[发明专利]基于IAST测试工具动态检测水平越权的方法及系统

说明书

本发明公开了一种基于IAST测试工具动态检测水平越权的方法及系统，其中，方法包括如下步骤：S1、利用IAST测试工具和插桩技术，追踪用户程序与数据库交互的SQL语句；S2、绑定请求与请求权限；S3、根据步骤S1获取该请求下所有执行的SQL语句并存储；S4、对获取到的SQL语句进行解析；S5、对步骤S4中生成的数据进行加权计算并生成检测模型；S6、实时监听用户请求流程；S7、采用检测模型对用户发送的请求进行权限验证，以判断请求所执行的语句是否存在水平越权问题；本发明通过对SQL语句的数据库资源解析和检测模型的结合，可使得检测软件深入到应用程序的代码内部，可以更精准的定位水平越权漏洞。

技术领域

本发明涉及应用程序漏洞检测技术领域，尤其涉及一种基于IAST测试工具动态检测水平越权的方法及系统。

背景技术

理论上说，一个架构完善、规则安全的应用系统，应当做到对接收到的每条请求，先对发送该请求的用户进行权限判定，再对其进行相应的服务。而现实生活中，由于搭建系统的工程人员的疏漏，系统在某些权限上，并不会对针对该权限的请求的发送用户进行权限判定，而直接对发送请求的用户进行服务，从而导致没有该权限的用户也能使用该权限，即在该权限上发生了越权。在越权中，有一种越权方式是水平越权漏洞，即攻击者可以访问其所属权限组其他用户的权限，例如：普通用户A能够访问普通用户B的管理页面，这种情况就是水平越权。而使用现有的应用程序漏洞检测手段，只能依据黑盒检测工具来检测请求级别的垂直越权问题，即：端对端的检测漏洞，只能依据返回值和响应状态判断权限问题，对于没有返回值的请求无能为力。。

发明内容

本发明的目的是为解决上述技术问题而提供一种对应用程序的水平越权漏洞可以精确定位的基于IAST测试工具动态检测水平越权的方法。

本发明的另一目的是提供一种对应用程序的水平越权漏洞可以精确定位的基于IAST测试工具动态检测水平越权的系统。

为了实现上述目的，本发明公开了一种基于IAST测试工具动态检测水平越权的方法，其包括如下步骤：

S1、利用IAST测试工具和插桩技术，在待检测应用程序中的用户代码与数据库的连接处插入检测代码，从而动态获取用户程序与数据库交互的SQL语句以及返回的查询结果数据；

S2、将每条用户请求分别与其所对应的请求权限绑定；

S3、当用户请求被发送至服务端执行时，根据步骤S1获取该请求下所有执行的SQL语句并存储；

S4、对步骤S3获取到的所述SQL语句进行解析；

S5、对步骤S4中生成的数据进行加权计算并生成基于监督学习算法的检测模型，所述检测模型用于对请求的SQL语句进行验证；

S6、实时监听用户请求流程；

S7、采用所述检测模型对用户发送的请求进行权限验证，以判断所述请求所执行的语句是否存在水平越权问题。

与现有技术相比，本发明基于IAST测试工具动态检测水平越权的方法，用户启动待检测应用程序时，同时启动IAST测试工具，并且采用插桩技术标记用户代码中与数据库交互的部分，从而监听用户请求下所有执行的SQL语句，然后获取用户请求与权限的映射关系，接着，将所有请求执行的SQL语句和请求对应的权限值存储到数据库中，然后对SQL语句进行解析后通过算法创建检测模型，然后通过该检测模型实时对监听到的用户请求进行水平越权问题检测；由此可知，本发明通过对SQL语句的数据库资源解析和检测模型的结合，可使得检测软件深入到应用程序的代码内部，可以更精准的定位水平越权漏洞。

较佳地，所述步骤S2中的请求权限绑定的具体步骤包括：

S20、将待检测应用程序中所记录的用户名和该用户名所对应的权限绑定；