[发明专利]越权查询的判断方法、装置、计算机设备和存储介质

说明书

本发明涉及一种越权查询的判断方法、装置、计算机设备和存储介质，该方法包括：获取应用服务器的第一响应报文，将第一请求报文携带的第一会话参数替换为第二会话参数得到第三请求报文，然后将第三请求报文发送至应用服务器，获取应用服务器响应该第三请求报文得到的第三响应报文，最后基于第一响应报文和第三响应报文的一致性，判断该目标功能点是否存在越权查询。该方案能够保持请求报文中的查询条件不变，对请求报文中的会话参数进行修改，从而基于会话参数修改前后得到的响应报文的一致性判断相应的功能点是否发生了越权查询，无需逐一修改请求报文的查询条件，提高了越权查询的判断效率。

技术领域

本发明涉及信息安全技术领域，特别是涉及一种越权查询的判断方法、越权查询的判断装置、计算机设备和计算机可读存储介质。

背景技术

越权访问漏洞是指查询交易时，允许用户能够查询到其他用户的敏感数据。例如，用户登录应用程序后，通过输入个人卡号查询了卡内当前的活期余额，此时用户通过修改卡号，如果能查询到其他用户的活期余额，即进行了越权查询。如果Web应用程序中存在可以越权查询用户敏感信息的功能点，则可能导致大规模用户敏感信息的泄露，因此需要对查询交易的功能点进行越权查询检测，判断该功能点是否存在越权查询。

在传统技术中，渗透测试人员通过逐个修改交易报文中的查询参数，根据返回的数据确定是否发生越权查询，具体而言，渗透测试人员会确定交易报文中的查询参数，例如卡号、资金账号和流水号等，逐个修改查询条件，查看是否返回其他用户的敏感数据，从而判断该功能点是否发生了越权查询。然而，这种技术需要渗透测试人员逐一修改功能点的查询条件，时间复杂度随着查询条件的增加而指数级增加，导致对越权查询的判断效率低。

发明内容

基于此，有必要针对传统技术对越权查询的判断效率低的技术问题，提供一种越权查询的判断方法、越权查询的判断装置、计算机设备和计算机可读存储介质。

一种越权查询的判断方法，包括步骤：

获取应用服务器的第一响应报文；其中，所述第一响应报文为所述应用服务器响应第一请求报文得到的；所述第一请求报文用于第一用户对所述应用服务器的目标功能点进行查询；

将所述第一请求报文携带的第一会话参数替换为第二会话参数，得到第三请求报文；其中，所述第二会话参数为第二请求报文携带的会话参数；所述第二请求报文用于第二用户对所述目标功能点进行查询；所述第二用户与所述第一用户为不同用户；

将所述第三请求报文发送至所述应用服务器；

获取所述应用服务器的第三响应报文；所述第三响应报文为所述应用服务器响应所述第三请求报文得到的；

基于所述第一响应报文和第三响应报文的一致性，判断所述目标功能点是否存在越权查询。

一种越权查询的判断装置，包括：

第一获取模块，用于获取应用服务器的第一响应报文；其中，所述第一响应报文为所述应用服务器响应第一请求报文得到的；所述第一请求报文用于第一用户对所述应用服务器的目标功能点进行查询；

替换模块，用于将所述第一请求报文携带的第一会话参数替换为第二会话参数，得到第三请求报文；其中，所述第二会话参数为第二请求报文携带的会话参数；所述第二请求报文用于第二用户对所述目标功能点进行查询；所述第二用户与第一用户为不同用户；

发送模块，用于将所述第三请求报文发送至所述应用服务器；

第二获取模块，用于获取所述应用服务器的第三响应报文；所述第三响应报文为所述应用服务器响应所述第三请求报文得到的；

判断模块，用于基于所述第一响应报文和第三响应报文的一致性，判断所述目标功能点是否存在越权查询。