[發明專利]用于檢測業務邏輯漏洞的方法、裝置、系統、設備及介質

有效

• 申請號: 201910698760.7
• 申請日: 2019-07-30
• 公開（公告）號: CN110390202B
• 公開（公告）日: 2021-06-18
• 發明（設計）人: 葉紅;曠亞和;姜城;劉婉嬌
• 申請（專利權）人: 中國工商銀行股份有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 楊靜

1.一種用于檢測業務邏輯漏洞的方法，包括：

響應于獲得服務端下發到客戶端的腳本，識別所述腳本中的邏輯判斷節點作為關鍵數據；

響應于獲得客戶端向所述服務端發送的業務請求，從所述業務請求中提取請求參數；

基于所述關鍵數據處理所述請求參數，確定所述請求參數的合法取值范圍；

基于所述合法取值范圍，構造包含不合法的請求參數在內的攻擊請求，并將所述攻擊請求發送到所述服務端，其中，所述不合法的請求參數包括在所述合法取值范圍之外的請求參數；以及

接收所述服務端針對所述攻擊請求的響應信息，并根據所述響應信息確定是否存在業務邏輯漏洞；

其中，所述方法還包括：

攔截所述客戶端與服務端之間的交互數據；

從所述交互數據中識別出所述服務端下發到客戶端的腳本以及客戶端向所述服務端發送的業務請求。

2.根據權利要求1所述的方法，還包括：

對所述關鍵數據進行插樁處理；

所述基于所述關鍵數據處理所述請求參數，確定所述請求參數的合法取值范圍包括：

從基于經插樁處理的腳本生成的業務請求中獲得樁點信息；以及

基于所述樁點信息，確定所述請求參數的合法取值范圍。

3.根據權利要求1所述的方法，其中，所述獲得服務端針對所述攻擊請求的響應信息，確定是否存在業務邏輯漏洞包括：

將所述業務請求發送到所述服務端，以獲得針對所述業務請求的響應信息；

將所述攻擊請求的響應信息與業務請求的響應信息進行比對，以便確定是否存在業務邏輯漏洞；

所述方法還包括，在存在業務邏輯漏洞的情況下，生成告警信息。

4.一種用于檢測業務邏輯漏洞的裝置，包括：

識別模塊，用于響應于獲得服務端下發到客戶端的腳本，識別所述腳本中的邏輯判斷節點作為關鍵數據；

提取模塊，用于響應于獲得客戶端向所述服務端發送的業務請求，從所述業務請求中提取請求參數；

第一確定模塊，用于基于所述關鍵數據處理所述請求參數，確定所述請求參數的合法取值范圍；

構造模塊，用于基于所述合法取值范圍，構造包含不合法的請求參數在內的攻擊請求，并將所述攻擊請求發送到所述服務端，其中，所述不合法的請求參數包括在所述合法取值范圍之外的請求參數；以及

第二確定模塊，用于接收所述服務端針對所述攻擊請求的響應信息，并根據所述響應信息確定是否存在業務邏輯漏洞；

所述裝置還包括：

攔截所述客戶端與服務端之間的交互數據；

從所述交互數據中識別出所述服務端下發到客戶端的腳本以及客戶端向所述服務端發送的業務請求。

5.一種電子設備，包括：

處理器；以及

存儲器，其上存儲有計算機可讀指令，所述指令被處理器執行時使得處理器執行權利要求1～3中任意一項所述的方法。

6.一種計算機可讀存儲介質，其上存儲有計算機可讀指令，所述指令被處理器執行時使得處理器執行權利要求1～3中任意一項所述的方法。

7.一種用于檢測業務邏輯漏洞的系統，包括：

插樁子系統，用于獲得服務端下發到客戶端的腳本，獲得客戶端向所述服務端發送的業務請求，以及識別所述腳本中的邏輯判斷節點作為關鍵數據；

檢測子系統，用于從所述業務請求中提取請求參數，基于所述關鍵數據處理所述請求參數，確定所述請求參數的合法取值范圍，基于所述合法取值范圍，構造包含不合法的請求參數在內的攻擊請求，并將所述攻擊請求發送到所述服務端，以及接收所述服務端針對所述攻擊請求的響應信息，并根據所述響應信息確定是否存在業務邏輯漏洞，其中，所述不合法的請求參數包括在所述合法取值范圍之外的請求參數；

其中，所述插樁子系統包括：

正向代理模塊，用于接收客戶端與所述服務端的交互數據，從所述交互數據中識別所述服務端下發到客戶端的腳本以及客戶端上送的業務請求。