CN111949548B - 一种自动化越权渗透测试方法和存储设备 - Google Patents

Abstract

本发明涉及软件测试领域，特别涉及一种自动化越权渗透测试方法和存储设备。所述一种自动化越权渗透测试方法，包括步骤：待检测系统接收不同权限用户的操作请求，对所有的操作请求进行抓包，对抓包后的所有的操作请求生成操作请求脚本；将操作请求脚本中的身份标识信息值替换为一个获取身份标识信息值的函数；运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统，返回请求对应的响应包，判断待检测用户是否越权成功。整个过程可自动化替换待检测用户的身份标识信息，以不同的身份标识信息对待检测系统进行登录请求与操作请求，真实自动化模拟了各种权限用户的操作访问请求，无需人工一个个操作过去，大大提高了测试效率。

Description

一种自动化越权渗透测试方法和存储设备

技术领域

本发明涉及软件测试领域，特别涉及一种自动化越权渗透测试方法和存储设备。

背景技术

随着科技的不断发展，软件的开发进度越来越快。故而软件测试也变得尤为重要。所谓软件测试指：在规定的条件下对软件程序进行操作，以发现程序错误，衡量软件质量，并对其是否能满足设计要求进行评估的过程。

越权(或者说权限提升，Privilege Escalation)作为软件测试中常见的一个测试项目是指攻击者能够执行其本身没有资格执行的一些操作，属于“访问控制”的问题。它的威胁在于一个账户即可控制全站用户数据。当然这些数据仅限于存在漏洞功能对应的数据。越权访问(Broken Access Control，简称BAC)是Web应用程序中一种常见的漏洞，由于其存在范围广、危害大，被OWASP列为Web应用十大安全隐患的第二名。现有技术中，对于越权漏洞的检测主要是通过测试人员对Web程序进行渗透测试，人工检测出漏洞，这种人工方式检测方法耗费时间较长，检测人员需要进行大量的重复性工作，效率极其低下。

目前市面上虽已有很多测试工具，但是针对于越权测试方面却没有一个很好的有针对性的自动化方法。如果对一个系统每个接口都需做越权测试，基于现有的办法工作量大，耗时长，效率低，且人工大量重复操作无法避免一些人为错误，导致准确率低。

发明内容

为此，需要提供一种自动化越权渗透测试方法，用以解决现有越权测试人工重复操作工作量大，效率低，且容易出现人为错误的问题。具体技术方案如下：

一种自动化越权渗透测试方法，包括步骤：

待检测系统接收不同权限用户的操作请求，对所有的操作请求进行抓包，对抓包后的所有的操作请求进行处理生成操作请求脚本；

将所述操作请求脚本中的身份标识信息值替换为一个获取身份标识信息值的函数；

运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统，所述获取身份标识信息值的函数获取所述待检测用户的身份标识信息值更换至所述脚本，以更换后的操作请求脚本向所述待检测系统发起请求；

返回所述请求对应的响应包，结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功。

进一步的，所述“运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统”前，还包括步骤：通过脚本模拟待检测用户登录待检测系统，获取所述待检测用户的身份标识信息值。

进一步的，所述“对所有的操作请求进行抓包，对抓包后的所有的操作请求进行处理生成操作请求脚本”，还包括步骤：

将每个权限用户所有的操作请求进行去重，分别生成与所述每个权限用户一一对应的第一预设格式文件，根据脚本执行软件的不同将所述第一预设格式文件转换为第二预设格式文件。

进一步的，所述“结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功”，还包括步骤：

步骤S1、判断所述响应包的内容中是否包含预设规则中对应的越权字段；

步骤S2、若包含，则判定所述待检测用户越权，并记录测试结果；

步骤S3、判断是否执行完所述操作请求脚本内的所有请求，若未执行完所述操作请求脚本内的所有请求，则激活所述待检测用户，并执行所述操作请求脚本内的下一个请求；

步骤S4、重复S1至S3直至所述待检测用户执行完所述操作请求脚本内的所有请求；

步骤S5、若所述响应包的内容中不包含预设规则中对应的越权字段，则继续执行所述操作请求脚本内的下一个请求，再重复步骤S1，直至执行完所述操作请求脚本内的所有请求。

进一步的，还包括步骤：

步骤S6、若执行完所述操作请求脚本内的所有请求，则获取下一个待检测用户，模拟所述待检测用户向所述待检测系统发起请求，返回所述请求对应的响应包，重复执行步骤S1至S5，直至所有配置的待检测用户都执行完成；

执行完步骤S6后，执行步骤S7、获取并执行下一个权限用户对应的操作请求脚本，重复步骤S1至S6，直至所有权限用户对应的操作请求脚本执行完成，生成测试报告。

进一步的，还包括步骤：

根据所述测试报告生成复测脚本，所述复测脚本只针对存在越权行为的请求进行再次测试。

进一步的，所述“激活所述待检测用户”，还包括步骤：通过更新数据库激活所述待检测用户，或通过调用更新用户状态的接口激活所述待检测用户。

进一步的，所述身份标识信息值为cookie。

进一步的，所述“所述获取身份标识信息值的函数获取所述待检测用户的身份标识信息值更换至所述脚本”，还包括步骤：所述获取身份标识信息值的函数获取所述待检测用户的用户名，所述获取身份标识信息值的函数通过所述用户名获取所述待检测用户的身份标识信息值；

所述身份标识信息值用于唯一标识用户。

为解决上述技术问题，还提供了一中存储设备，其中存储有指令集，所述指令集用于执行：上述所提及的任意步骤。

本发明的有益效果是：通过待检测系统接收不同权限用户的操作请求，对所有的操作请求进行抓包，对抓包后的所有的操作请求进行处理生成操作请求脚本；将所述操作请求脚本中的身份标识信息值替换为一个获取身份标识信息值的函数；运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统，所述获取身份标识信息值的函数获取所述待检测用户的身份标识信息值更换至所述脚本，以更换后的操作请求脚本向所述待检测系统发起请求；返回所述请求对应的响应包，结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功。整个过程可自动化替换待检测用户的身份标识信息，以不同的身份标识信息对待检测系统进行登录请求与操作请求，真实自动化模拟了各种权限用户的操作访问请求，无需人工一个个操作过去，大大提高了测试效率，同时避免了大量重复工作可能产生的人工错误，大大提高了测试的准确性。

附图说明

图1为具体实施方式所述一种自动化越权渗透测试方法的流程图；

图2为具体实施方式所述获取身份标识信息值的函数代码示意图；

图3为具体实施方式所述冻结规则与更新规则的代码示意图；

图4为具体实施方式所述存储设备的模块示意图。

附图标记说明：

400、存储设备。

具体实施方式

为详细说明技术方案的技术内容、构造特征、所实现目的及效果，以下结合具体实施例并配合附图详予说明。

请参阅图1，在本实施方式，所述一种自动化越权渗透测试方法可应用在存储设备上，所述存储设备包括但不限于：个人计算机、服务器、通用计算机、专用计算机、网络设备、嵌入式设备、可编程设备、智能移动终端等。其中所述存储设备上需安装有自动化工具，在本实施方式中，使用httprunner作为辅助测试工具，在其它实施方式中，可根据实际情况，选用其它的测试工具进行替换，不做限制。

本申请的核心技术思想在于：先登录不同权限用户对待检测系统进行所有的操作，将整个操作过程生成操作请求脚本，将所述操作请求脚本中的身份标识信息值替换为一个获取身份标识信息值的函数，通过该获取身份标识信息值的函数在每次模拟待检测用户登录时，其会自动以新的待检测用户对应的身份标识信息值来对待检测系统发起请求，整个过程中无需人工去替换待检测用户与身份标识信息值，大大提高测试效率和测试准确率。

具体实施方式如下：

步骤S101：待检测系统接收不同权限用户的操作请求。

步骤S102：对所有的操作请求进行抓包，对抓包后的所有的操作请求进行处理生成操作请求脚本。

步骤S103：将所述操作请求脚本中的身份标识信息值替换为一个获取身份标识信息值的函数。

步骤S104：运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统，所述获取身份标识信息值的函数获取所述待检测用户的身份标识信息值更换至所述脚本，以更换后的操作请求脚本向所述待检测系统发起请求。

步骤S105：返回所述请求对应的响应包。

步骤S106：结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功。

首先结合步骤S101和步骤S102对如何生成操作请求脚本进行具体说明：

登录不同权限用户对所述待检测系统进行操作，将每个权限用户所有的操作请求进行去重，分别生成与所述每个权限用户一一对应的第一预设格式文件，根据脚本执行软件的不同将所述第一预设格式文件转换为第二预设格式文件。具体可如下：根据要测试的业务需求，某待测系统总共含有三种权限的用户，则分别登录三个不同权限的用户：U1、U2、U3，对应执行每个权限用户的所有操作请求，通过抓包工具(在本实施方式中，使用fiddler进行抓包，在其它实施方式中，可使用其它的抓包工具进行抓包，不做限制)分别获取每个权限用户的所有操作的请求。抓包好后，分别对每个权限用户重复的请求进行去重，分别生成har文件，再借助httprunner的命令将har文件转为YAML/JSON脚本。至此，所有不同权限的用户对应的操作请求脚本生成完毕。在本实施方式中，以JSON脚本来进行说明。

以下结合步骤S103至步骤S105来具体说明如何将操作请求脚本中的身份信息标识值自动替换为待检测用户的。

需要说明的是在所述“运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统”前，还包括步骤：通过脚本模拟待检测用户登录待检测系统，获取所述待检测用户的身份标识信息值。具体可如下：步骤S103具体可如下：由所述待检测系统提供的现有的用户名和密码，通过写模仿用户登录的Selenium测试脚本，来自动模拟不同用户登录的行为，获取用户的身份标识信息值。

如：根据业务需求，会事先配置好要进行越权测试的角色，不同的角色对应不同的权限，并配置好每个角色下的用户名和密码列表，如角色A下配置了三个用户：a1、a2、a3；角色B下配置了两个用户：b1、b2；角色C下配置了四个用户：c1、c2、c3、c4。则通过脚本模拟上述这些待检测用户登录待检测系统，获取到上述这些待检测用户的身份标识信息值。在本实施方式中，所述身份标识信息值为cookie，所述身份标识信息值用于唯一标识用户。获取好这些cookie值后，在后续过程中，所述获取身份标识信息值的函数则可以根据用户名获取到对应的cookie值。

步骤S103具体可如下：将所述操作请求脚本headers中的cookie值设置为一个获取身份标识信息值的函数，在本实施方式中，优选为实时获取身份标识信息值的函数，具体替换如图2所示。所述获取身份标识信息值的函数会自动获取所述待检测用户的用户名，所述获取身份标识信息值的函数通过所述用户名获取所述待检测用户的身份标识信息值。如：登录待检测用户c1，则所述获取身份标识信息值的函数会根据c1的用户名自动获取c1对应的cookie值。并将所述cookie值更换至所述脚本中。即步骤S104。具体在操作请求脚本中体现为：读取所有JSON格式的操作请求脚本文件，并查找到JSON文件中的headers参数，添加子参数cookies，并赋值为下述配置的函数的调用方法，即：通过chrome-headless模拟用户的登录，需对待检测系统的登录页面进行配置，包括url、用户名、密码、登录按钮等控件的定位(id)。

替换好待检测用户后，模拟所述待检测用户发起请求；返回所述请求对应的响应包，结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功。

通过待检测系统接收不同权限用户的操作请求，对所有的操作请求进行抓包，对抓包后的所有的操作请求进行处理生成操作请求脚本；将所述操作请求脚本中的身份标识信息值替换为一个获取身份标识信息值的函数；运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统，所述获取身份标识信息值的函数获取所述待检测用户的身份标识信息值更换至所述脚本，以更换后的操作请求脚本向所述待检测系统发起请求；返回所述请求对应的响应包，结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功。整个过程可自动化替换待检测用户的身份标识信息，以不同的身份标识信息对待检测系统进行登录请求与操作请求，真实自动化模拟了各种权限用户的操作访问请求，无需人工一个个操作过去，大大提高了测试效率，同时避免了大量重复工作可能产生的人工错误，大大提高了测试的准确性。

其中步骤S106还包括步骤：

步骤S1、判断所述响应包的内容中是否包含预设规则中对应的越权字段。

步骤S2、若包含，则判定所述待检测用户越权，并记录测试结果。

步骤S3、判断是否执行完所述操作请求脚本内的所有请求，若未执行完所述操作请求脚本内的所有请求，则激活所述待检测用户，并执行所述操作请求脚本内的下一个请求。

步骤S4、重复S1至S3直至所述待检测用户执行完所述操作请求脚本内的所有请求。

步骤S5、若所述响应包的内容中不包含预设规则中对应的越权字段，则继续执行所述操作请求脚本内的下一个请求，再重复步骤S1，直至执行完所述操作请求脚本内的所有请求。

其中步骤S1具体可如下：配置结果判断参数，将越权行为拥有的特征值进行配置，如：每次越权的时候会返回一个含有冻结的提醒，则配置为“contains”：[“content”，“冻结”]。故判断返回的响应包的内容中是否有“冻结”，若有，则所述待检测用户越权。具体在操作请求脚本中体现为：查找JSON格式的操作请求脚本文件中的validate参数，将validate参数内的子参数列表替换为“contains”：[“content”，“冻结”]，如图3所示。

所述待检测用户越权后会被冻结，即该用户无法正常登陆，需将用户状态进行修改。配置结果完成后要执行的操作teardown_hooks函数。通过直接更新数据库或调用更新用户状态的接口，对由于执行了请求而冻结进行处理，避免用户的状态影响到实际结果。具体在操作请求脚本中体现为：读取所有JSON格式的操作请求脚本文件，并查找到JSON格式文件中的validate参数，在validate参数后增加teardown_hooks参数，在参数中增加上述步骤中配置的处理函数的调用方法，如图3所示。

进一步的，还包括步骤：

步骤S6、若执行完所述操作请求脚本内的所有请求，则获取下一个待检测用户，模拟所述待检测用户向所述待检测系统发起请求，返回所述请求对应的响应包，重复执行步骤S1至S5，直至所有配置的待检测用户都执行完成。

如：角色A对应权限U1，对应json文件为L1,其中角色A下配置了三个待检测用户：a1、a2、a3；首选模拟待检测用户a1对待检测系统发起请求，开始执行L1内的第一个请求，返回第一个请求对应的响应包，判断所述响应包的内容中是否包含“冻结”这个字段，若包含(说明待检测用户a1存在越权行为，待检测系统会冻结a1)，继续判断a1是否执行完了L1内的所有请求，若a1未执行完L1内的所有请求，则激活a1，并执行L1内的下一个请求，重复步骤S1至步骤S3，直到a1把L1内的所有请求执行完毕。同理，若返回的响应包的内容不包含“冻结”这个字段，则直接执行L1内的下一个请求，再重复步骤S1，直至执行完L1内的所有请求。

执行完L1内的所有请求后，获取下一个待检测用户a1，重复上述所有步骤，直至角色A下配置的所有待检测用户都执行完成。

执行完步骤S6后，执行步骤S7、获取并执行下一个权限用户对应的操作请求脚本，重复步骤S1至S6，直至所有权限用户对应的操作请求脚本执行完成，生成测试报告。如：角色A下配置的所有待检测用户都执行完成。则开始执行角色B下配置的所有待检测用户，后面的步骤跟上面一样，不做重复说明。

进一步的，根据所述测试报告生成复测脚本，所述复测脚本只针对存在越权行为的请求进行再次测试。可避免对已经测试通过的进行再次测试，避免重复工作，大大提高效率。

请参阅图4，在本实施方式中，所述存储设备400存储有指令集，所述指令集用于执行：上述所提及的一种自动化越权渗透测试方法中的任意步骤。

需要说明的是，尽管在本文中已经对上述各实施例进行了描述，但并非因此限制本发明的专利保护范围。因此，基于本发明的创新理念，对本文所述实施例进行的变更和修改，或利用本发明说明书及附图内容所作的等效结构或等效流程变换，直接或间接地将以上技术方案运用在其他相关的技术领域，均包括在本发明的专利保护范围之内。

Claims (9)

1.一种自动化越权渗透测试方法，其特征在于，包括步骤：

待检测系统接收不同权限用户的操作请求，对所有的操作请求进行抓包，对抓包后的所有的操作请求进行处理生成操作请求脚本；

将所述操作请求脚本中的身份标识信息值替换为一个获取身份标识信息值的函数；

运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统，所述获取身份标识信息值的函数获取所述待检测用户的身份标识信息值更换至所述脚本，以更换后的操作请求脚本向所述待检测系统发起请求；

返回所述请求对应的响应包，结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功；

所述“结合预设规则及所述响应包的内容判断所述待检测用户是否越权成功”，还包括步骤：

步骤S1、判断所述响应包的内容中是否包含预设规则中对应的越权字段；

步骤S2、若包含，则判定所述待检测用户越权，并记录测试结果；

步骤S3、判断是否执行完所述操作请求脚本内的所有请求，若未执行完所述操作请求脚本内的所有请求，则激活所述待检测用户，并执行所述操作请求脚本内的下一个请求；

步骤S4、重复S1至S3直至所述待检测用户执行完所述操作请求脚本内的所有请求；

步骤S5、若所述响应包的内容中不包含预设规则中对应的越权字段，则继续执行所述操作请求脚本内的下一个请求，再重复步骤S1，直至执行完所述操作请求脚本内的所有请求。

2.根据权利要求1所述的一种自动化越权渗透测试方法，其特征在于，所述“运行替换后的操作请求脚本模拟待检测用户登录所述待检测系统”前，还包括步骤：通过脚本模拟待检测用户登录待检测系统，获取所述待检测用户的身份标识信息值。

3.根据权利要求1所述的一种自动化越权渗透测试方法，其特征在于，所述“对所有的操作请求进行抓包，对抓包后的所有的操作请求进行处理生成操作请求脚本”，还包括步骤：

将每个权限用户所有的操作请求进行去重，分别生成与所述每个权限用户一一对应的第一预设格式文件，根据脚本执行软件的不同将所述第一预设格式文件转换为第二预设格式文件。

4.根据权利要求1所述的一种自动化越权渗透测试方法，其特征在于，还包括步骤：

步骤S6、若执行完所述操作请求脚本内的所有请求，则获取下一个待检测用户，模拟所述待检测用户向所述待检测系统发起请求，返回所述请求对应的响应包，重复执行步骤S1至S5，直至所有配置的待检测用户都执行完成；

执行完步骤S6后，执行步骤S7、获取并执行下一个权限用户对应的操作请求脚本，重复步骤S1至S6，直至所有权限用户对应的操作请求脚本执行完成，生成测试报告。

5.根据权利要求4所述的一种自动化越权渗透测试方法，其特征在于，还包括步骤：

根据所述测试报告生成复测脚本，所述复测脚本只针对存在越权行为的请求进行再次测试。

6.根据权利要求1所述的一种自动化越权渗透测试方法，其特征在于，所述“激活所述待检测用户”，还包括步骤：通过更新数据库激活所述待检测用户，或通过调用更新用户状态的接口激活所述待检测用户。

7.根据权利要求1所述的一种自动化越权渗透测试方法，其特征在于，所述身份标识信息值为cookie。

8.根据权利要求1所述的一种自动化越权渗透测试方法，其特征在于，所述“所述获取身份标识信息值的函数获取所述待检测用户的身份标识信息值更换至所述脚本”，还包括步骤：所述获取身份标识信息值的函数获取所述待检测用户的用户名，所述获取身份标识信息值的函数通过所述用户名获取所述待检测用户的身份标识信息值；

所述身份标识信息值用于唯一标识用户。

9.一种存储设备，其中存储有指令集，其特征在于，所述指令集用于执行权利要求1至8任一所述的方法。

Images