CN113591073B - 一种Web API安全威胁检测方法及装置 - Google Patents

Abstract

本发明公开了一种Web API安全威胁发现方法及装置，包括依据若干API接口文档中提取出的关键信息，组成若干API操作，并对各API操作进行依赖关系确定，生成API操作序列；根据收集的攻击载荷、不同安全威胁的漏洞检测特征及针对不同安全威胁的漏洞注入点，构建漏洞库；从漏洞库中选择攻击载荷，并根据对应的漏洞注入点，对API操作序列进行载荷装配，得到测试用例；结合漏洞库中的漏洞检测特征分析测试用例响应结果，得到该测试用例的安全威胁发现结果。本发明通过生成API操作序列来达到对API的深层访问，覆盖更多的应用业务检测，同时在漏洞检测方面设计了多种响应结果分析方法，对多种安全风险能够进行有效检测，提高了WebAPI安全风险的检测效果。

Description

一种Web API安全威胁检测方法及装置

技术领域

本发明涉及计算机网络安全领域，具体涉及一种Web API安全威胁发现方法及装置。

背景技术

API在互联网时代向大数据时代快速过度的阶段承担着重任，其技术已经渗透到了通信、医疗、金融、交通等各个行业。每一个领域都离不开API的使用，伴随着API的爆发性增长及广泛应用，API安全管理面临巨大压力。

为了避免安全风险造成的巨大损失，安全工程师往往采用自动化Web安全测试工具来对网站业务进行测试。随着反爬虫技术的出现，这种方式通过爬虫发现检测对象，无法对业务分析进行较为全面的覆盖。而且在安全风险检测时没有考虑到API之间的依赖关系，导致漏检。

Web API作为外部网络的主要对象之一，同时也是各种攻击路径的入口，其重要性不言而喻。它被应用于各种复杂环境时，带来便利的同时也带来了巨大的威胁，包括有认证授权安全风险、数据泄漏安全风险、DoS(DenialofService，拒绝服务)以及注入安全风险等。随着云大物移智的发展，企业越来越多地使用API来整合生态系统合作伙伴，创造新的价值。保证API安全才能为API时代下API经济、API生态提供稳定健康发展的环境。

发明内容

针对上述问题，本发明提出了一种Web API安全威胁检测方法及装置，通过对API文档中的关键信息进行提取，获取API操作序列，生成测试用例，对Web API的多种安全威胁进行检测。

为达到上述目的，本发明采取的具体技术方案是：

一种Web API安全威胁发现方法，其步骤包括：

1)依据若干API接口文档中提取出的关键信息，组成若干API操作，并对各API操作进行依赖关系确定，生成API操作序列；

2)根据收集的攻击载荷、不同安全威胁的漏洞检测特征及针对不同安全威胁的漏洞注入点，构建漏洞库；

3)从漏洞库中选择攻击载荷，并根据对应的漏洞注入点，对API操作序列进行载荷装配，得到测试用例；

4)结合漏洞库中的漏洞检测特征分析测试用例响应结果，得到该测试用例的安全威胁发现结果。

进一步地，所述API操作为一<接口地址、方法、协议、请求参数、响应>的五元组，其中所述响应包括：响应状态码和响应参数。

进一步地，请求参数与响应参数分别包括：参数名、参数示例值、参数位置、参数类型、参数最小值、参数最大值、参数的必要性、参数的最大长度和参数的最小长度。

进一步地，通过以下步骤生成API操作序列：

1)通过比较各API操作响应参数及请求参数之间的相似性，判断任两个API操作之间是否存在数据依赖关系；

2)根据数据依赖关系，以API操作为点，API操作之间的所依赖的数据为边，构建数据依赖图；

3)基于数据依赖图，确定API操作之间的依赖顺序，得到API操作序列。

进一步地，通过依次比较请求参数与响应参数之间的参数主体、参数类型以及参数名称，得到所述相似性。

进一步地，通过以下步骤得到漏洞检测特征：

1)根据漏洞的风险点，选择转移对象，以转移对象的多种状态作为图中的节点，各种状态之间的转移条件作为边上的值，构建漏洞状态转移图。

2)根据生成的漏洞状态转移图，确定转移对象终点为具有安全威胁的状态，并提取从起点到终点之间的所有可达路径。

3)将所有的可达路径使用形式化的方法，提取漏洞表达式作为最终的漏洞检测特征。

进一步地，通过以下步骤得到测试用例：

1)对API操作序列中第一个API操作C₁的参数进行正常参数填充后，发送请求，并从第一个API操作C₁的响应结果中提取依赖数据值P₁；

2)将依赖数据值P_i-1填充到API操作序列中第i个API操作C_i的参数中，且对第i个API操作C_i的剩余进行正常参数填充后，发送请求，并从第i个API操作C_i的响应结果中提取依赖数据值P_i，其中2≤i≤n-1，n为API操作序列中API操作的数量；

3)将依赖数据值P_n-1填充到API操作序列中第n个API操作C_n的参数中，且利用漏洞库中选择的攻击载荷，对第n个API操作C_n的剩余参数进行载荷装配后，得到测试用例。

进一步地，通过以下策略得到该测试用例的安全威胁发现结果：

1)若从漏洞库中选择攻击载荷的漏洞特征类别为关键信息特征回显检测特征，则依据测试用例响应结果中包含的特定关键特征，获取该测试用例的安全威胁发现结果；

2)通过比较测试用例响应结果与正常响应结果中的响应状态码、响应头字段与响应体内容，计算测试用例响应结果与正常响应结果的差异；若存在差异，则该测试用例检测出风险；否则，进入步骤3)；

3)若从漏洞库中选择攻击载荷的漏洞特征类别为无回显检测特征，则通过借助第三方平台使用过的带外数据方式，判断从漏洞库中选择攻击载荷是否生效，得到该测试用例的安全威胁发现结果。

进一步地，通过以下步骤比较测试用例响应结果与正常响应结果中的响应头字段：

1)获取响应头字段交集；

2)比较交集中字段的值。

进一步地，通过以下步骤比较测试用例响应结果与正常响应结果中的响应体内容：

1)使用Ratcliff-Obershelp算法，计算测试用例响应体内容与正常请求响应体内容之间的第一相似度；

2)若第一相似度大于第一设定阈值，则认为测试用例响应结果与正常响应结果中的响应体内容一致；否则，使用Ratcliff-Obershelp算法，计算去除测试用例响应页面与正常请求响应页面中的动态内容后的第二相似度；

3)若第二相似度大于第二设定阈值，则认为测试用例响应结果与正常响应结果中的响应体内容一致。

一种存储介质，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行上述所述的方法。

一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机以执行上述所述的方法。

本发明的有益效果如下：

随着反爬虫技术的不断进步，传统基于爬虫获取Web API的方式会越来越困难，对业务的覆盖并不全面，导致漏检。并且现有的自动化安全测试工具由于未考虑到API之间的依赖关系，难以达到一个深层次的访问。本发明针对这一问题，提出了一种基于接口文档的Web API安全风险检测方法，该方法通过生成API操作序列来达到对API的深层访问，覆盖更多的应用业务检测，同时在漏洞检测方面设计了多种响应结果分析方法，对多种安全风险能够进行有效检测，提高了Web API安全风险的检测效果。

附图说明

图1是本发明方案的整体结构示意图。

图2是API操作序列生成流程图。

图3是测试用例生成流程图。

图4是漏洞检测特征提取流程图。

图5是响应结果分析流程图。

图6是页面相似度比较算法流程图。

图中100、200、300、400、210、220、310、320、330、410、420、430、510、520、530、610、620：步骤。

具体实施方式

为使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的目的、特征和优点能够更加明显易懂，下面结合附图和事例对本发明中技术核心作进一步的详细说明。

本实施例提供一种Web API安全风险检测方法，如图1所示流程图，具体包括以下步骤：

步骤100：获取Web应用的API文档，解析API文档提取主机、路径、方法、请求参数、响应结果，得到所有的API操作，然后对API操作进行依赖关系确定生成API操作序列作为待检测对象，其中API操作序列是指由一个或者多个的具有一定数据依赖关系的API操作队列。

针对不同的API接口，通过比较响应参数和请求参数的相似性来判断两个API操作之间是否存数据依赖关系，建立数据依赖图，以API操作为点，API操作之间的所依赖的数据为边。然后基于获得的数据依赖图，确定API操作之间的依赖顺序，最后得到API操作序列作为检测对象。

所述API操作是一个五元组，包括了接口地址、方法、协议、请求参数以及响应。响应包括了响应状态码和响应参数。所述请求参数和响应参数均由元数据信息描述。元数据信息包括参数主体、参数名、参数示例值、参数位置、参数类型、参数最小值、参数最大值、参数的必要性、参数的最大长度、参数的最小长度。

API操作之间依赖顺序的确定针对两种API操作顺序，分别对其进行正常参数的填充，然后发送请求获取响应结果，并与提取的API操作中的响应信息进行过比较来判断是否得到一个正确的顺序。若响应结果与API操作中的响应一致，则认为该依赖顺序是正确的，反之，则认为该依赖顺序是不正确的。

步骤200：分析多种安全威胁的风险点，针对不同的安全威胁建立漏洞状态转移图，并从漏洞状态转移图中提取漏洞状态表达式作为漏洞检测特征；收集并总结多种漏洞的攻击载荷，用于后续的测试用例生成；针对不同的安全威胁，根据可能的漏洞触发点，将漏洞注入点归于请求头、请求体和请求查询这三类中，用于后续测试用例生成时精准地将攻击载荷投放至正确的位置。最后将获得的漏洞检测特征、漏洞攻击载荷和漏洞注入点构建漏洞库。

漏洞转移状态图的建立是选取一个与漏洞相关的对象作为转移点，然后以该对象的状态变化作为转移条件，以有限状态自动机的方式表示安全风险的整个过程，并提取从起点到终点的状态条件表达式作为漏洞检测特征。

步骤300：从漏洞库中选择攻击载荷，根据对应的漏洞注入点，将攻击载荷装配在API操作序列中的最后一个API操作对应的请求参数中，其他API操作请求参数进行正常参数填充，从而获取到测试用例。

步骤400：发送测试用例获取响应结果，结合漏洞库中的漏洞检测特征，选择基于载荷回显的响应分析方法、基于差异回显的响应分析方法以及基于无回显的响应分析方法来对响应结果进行分析，识别安全风险。

图2所示为API操作序列生成的流程图，具体说明如下：

步骤210：在进行API操作序列生成过程中，当API文档各输入后，首先从文档中提取出API操作相关的信息，包括了方法、主机值、路径值、请求参数以及响应结果。

步骤220：在提取出API操作之后，针对每一个API操作，计算其所有的参数与其他API操作的参数之间的相似度。当两个参数的相似度大于等于设置的阈值时，则说明这两个API之间具有数据依赖关系，其中依赖的数据为该参数。

计算其所有的参数与其他API操作的参数之间的相似度，是通过依次比较请求参数与响应参数之间的参数主体、参数类型以及参数名称来确定的。首先进行参数主体的比较，在比较参数主体之前需要对参数主体字符串去除前缀，即去掉getObject/setObject中的get/set，然后将去除后缀的主体字符串进行比较，当字符串完全一样时，继续进行参数类型的比较；反之，则认为两个API操作之间不存在数据依赖关系。参数类型的比较是直接的字符串比较，当参数类型字符串完全一致时，继续进行参数名称比较；反之，则认为两个API操作之间不存在数据依赖关系。参数名称的比较通过计算两个名称字符串的Jaccard相似度来实现。当相似度大于设定的阈值时，则认为API之间存在数据依赖关系，其中对应的参数对作为依赖的数据值；否则，则认为API之间不存在数据依赖关系。

图3所示为测试用例生成的流程图，具体说明如下：

步骤310：提取API操作序列中的第一个API操作，对其所有的参数进行正常的参数填充，然后发送请求，从响应结果中提取依赖数据值。

步骤320：针对API操作序列中中间的API操作，获取从上一个API操作的请求结果中的依赖数据值，填充到对应的参数中，然后对剩余的参数进行正常的参数填充，发送请求并获取依赖数据值。

步骤330：提取API操作序列中最后一个API操作，获取前一个API操作中的依赖数据值，填充至对应的参数中，然后剩余的参数进行载荷装配，形成最后的测试用例。

图4所示为漏洞检测特征提取的流程图，具体说明如下：

步骤410：根据漏洞的风险点，选择转移对象，以转移对象的多种状态作为图中的节点，各种状态之间的转移条件作为边上的值，构建漏洞状态转移图。

步骤420：根据生成的漏洞状态转移图，确定转移对象终点为具有安全威胁的状态，然后提取从起点到终点之间的所有可达路径。

步骤430：将所有的可达路径使用形式化的方法，提取出漏洞表达式作为最终的漏洞检测特征。

图5所示为响应结果分析的流程图，具体说明如下：

步骤510：对响应结果进行攻击载荷回显分析，根据漏洞库中的检测特征，从响应的响应头和响应体中提取出关键内容。关键内容包括攻击载荷、文本检测特征。当响应中出现攻击载荷(针对XSS类型的安全风险)，或者鱿鱼攻击载荷生效获取到的敏感文件内容，则说明存在安全风险，否则说明该方法并未检测出安全风险。

步骤520：对响应结果进行差异分析，比较正常响应结果与测试用例的响应结果之间的差异。比较差异时按照响应状态码比较、响应头比较以及响应体比较。首先进行响应状态码的比较，当两个响应状态码一致时，进行响应头比较；反之，则说明未检测出安全风险。在进行响应头比较时，获取两个响应头字段的交集，然后分别对这些字段的值进行比较，当这些字段的值均相同时，继续进行响应体比较；反之，则说明未检测出安全风险。在进行响应体比较时，通过计算两个响应体内容的相似度来判断，当相似度大于阈值时，则认为两个页面相似，说明检测出了安全风险；反之则说明未检测出安全风险。

步骤530：对响应结果不具有差异的情况，借助第三方平台，使用过带外数据的方式来判断攻击载荷是否生效从而验证是否具有安全风险。若第三方平台有解析记录，则说明存在安全风险，否则未检测出安全风险。

图6所示为响应体相似度比较算法的流程图，具体说明如下：

步骤610：使用Ratcliff-Obershelp算法计算测试用例响应体和正常请求响应体之间的相似度。若相似度大于0.98，则认为两个响应体是相同的，否则继续下一步处理。

步骤620：提取出两个响应体中的动态内容，将动态内容的共有前半部分和后半部分作为标记，基于这些标记去除掉动态内容后，重新计算响应体相似度。

最后所应说明的是，以上实施案例仅用以说明本发明的技术方案而非限制，尽管使用事例对本发明进行了详细说明，本领域的技术人员应当理解，可对本发明的技术方案进行修改或者等价替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (8)

1.一种Web API安全威胁发现方法，其步骤包括：

1）依据若干API接口文档中提取出的关键信息，组成若干API操作，并对各API操作进行依赖关系确定，生成API操作序列；

2）根据收集的攻击载荷、不同安全威胁的漏洞检测特征及针对不同安全威胁的漏洞注入点，构建漏洞库；

3）从漏洞库中选择攻击载荷，并根据对应的漏洞注入点，对API操作序列进行载荷装配，得到测试用例；其中，所述根据对应的漏洞注入点，对API操作序列进行载荷装配，得到测试用例，包括：

对API操作序列中第一个API操作的参数进行正常参数填充后，发送请求，并从第一个API操作的响应结果中提取依赖数据值；

将依赖数据值填充到API操作序列中第个API操作的参数中，且对第个API操作的剩余参数进行正常参数填充后，发送请求，并从第个API操作的响应结果中提取依赖数据值，其中，为API操作序列中API操作的数量；

将依赖数据值填充到API操作序列中第个API操作的参数中，且利用漏洞库中选择的攻击载荷，对第个API操作的剩余参数进行载荷装配后，得到测试用例；

4）结合漏洞库中的漏洞检测特征分析测试用例响应结果，得到该测试用例的安全威胁发现结果；其中，所述结合漏洞库中的漏洞检测特征分析测试用例响应结果，得到该测试用例的安全威胁发现结果，包括：

若从漏洞库中选择攻击载荷的漏洞特征类别为关键信息特征回显检测特征，则依据测试用例响应结果中包含的特定关键特征，获取该测试用例的安全威胁发现结果；

或；

通过比较测试用例响应结果与正常响应结果中的响应状态码、响应头字段与响应体内容，计算测试用例响应结果与正常响应结果的差异，并在测试用例响应结果与正常响应结果存在差异的情况下，判定该测试用例检测出风险；

或；

通过比较测试用例响应结果与正常响应结果中的响应状态码、响应头字段与响应体内容，计算测试用例响应结果与正常响应结果的差异，并在测试用例响应结果与正常响应结果不存在差异，且从漏洞库中选择攻击载荷的漏洞特征类别为无回显检测特征的情况下，通过借助第三方平台使用过的带外数据方式，判断从漏洞库中选择攻击载荷是否生效，得到该测试用例的安全威胁发现结果。

2.如权利要求1所述的方法，其特征在于，所述API操作为一<接口地址、方法、协议、请求参数、响应>的五元组，其中所述响应包括：响应状态码和响应参数。

3.如权利要求2所述的方法，其特征在于，请求参数与响应参数分别包括：参数名、参数示例值、参数位置、参数类型、参数最小值、参数最大值、参数的必要性、参数的最大长度和参数的最小长度。

4.如权利要求2所述的方法，其特征在于，通过以下步骤生成API操作序列：

1）通过比较各API操作响应参数及请求参数之间的相似性，判断任两个API操作之间是否存在数据依赖关系；

2）根据数据依赖关系，以API操作为点，API操作之间的所依赖的数据为边，构建数据依赖图；

3）基于数据依赖图，确定API操作之间的依赖顺序，得到API操作序列。

5.如权利要求4所述的方法，其特征在于，通过依次比较请求参数与响应参数之间的参数主体、参数类型以及参数名称，得到所述相似性。

6.如权利要求1所述的方法，其特征在于，通过以下步骤得到漏洞检测特征：

1）根据漏洞的风险点，选择转移对象，以转移对象的多种状态作为图中的节点，各种状态之间的转移条件作为边上的值，构建漏洞状态转移图；

2）根据生成的漏洞状态转移图，确定转移对象终点为具有安全威胁的状态，并提取从起点到终点之间的所有可达路径；

3）将所有的可达路径使用形式化的方法，提取漏洞表达式作为最终的漏洞检测特征。

7.如权利要求1所述的方法，其特征在于，通过以下步骤比较测试用例响应结果与正常响应结果中的响应体内容：

1）使用Ratcliff-Obershelp算法，计算测试用例响应体内容与正常请求响应体内容之间的第一相似度；

2）若第一相似度大于第一设定阈值，则认为测试用例响应结果与正常响应结果中的响应体内容一致；否则，使用Ratcliff-Obershelp算法，计算去除测试用例响应页面与正常请求响应页面中的动态内容后的第二相似度；

3）若第二相似度大于第二设定阈值，则认为测试用例响应结果与正常响应结果中的响应体内容一致。

8.一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行如权利要求1-7中任一所述方法。