CN112632554A - 一种基于修改运行时payload技术的漏洞验证方法 - Google Patents
一种基于修改运行时payload技术的漏洞验证方法 Download PDFInfo
- Publication number
- CN112632554A CN112632554A CN202011225795.8A CN202011225795A CN112632554A CN 112632554 A CN112632554 A CN 112632554A CN 202011225795 A CN202011225795 A CN 202011225795A CN 112632554 A CN112632554 A CN 112632554A
- Authority
- CN
- China
- Prior art keywords
- value
- payload
- code
- parameter
- certain
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000000034 method Methods 0.000 title claims abstract description 41
- 238000012795 verification Methods 0.000 title claims abstract description 22
- 238000005516 engineering process Methods 0.000 title claims abstract description 15
- 238000012986 modification Methods 0.000 title claims abstract description 7
- 230000004048 modification Effects 0.000 title claims abstract description 7
- 238000011161 development Methods 0.000 abstract description 3
- 238000004891 communication Methods 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
- G06F21/577—Assessing vulnerabilities and evaluating computer system security
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
- G06F16/90—Details of database functions independent of the retrieved data types
- G06F16/95—Retrieval from the web
- G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
- G06F16/9566—URL specific, e.g. using aliases, detecting broken or misspelled links
Landscapes
- Engineering & Computer Science (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Hardware Design (AREA)
- Computer Security & Cryptography (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Databases & Information Systems (AREA)
- Computing Systems (AREA)
- Data Mining & Analysis (AREA)
- Stored Programmes (AREA)
Abstract
本发明公开了一种基于修改运行时payload技术的漏洞验证方法，包括以下步骤：步骤一、通过中间语言修改技术，修改预收集的应用中获取请求中数据的方法，在这些方法中插入控制方法返回值的代码；步骤二、用户操作软件，配置某个url的某个参数的值；步骤三、当用户再次请求这个url时，使用预收集的方法会在应用中被调用，从而触发步骤一中的控制方法返回值的代码，如果控制方法返回值的代码检测到报文内步骤二中配置的参数的值，控制方法返回值的代码就会返回用户设置的值。本发明能在应用解密、验签和验证token之后修改payload来验证漏洞，开发成本较低，修改payload速度快，节省时间。
Description
技术领域
本发明涉及一种基于修改运行时payload技术的漏洞验证方法，属于网络安全技术领域。
背景技术
在安全行业，无论安全工程师还是安全工具在验证一个漏洞是否真实存在时，都是通过构建带有攻击性的payload来验证漏洞是否真实存在。
现有技术存在如下的缺点：一是当一个应用的通讯数据有加密、验签和一次性token时，现有技术就很难再通过修改payload、重复发包来验证漏洞了；二是现有技术的开发成本较高；三是现有技术修改payload的时间较长。
发明内容
本发明的目的在于解决现有技术不足，提供一种在通讯数据有加密、验签和一次性token的场景中为漏洞验证提供一个可以发送payload途径的基于修改运行时payload技术的漏洞验证方法。
本发明解决上述技术问题采用的技术方案是：
一种基于修改运行时payload技术的漏洞验证方法，包括以下步骤：
包括以下步骤：
步骤一、通过中间语言修改技术，修改预收集的应用中获取请求中数据的方法，在这些方法中插入控制方法返回值的代码；
步骤二、用户操作软件，配置某个url的某个参数的值；
步骤三、当用户再次请求这个url时，使用预收集的方法会在应用中被调用，从而触发步骤一中的控制方法返回值的代码，如果控制方法返回值的代码检测到报文内步骤二中配置的参数的值，控制方法返回值的代码就会返回用户设置的值。
以上技术方案中，步骤三就是修改的payload被传递并执行，通过分析返回报文，判断是否执行成功，若执行成功，则报告漏洞并结束，若执行不成功，则结束，本发明提供了一个可以发送payload途径的基于修改运行时payload技术，这样就相当于在应用解密、验签和验证token之后修改payload来验证漏洞，大大地降低了开发成本，提高了payload的修改速度。
作为优选，步骤二中配置某个url的某个参数的值是修改某个url的某个参数的值。以上技术方案中，步骤二中配置某个url的某个参数的值是修改某个url的某个参数的值，比如在j2ee应用中用户可以设置request.getHeader(“userId”)返回“echo bb||echocc”，进一步地提高了payload的修改速度。
作为优选，步骤二中配置的参数不同，返回用户设置的值不同。以上技术方案中，步骤二中配置的参数不同，返回用户设置的值不同，这样就相当于在应用解密、验签和验证token之后修改payload。
作为优选，如果预收集的应用没有检测到配置的参数的值，则返回预设的元返回值。以上技术方案中，如果预收集的应用没有检测到配置的参数的值，则返回预设的元返回值，这样就相当于在应用解密、验签和验证token之后修改payload。
与现有技术相比，本发明具有以下有益效果：一是本发明能在应用解密、验签和验证token之后修改payload来验证漏洞；二是本发明的开发成本较低；三是本发明修改payload速度快，节省时间。
附图说明
图1是本发明的流程图。
具体实施方式
以下结合附图和实施方式对本发明作进一步的说明。
本实施例的一种基于修改运行时payload技术的漏洞验证方法，如图1所示，包括以下步骤：
步骤一、通过中间语言修改技术，修改预收集的应用中获取请求中数据的方法，在这些方法中插入控制方法返回值的代码；
步骤二、用户操作软件，配置某个url的某个参数的值；
步骤三、当用户再次请求这个url时，使用预收集的方法会在应用中被调用，从而触发步骤一中的控制方法返回值的代码，如果控制方法返回值的代码检测到报文内步骤二中配置的参数的值，控制方法返回值的代码就会返回用户设置的值；
本实施例中，步骤二中配置某个url的某个参数的值是修改某个url的某个参数的值。
本实施例中，步骤二中配置的参数不同，返回用户设置的值不同。
本实施例中，如果预收集的应用没有检测到配置的参数的值，则返回预设的元返回值。
说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
Claims (4)
1.一种基于修改运行时payload技术的漏洞验证方法，其特征在于：包括以下步骤：
步骤一、通过中间语言修改技术，修改预收集的应用中获取请求中数据的方法，在这些方法中插入控制方法返回值的代码；
步骤二、用户操作软件，配置某个url的某个参数的值；
步骤三、当用户再次请求这个url时，使用预收集的方法会在应用中被调用，从而触发步骤一中的控制方法返回值的代码，如果控制方法返回值的代码检测到报文内步骤二中配置的参数的值，控制方法返回值的代码就会返回用户设置的值。
2.根据权利要求1所述的一种基于修改运行时payload技术的漏洞验证方法，其特征在于：步骤二中配置某个url的某个参数的值是修改某个url的某个参数的值。
3.根据权利要求1或2所述的一种基于修改运行时payload技术的漏洞验证方法，其特征在于：步骤二中配置的参数不同，返回用户设置的值不同。
4.根据权利要求3所述的一种基于修改运行时payload技术的漏洞验证方法，其特征在于：如果预收集的应用没有检测到配置的参数的值，则返回预设的元返回值。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011225795.8A CN112632554A (zh) | 2020-11-05 | 2020-11-05 | 一种基于修改运行时payload技术的漏洞验证方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202011225795.8A CN112632554A (zh) | 2020-11-05 | 2020-11-05 | 一种基于修改运行时payload技术的漏洞验证方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN112632554A true CN112632554A (zh) | 2021-04-09 |
Family
ID=75304237
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202011225795.8A Pending CN112632554A (zh) | 2020-11-05 | 2020-11-05 | 一种基于修改运行时payload技术的漏洞验证方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN112632554A (zh) |
Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104794396A (zh) * | 2014-01-16 | 2015-07-22 | 腾讯科技（深圳）有限公司 | 跨站式脚本漏洞检测方法及装置 |
| US20150264082A1 (en) * | 2014-03-15 | 2015-09-17 | Kenneth F. Belva | Methods for determining cross-site scripting and related vulnerabilities in applications |
| CN105516131A (zh) * | 2015-12-04 | 2016-04-20 | 珠海市君天电子科技有限公司 | 一种扫描漏洞的方法、装置及电子设备 |
| WO2017163141A1 (en) * | 2016-03-21 | 2017-09-28 | Checkmarx Ltd. | Integrated interactive application security testing |
| CN107832617A (zh) * | 2017-09-15 | 2018-03-23 | 北京知道未来信息技术有限公司 | 一种php代码执行漏洞的黑盒检测方法及装置 |
| CN109033838A (zh) * | 2018-07-27 | 2018-12-18 | 平安科技（深圳）有限公司 | 网站安全检测方法和装置 |
| CN109933980A (zh) * | 2019-02-28 | 2019-06-25 | 北京长亭科技有限公司 | 一种漏洞扫描方法、装置和电子设备 |
| CN110113311A (zh) * | 2019-03-05 | 2019-08-09 | 北京丁牛科技有限公司 | 跨站脚本攻击xss漏洞检测方法及装置 |
| CN111552967A (zh) * | 2020-04-15 | 2020-08-18 | 杭州孝道科技有限公司 | 一种应用软件安全漏洞检测方法 |
| CN111723375A (zh) * | 2020-06-09 | 2020-09-29 | 杭州孝道科技有限公司 | 一种基于运行时非执行态模式的软件安全漏洞检测方法 |
-
2020
- 2020-11-05 CN CN202011225795.8A patent/CN112632554A/zh active Pending
Patent Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104794396A (zh) * | 2014-01-16 | 2015-07-22 | 腾讯科技（深圳）有限公司 | 跨站式脚本漏洞检测方法及装置 |
| US20150264082A1 (en) * | 2014-03-15 | 2015-09-17 | Kenneth F. Belva | Methods for determining cross-site scripting and related vulnerabilities in applications |
| CN105516131A (zh) * | 2015-12-04 | 2016-04-20 | 珠海市君天电子科技有限公司 | 一种扫描漏洞的方法、装置及电子设备 |
| WO2017163141A1 (en) * | 2016-03-21 | 2017-09-28 | Checkmarx Ltd. | Integrated interactive application security testing |
| CN107832617A (zh) * | 2017-09-15 | 2018-03-23 | 北京知道未来信息技术有限公司 | 一种php代码执行漏洞的黑盒检测方法及装置 |
| CN109033838A (zh) * | 2018-07-27 | 2018-12-18 | 平安科技（深圳）有限公司 | 网站安全检测方法和装置 |
| CN109933980A (zh) * | 2019-02-28 | 2019-06-25 | 北京长亭科技有限公司 | 一种漏洞扫描方法、装置和电子设备 |
| CN110113311A (zh) * | 2019-03-05 | 2019-08-09 | 北京丁牛科技有限公司 | 跨站脚本攻击xss漏洞检测方法及装置 |
| CN111552967A (zh) * | 2020-04-15 | 2020-08-18 | 杭州孝道科技有限公司 | 一种应用软件安全漏洞检测方法 |
| CN111723375A (zh) * | 2020-06-09 | 2020-09-29 | 杭州孝道科技有限公司 | 一种基于运行时非执行态模式的软件安全漏洞检测方法 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR101756692B1 (ko) | 다이나믹 보안모듈 단말장치 및 그 구동방법 | |
| CN105897757B (zh) | 授权认证系统及授权认证方法 | |
| CN109309666A (zh) | 一种网络安全中的接口安全控制方法及终端设备 | |
| CN105306534A (zh) | 一种基于开放平台的信息校验方法和开放平台 | |
| CN111062023B (zh) | 多应用系统实现单点登录的方法及装置 | |
| CN103188344A (zh) | 一种安全调用rest api的方法 | |
| CN106559405B (zh) | 一种Portal认证方法和设备 | |
| CN104917727A (zh) | 一种帐户鉴权的方法、系统及装置 | |
| CN106357694B (zh) | 一种访问请求处理方法及装置 | |
| CN107196761B (zh) | 一种保护应用程序中的核心函数的方法 | |
| CN104052757B (zh) | 基于手机中的客户端应用的身份识别系统及方法 | |
| CN107315948B (zh) | 数据调用方法及装置 | |
| CN105791249A (zh) | 一种第三方应用处理方法、装置以及系统 | |
| CN103957189B (zh) | 应用程序之间的交互方法和装置 | |
| CN109587180B (zh) | 一种建立连接的方法、客户端及服务器 | |
| EP2557755B1 (en) | Securely Performing Commands from a Remote Source | |
| CN103428161A (zh) | 一种电话认证服务系统 | |
| CN112632554A (zh) | 一种基于修改运行时payload技术的漏洞验证方法 | |
| CN111585978A (zh) | 一种拦截虚假请求的方法、客户端、服务端及系统 | |
| CN103841081A (zh) | 一种能力调用方法和系统 | |
| CN106803821A (zh) | 在wifi场景下识别终端用户身份的方法和系统 | |
| CN115460015B (zh) | 一种基于TOTP的Web应用的身份认证方法及系统 | |
| KR100824298B1 (ko) | 장치관리 스케줄링 방법 그 단말 | |
| CN109861999B (zh) | 数据传输的控制方法、装置及存储介质 | |
| CN103034811A (zh) | 一种文件处理的方法、系统及装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20210409 |
|
| RJ01 | Rejection of invention patent application after publication |