[发明专利]越权漏洞的检测方法、装置、存储介质及计算机设备

权利要求书

1.一种越权漏洞的检测方法，其特征在于，所述方法包括：

接收请求消息；

确定与所述请求消息对应的第一账户信息；

确定与所述请求消息对应的会话的第二账户信息；

根据所述第一账户信息结合所述第二账户信息对所述请求消息进行越权漏洞检测。

2.如权利要求1所述的越权漏洞的检测方法，其特征在于，所述请求消息被用于调用应用程序的目标接口，在所述接收请求消息之后，还包括：

判断目标接口的信息是否在预配置的接口参数表内，所述接口参数表已学习得到样本接口的信息、与所述样本接口的信息对应的可忽略样本账户信息之间的对应关系；

所述根据所述第一账户信息结合所述第二账户信息对所述请求消息进行越权漏洞检测，包括：

根据判断的结果，结合所述第一账户信息以及所述第二账户信息对所述请求消息进行越权漏洞检测。

3.如权利要求2所述的越权漏洞的检测方法，其特征在于，所述根据判断的结果，结合所述第一账户信息以及所述第二账户信息对所述请求消息进行越权漏洞检测，包括：

若所述目标接口的信息不在所述预配置的接口参数表内，或者，若所述目标接口的信息在所述预配置的接口参数表内，并在所述第一账户信息与所述目标接口的信息对应的可忽略的目标账户信息不匹配时，根据所述第一账户信息和所述第二账户信息之间的匹配状态对所述请求消息进行越权漏洞检测；

若所述目标接口的信息在所述预配置的接口参数表内，且所述第一账户信息与所述目标账户信息匹配，则直接确定所述请求消息不存在越权漏洞。

4.如权利要求3所述的越权漏洞的检测方法，其特征在于，所述根据所述第一账户信息和所述第二账户信息的匹配情况对所述请求消息进行越权漏洞检测，包括：

若所述第一账户信息与所述第二账户信息之间的匹配状态为不匹配时，则确定所述请求消息存在越权漏洞；

若所述第一账户信息与所述第二账户信息之间的匹配状态为匹配时，则确定所述请求消息不存在越权漏洞。

5.如权利要求1所述的越权漏洞的检测方法，其特征在于，所述请求消息还包括：请求标识，所述确定与所述请求消息对应的会话的第二账户信息，包括：

从预配置的对应关系表内，确定与所述请求标识匹配的样本请求标识；所述对应关系表，已学习得到样本请求标识、与所述样本请求标识对应的样本会话账号以及样本账户信息之间的对应关系；

将所述样本请求标识对应的样本会话账号，以及与所述样本会话账号对应的样本账户信息共同作为所述第二账户信息。

6.如权利要求1所述的越权漏洞的检测方法，其特征在于，在所述接收请求消息之前，还包括：

获取海量样本请求消息，所述样本请求消息包括样本认证信息；

解析所述样本认证信息，得到所述样本请求消息对应的样本账户信息；

根据所述样本请求消息的历史访问信息，从所述样本账户信息之中识别出可忽略样本账户信息；

解析所述样本请求消息对应的样本接口的信息，并根据所述样本接口的信息、与所述样本接口的信息对应的可忽略样本账户信息建立所述接口参数表。

7.如权利要求4所述的越权漏洞的检测方法，其特征在于，若所述第一账户信息与所述第二账户信息之间的匹配状态为不匹配时，则确定所述请求消息存在越权漏洞之后，还包括：

显示所述第一账户信息与所述第二账户信息之间的匹配状态为不匹配的提示信息，并显示所述第一账户信息和所述目标接口的信息；

响应于用户的选取指令，根据所述选取指令对应的目标信息对所述接口参数表进行补充，其中，所述目标信息为所述第一账户信息和所述目标接口的信息的任一种。

8.一种越权漏洞的检测装置，其特征在于，所述装置包括：

接收模块，用于接收请求消息；

第一确定模块，用于确定与所述请求消息对应的第一账户信息；

第二确定模块，用于确定与所述请求消息对应的会话的第二账户信息；

检测模块，用于根据所述第一账户信息结合所述第二账户信息对所述请求消息进行越权漏洞检测。