[發明專利]一種越權漏洞的檢測方法、裝置及系統

有效

• 申請號: 201811432158.0
• 申請日: 2018-11-28
• 公開（公告）號: CN111241547B
• 公開（公告）日: 2023-05-12
• 發明（設計）人: 林曉明
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57;G06F18/214
• 代理公司: 北京清源匯知識產權代理事務所(特殊普通合伙) 11644
• 代理人: 馮德魁;竇曉慧

本申請公開一種越權漏洞的檢測方法，在使用第一登錄態訪問目標應用程序時，判斷所產生的數據中是否存在預設類型數據；若存在預設類型數據，則根據所述目標應用程序對應的域名信息，獲得對應所述目標應用程序的第二登錄態。在使用所述第二登錄態訪問所述目標應用程序時，判斷所產生的數據中是否存在所述預設類型數據，若存在所述預設類型數據，則確定所述目標應用程序中存在越權漏洞。采用本申請所述的越權漏洞的檢測方法，可以通過替換登錄態的方式，實現兩次判斷待檢測的目標應用程序中是否存在敏感信息，從而確定是否存在越權漏洞，減少繁瑣的操作步驟，提升了用戶的使用體驗。

技術領域

本申請涉及數據安全領域，具體涉及一種越權漏洞的檢測方法、裝置及系統。另外涉及一種檢測越權漏洞的電子設備及存儲設備。

背景技術

Web應用程序是基于瀏覽器/服務器架構的應用程序，是隨著網絡技術的發展而產生的應用程序類型。Web應用程序包含一些靜態的頁面，不僅具有信息展示功能，還可以通過調用頁面中的不同業務邏輯接口對數據執行相應的處理操作。但是，與傳統的計算機應用程序一樣，Web應用程序由于在開發過程中安全策略上的缺陷，使其必然存在一定量的漏洞。其中，越權漏洞是測試Web應用程序過程中常見的業務邏輯漏洞之一。它的形成原因是由于服務器端對客戶端的Web應用程序提出的數據操作請求過分信任，忽略了對其操作權限的判定。攻擊者使用一個合法賬戶，即可對存在越權缺陷漏洞的其他賬戶數據進行非法的操作。

為了應對Web應用程序的存在越權漏洞的問題，本領域技術人員已經開發出一些針對Web應用程序的越權漏洞掃描工具，例如BurpSuite等。用戶利用這些軟件進行抓包操作，然后修改請求Request參數，對比反饋的結果確定是否包含敏感信息，從而實現對Web應用程序的一些常規越權漏洞的檢測。但是，上述解決方案通常消耗的人力資源比較大，檢測人員需要進行大量的重復性工作，且依賴安全測試人員的主觀經驗，存在操作步驟比較繁瑣、檢測效率低下等弊端，尤其是無法實現大規模的Web應用程序越權漏洞的檢測工作。

發明內容

本申請提供一種越權漏洞的檢測方法、裝置及系統，以解決現有技術中存在的檢測越權漏洞的方式效率低下，難以滿足用戶需求的問題。本申請另外提供一種檢測越權漏洞的電子設備及存儲設備。

本申請提供的一種越權漏洞的檢測方法，包括：在使用第一登錄態訪問目標應用程序時，判斷所產生的數據中是否存在預設類型數據；若存在預設類型數據，則根據所述目標應用程序對應的域名信息，獲得對應所述目標應用程序的第二登錄態，其中，所述第一登錄態和所述第二登錄態分別表示訪問所述目標應用程序的兩個不同用戶的身份標識；在使用所述第二登錄態訪問所述目標應用程序時，判斷所產生的數據中是否存在所述預設類型數據，若存在所述預設類型數據，則確定所述目標應用程序中存在越權漏洞。

可選的，所述在使用第一登錄態訪問目標應用程序時，判斷所產生的數據中是否存在預設類型數據，具體包括：獲得在使用所述第一登錄態訪問所述目標應用程序時的第一訪問請求；根據所述第一訪問請求，獲得針對所述第一訪問請求產生的第一響應數據；將所述第一響應數據輸入預先訓練的用于提取預設類型數據的預設類型數據提取模型；若提取到所述預設類型數據，則判斷在使用所述第一登錄態訪問所述目標應用程序時所產生的數據中存在所述預設類型數據，若沒有提取到所述預設類型數據，則判斷在使用所述第一登錄態訪問所述目標應用程序時所產生的數據中不存在所述預設類型數據。

可選的，所述第一訪問請求為在所述第一登錄態對應的操作權限范圍內訪問所述目標應用程序時的所有操作指令。

可選的，所述第一響應數據為使用所述第一登錄態訪問所述目標應用程序時針對所述第一訪問請求獲得的所有響應數據。