CN115758374B - 一种账号枚举漏洞检测方法、系统及存储介质 - Google Patents

Abstract

本申请涉及计算机的技术领域，尤其是涉及一种账号枚举漏洞检测方法、系统及存储介质，其包括获取待检测程序的检测接口和用户参数信息；在检测接口插入检测执行逻辑并定义为hook点；将hook点上的原始请求包内的用户参数信息替换为已存在测试账号的用户参数信息，将原始请求包内的其他参数替换为伪随机值，并生成第一验证响应包；将原始请求包内的所有参数替换为伪随机值，并生成第二验证响应包；判断第一验证响应包与第二验证响应包是否相同以获得第一结果；判断第一验证响应包或第二验证响应包与原始响应包是否相同以获得第二结果；根据第一结果和第二结果判断是否存在漏洞。本申请具有解决因依赖识别字典的关键字覆盖率而需要持续更新字典的效果。

Description

一种账号枚举漏洞检测方法、系统及存储介质

技术领域

本申请涉及计算机的技术领域，尤其是涉及一种账号枚举漏洞检测方法、系统及存储介质。

背景技术

漏洞是指由于错误配置或设计缺陷，当向系统提交有效账号和无效账号时，服务器会有不同的响应，利用响应的不同，攻击者可以获取系统已经存在的账号，可用于暴力破解，进一步获取账号的密码。

现有技术对于账号枚举漏洞的检测手段主要基于数据的检测方法，该方法通过重放数据包，解析响应数据包中是否存在识别关键字，并以此来判断是否存在漏洞，主要分为主动扫描和被动检测，但在相关技术中，无论是主动扫描还是被动检测，都需要识别响应数据包内是否存在与识别字典中相同的关键字，依赖于识别字典的覆盖率，相关技术中的方法都只能做到“半自动”的检测，因为后续为了保证检测准确率都需要人工持续的更新识别字典内的关键字数据，否则检测效果与人工检测相比还不够准确。

发明内容

为了解决因依赖识别字典的关键字覆盖率而导致需要持续更新字典的问题，本申请提供一种账号枚举漏洞检测方法、系统及存储介质。

第一方面，本申请提供的一种账号枚举漏洞检测方法，采用如下的技术方案：

一种账号枚举漏洞检测方法，包括以下步骤：

S100、获取待检测程序的检测接口和用户参数信息；

S200、在所述检测接口插入检测执行逻辑并定义为hook点；

S300、运行待检测程序直至检测到所述hook点；

S400、获取hook点上的数据包，所述数据包包括原始请求包和原始响应包；

S500、将所述原始请求包内的用户参数信息替换为预设的已存在测试账号的用户参数信息，将所述原始请求包内的其他参数根据其构造替换为伪随机值，并生成相应的第一验证响应包；

S600、将所述原始请求包内的所有参数根据其构造替换为伪随机值，并生成相应的第二验证响应包；

S700、判断所述第一验证响应包与所述第二验证响应包是否相同以获得第一结果；

S800、判断所述第一验证响应包或所述第二验证响应包与所述原始响应包是否相同以获得第二结果；

S900、根据所述第一结果和第二结果判断是否存在漏洞。

优选的，获取hook点上的数据包后，还包括以下步骤：

判断所述原始请求包内是否存在相关的用户参数信息；

若存在，则进行S500步骤。

优选的，若所述原始请求包内存在用户参数信息，在进行S500步骤前还包括SQL注入漏洞预检测，包括以下步骤：

获取请求调用链，所述请求调用链表征为hook点后的代码执行流程：

判断所述请求调用链内是否存在SQL语句执行；

若不存在，则确定为不存在漏洞，并结束检测漏洞流程；

若存在，则保留本次的原始请求包和相对的原始响应包，并进行检测漏洞流程。

优选的，在步骤S400中，当获取hook点上的数据包后，包括：

对所述原始请求包进行解析，并判断所述原始请求包内是否存在重放标志头，所述重放标志头表征为判断请求包是否被修改过的标记；

若存在，则跳过检测漏洞流程；

若不存在，则进行检测漏洞流程；

其中，所述重放标志头的设置包括以下步骤：

在步骤S500和步骤S600中，将所述原始请求包内的内容进行相应替换后，在所述原始请求包中添加重放标志头，并重放请求包至所述请求调用链中。

优选的，步骤S900中根据所述第一结果和第二结果判断是否存在漏洞包括：

若所述第一结果为第一验证响应包与第二验证响应包相同，则确定为不存在漏洞，并结束检测漏洞流程；

若所述第一结果为第一验证响应包与第二验证响应包不相同，判断第二结果；

若所述第二结果为第一验证响应包或所述第二验证响应包与所述原始响应包相同，则确定为不存在漏洞，并结束检测漏洞流程；

若所述第二结果为所述第一验证响应包或所述第二验证响应包与所述原始响应包不相同，则确定为存在漏洞。

优选的，在步骤S600中，将所述原始请求包的所有参数根据其构造替换成伪随机值后，判断所述原始请求包内经过替换后的用户参数信息与所述预设的已存在测试账号的用户参数信息是否相同，若相同，则将所述原始请求包内的所有参数再一次根据其构造进行伪随机值替换。

第二方面，本申请提供一种账号枚举漏洞检测系统，采用如下的技术方案：

一种账号枚举漏洞检测系统，其特征在于：包括服务器，所述服务器用于获取待检测程序的检测接口和用户参数信息，并在所述检测接口插入相应功能的检测执行逻辑并定义为hook点，运行待检测程序直至检测到所述hook点，并在检测到hook点后获取hook点上的数据包，所述数据包包括原始请求包和原始响应包，

并将所述原始请求包内的用户参数信息替换为预设的已存在测试账号的用户参数信息，将所述原始请求包内的其他参数根据其构造替换为伪随机值，并生成相应的第一验证响应包，将所述原始请求包内的所有参数根据其构造替换为伪随机值，并生成相应的第二验证响应包，并将所述第一验证响应包与所述第二验证响应包进行比较以获得第一结果，将所述第一验证响应包或所述第二验证响应包与所述原始响应包进行比较以获得第二结果，根据所述第一结果和第二结果判断是否存在漏洞。

第三方面，本申请提供一种计算机存储介质，采用如下的技术方案：

一种计算机存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现上述的账号枚举漏洞检测方法。

综上所述，本申请包括以下至少一种有益技术效果：

1.本检测方法能静默地对程序进行监控，通过内部代码的执行逻辑以及一些特定参数的位置，通过分析账号枚举漏洞的本质即必须存在成功、失败以外的任意第三种响应信息，即可实现对用户名枚举漏洞的检测，对于响应数据包的处理方法，不需要依赖于识别字典，也就不需要过多进行对识别字典的构建工作，极大的降低了人力干预力度，增加安全测试人员对该类漏洞的测试效率；

2.插桩程序可以通过预设参数判断是否被外部污染，跟踪外部数据是否传入SQL语句并执行，即可判断是否为外部可控污点，从而进行账号枚举漏洞的检测，达到了对检测接口是否存在账号枚举风险的判断。

附图说明

图1是本申请实施例的整体流程示意图；

图2是本申请实施例中的判断示意图。

具体实施方式

以下结合附图1-2对本申请作进一步详细说明。

本申请实施例公开一种账号枚举漏洞检测方法。

如图1和图2所示，一种账号枚举漏洞检测方法包括：

S100，获取待检测程序的检测接口和用户参数信息。

根据用户配置来获取待检测程序的检测接口，如/login、/registe等，并获取响应的用户参数信息，也就是用户名参数的key，如username等。

S200，在检测接口插入检测执行逻辑并定义为hook点。

通过java插桩方法，通过检测接口在待检测程序中对一些关键方法进行hook，hook即为插桩修改代码的字节码，在程序源码之外添加额外的检测执行逻辑，这些添加的检测执行逻辑包括但不限于对方法的参数、返回值、当前对象等进行添加保存，插入检测执行逻辑后定义为hook点，hook点表征为获取外界参数的方法、字符串处理方法、SQL语句执行方法、用户指定的程序鉴权函数等。

S300，运行待检测程序直至检测到hook点。

当在待检测程序中添加检测执行逻辑后，正常访问程序功能点，当检测到hook点后，逐步进行漏洞检测。

S400，获取hook点上的数据包，数据包包括原始请求包和原始响应包。

获取数据包后，还需要对数据内的原始请求包中的用户名相关参数进行验证。

判断原始请求包内是否存在用户名相关参数的key，如username等，若存在则进行后续的检测漏洞步骤，若不存在，则不进行检测漏洞步骤。

以此对原始请求包的用户名参数进行验证，检测是否经过了篡改或是否是在正确的检测接口进行检测。

进一步的，在获取到数据包后，先进行SQL注入漏洞检测，以判断是否存在外部污染源并传入SQL语句执行。

SQL注入就是指web应用程序对用户输入的数据合法性没有过滤或者是判断，前端传入的参数是攻击者可以控制，并且参数带入数据库的查询，攻击者可以通过构造恶意的SQL语句来实现对数据库的任意操作。

具体包括以下步骤：

S410，获取请求调用链。

S420，判断请求调用链内是否存在SQL语句执行。

S430，若不存在，则确定为不存在漏洞，并结束检测漏洞流程。

S440，若存在，则保留本次的原始请求包和相对的原始响应包，并进行检测漏洞流程。

本申请是基于IAST方法并对其进行的改进，IAST能够获取程序执行时的请求调用链，并通过对SQL语句执行方法的hook确定其请求调用链中是否执行了SQL语句。

若请求调用链中不存在SQL语句执行，则说明该调用链中不存在外部污染源，不存在漏洞。

若请求调用链中存在SQL语句执行，那说明存在漏洞，保留本次的原始请求包和相对的原始相应包，并进行后续的检测漏洞流程。

S500，将原始请求包内的用户参数信息替换为预设的已存在测试账号的用户参数信息，将原始请求包内的其他参数根据其构造替换为伪随机值，并生成相应的第一验证响应包。

将原始请求包的内容进行相应替换后，重放请求包，以生成并获得相应的第一验证响应包。

S600，将原始请求包内的所有参数根据其构造替换为随机值，并生成相应的第二验证响应包。

将原始请求包内的内容进行相应替换后，重放请求包，以生成并获得相应的第二验证响应包。

其中，第一验证响应包和第二验证响应包的区别是第一验证响应包的用户参数信息会替换成预设的已存在测试账号的用户参数信息。

如图1和图2所示，其中还包括验证步骤：将原始请求包内的所有参数根据其构造替换成伪随机值后，判断原始请求包内经过替换后的用户参数信息与预设的已存在测试账号的用户参数信息是否相同，若相同，则将原始请求包内的所有参数再一次根据其构造进行伪随机值替换。

通过这种方法，避免原始请求包内的所有参数经过替换后的用户参数信息会与已存在测试账号的用户参数信息相同，这样两个响应包的内容将不具备测试效果。

进一步的，在步骤S500和步骤S600中，将原始请求包内的内容进行相应替换后，在原始请求包进行重放时，在原始请求包中添加重放标志头。

而后续再进行漏洞检测时，在hook点上获取数据包后，对原始请求包进行解析，并判断原始请求包中是否存在重放标志头。

若存在，则认定该hook点已经进行过漏洞检测，并跳过检测漏洞流程，若不存在，则认定该hook点没有进行过漏洞检测，并进行相应的检测漏洞程序。

其中，重放标志头表征为一个用于确定请求包是否被修改过的标记。

通过上述方法，可以避免一个hook点被反复进行漏洞测试。

S700，判断第一验证响应包与第二验证响应包是否相同以获得第一结果。

S800，判断第一验证响应包或第二验证响应包与原始响应包是否相同以获得第二结果。

S900，根据第一结果和第二结果判断是否存在漏洞。

具体包括以下步骤：

S910，若第一结果为第一验证响应包与第二验证响应包相同，则确定为不存在漏洞，并结束检测漏洞流程。

S920，若第一结果为第一验证响应包与第二验证响应包不相同，则判断第二结果。

S930，若第二结果为第一验证响应包或第二验证相应包与原始响应包相同，则确定为不存在漏洞，并结束检测漏洞流程。

S940，若第二结果为第一验证响应包或第二验证响应包与原始响应包不相同，则确定为存在漏洞。

因账号枚举漏洞产生的本质即为存在成功、失败以外的任意第三种响应信息，故本申请可以利用这个响应信息来判断是否存在漏洞。

先将第一验证响应包和第二验证响应包进行比较是用来检测两个响应包相对的请求包进行过替换后，是否存在替换内容相同的情况。因为第一响应包所对应的请求包替换的用户参数信息是已存在的测试账号的，故第一验证响应包内的信息一定是除“用户名错误”以外的其他信息，若第二验证响应包也是提示除去“用户名错误”以外的其他信息，说明不存在漏洞。

再将第一验证响应包或第二验证响应包与原始响应包进行比较，例如若第一验证响应包或第二验证响应包内的执行结果为“用户名不正确”，原始相应包内的执行结果为“密码不正确”，这时有效请求和无效请求中的执行结果存在了差异，就认定为存在漏洞。

在另一个实施例中，还公开了一种账号枚举漏洞检测系统，包括服务器，服务器用于获取待检测程序的检测接口和用户参数信息，并在检测接口插入相应功能的检测执行逻辑并定义为hook点，运行待检测程序直至检测到hook点，并在检测到hook点后获取hook点上的数据包，数据包包括原始请求包和原始响应包，

并将原始请求包内的用户参数信息替换为预设的已存在测试账号的用户参数信息，将原始请求包内的其他参数根据其构造替换为伪随机值，并生成相应的第一验证响应包，将原始请求包内的所有参数根据其构造替换为伪随机值，并生成相应的第二验证响应包，并将第一验证响应包与第二验证响应包进行比较以获得第一结果，将第一验证响应包或第二验证响应包与原始响应包进行比较以获得第二结果，根据第一结果和第二结果判断是否存在漏洞。

在另一个实施例中，还公开了一种计算机存储介质，其上存储有计算机程序，计算机程序被执行时实现上述的账号枚举漏洞检测方法。

实施原理为：

本检测方法能静默地对程序进行监控，通过内部代码的执行逻辑以及一些特定参数的位置，通过分析账号枚举漏洞的本质即必须存在成功、失败以外的任意第三种响应信息，即可实现对用户名枚举漏洞的检测，对于响应数据包的处理方法，不需要依赖于识别字典，也就不需要过多进行对识别字典的构建工作，极大的降低了人力干预力度，增加安全测试人员对该类漏洞的测试效率。

以上均为本申请的较佳实施例，并非依此限制本申请的保护范围，故：凡依本申请的结构、形状、原理所做的等效变化，均应涵盖于本申请的保护范围之内。

Claims (8)

1.一种账号枚举漏洞检测方法，其特征在于，包括以下步骤：

S100、获取待检测程序的检测接口和用户参数信息；

S200、在所述检测接口插入检测执行逻辑并定义为hook点；

S300、运行待检测程序直至检测到所述hook点；

S400、获取hook点上的数据包，所述数据包包括原始请求包和原始响应包；

S500、将所述原始请求包内的用户参数信息替换为预设的已存在测试账号的用户参数信息，将所述原始请求包内的其他参数根据其构造替换为伪随机值，并生成相应的第一验证响应包；

S600、将所述原始请求包内的所有参数根据其构造替换为伪随机值，并生成相应的第二验证响应包；

S700、判断所述第一验证响应包与所述第二验证响应包是否相同以获得第一结果；

S800、判断所述第一验证响应包或所述第二验证响应包与所述原始响应包是否相同以获得第二结果；

S900、根据所述第一结果和第二结果判断是否存在漏洞。

2.根据权利要求1所述的一种账号枚举漏洞检测方法，其特征在于：获取hook点上的数据包后，还包括以下步骤：

判断所述原始请求包内是否存在相关的用户参数信息；

若存在，则进行S500步骤。

3.根据权利要求2所述的一种账号枚举漏洞检测方法，其特征在于：若所述原始请求包内存在用户参数信息，在进行S500步骤前还包括SQL注入漏洞预检测，包括以下步骤：

获取请求调用链，所述请求调用链表征为hook点后的代码执行流程：

判断所述请求调用链内是否存在SQL语句执行；

若不存在，则确定为不存在漏洞，并结束检测漏洞流程；

若存在，则保留本次的原始请求包和相对的原始响应包，并进行检测漏洞流程。

4.根据权利要求3所述的一种账号枚举漏洞检测方法，其特征在于：在步骤S400中，当获取hook点上的数据包后，包括：

对所述原始请求包进行解析，并判断所述原始请求包内是否存在重放标志头，所述重放标志头表征为判断请求包是否被修改过的标记；

若存在，则跳过检测漏洞流程；

若不存在，则进行检测漏洞流程；

其中，所述重放标志头的设置包括以下步骤：

在步骤S500和步骤S600中，将所述原始请求包内的内容进行相应替换后，在所述原始请求包中添加重放标志头，并重放请求包至所述请求调用链中。

5.根据权利要求1所述的一种账号枚举漏洞检测方法，其特征在于：步骤S900中根据所述第一结果和第二结果判断是否存在漏洞包括：

若所述第一结果为第一验证响应包与第二验证响应包相同，则确定为不存在漏洞，并结束检测漏洞流程；

若所述第一结果为第一验证响应包与第二验证响应包不相同，判断第二结果；

若所述第二结果为第一验证响应包或所述第二验证响应包与所述原始响应包相同，则确定为不存在漏洞，并结束检测漏洞流程；

若所述第二结果为所述第一验证响应包或所述第二验证响应包与所述原始响应包不相同，则确定为存在漏洞。

6.根据权利要求1所述的一种账号枚举漏洞检测方法，其特征在于：在步骤S600中，将所述原始请求包的所有参数根据其构造替换成伪随机值后，判断所述原始请求包内经过替换后的用户参数信息与所述预设的已存在测试账号的用户参数信息是否相同，若相同，则将所述原始请求包内的所有参数再一次根据其构造进行伪随机值替换。

7.一种账号枚举漏洞检测系统，其特征在于：包括服务器，所述服务器用于获取待检测程序的检测接口和用户参数信息，并在所述检测接口插入相应功能的检测执行逻辑并定义为hook点，运行待检测程序直至检测到所述hook点，并在检测到hook点后获取hook点上的数据包，所述数据包包括原始请求包和原始响应包，

并将所述原始请求包内的用户参数信息替换为预设的已存在测试账号的用户参数信息，将所述原始请求包内的其他参数根据其构造替换为伪随机值，并生成相应的第一验证响应包，将所述原始请求包内的所有参数根据其构造替换为伪随机值，并生成相应的第二验证响应包，并将所述第一验证响应包与所述第二验证响应包进行比较以获得第一结果，将所述第一验证响应包或所述第二验证响应包与所述原始响应包进行比较以获得第二结果，根据所述第一结果和第二结果判断是否存在漏洞。

8.一种计算机存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至6中任一项所述的账号枚举漏洞检测方法。