[發明專利]一種越權漏洞的檢測方法、裝置及系統

有效

• 申請號: 201811432158.0
• 申請日: 2018-11-28
• 公開（公告）號: CN111241547B
• 公開（公告）日: 2023-05-12
• 發明（設計）人: 林曉明
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F18/214
• 代理公司: 北京清源匯知識產權代理事務所(特殊普通合伙) 11644
• 代理人: 馮德魁;竇曉慧

1.一種越權漏洞的檢測方法，其特征在于，包括：

在使用第一登錄態訪問目標應用程序時，判斷所產生的數據中是否存在預設類型數據；

若存在預設類型數據，則根據所述目標應用程序對應的域名信息，獲得對應所述目標應用程序的第二登錄態，其中，所述第一登錄態和所述第二登錄態分別表示訪問所述目標應用程序的兩個不同用戶的身份標識；

在使用所述第二登錄態訪問所述目標應用程序時，判斷所產生的數據中是否存在所述預設類型數據，若存在所述預設類型數據，則確定所述目標應用程序中存在越權漏洞；

其中，所述在使用第一登錄態訪問目標應用程序時，判斷所產生的數據中是否存在預設類型數據，具體包括：獲得在使用所述第一登錄態訪問所述目標應用程序時的第一訪問請求；根據所述第一訪問請求，獲得針對所述第一訪問請求產生的第一響應數據；將所述第一響應數據輸入預先訓練的用于提取預設類型數據的預設類型數據提取模型；若提取到所述預設類型數據，則判斷在使用所述第一登錄態訪問所述目標應用程序時所產生的數據中存在所述預設類型數據，若沒有提取到所述預設類型數據，則判斷在使用所述第一登錄態訪問所述目標應用程序時所產生的數據中不存在所述預設類型數據。

2.根據權利要求1所述的方法，其特征在于，所述第一訪問請求為在所述第一登錄態對應的操作權限范圍內訪問所述目標應用程序時的所有操作指令。

3.根據權利要求1所述的方法，其特征在于，所述第一響應數據為使用所述第一登錄態訪問所述目標應用程序時，針對所述第一訪問請求獲得的所有響應數據。

4.根據權利要求1所述的方法，其特征在于，所述在使用所述第二登錄態訪問所述目標應用程序時，判斷所產生的數據中是否存在所述預設類型數據，具體包括：

獲得在使用所述第二登錄態訪問所述目標應用程序時針對所述目標應用程序重新發送的所述第一訪問請求；

根據所述第一訪問請求，獲得針對所述第一訪問請求產生的第二響應數據；

將所述第二響應數據輸入預先訓練的用于提取預設類型數據的預設類型數據提取模型；

若提取到所述預設類型數據，則判斷在使用所述第二登錄態訪問所述目標應用程序時所產生的數據中存在所述預設類型數據，若沒有提取到所述預設類型數據，則判斷在使用所述第二登錄態訪問所述目標應用程序時所產生的數據中不存在所述預設類型數據。

5.根據權利要求4所述的方法，其特征在于，所述第二響應數據為使用所述第二登錄態訪問所述目標應用程序時，針對所述第一訪問請求獲得的所有響應數據。

6.根據權利要求1所述的方法，其特征在于，所述根據所述目標應用程序對應的域名信息，獲得對應所述目標應用程序的第二登錄態，具體包括：

獲取所述目標應用程序對應的域名信息；

對所述域名信息進行拼接處理，得到針對所述目標應用程序的第二登錄態。

7.根據權利要求1所述的方法，其特征在于，所述獲得在使用所述第一登錄態訪問所述目標應用程序時的第一訪問請求，具體包括：

在向所述目標應用程序發送所述第一訪問請求之前觸發執行日志記錄操作，獲得記錄所述目標應用程序的所產生的數據的日志記錄表；

分析所述日志記錄表，獲得使用所述第一登錄態訪問所述目標應用程序時的所述第一訪問請求以及針對所述第一訪問請求返回的所述第一響應數據。

8.根據權利要求1-7任意一項權利要求所述的方法，其特征在于，所述預設類型數據包括所述目標應用程序中存在的手機號數據、身份證號數據以及電子郵件數據中的至少一種數據。

9.根據權利要求1所述的方法，其特征在于，還包括：

若確定所述目標應用程序存在所述越權漏洞，則根據所述預設類型數據以及預設的預設類型數據與目標區域之間的對應關系，確定所述預設類型數據對應的目標區域；

對所述目標區域進行標識，輸出用于顯示所述越權漏洞在所述目標應用程序中具體位置的目標區域標識。