CN114444087A - 一种越权漏洞检测方法、装置、电子设备及存储介质 - Google Patents

一种越权漏洞检测方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN114444087A
CN114444087A CN202210112785.6A CN202210112785A CN114444087A CN 114444087 A CN114444087 A CN 114444087A CN 202210112785 A CN202210112785 A CN 202210112785A CN 114444087 A CN114444087 A CN 114444087A
Authority
CN
China
Prior art keywords
tested
information field
information
interface
dictionary
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210112785.6A
Other languages
English (en)
Inventor
吴泽曦
周荣林
侯晓靓
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Agricultural Bank of China
Original Assignee
Agricultural Bank of China
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Agricultural Bank of China filed Critical Agricultural Bank of China
Priority to CN202210112785.6A priority Critical patent/CN114444087A/zh
Publication of CN114444087A publication Critical patent/CN114444087A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3668—Software testing
    • G06F11/3672—Test management
    • G06F11/3684—Test management for test design, e.g. generating new test cases
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3668—Software testing
    • G06F11/3672—Test management
    • G06F11/3688—Test management for test execution, e.g. scheduling of test suites
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3668—Software testing
    • G06F11/3696—Methods or tools to render software testable

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种越权漏洞检测方法、装置、电子设备及存储介质。通过自动化的越权漏洞检测技术，解决了Web应用程序一般使用传统的人工越权漏洞检测方法耗时较长、重复性的工作、检测效率低下的问题，取到了可以发现Web应用程序中的越权漏洞并精准确定产生越权漏洞的字段，极大地提高越权漏洞的检测效率、成功率、覆盖率和分析效率的有益效果。

Description

一种越权漏洞检测方法、装置、电子设备及存储介质
技术领域
本发明涉及网络安全技术领域，尤其涉及一种越权漏洞检测方法、装置、电子设备及存储介质。
背景技术
越权漏洞是Web应用程序中一种常见的安全漏洞，主要分为水平越权和垂直越权，其威胁在于一个账户即可控制全站用户数据(仅限于存在漏洞功能对应的数据)，黑客利用越权漏洞可以窃取重要的内部数据和用户数据，使得用户权益受到侵害。
现有技术中，越权漏洞一般使用传统的人工检测方法，由本领域技术人员对Web应用程序进行渗透测试，但是人工渗透测试的方式耗时较长，且本领域技术人员需要进行大量重复性的工作，因此越权漏洞检测的效率低下。而在使用自动技术检测越权漏洞的方案中，可以在一定程度上解决人工测试耗时长、效率低的问题，但是，自动技术检测输入的Payload数据数量有限，则发现越权漏洞的成功率和覆盖率较低，且无法确保能发现隐藏较深的越权漏洞。
发明内容
本发明提供了一种越权漏洞检测方法、装置、电子设备及存储介质，以解决传统越权漏洞人工检测方法耗时较长、效率低下，且现有自动检测越权漏洞中测试输入数量有限，发现越权漏洞的成功率和覆盖率低的问题。
根据本发明的一方面，提供了一种越权漏洞检测方法，包括：
获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段；
根据所述待测试信息字段索引出与其对应的待测试信息字典，并确定与所述待测试信息字典对应的待测试Payload数据；
根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合；
按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
可选的，所述确定与所述待测试信息字典对应的待测试Payload数据，包括：
从数据字典中读取所述待测试信息字典对应的字典库中的待测试信息字典数据，并对所述待测试信息字典数据进行封装得到待测试Payload数据。
可选的，所述根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合，包括：
根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例；
遍历每个所述待测试信息字段后，将得到的每个所述单一接口测试用例形成接口测试用例集合。
可选的，在根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例之前，还包括：
获取所述请求包的接口请求报文中除单一待测试信息字段以外的其他信息字段进行固定。
可选的，所述待测试Payload数据的数量为N条；
所述根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例，包括：
将N条所述待测试Payload数据依次替换所述接口请求报文中相应的所述单一待测试信息字段，并上送至所述接口请求报文中；
将N条所述待测试Payload数据分别与所述接口请求报文中固定的其他信息字段进行拼装，对应得到N条单一接口测试用例。
可选的，所述越权漏洞检测方法还包括：
在Web应用接口测试完成后，生成越权漏洞检测结果，并根据所述越权漏洞检测结果定位产生越权漏洞字段。
可选的，所述越权漏洞检测方法还包括：
根据所述越权漏洞检测结果调整所述待测试信息字典。
根据本发明的另一方面，提供了一种越权漏洞检测装置，包括：
字段识别模块，用于执行获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段；
待测试Payload数据确定模块，用于执行根据所述待测试信息字段索引出与其对应的待测试信息字典，并确定与所述待测试信息字典对应的待测试Payload数据；
接口测试用例集合生成模块，用于执行根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合；
越权漏洞检测模块，用于执行按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
根据本发明的另一方面，提供了一种电子设备，所述电子设备包括：
至少一个处理器；以及
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行本发明任一实施例所述的越权漏洞检测方法。
根据本发明的另一方面，提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现本发明任一实施例所述的越权漏洞检测方法。
本发明实施例的技术方案，通过自动化的越权漏洞检测技术，解决了Web应用程序一般使用传统的人工越权漏洞检测方法耗时较长、重复性的工作、检测效率低下的问题，取到了可以发现Web应用程序中的越权漏洞并精准确定产生越权漏洞的字段，极大地提高越权漏洞的检测效率、成功率、覆盖率和分析效率的有益效果。
应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是根据本发明实施例一提供了一种越权漏洞检测方法的流程图；
图2是根据本发明实施例二提供了一种越权漏洞检测方法的流程图；
图3是根据本发明实施例三提供了一种越权漏洞检测方法的流程图；
图4A是根据本发明实施例四提供了一种越权漏洞检测方法的流程图；
图4B是根据本发明实施例四提供了一种越权漏洞检测方法所适用架构图；
图5是根据本发明实施例五提供的一种越权漏洞检测装置的结构示意图；
图6是实现本发明实施例的越权漏洞检测方法的电子设备的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“单一”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
实施例一
图1为本发明实施例一提供了一种越权漏洞检测方法的流程图，本实施例可适用于对Web应用程序的越权漏洞进行自动化检测的情况，该越权漏洞检测方法可以由越权漏洞检测装置来执行，该越权漏洞检测装置可以采用硬件和/或软件的形式实现，该越权漏洞检测装置可配置于各种电子设备中。如图1所示，该方法包括：
S110、获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段。
其中，web(World Wide Web)即全球广域网，也称为万维网，它是一种基于超文本和HTTP的、全球性的、动态交互的、跨平台的分布式图形信息系统。
本实施例中，Web应用接口的请求包可以通过代理工具进行抓包操作，以对Web应用上传和接收的数据包进行截获，从而获取到获取Web应用接口的请求包。
可以理解的是，通过代理工具进行抓包操作可以是抓取到用户实时输入的请求包，也可以为本领域技术人员为进行越权漏洞设置的用于测试的请求包。
越权漏洞的原理是一般越权漏洞容易出现在权限页面增、删、改、查的地方。当用户进行操作时，Web应用程序后台需要对其权限进行校验，判断是否具备操作的权限。如果Web应用程序后台在进行增、删、改、查询时对客户端请求的数据遗漏了权限判定，或者权限判定的规则过于简单，则会出现越权漏洞。如果是水平越权漏洞，普通用户就可以查看其他相同权限普通用户的敏感信息，如果是垂直越权漏洞，低权限用户就可以查看高权限用户的敏感信息。
在本实施例中，进一步的，解析请求包，识别出接口请求报文中的至少一个待测试信息字段。
待测试信息字段可以包括身份标识字段、账户密码字段、金额字段等用户敏感信息，身份标识字段可以包括用户姓名、用户ID等信息，待测试信息字段的数量可以为i个，i为大于等于1的正整数。
在本实施例中，待测试信息字段可以根据用户在预设时间段内对Web应用的实际使用情况进行选择确定，也可以根据用户的身份或是相关唯一身份标识进行选择确定，本实施例对此不作任何限制。
具体的，解析请求包，识别出接口请求报文中的一个、两个或多个待测试信息字段，可知的，识别出的身份标识字段、账户密码字段、金额字段等用户敏感信息中的至少一个。
可以理解的是，为了发现Web应用程序中的越权漏洞，并精准定位产生越权漏洞的字段，优选的，解析请求包识别出接口请求报文中的多个待测试信息字段，提高越权漏洞的检测覆盖率。
S120、根据所述待测试信息字段索引出与其对应的待测试信息字典，并确定与所述待测试信息字典对应的待测试Payload数据。
其中，为了能够构造出大量的、不同类型的且有效的Payload数据，通过分别为确定的待测试信息字段，索引出与其对应的待测试信息字典，也就是说，待测试信息字典的数量是与待测试信息字段的数量一致的。
进一步的，Payload即为payload data，中文释义为有效载荷，待测试Payload数据为待测试有效载荷，其是在Web安全测试中一般指安全测试数据。
在本实施例中，在根据待测试信息字段索引出与其对应的待测试信息字典后，从数据字典中抽取与待测试信息字典对应的字典库，读取待测信息字典对应的字典库中的待测试信息字典数据，并对待测试信息字典数据进行封装得到待测试Payload数据。
其中，数据字典是数据库的重要组成部分，存放有数据库所用的有关信息，对用户来说是一组只读的表，本领域技术人员可以用SQL语句访问数据库数据字典。
进一步的，在上述实施例的基础上，将待测试信息字典数据进行封装，得到待测试Payload数据，每个待测试信息字段对应的待测试Payload数据的数据数量可以包括至少一个，待测试Payload数据作为后续越权漏洞检测的输入数据。
S130、根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合。
其中，每个待测试信息字段作为一个单一待测试信息字段，每个待测试信息字段均对应一个单一待测试信息字段。
具体的，获取待测试Payload数据，遍历单一待测试信息字段对应的所有待测试Payload数据，以构造单一待测试信息字段对应的单一接口测试用例，之后，分别遍历每一个待测试信息字段，得到每一个待测试信息字段对应的单一接口测试用例，由每一个单一接口测试用例组成接口测试用例集合。
在上述基础上，以一个单一待测试信息字段为例，一个单一待测试信息字段包括的待测试Payload数据的数据数量为N条，遍历每一条待测试Payload数据，分别对应构造出一个单一接口测试用例，即得到N条单一接口测试用例。
可以理解的是，一个单一待测试信息字段可以得到N条单一接口测试用例，遍历每个待测试信息字段，分别得到待测试Payload数据的对应数据数量的单一接口测试用例，从而形成自动化的接口测试用例集合。
在上述实施例的基础上，本发明实施又提供一方面，在得到所述单一待测试信息字段对应的单一接口测试用例之前，获取所述请求包的接口请求报文中除单一待测试信息字段以外的其他信息字段进行固定，进一步的，将N条待测试Payload数据依次替换接口请求报文中相应的单一待测试信息字段，并上送至接口请求报文中，将N条待测试Payload数据分别与接口请求报文中固定的其他信息字段进行拼装，对应得到N条单一接口测试用例。
S140、按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
其中，此处的顺序调起可以按照待测试信息字段的排序依次调起，其中，待测试信息字段的排序可以拼音首字母自然排序生成，或是其他可以定义排序顺序的方式生成；顺序调起也可以由Web应用程序自定义顺序调起，本实施例对此不作任何限制。
具体的，Web应用程序中测试执行分析模块按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起自动化枚举测试。
在上述实施例的基础上，在Web应用接口测试完成后，生成越权漏洞检测结果，并根据所述越权漏洞检测结果定位产生越权漏洞字段。
其中，越权漏洞检测结果可以包括Web应用程序中是否存在越权漏洞、越权漏洞对应的信息字段或越权漏洞的具体位置信息等检测结果信息，越权漏洞检测结果可以包括上述检测结果信息中的一个或多个组合得到，本实施例对此不作任何限制。
在上述基础上，越权漏洞检测结果可以以可视化形式展示给本领域技术人员，以更加直观的展示出越权漏洞检测结果。
进一步的，在上述实施例的基础上，根据越权漏洞检测结果调整待测试信息字典。也就是说，越权漏洞检测结果用于调整数据字典中的字典库，以丰富和完善数据字典，避免下次再出现当前的越权漏洞，进一步提高越权检测漏洞的检测效率。
本发明实施例的技术方案，通过自动化的越权漏洞检测技术，解决了Web应用程序一般使用传统的人工越权漏洞检测方法耗时较长、重复性的工作、检测效率低下的问题，取到了可以发现Web应用程序中的越权漏洞并精准确定产生越权漏洞的字段，极大地提高越权漏洞的检测效率、成功率、覆盖率和分析效率的有益效果。
实施例二
图2为本发明实施例二提供的一种越权漏洞检测方法的流程图，本实施例在上述实施例的基础上，在Web应用程序中提供可扩展数据字典模块，以适应大量、各种类型且有效的Payload数据。如图2所示，该越权漏洞检测方法包括：
S110、获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段。
S121、根据所述待测试信息字段索引出与其对应的待测试信息字典。
示例性的，解析请求包，识别出的待测试信息字段包括身份标识字段、账户密码字段、金额字段等用户敏感信息中的至少一个，对应根据待测试信息字段索引出的相应字典分别为：身份标识字典、账户密码字典、金额字典等数据字典中的至少一个。
在本实施例中，根据待测试信息字段索引出的相应字典，即为索引到在Web应用程序中的可扩展数据字典模块的相应字典。
可知的，可扩展数据字典模块不受数据类型限制、不受数据量限制，可以任意扩展。
S122、从数据字典中读取所述待测试信息字典对应的字典库中的待测试信息字典数据，并对所述待测试信息字典数据进行封装得到待测试Payload数据。
示例性的，以待测试信息字段的数量为i个为例，i个待测试信息字段索引出i个待测试信息字典，然后，从数据字典中抽取每个待测试信息字典对应的字典库，读取字典库中的待测试信息字典数据，待测试信息字典数据的数据数量分别为{N1，N2，N3，…，Ni}，Ni为第i个待测试信息字典数据所包括的数据数量。
可以理解的是，每个待测试信息字段数据的数据数量可以由本领域技术人员根据实际需求选择设置。示例性的，以身份标识字段为例，从对应的字典库中读取到1000个待测试信息字典数据，则身份标识字段的数据数量N1可以为1000个，也可以选择500个等其他数值作为N1的取值，本实施例对此不作任何限制。
在精准定位产生越权漏洞字段以及提高越权漏洞的成功率以及覆盖率的前提下，本实施例优选，将可以在字典库中读取到的全部待测试信息字典数据的数据数量，作为下一步越权漏洞检测的备用，即Ni的取值为可以得到的最大值。
S130、根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合。
具体的，根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例；遍历每个所述待测试信息字段后，将得到的每个所述单一接口测试用例形成接口测试用例集合。
进一步的，在根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例之前，获取所述请求包的接口请求报文中除单一待测试信息字段以外的其他信息字段进行固定。
在本实施例中，所述待测试Payload数据的数量为N条；将N条所述待测试Payload数据依次替换所述接口请求报文中相应的所述单一待测试信息字段，并上送至所述接口请求报文中；将N条所述待测试Payload数据分别与所述接口请求报文中固定的其他信息字段进行拼装，对应得到N条单一接口测试用例。
S140、按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
进一步的，在上述实施例的基础上，在Web应用接口测试完成后，生成越权漏洞检测结果，并根据越权漏洞检测结果定位产生越权漏洞字段，从而可以发现Web应用程序中的越权漏洞，并精准确定产生越权漏洞的字段，以可视化的形式将越权漏洞检测结果、分析结果、发现的越权漏洞提供给本领域技术人员，同时，越权漏洞检测结果进一步还可以丰富和完善数据字典，极大地提高越权漏洞的覆盖率、成功率和检测效率。
本发明实施例的技术方案，通过可扩展数据字典模块，有效应对越权漏洞检测大量重复性工作效率低下的问题，能够通过可扩展数据字典模块构造出大量的、不同类型的、有效的自动化输入Payload数据，使用字段单一遍历的方法自动化构造接口测试用例，对Web应用接口进行漏洞枚举检测，最终对自动化越权漏洞检测结果分析，并可视化展现给本领域技术人员，可以发现Web应用程序中的越权漏洞，精准确定产生越权漏洞的字段，极大地提高越权漏洞的检测效率、成功率、覆盖率和分析效率。
实施例三
图3为本发明实施例三提供的一种越权漏洞检测方法的流程图，本实施例在上述实施例的基础上，在Web应用程序中提供用例构造模块，创新构造了越权漏洞检测的自动化接口测试用例，以精准定位产生越权漏洞的字段。如图3所示，该越权漏洞检测方法包括：
S110、获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段。
S120、根据所述待测试信息字段索引出与其对应的待测试信息字典，并确定与所述待测试信息字典对应的待测试Payload数据。
具体的，根据所述待测试信息字段索引出与其对应的待测试信息字典，从数据字典中读取所述待测试信息字典对应的字典库中的待测试信息字典数据，并对所述待测试信息字典数据进行封装得到待测试Payload数据。
S131、获取所述请求包的接口请求报文中除单一待测试信息字段以外的其他信息字段进行固定。
S132、根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例。
具体的，用例构造模块将待测试Payload数据替换原接口请求报文中的字段数据，上送至原接口请求报文，并将当前的待测试Payload数据和步骤S131固定字段进行拼装，构造成一条单一接口测试用例。
示例性的，待测试Payload数据的数量为N条；在本实施例中，将N条所述待测试Payload数据依次替换所述接口请求报文中相应的所述单一待测试信息字段，并上送至所述接口请求报文中；将N条所述待测试Payload数据分别与所述接口请求报文中固定的其他信息字段进行拼装，对应得到N条单一接口测试用例。
S133、遍历每个所述待测试信息字段后，将得到的每个所述单一接口测试用例形成接口测试用例集合。
示例性的，以待测试信息字段的数量为i个为例，i个待测试信息字段索引出i个待测试信息字典，从数据字典中读取字典库中的待测试信息字典数据，待测试信息字典数据的数据数量分别为{N1，N2，N3，…，Ni}，则遍历所有待测试信息字段后，共可以构造出N1+N2+N3+…+Ni条接口测试用例，从而形成自动化接口测试用例集合。
S140、按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
进一步的，在上述实施例的基础上，在Web应用接口测试完成后，生成越权漏洞检测结果，并根据越权漏洞检测结果定位产生越权漏洞字段，从而可以发现Web应用程序中的越权漏洞，并精准确定产生越权漏洞的字段，以可视化的形式将越权漏洞检测结果、分析结果、发现的越权漏洞提供给本领域技术人员，同时，越权漏洞检测结果进一步还可以丰富和完善数据字典，极大地提高越权漏洞的覆盖率、成功率和检测效率。
本发明实施例的基础上，针对现有的自动检测越权漏洞的方案中一般Payload数据输入数量有限，则发现越权漏洞存在一定的几率漏检的问题，创新了越权漏洞自动化接口测试用例构造方案，将接口请求报文中可能产生越权漏洞的每一个字段依次进行单一遍历，而将接口请求报文中的其他字段进行固定，从而精准定位产生越权漏洞的字段，极大地提高越权漏洞的覆盖率、成功率和检测效率。
实施例四
图4A为本发明实施例四提供的一种越权漏洞检测方法的流程图，图4B是本发明实施例四提供的一种越权漏洞检测方法所适用架构图，本实施例在上述实施例的基础上，提供一种优选实施例。如图4A和图4B所示，该越权漏洞检测方法包括：
S410、获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段。
继续参见图4A和图4B，在Web应用程序中提供报文解析模块，通过报文解析模块获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段。
S420、根据所述待测试信息字段索引出与其对应的待测试信息字典。
继续参见图4A和图4B，通过报文解析模块根据所述待测试信息字段，索引出与其对应的待测试信息字典，即进入可扩展数据字典模块。
S430、从数据字典中读取所述待测试信息字典对应的字典库中的待测试信息字典数据，并对所述待测试信息字典数据进行封装得到待测试Payload数据。
继续参见图4A和图4B，封装得到的待测试Payload数据提供给用例构造模块。
S440、获取所述请求包的接口请求报文中除单一待测试信息字段以外的其他信息字段进行固定。
S450、根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例。
S460、遍历每个所述待测试信息字段后，将得到的每个所述单一接口测试用例形成接口测试用例集合。
示例性的，待测试Payload数据的数量为N条；在本实施例中，将N条所述待测试Payload数据依次替换所述接口请求报文中相应的所述单一待测试信息字段，并上送至所述接口请求报文中；将N条所述待测试Payload数据分别与所述接口请求报文中固定的其他信息字段进行拼装，对应得到N条单一接口测试用例。
S470、按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
继续参见图4A和图4B，形成的接口测试用例集合提供给测试执行分析模块，测试执行分析模块对Web应用接口发起自动化枚举测试。
S480、在Web应用接口测试完成后，生成越权漏洞检测结果，并根据所述越权漏洞检测结果定位产生越权漏洞字段。
S490、根据越权漏洞检测结果调整待测试信息字典。
继续参见图4A和图4B，根据越权漏洞检测结果调整可扩展数据字典模块中的数据字典，该数据字典为可扩展数据字典。
实施例五
图5为本发明实施例五提供的一种越权漏洞检测装置的结构示意图。如图5所示，该越权漏洞检测装置包括：
字段识别模块510，用于执行获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段；
待测试Payload数据确定模块520，用于执行根据所述待测试信息字段索引出与其对应的待测试信息字典，并确定与所述待测试信息字典对应的待测试Payload数据；
接口测试用例集合生成模块530，用于执行根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合；
越权漏洞检测模块540，用于执行按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
可选的，所述确定与所述待测试信息字典对应的待测试Payload数据，包括：
从数据字典中读取所述待测试信息字典对应的字典库中的待测试信息字典数据，并对所述待测试信息字典数据进行封装得到待测试Payload数据。
可选的，接口测试用例集合生成模块530，包括：
根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例；
遍历每个所述待测试信息字段后，将得到的每个所述单一接口测试用例形成接口测试用例集合。
可选的，在根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例之前，还包括：
获取所述请求包的接口请求报文中除单一待测试信息字段以外的其他信息字段进行固定。
可选的，所述待测试Payload数据的数量为N条；
所述根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例，包括：
将N条所述待测试Payload数据依次替换所述接口请求报文中相应的所述单一待测试信息字段，并上送至所述接口请求报文中；
将N条所述待测试Payload数据分别与所述接口请求报文中固定的其他信息字段进行拼装，对应得到N条单一接口测试用例。
可选的，所述越权漏洞检测装置还包括：
越权漏洞检测结果确定模块，用于执行在Web应用接口测试完成后，生成越权漏洞检测结果，并根据所述越权漏洞检测结果定位产生越权漏洞字段。
可选的，所述越权漏洞检测装置还包括：
字典调整模块，用于执行根据所述越权漏洞检测结果调整所述待测试信息字典。
本发明实施例所提供的越权漏洞检测装置可执行本发明任意实施例所提供的越权漏洞检测方法，具备执行越权漏洞检测方法相应的功能模块和有益效果。
实施例六
图6示出了可以用来实施本发明的实施例的电子设备10的结构示意图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。
如图6所示，电子设备10包括至少一个处理器11，以及与至少一个处理器11通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种适当的动作和处理。在RAM 13中，还可存储电子设备10操作所需的各种程序和数据。处理器11、ROM 12以及RAM 13通过总线14彼此相连。输入/输出(I/O)接口15也连接至总线14。
电子设备10中的多个部件连接至I/O接口15，包括：输入单元16，例如键盘、鼠标等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元19允许电子设备10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。
处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述的各个方法和处理，例如越权漏洞检测方法。
在一些实施例中，越权漏洞检测方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或者全部可以经由ROM 12和/或通信单元19而被载入和/或安装到电子设备10上。当计算机程序加载到RAM 13并由处理器11执行时，可以执行上文描述的越权漏洞检测方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行越权漏洞检测方法。
本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。
用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。
在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。
为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。
可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。
计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。
应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。
上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (10)

1.一种越权漏洞检测方法，其特征在于，包括：
获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段；
根据所述待测试信息字段索引出与其对应的待测试信息字典，并确定与所述待测试信息字典对应的待测试Payload数据；
根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合；
按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
2.根据权利要求1所述的越权漏洞检测方法，其特征在于，所述确定与所述待测试信息字典对应的待测试Payload数据，包括：
从数据字典中读取所述待测试信息字典对应的字典库中的待测试信息字典数据，并对所述待测试信息字典数据进行封装得到待测试Payload数据。
3.根据权利要求1所述的越权漏洞检测方法，其特征在于，所述根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合，包括：
根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例；
遍历每个所述待测试信息字段后，将得到的每个所述单一接口测试用例形成接口测试用例集合。
4.根据权利要求3所述的越权漏洞检测方法，其特征在于，在根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例之前，还包括：
获取所述请求包的接口请求报文中除单一待测试信息字段以外的其他信息字段进行固定。
5.根据权利要求4所述的越权漏洞检测方法，其特征在于，所述待测试Payload数据的数量为N条；
所述根据所述待测试Payload数据遍历单一待测试信息字段，得到所述单一待测试信息字段对应的单一接口测试用例，包括：
将N条所述待测试Payload数据依次替换所述接口请求报文中相应的所述单一待测试信息字段，并上送至所述接口请求报文中；
将N条所述待测试Payload数据分别与所述接口请求报文中固定的其他信息字段进行拼装，对应得到N条单一接口测试用例。
6.根据权利要求1所述的越权漏洞检测方法，其特征在于，所述越权漏洞检测方法还包括：
在Web应用接口测试完成后，生成越权漏洞检测结果，并根据所述越权漏洞检测结果定位产生越权漏洞字段。
7.根据权利要求6所述的越权漏洞检测方法，其特征在于，所述越权漏洞检测方法还包括：
根据所述越权漏洞检测结果调整所述待测试信息字典。
8.一种越权漏洞检测装置，其特征在于，包括：
字段识别模块，用于执行获取Web应用接口的请求包，并识别出所述请求包中至少一个待测试信息字段；
待测试Payload数据确定模块，用于执行根据所述待测试信息字段索引出与其对应的待测试信息字典，并确定与所述待测试信息字典对应的待测试Payload数据；
接口测试用例集合生成模块，用于执行根据所述待测试Payload数据遍历每个所述待测试信息字段，得到所述待测试信息字段对应的接口测试用例集合；
越权漏洞检测模块，用于执行按顺序调起接口测试用例集合中的接口测试用例，对Web应用接口发起测试。
9.一种电子设备，其特征在于，所述电子设备包括：
至少一个处理器；以及
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的计算机程序，所述计算机程序被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-7中任一项所述的越权漏洞检测方法。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-7中任一项所述的越权漏洞检测方法。
CN202210112785.6A 2022-01-29 2022-01-29 一种越权漏洞检测方法、装置、电子设备及存储介质 Pending CN114444087A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210112785.6A CN114444087A (zh) 2022-01-29 2022-01-29 一种越权漏洞检测方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210112785.6A CN114444087A (zh) 2022-01-29 2022-01-29 一种越权漏洞检测方法、装置、电子设备及存储介质

Publications (1)

Publication Number Publication Date
CN114444087A true CN114444087A (zh) 2022-05-06

Family

ID=81370863

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210112785.6A Pending CN114444087A (zh) 2022-01-29 2022-01-29 一种越权漏洞检测方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN114444087A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117806966A (zh) * 2023-12-29 2024-04-02 北京安胜华信科技有限公司 一种越权测试用例生成方法及系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117806966A (zh) * 2023-12-29 2024-04-02 北京安胜华信科技有限公司 一种越权测试用例生成方法及系统

Similar Documents

Publication Publication Date Title
JP7373611B2 (ja) ログ監査方法、装置、電子機器、媒体およびコンピュータプログラム
CN110442712B (zh) 风险的确定方法、装置、服务器和文本审理系统
CN111654495B (zh) 用于确定流量产生来源的方法、装置、设备及存储介质
CN115204733A (zh) 数据审计方法、装置、电子设备及存储介质
CN115757150A (zh) 一种生产环境测试方法、装置、设备及存储介质
CN114444087A (zh) 一种越权漏洞检测方法、装置、电子设备及存储介质
CN117499148A (zh) 一种网络访问控制方法、装置、设备及存储介质
CN113190746A (zh) 推荐模型的评估方法、装置及电子设备
CN117093627A (zh) 信息挖掘的方法、装置、电子设备和存储介质
CN116303069A (zh) 一种车载终端的测试方法、装置、上位机、系统及介质
CN116089985A (zh) 一种分布式日志的加密存储方法、装置、设备及介质
CN115687406A (zh) 一种调用链数据的采样方法、装置、设备及存储介质
CN115794473A (zh) 一种根因告警的定位方法、装置、设备及介质
CN114443493A (zh) 一种测试案例生成方法、装置、电子设备和存储介质
CN114896418A (zh) 知识图谱构建方法、装置、电子设备及存储介质
CN114722401A (zh) 一种设备安全测试方法、装置、设备及存储介质
CN114531287B (zh) 虚拟资源获取行为的检测方法、装置、设备及介质
CN117493127B (zh) 一种应用程序检测方法、装置、设备及介质
CN115242688B (zh) 一种网络故障检测方法、装置以及介质
CN118502814B (zh) 一种基于字节码的软件改动评估方法、装置、设备及介质
CN117492822B (zh) 变更对比方法、装置、电子设备及存储介质
CN118012936A (zh) 一种数据抽取方法、装置、设备及存储介质
CN114528215A (zh) 交互页面的测试方法和元素模板的生成方法、装置
CN115617462A (zh) 一种测试脚本的生成方法、装置、设备及存储介质
CN115859151A (zh) 一种识别恶意网站的方法、装置、设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination