[发明专利]一种越权访问漏洞检测方法、装置、系统和存储介质

说明书

本申请公开了一种越权访问漏洞检测方法、装置、系统和存储介质，方法包括：当接收到用户访问目标网站的http请求时，将http请求发送至目标网站的服务器，并获取目标网站的服务器根据http请求发送的原始返回信息；确定http请求的请求参数，替换请求参数中的cookie信息，生成第一目标http请求；获取目标网站的服务器根据第一目标http请求发送的第一目标返回信息，并对原始返回信息与第一目标返回信息进行比对；根据得到的第一比对结果，生成越权检测结果。通过利用代理服务器统一替换cookie参数的方式，可实现自动化越权检测，且适应性较广，能够及时有效检测越权漏洞，有效提高了越权检测效率。

技术领域

本申请涉及网络安全技术领域，特别涉及一种越权访问漏洞检测方法、装置、系统、电子设备和计算机可读存储介质。

背景技术

随着计算机网络和通讯技术的快速发展，利用开放的网络环境进行全球通信已成为时代发展的趋势。Web应用越来越广泛,网站建设和网页设计的需求越来越大，但也容易受到网络安全问题的威胁,引起了普遍关注。网站越权访问漏洞是目前网站很常见的一种逻辑安全漏洞，目前多数WEB(World Wide Web)即全球广域网，也称为万维网)应用都具备权限划分和控制，越权漏洞是由于网站服务器端对用户提出的数据操作请求过分信任，忽略了对该用户操作权限的判定，导致修改相关参数就可以拥有其他账户的增删改查功能，从而导致漏洞的产生。其中，越权可理解为超出了权限或权力范围。多数WEB应用都具备权限划分和控制，但是如果权限控制功能设计存在缺陷，那么攻击者就可以通过这些缺陷来访问未经授权的功能或数据，这就是越权漏洞。攻击者越权后就可以进行一些操作，例如查看敏感信息、进行一些增删改查的操作等等。

相关技术中的越权访问漏洞检测方法，通过爬虫程序等获取到网站的url，人工对获取到的网站url进行分析判断，解析判断出网站对应的私有参数，通过替换用于控制权限访问的私有参数，进行越权访问漏洞检测。该方式无法实现自动化越权检测，也不能够及时发现并处理漏洞，且由于不同网站的私有参数不同，需要解析判断出不同网站各自对应的私有参数，并制定不同的越权检测策略，导致不能实现对所有网站统一越权检测。

发明内容

本申请的目的是提供一种越权访问漏洞检测方法、装置、系统、电子设备和计算机可读存储介质，通过利用代理服务器统一替换cookie参数的方式，可实现自动化越权检测，且适应性较广，无需由于不同网站的私有参数不同而需要制定不同的越权访问漏洞检测策略，能够及时有效检测越权漏洞，有效提高了越权检测效率。其具体方案如下：

第一方面，本申请公开了一种越权访问漏洞检测方法，包括：

当接收到用户访问目标网站的http请求时，将所述http请求发送至所述目标网站的服务器，并获取所述目标网站的服务器根据所述http请求发送的原始返回信息；

确定所述http请求的请求参数，替换所述请求参数中的cookie信息，生成第一目标http请求；

获取所述目标网站的服务器根据所述第一目标http请求发送的第一目标返回信息，并对所述原始返回信息与所述第一目标返回信息进行比对；

根据得到的第一比对结果，生成越权检测结果。

可选的，在所述确定所述http请求的请求参数之后，还包括：

删除所述请求参数中的cookie信息，生成第二目标http请求；

获取所述目标网站的服务器根据所述第二目标http请求发送的第二目标返回信息，并对所述原始返回信息与所述第二目标返回信息进行比对，生成第二比对结果；

根据所述第二比对结果和所述第一比对结果，生成更新后的越权检测结果。

可选的，所述根据所述第二比对结果和所述第一比对结果，生成更新后的越权检测结果，包括：