第三方的插件能对用户信息进行加解密处理。而对于采用自定义加解密算法网站（通常算法进行混淆处理，很难分析和开发），需要重新开发加解密插件，难度较大，短时间无法完成安全检测。

Web自动化测试方法（例如Selenium），主要是用于Web 应用程序的自动化测试，支持所有基于Web的管理任务自动化。系统基于Web自动化测试技术（例如Selenium），模拟用户的操作，自动输入信息，模拟用户点击操作，根据配置信息，自动到发送服务端进行交互处理。Web自动化测试方法不涉及加解密算法，无论常规加解密算法或者自定义加解密算法，Web自动化测试方法只需网页元素值发送给相应函数即可。Web自动化测试方法，应用于网站安全检测存在问题是，只能对于已有网页元素进行设置，无法添加、删除、修改HTTP头部内容和HTTP报文主体内容，无法对于目标网站感兴趣内容进行安全检测。

综上，针对自定义加解密算法的网站安全检测问题，现有技术存在如下缺点亟待进一步改进：1、采用代理拦截方式，如果不按照自定义加解密算法进行处理，无法通过服务器鉴权，无法进行安全检测；如果处理自定义加解密算法，需要定制开发插件，而且通常加解解密算法进行混淆处理，可读性差，开发难度较大，耗费大量时间，短期内无法完成检测。2、采用自动化测试方法，只能对于已有网页元素进行设置，无法添加、删除、修改HTTP头部内容和HTTP报文主体内容，无法对于目标网站感兴趣内容进行安全检测，不能满足网站安全检测需求。

发明内容

发明目的：针对上述现有技术存在的问题，本发明目的在于提出一种网站安全检测系统与方法，针对自定义加解密算法网站，结合Web自动化测试技术和代理拦截技术，实现自定义加解密算法网站的安全性检测。

技术方案：为实现上述发明目的，本发明采用如下技术方案：

一种结合Web自动化与代理拦截的网站安全检测系统，包括自动化脚本模块、Web自动化测试模块和代理拦截模块；

所述自动化脚本模块，通过自动化脚本实现浏览器驱动程序加载、网页输入元素内容加载，模拟用户操作并设置网络代理，实现网站自动登录和浏览；其中全部或部分网页输入元素在网站传输信息时对用户输入内容采用了加解密算法；

所述Web自动化测试模块，用于解析自动化脚本，实现网页请求和响应；

所述代理拦截模块，用于根据设置的代理拦截处理规则，对网络数据包进行拦截、修改和转发；其中对网络数据包的修改包括添加、删除和/或修改HTTP头部内容，或者，添加、删除和/或修改HTTP报文主体内容中与加解密算法不相关的内容。

作为优选，所述自动化脚本模块包括：

初始化脚本单元，用于初始化目标网站网址、与加解密算法相关的网页输入元素、与加解密算法不相关的网页输入元素、提交元素、与加解密算法相关的网页输入元素对应的各个字典文件路径、浏览器驱动路径、HTTP代理IP地址和端口号；

加解密元素处理单元，用于读取与加解密算法相关的网页输入元素对应的字典文件，对输入元素进行赋值，实现各个输入元素遍历对应字典文件；

以及，运行控制单元，用于读取Web自动化测试模块的状态，以及控制初始化脚本单元和加解密元素处理单元的加载运行。

作为优选，所述加解密算法为网站自定义加解密算法或者RSA、AES加解密算法。

作为优选，所述自动化脚本模块模拟用户操作与加解密算法相关的网页输入元素，以及与加解密算法不相关的网页输入元素；其中与加解密算法相关的网页输入元素的内容在浏览器端通过字典文件赋值，与加解密算法不相关的网页输入元素的内容在浏览器端通过字典文件赋值或采用默认值，与加解密算法不相关的网页输入元素的内容采用默认值的，测试时在代理拦截模块对输入的内容根据需要进行修改。

一种结合Web自动化与代理拦截的网站安全检测方法，包括如下步骤：

（1）使用浏览器访问，获取目标网站网址、与加解密算法相关的网页输入元素、与加解密算法不相关的网页输入元素、提交元素，在自动化脚本中设置获取到的参数；

（2）在自动化脚本中设置与加解密算法相关的网页输入元素对应的各个字典文件路径，或者，与加解密算法相关的网页输入元素以及与加解密算法不相关的网页输入元素对应的各个字典文件路径，并设置浏览器驱动路径、HTTP代理IP地址和端口号；

（3）运行代理拦截工具，设置代理拦截处理规则；

（4）运行自动化脚本，加载Web自动化测试工具，加载浏览器驱动，添加HTTP代理IP地址和端口；

（5）根据设定测试内容，添加各个与加解密算法相关的网页输入元素对应字典内容，添加各个与加解密算法不相关的网页输入元素对应字典内容或默认值，触发提交元素；

（6）代理拦截工具根据设置的代理拦截处理规则，拦截或者放行网络数据包；

（7）如果代理拦截工具拦截网络数据包，则对网络数据包进行修改和转发；其中对网络数据包的修改包括添加、删除和/或修改HTTP头部内容，或者，添加、删除和/或修改HTTP报文主体内容中与加解密算法不相关的内容；

（8）如果网页输入元素对应的字典内容未发送完成，则返回步骤（5）进行后续数据发送，直到字典内容发送完成。

有益效果：本发明结合代理拦截技术和Web自动化测试技术，应用于自定义加解密算法网站检测中，通过实例化后的浏览器对象，输入网页信息，并使用输入按键方法模拟用户操作，降低检测难度，提高效率。无需重新定制开发插件，可以在较短时间内解决自定义加解密算法鉴权问题。本发明不仅适用于自定义加解密算法鉴权的网站，也适用于采用常规加解密算法的网站。本发明能够满足Web自动化测试无法提供的网站安全检测中添加、删除、修改HTTP头部内容和HTTP报文主体内容的需求。

附图说明

图1为现有代理拦截方式的网站安全检测示意图。

图2为本发明实施例的网站安全检测系统结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅只是本发明的一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的其他所有实施例，都属于本发明保护的范围。

如图2所示，本发明实施例公开的一种结合Web自动化与代理拦截的网站安全检测系统，主要由自动化脚本模块、Web自动化测试模块和代理拦截模块几个部分组成。其中自动化脚本模块，主要通自动化脚本实现浏览器驱动程序加载、网页输入元素内容加载，模拟用户操作（输入、提交等）、设置网络代理（经过代理拦截模块），实现网站自动登录和浏览。Web自动化测试模块，主要用于解析自动化脚本，实现网页请求和响应。Web自动化测试模块可采用现有的Web自动化测试工具实现，如Selenium。网站传输信息时，为了保证用户信息传输的安全性，网站通常采用加解密算法对全部或部分用户输入内容进行加密处理。本发明实施例可根据具体测试项目，通过自动化脚本选择与加解密算法相关的网页输入元素，与加解密算法不相关的网页输入元素可以在浏览器端进行输入测试，也可以由代理拦截模块进行测试（对输入的默认值进行修改）。

代理拦截模块设置代理转发和数据包记录选项，实现网络数据包拦截和转发，可采用现有工具实现，如Burp Suite。代理拦截模块设置代理拦截处理规则，主要包括客户端请求拦截规则、服务器响应拦截规则、WebSocket拦截规则、匹配替换规则、响应修改规则、SSL穿透规则和基本拦截规则等。代理拦截模块根据设置的代理拦截处理规则，对网络数据包进行拦截、修改和转发。提供添加、删除、修改HTTP头部内容和HTTP报文主体内容（与加解密算法不相关的内容）修改功能，满足安全检测需求。

自动化脚本模块主要包括初始化脚本单元、加解密元素处理单元和运行控制单元。其中初始化脚本单元主要实现目标网站网址、与加解密算法相关的网页输入元素AS（如采用自定义加解密算法加密传输的元素），与加解密算法不相关的网页输入元素BS（常规输入元素）、提交元素、输入元素AS对应的各个字典文件路径（输入元素BS在浏览器端测试时也包括输入元素BS对应的各个字典文件路径），浏览器驱动路径、HTTP代理IP地址和端口号等参数初始化。加解密元素处理单元，主要用于读取多个字典文件，对各个输入元素AS（输入元素BS在浏览器端测试时也包括输入元素BS）进行顺序赋值，实现各个输入元素遍历对应字典文件。运行控制单元，主要实现Web自动化测试模块状态读取和初始化脚本单元、加解密元素处理单元的加载运行。

本发明实施例的结合Web自动化与代理拦截的网站安全检测系统，虽然主要针对采用自定义加解密算法的网站的安全检测，但也适用于采用RSA、AES等常规加解密算法的网站。可以理解的是，对于本领域技术人员而言，可以对上述实施例中的模块进行自适应性地改变，不同模块/单元可组合成一个模块/单元，也可以把它们分成多个子模块/子单元。

基于相同的发明构思，本发明实施例公开的一种结合Web自动化与代理拦截的网站安全检测方法，包括如下步骤：

1、使用浏览器正常访问，获取目标网站网址、与加解密算法相关的网页输入元素AS、与加解密算法不相关的网页输入元素BS、提交元素，在自动化脚本中设置以上获取到的参数。

2 、在自动化脚本中设置输入元素AS对应的各个字典文件路径，浏览器驱动路径、HTTP代理IP地址和端口号（代理拦截模块运行的IP地址和端口号）；在输入元素BS在浏览器端测试时，也在自动化脚本中设置输入元素BS对应的各个字典文件路径。

3 、运行代理拦截工具，设置代理拦截处理规则，包括客户端请求拦截规则、服务器响应拦截规则、WebSocket拦截规则、匹配替换规则、响应修改规则、SSL穿透规则和基本拦截规则等。

4、运行自动化脚本，加载Web自动化测试工具，加载浏览器驱动，添加HTTP代理IP地址和端口。

5、自动化脚本根据设定测试内容，添加各个输入元素AS对应字典内容，添加输入元素BS对应字典内容或默认内容并触发提交元素。

6、代理拦截工具根据设置规则，拦截或者放行浏览器访问/网站响应数据包。

7、如果代理拦截工具拦截浏览器访问数据包，可以对输入元素BS等进行规则匹配和数据处理等操作，同时针对HTTP头部内容和HTTP报文主体内容进行规则匹配和数据处理操作，再发送数据包；同样，对于拦截的网站响应数据包也可对HTTP头部内容和HTTP报文主体内容根据测试要求做相应修改。

8、如果一个测试任务中网页输入元素对应的字典内容未发送完成，则返回步骤5进行后续数据发送，直到字典内容发送完成。

本发明根据安全检测实际需求，可通过代理拦截处理规则（设置处理数据包是否需要人工参与），可实现全自动化、半自动化或者手工检测等模式，适用于Chrome、Firefox、Edge、IE等主流浏览器（Web自动化测试工具支持浏览器类型）。

Claims

1.一种结合Web自动化与代理拦截的网站安全检测系统，其特征在于，包括自动化脚本模块、Web自动化测试模块和代理拦截模块；

2.根据权利要求1所述的结合Web自动化与代理拦截的网站安全检测系统，其特征在于，所述自动化脚本模块包括：

3.根据权利要求1所述的结合Web自动化与代理拦截的网站安全检测系统，其特征在于，所述加解密算法为网站自定义加解密算法或者RSA、AES加解密算法。

4.根据权利要求1所述的结合Web自动化与代理拦截的网站安全检测系统，其特征在于，所述自动化脚本模块模拟用户操作与加解密算法相关的网页输入元素，以及与加解密算法不相关的网页输入元素；其中与加解密算法相关的网页输入元素的内容在浏览器端通过字典文件赋值，与加解密算法不相关的网页输入元素的内容在浏览器端通过字典文件赋值或采用默认值，与加解密算法不相关的网页输入元素的内容采用默认值的，测试时在代理拦截模块对输入的内容根据需要进行修改。

5.一种结合Web自动化与代理拦截的网站安全检测方法，其特征在于，包括如下步骤：

（3）运行代理拦截工具，设置代理拦截处理规则；

6.根据权利要求5所述的结合Web自动化与代理拦截的网站安全检测方法，其特征在于，所述加解密算法为网站自定义加解密算法或者RSA、AES加解密算法。