[發明專利]檢測web應用越權的方法及系統

在審

• 申請號: 201910889750.1
• 申請日: 2019-09-19
• 公開（公告）號: CN110674507A
• 公開（公告）日: 2020-01-10
• 發明（設計）人: 汪杰;萬振華;李華;潘志祥;王頡
• 申請（專利權）人: 深圳開源互聯網安全技術有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 44202 廣州三環專利商標代理有限公司
• 代理人: 張艷美;趙貫杰

1.一種檢測web應用越權的方法，其特征在于，包括如下步驟：

S1)、通過兩個不同的用戶賬號登陸待檢測應用程序，并遍歷所述應用程序中的所有功能；

S2)、收集并記錄當前瀏覽器的所有請求信息和響應信息，從而形成request表和reponse表，并根據為所述應用程序的各個用戶角色配置的用戶信息，形成請求、角色和用戶的對應關系關聯表；

S3)、當所述步驟1中的兩個用戶賬號屬于同一角色時，根據所述關聯表，將分別與兩個用戶所對應的請求中的參數彼此作全部或部分替換，將替換后的請求進行存儲，形成水平權限請求回放記錄表；

當所述步驟1中的兩個用戶賬號分別屬于兩個角色時，根據所述關聯表，將分別與兩個用戶所對應的請求的主體作彼此替換，且參數作全部或部分替換，將替換后的請求進行存儲，形成垂直權限請求回放記錄表；

S4)、回放所述步驟3中形成的水平權限請求回放記錄表和/或垂直權限請求回放記錄表中所存儲的請求，并分別記錄每條請求所形成的響應，生成回放響應表；

S5)、對比所述reponse表和所述回放響應表，得出響應相似度，從而生成并上報用于判斷是否越權的相似度分析結果。

2.根據權利要求1所述的檢測web應用越權的方法，其特征在于，在所述步驟5中，所述響應相似度得出方法具體包括：將通過替換后形成的多個請求所對應的響應值逐一與原請求所對應的響應值進行比較，從而分別計算出一相似度；所述相似度分析結果包括若干組展示表，每一組所述展示表中包括有一原請求、一原響應、一替換后的請求、一替換后的響應及所述原響應與所述替換后的響應之間的相似度，此處，所述替換后的請求為對原請求進行替換后形成的多個請求中與原請求相似度最高者。

3.根據權利要求2所述的檢測web應用越權的方法，其特征在于，所述展示表中，還可根據需求全部展示與所述原請求對應的多個替換后的請求、替換后的響應、替換的要素以及相似度。

4.根據權利要求1所述的檢測web應用越權的方法，其特征在于，還包括步驟S6)：根據所述相似度分析結果以及所述應用程序的實際邏輯設置，對所述請求回放記錄表中的請求的主體和/或參數進行標記，通過對所述請求的主體進行標記，以判斷所述請求是否越權，通過對所述請求的參數進行標記，以判斷所述參數是否影響越權。

5.根據權利要求1所述的檢測web應用越權的方法，其特征在于，所述應用程序在工作過程中，實時收集請求流量和響應流量，以對所述request表和reponse表進行更新，進而對所述請求回放記錄表進行更新。

6.一種檢測web應用越權的系統，其特征在于，包括遍歷模塊、數據收集模塊、數據處理模塊、回放模塊以及分析上報模塊；

所述遍歷模塊，用于通過使用不同的用戶賬號登陸待檢測應用程序，以遍歷所述應用程序中的所有功能；

所述數據收集模塊，用于收集并記錄當前瀏覽器的所有原始請求信息和原始響應信息，從而形成request表和reponse表，并根據為所述應用程序的各個用戶角色配置的用戶信息，形成請求、角色和用戶的對應關系關聯表；

所述數據處理模塊，其與所述數據收集模塊電性連接，當所述遍歷模塊中的兩個用戶賬號屬于同一角色時，所述數據處理模塊用于根據所述關聯表，將分別與兩個用戶所對應的請求中的參數彼此作全部或部分替換，將替換后的請求進行存儲，形成水平權限請求回放記錄表；

當所述遍歷模塊中的兩個用戶賬號分別屬于兩個角色時，所述數據處理模塊用于根據所述關聯表，將分別與兩個用戶所對應的請求的主體作彼此替換，且參數作全部或部分替換，將替換后的請求進行存儲，形成垂直權限請求回放記錄表；

所述回放模塊，其與所述數據處理模塊電性連接，用于回放所述水平權限請求回放記錄表和/或垂直權限請求回放記錄表中所存儲的請求，并分別記錄每條請求所形成的響應，生成回放響應表；

所述分析上報模塊，其與所述數據處理模塊和所述回放模塊電性連接，用于對比所述reponse表和所述回放響應表，得出響應相似度，從而生成并上報用于判斷是否越權的相似度分析結果。