CN105357195B - web访问的越权漏洞检测方法及装置 - Google Patents

Abstract

本发明公开了一种web访问的越权漏洞检测方法，包括以下步骤：采集预设时间内待检测的HTTP流量信息，所述HTTP流量信息包括URL参数及会话标识，其中，所述URL参数信息包括URL参数及参数值；根据所述URL参数信息及会话标识按预设规则识别出所述URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数。本发明还公开了一种web访问的越权漏洞检测装置。本发明能覆盖检测测试范围内所有存在越权漏洞的URL参数，识别率高。

Description

web访问的越权漏洞检测方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种web访问的越权漏洞检测方法及装置。

背景技术

目前互联网中存在的最严重的漏洞之一是越权访问这类漏洞，如在统一资源定位符(Uniform Resource Locator，简称URL)越权漏洞中，由于web程序设计缺陷，利用URL传入参数的可猜测性，通过变更输入的参数值，就可能造成横向越权访问，拿到他人私有信息。URL越权漏洞是一种危害非常大的业务逻辑漏洞，它可以直接绕过基础的网络安全服务防御，越权漏洞发现难度大。现有技术中，网站设计者会对这些参数进行权限校验，确保用户仅能访问到属于自己的资源，但是在这类应用中，诸如此类的数据如此之多，从地址数据、订单信息、支付信息等，无一不需要小心处理。当业务复杂到一定程度之后，很难保证这些数据的访问都经过了严格的权限校验，从而产生了URL越权漏洞。URL越权漏洞能够被攻击者利用，造成横向越权访问，导致用户敏感信息的泄漏。

现有技术中，对URL越权漏洞的检测主要是通过测试人员对web程序进行渗透测试，人工检测出漏洞，即全凭人工对各种URL参数进行无差别的人工检测处理来找到存在越权漏洞的URL参数，不仅效率较低，耗费人力，而且不能确保覆盖检测到测试范围内的所有URL参数。

发明内容

本发明的主要目的在于提供一种web访问的越权漏洞检测方法及装置，旨在高效率地覆盖检测测试范围内所有存在越权漏洞的URL参数。

为实现上述目的，本发明提供的一种web访问的越权漏洞检测方法，所述方法包括以下步骤：

采集预设时间内待检测的HTTP流量信息，所述HTTP流量信息包括URL参数信息及会话标识，其中，所述URL参数信息包括URL参数及参数值；

根据所述URL参数信息及会话标识按预设规则识别出所述URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；

对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数。

优选地，所述根据所述URL参数信息及会话标识按预设规则识别出所述URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数的步骤包括：

获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数，所述索引参数用于索引服务器资源；

根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数，所述私用参数用于索引用户私有资源。

优选地，所述统计获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数的步骤包括：

统计所述HTTP流量信息中每一URL参数的不同取值个数及访问每一URL参数的访问记录条数；

若所述访问记录条数达到预设条数，且URL参数的不同取值个数在所述访问记录条数中所占比例达到预设比例，则识别该URL参数为索引参数。

优选地，当所述会话标识包括第一会话标识和第二会话标识时，所述对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数的步骤包括：

若监测到第一HTTP请求以第一会话标识访问私有参数，获取在所述第一会话标识对应的会话中所述私有参数的第一参数值，并记录反馈的第一返回信息；

若监测到第二HTTP请求以第二会话标识访问所述私有参数，获取在所述第二会话标识对应的会话中所述私有参数的第二参数值，并记录反馈的第二返回信息；

构造使用所述第二会话标识及所述第一参数值的HTTP测试请求来访问所述私有参数，并记录反馈的测试返回信息；

若所述第一返回信息与所述第二返回信息不同，且所述测试返回信息与所述第一返回信息相同，则确定所述私有参数存在越权漏洞。

优选地，所述对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数的步骤之后还包括：

展示存在越权漏洞的私有参数，以供用户针对存在越权漏洞的私有参数进行相应的风险防护操作。

此外，为实现上述目的，本发明还提供一种web访问的越权漏洞检测装置，所述web访问的越权漏洞检测装置包括：

采集模块，用于采集预设时间内待检测的HTTP流量信息，所述HTTP流量信息包括URL参数信息及会话标识，其中，所述URL参数信息包括URL参数及参数值；

识别模块，用于根据所述URL参数信息及会话标识按预设规则识别出所述URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；

测试模块，用于对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数。

优选地，所述识别模块具体用于：

获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数，所述索引参数用于索引服务器资源；

根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数，所述私用参数用于索引用户私有资源。

优选地，所述识别模块具体用于：

统计所述HTTP流量信息中每一URL参数的不同取值个数及访问每一URL参数的访问记录条数；

若所述访问记录条数达到预设条数，且URL参数的不同取值个数在所述访问记录条数中所占比例达到预设比例，则识别该URL参数为索引参数。

优选地，当所述会话标识包括第一会话标识和第二会话标识时，所述测试模块具体用于：

若监测到第一HTTP请求以第一会话标识访问私有参数，获取在所述第一会话标识对应的会话中所述私有参数的第一参数值，并记录反馈的第一返回信息；

若监测到第二HTTP请求以第二会话标识访问所述私有参数，获取在所述第二会话标识对应的会话中所述私有参数的第二参数值，并记录反馈的第二返回信息；

构造使用所述第二会话标识及所述第一参数值的HTTP测试请求来访问所述私有参数，并记录反馈的测试返回信息；

若所述第一返回信息与所述第二返回信息不同，且所述测试返回信息与所述第一返回信息相同，则确定所述私有参数存在越权漏洞。

优选地，所述web访问的越权漏洞检测装置还包括：

展示模块，用于展示存在越权漏洞的私有参数，以供用户针对存在越权漏洞的私有参数进行相应的风险防护操作。

本发明提出的一种web访问的越权漏洞检测方法及装置，通过采集的预设时间内待检测的URL参数信息及会话标识按预设规则识别出待检测的URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；对每一所述私有参数进行预设的越权漏洞测试操作确定存在越权漏洞的私有参数。由于只识别测试范围内所有URL参数中的索引参数，并只对从所述索引参数中提取出的私有参数进行越权漏洞测试，极大地提高了检测效率，且能覆盖检测测试范围内所有存在越权漏洞的URL参数，识别率高。

附图说明

图1为本发明web访问的越权漏洞检测方法第一实施例的流程示意图；

图2为本发明web访问的越权漏洞检测方法第二实施例的流程示意图；

图3为本发明web访问的越权漏洞检测装置第一实施例的功能模块示意图；

图4为本发明web访问的越权漏洞检测装置第二实施例的功能模块示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明提供一种web访问的越权漏洞检测方法。

参照图1，图1为本发明web访问的越权漏洞检测方法第一实施例的流程示意图。

在第一实施例中，该web访问的越权漏洞检测方法包括：

步骤S10，采集预设时间内待检测的HTTP流量信息，所述HTTP流量信息包括URL参数信息及会话标识，其中，所述URL参数信息包括URL参数及参数值；

本实施例中，当需要检测web访问的越权漏洞时，可采集预设时间内经过网关设备的超文本传输协议(HyperText Transfer Protocol，简称HTTP)流量信息，采集的HTTP流量信息可包括：IP信息、URL、URL参数信息、cookie字段内的会话标识等，如可提取HTTP请求包cookie头域中JSESSOINID、ASP.NET_SessionId、PHPSESSID字段的值作为会话标识。其中，待检测的HTTP流量信息的采集时长可由用户或者网关设备根据检测的需要预先设定，如可设置为固定时长，例如可设置该采集时长为1天、7天等；也可设置为固定数量，例如，在某个URL参数的访问记录达到1000时，则停止该URL参数的采集；在此，对HTTP流量信息的采集方式不作限定。采集的HTTP流量信息中的URL参数信息可包括URL参数及对应的参数值等相关信息。

步骤S20，根据所述URL参数信息及会话标识按预设规则识别出所述URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；

由于采集的HTTP流量信息中包括所有URL参数、参数值及会话标识，可根据每一URL参数在采集的HTTP流量信息中的出现次数、取值特征等识别出采集的HTTP流量信息的所有URL参数中用于索引服务器资源的索引参数。其中，在URL传入的参数中，有的参数代表着对服务器某项资源的索引，其参数值标识着一项具体资源，如数据库中的一条记录、某个文件、对象等，将这种用来索引服务器资源的URL参数识别为索引参数。比如针对url：a.com？userId＝10&errorId＝0，其中对于userId参数，它的值是对数据库中用户信息的索引，可根据userId的参数值在数据库中查询到某个用户的信息，那么识别userId为索引参数。而对于errorId参数，它的值代表的是web程序出错类型，并非对某项资源的索引，因此识别errorId参数不是索引参数。

在识别出所述URL参数中用于索引服务器资源的索引参数后，还可进一步地从所述索引参数中提取出用于索引用户私有资源的私有参数。其中，索引参数标识的资源可能为共享资源，所有用户都可以获取或者修改这项资源，也可能是某个用户私有的，其他用户没有权限访问。如果某个索引参数标识的资源为特定用户私有，则识别该索引参数为私有参数。比如针对url：a.com？userId＝10&articleId＝1，有两个索引参数userId和articleId，userId参数是对用户信息的索引，每个用户仅能访问自己的用户信息，articleId参数是服务器中存储的文章的索引，文章是共享资源，每个用户都可以访问读取任何文章，因此识别userId参数为私有参数，而articleId参数不是私有参数。

在识别出所述URL参数中用于索引服务器资源的索引参数后，利用会话标识统计一个特定用户在每一会话中访问的索引参数取值情况，根据一个特定用户在每一会话中访问的索引参数取值情况可从所述索引参数中提取出用于索引用户私有资源的私有参数。

步骤S30，对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数。

在横向越权访问中，若用户A和用户B属于同一角色X，拥有相同的权限等级，用户A和用户B能获取各自的私有数据(数据A和数据B)，但如果***只验证了能访问数据的角色，而没有对数据做细分或者校验，导致用户A能访问到用户B的数据(数据B)，那么用户A访问数据B的这种行为就构成了横向越权访问。本实施例中，针对用户能通过所述私有参数获取对方私有数据导致越权漏洞的特征，可对每一所述私有参数进行预设的越权漏洞测试操作，如更改所述私有参数的值形成测试***进行测试、更改所述私有参数的值访问不同用户的私有数据等方式测试私有参数是否存在越权漏洞。根据测试结果即可确定存在越权漏洞的私有参数。

本实施例通过采集的预设时间内待检测的URL参数信息及会话标识按预设规则识别出待检测的URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；对每一所述私有参数进行预设的越权漏洞测试操作确定存在越权漏洞的私有参数。由于只识别测试范围内所有URL参数中的索引参数，并只对从所述索引参数中提取出的私有参数进行越权漏洞测试，极大地提高了检测效率，且能覆盖检测测试范围内所有存在越权漏洞的URL参数，识别率高。

进一步地，在其他实施例中，上述步骤S20可以包括：

获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数，所述索引参数用于索引服务器资源；

根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数，所述私用参数用于索引用户私有资源。

本实施例中，由于索引参数是用于索引服务器资源的参数，而服务器资源非常繁多，需要索引不同服务器资源的索引参数的取值也很多，在不同用户的大量HTTP流量信息中索引参数的取值个数也会很多。因此，利用索引参数的这一特征，可统计获取所述HTTP流量信息中URL参数的取值特征，将取值特征符合预设条件的URL参数识别为索引参数。具体地，可统计所述HTTP流量信息中每一URL参数的不同取值个数及访问每一URL参数的访问记录条数；若所述访问记录条数达到预设条数，且URL参数的不同取值个数在所述访问记录条数中所占比例达到预设比例，则识别该URL参数为索引参数。例如对于采集的HTTP流量信息中出现的每个URL参数，可通过以下条件来识别索引参数：

(1)n_total≥threshold₁，

(2)rate≥threshold₂，

其中，rate＝n_unique/n_total，n_total为访问该URL参数的记录总条数，n_unique为该URL参数不同取值的个数。threshold₁、threshold₂可根据具体需求进行设置，如threshold₁可取1000，以保证样本量充足；threshold₂可取0.1，当然，也不限定threshold₁、threshold₂为其他取值。当URL参数同时满足条件(1)、(2)时，则识别该URL参数为索引参数。如针对采集的HTTP流量信息中的url：a.com？userId＝10&errorId＝1，各有1000条记录访问userId和errorId这两个URL参数，这1000条记录中，userId参数有350个不同取值，则userId参数对应的rate值为0.35，而errorId参数只有10个不同取值，则errorId参数对应的rate值为0.01，那么根据上述索引参数的识别条件(1)、(2)，识别userId参数为索引参数，而errorId参数则不是索引参数。

而对于私有参数来说，每个用户仅能访问属于自己的资源的参数值。会话标识在其有效期内标记的是一个特定用户，因此，一个会话标识在其周期内访问到的参数值应该是唯一的。因此，可根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数。具体地，在采集HTTP流量信息中，统计每个索引参数的每一个会话所访问的不同参数值个数，并计算获取每一索引参数的平均单个会话访问的不同参数值个数values_per_session。若values_per_session<threshold₃，则识别该索引参数为私有参数。在实际场景中，由于一些特殊情况如存在攻击流量等，导致一个会话标识在其周期内访问到的参数值也不一定是唯一的，即私有参数的平均单个会话访问的不同参数值个数values_per_session的值不绝对等于1，但是接近于1，因此，为了适应实际场景中对私有参数的识别，本实施例中，设置判断阈值threshold₃为1.5，当然，也可根据需要对threshold₃的取值进行调整，在此不作限定。如针对采集的HTTP流量信息中的url：a.com？userId＝10&articleId＝1，识别出两个索引参数userId参数和articleId参数，userId参数作为服务器数据库中用户信息的索引，articleId参数作为服务器存储的文章的索引。统计采集的HTTP流量信息中所有访问userId参数的记录，通过计算得到userId参数的单个会话平均访问1.05个不同参数值，即userId参数的values_per_session＝1.05，也就是说，所有访问userId参数的会话，基本上每个会话仅访问一个参数值，满足私有参数的判别条件，所以识别userId参数为私有参数。同样，对于articleId参数，统计到单个会话平均访问了6.52个不同参数值，即articleId参数的values_per_session＝6.52，说明该参数值索引的资源与用户并不是一一对应，所以识别articleId参数为非私有参数。

这样，本实施例中，能通过对采集的所述HTTP流量信息中URL参数的具体取值特征进行统计，识别出所述HTTP流量信息中用来索引服务器资源的索引参数。再从所述索引参数中提取出用于索引用户私有资源的私有参数；以供后续通过对识别出的私有参数进行越权漏洞测试及监控来检测web访问中是否存在越权漏洞。

进一步地，在其他实施例中，当所述会话标识包括第一会话标识和第二会话标识时，上述步骤S30可以包括：

若监测到第一HTTP请求以第一会话标识访问私有参数，获取在所述第一会话标识对应的会话中所述私有参数的第一参数值，并记录反馈的第一返回信息；

若监测到第二HTTP请求以第二会话标识访问所述私有参数，获取在所述第二会话标识对应的会话中所述私有参数的第二参数值，并记录反馈的第二返回信息；

构造使用所述第二会话标识及所述第一参数值的HTTP测试请求来访问所述私有参数，并记录反馈的测试返回信息；

若所述第一返回信息与所述第二返回信息不同，且所述测试返回信息与所述第一返回信息相同，则确定所述私有参数存在越权漏洞。

本实施例中，在对识别出的私有参数进行越权漏洞测试时，可在网关设备对每个私有参数进行越权漏洞测试。如若监听到某个HTTP请求以会话标识SessionId_A访问该私有参数，参数值记为Param_A，记录返回页面记Page_A；若监听到某个HTTP请求以会话标识SessionId_B访问该私有参数，参数值记为Param_B，记录返回页面记Page_B。构造HTTP请求，使用会话标识SessionId_B、参数值Param_A，访问该参数，记录返回页面Page_BA。若Page_A≠Page_B，且Page_A＝Page_BA，则确定该私有参数存在越权漏洞。例如userId为识别出的私有参数，是对用户信息的索引。在网关设备对该userId参数进行监控，如果监测到用户A访问了参数userId＝a，用户B访问了参数userId＝b，即可构造HTTP请求，使用用户B的会话标识访问参数userId＝a，如果服务器返回的信息与用户A相同，那么说明userId这个参数存在越权漏洞。

本实施例中通过对每一私有参数进行监控及测试，可识别出存在越权漏洞的私有参数，可覆盖检测测试范围内所有存在越权漏洞的URL参数，可以自动化识别出存在URL越权漏洞的web应用以及具体存在漏洞的URL参数。

如图2所示，本发明第二实施例提出一种web访问的越权漏洞检测方法，在上述实施例的基础上，在上述步骤S30之后还包括：

步骤S40，展示存在越权漏洞的私有参数，以供用户针对存在越权漏洞的私有参数进行相应的风险防护操作。

本实施例中在识别出存在越权漏洞的私有参数后，展示存在越权漏洞的私有参数，以及时告知用户当前存在越权漏洞的URL参数，并提示用户针对存在越权漏洞的URL参数进行相应的风险防护操作，从而有效地避免因越权漏洞导致用户的敏感数据泄漏。

本发明进一步提供一种web访问的越权漏洞检测装置。

参照图3，图3为本发明web访问的越权漏洞检测装置第一实施例的功能模块示意图。

在第一实施例中，该web访问的越权漏洞检测装置包括：

采集模块01，用于采集预设时间内待检测的HTTP流量信息，所述HTTP流量信息包括URL参数信息及会话标识，其中，所述URL参数信息包括URL参数及参数值；

本实施例中，当需要检测web访问的越权漏洞时，可采集预设时间内经过网关设备的超文本传输协议(HyperText Transfer Protocol，简称HTTP)流量信息，采集的HTTP流量信息可包括：IP信息、URL、URL参数信息、cookie字段内的会话标识等，如可提取HTTP请求包cookie头域中JSESSOINID、ASP.NET_SessionId、PHPSESSID字段的值作为会话标识。其中，待检测的HTTP流量信息的采集时长可由用户或者网关设备根据检测的需要预先设定，如可设置为固定时长，例如可设置该采集时长为1天、7天等；也可设置为固定数量，例如，在某个URL参数的访问记录达到1000时，则停止该URL参数的采集；在此，对HTTP流量信息的采集方式不作限定。采集的HTTP流量信息中的URL参数信息可包括URL参数及对应的参数值等相关信息。

识别模块02，用于根据所述URL参数信息及会话标识按预设规则识别出所述URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；

由于采集的HTTP流量信息中包括所有URL参数、参数值及会话标识，可根据每一URL参数在采集的HTTP流量信息中的出现次数、取值特征等识别出采集的HTTP流量信息的所有URL参数中用于索引服务器资源的索引参数。其中，在URL传入的参数中，有的参数代表着对服务器某项资源的索引，其参数值标识着一项具体资源，如数据库中的一条记录、某个文件、对象等，将这种用来索引服务器资源的URL参数识别为索引参数。比如针对url：a.com？userId＝10&errorId＝0，其中对于userId参数，它的值是对数据库中用户信息的索引，可根据userId的参数值在数据库中查询到某个用户的信息，那么识别userId为索引参数。而对于errorId参数，它的值代表的是web程序出错类型，并非对某项资源的索引，因此识别errorId参数不是索引参数。

在识别出所述URL参数中用于索引服务器资源的索引参数后，还可进一步地从所述索引参数中提取出用于索引用户私有资源的私有参数。其中，索引参数标识的资源可能为共享资源，所有用户都可以获取或者修改这项资源，也可能是某个用户私有的，其他用户没有权限访问。如果某个索引参数标识的资源为特定用户私有，则识别该索引参数为私有参数。比如针对url：a.com？userId＝10&articleId＝1，有两个索引参数userId和articleId，userId参数是对用户信息的索引，每个用户仅能访问自己的用户信息，articleId参数是服务器中存储的文章的索引，文章是共享资源，每个用户都可以访问读取任何文章，因此识别userId参数为私有参数，而articleId参数不是私有参数。

在识别出所述URL参数中用于索引服务器资源的索引参数后，利用会话标识统计一个特定用户在每一会话中访问的索引参数取值情况，根据一个特定用户在每一会话中访问的索引参数取值情况可从所述索引参数中提取出用于索引用户私有资源的私有参数。

测试模块03，用于对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数。

在横向越权访问中，若用户A和用户B属于同一角色X，拥有相同的权限等级，用户A和用户B能获取各自的私有数据(数据A和数据B)，但如果***只验证了能访问数据的角色，而没有对数据做细分或者校验，导致用户A能访问到用户B的数据(数据B)，那么用户A访问数据B的这种行为就构成了横向越权访问。本实施例中，针对用户能通过所述私有参数获取对方私有数据导致越权漏洞的特征，可对每一所述私有参数进行预设的越权漏洞测试操作，如更改所述私有参数的值形成测试***进行测试、更改所述私有参数的值访问不同用户的私有数据等方式测试私有参数是否存在越权漏洞。根据测试结果即可确定存在越权漏洞的私有参数。

本实施例通过采集的预设时间内待检测的URL参数信息及会话标识按预设规则识别出待检测的URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；对每一所述私有参数进行预设的越权漏洞测试操作确定存在越权漏洞的私有参数。由于只识别测试范围内所有URL参数中的索引参数，并只对从所述索引参数中提取出的私有参数进行越权漏洞测试，极大地提高了检测效率，且能覆盖检测测试范围内所有存在越权漏洞的URL参数，识别率高。

进一步地，在其他实施例中，上述识别模块02可以用于：

获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数，所述索引参数用于索引服务器资源；

根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数，所述私用参数用于索引用户私有资源。

本实施例中，由于索引参数是用于索引服务器资源的参数，而服务器资源非常繁多，需要索引不同服务器资源的索引参数的取值也很多，在不同用户的大量HTTP流量信息中索引参数的取值个数也会很多。因此，利用索引参数的这一特征，可统计获取所述HTTP流量信息中URL参数的取值特征，将取值特征符合预设条件的URL参数识别为索引参数。具体地，可统计所述HTTP流量信息中每一URL参数的不同取值个数及访问每一URL参数的访问记录条数；若所述访问记录条数达到预设条数，且URL参数的不同取值个数在所述访问记录条数中所占比例达到预设比例，则识别该URL参数为索引参数。例如对于采集的HTTP流量信息中出现的每个URL参数，可通过以下条件来识别索引参数：

(1)n_total≥threshold₁，

(2)rate≥threshold₂，

其中，rate＝n_unique/n_total，n_total为访问该URL参数的记录总条数，n_unique为该URL参数不同取值的个数。threshold₁、threshold₂可根据具体需求进行设置，如threshold₁可取1000，以保证样本量充足；threshold₂可取0.1，当然，也不限定threshold₁、threshold₂为其他取值。当URL参数同时满足条件(1)、(2)时，则识别该URL参数为索引参数。如针对采集的HTTP流量信息中的url：a.com？userId＝10&errorId＝1，各有1000条记录访问userId和errorId这两个URL参数，这1000条记录中，userId参数有350个不同取值，则userId参数对应的rate值为0.35，而errorId参数只有10个不同取值，则errorId参数对应的rate值为0.01，那么根据上述索引参数的识别条件(1)、(2)，识别userId参数为索引参数，而errorId参数则不是索引参数。

而对于私有参数来说，每个用户仅能访问属于自己的资源的参数值。会话标识在其有效期内标记的是一个特定用户，因此，一个会话标识在其周期内访问到的参数值应该是唯一的。因此，可根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数。具体地，在采集HTTP流量信息中，统计每个索引参数的每一个会话所访问的不同参数值个数，并计算获取每一索引参数的平均单个会话访问的不同参数值个数values_per_session。若values_per_session<threshold₃，则识别该索引参数为私有参数。在实际场景中，由于一些特殊情况如存在攻击流量等，导致一个会话标识在其周期内访问到的参数值也不一定是唯一的，即私有参数的平均单个会话访问的不同参数值个数values_per_session的值不绝对等于1，但是接近于1，因此，为了适应实际场景中对私有参数的识别，本实施例中，设置判断阈值threshold₃为1.5，当然，也可根据需要对threshold₃的取值进行调整，在此不作限定。如针对采集的HTTP流量信息中的url：a.com？userId＝10&articleId＝1，识别出两个索引参数userId参数和articleId参数，userId参数作为服务器数据库中用户信息的索引，articleId参数作为服务器存储的文章的索引。统计采集的HTTP流量信息中所有访问userId参数的记录，通过计算得到userId参数的单个会话平均访问1.05个不同参数值，即userId参数的values_per_session＝1.05，也就是说，所有访问userId参数的会话，基本上每个会话仅访问一个参数值，满足私有参数的判别条件，所以识别userId参数为私有参数。同样，对于articleId参数，统计到单个会话平均访问了6.52个不同参数值，即articleId参数的values_per_session＝6.52，说明该参数值索引的资源与用户并不是一一对应，所以识别articleId参数为非私有参数。

这样，本实施例中，能通过对采集的所述HTTP流量信息中URL参数的具体取值特征进行统计，识别出所述HTTP流量信息中用来索引服务器资源的索引参数。再从所述索引参数中提取出用于索引用户私有资源的私有参数；以供后续通过对识别出的私有参数进行越权漏洞测试及监控来检测web访问中是否存在越权漏洞。

进一步地，在其他实施例中，当所述会话标识包括第一会话标识和第二会话标识时，上述测试模块03可以用于：

若监测到第一HTTP请求以第一会话标识访问私有参数，获取在所述第一会话标识对应的会话中所述私有参数的第一参数值，并记录反馈的第一返回信息；

若监测到第二HTTP请求以第二会话标识访问所述私有参数，获取在所述第二会话标识对应的会话中所述私有参数的第二参数值，并记录反馈的第二返回信息；

构造使用所述第二会话标识及所述第一参数值的HTTP测试请求来访问所述私有参数，并记录反馈的测试返回信息；

若所述第一返回信息与所述第二返回信息不同，且所述测试返回信息与所述第一返回信息相同，则确定所述私有参数存在越权漏洞。

本实施例中，在对识别出的私有参数进行越权漏洞测试时，可在网关设备对每个私有参数进行越权漏洞测试。如若监听到某个HTTP请求以会话标识SessionId_A访问该私有参数，参数值记为Param_A，记录返回页面记Page_A；若监听到某个HTTP请求以会话标识SessionId_B访问该私有参数，参数值记为Param_B，记录返回页面记Page_B。构造HTTP请求，使用会话标识SessionId_B、参数值Param_A，访问该参数，记录返回页面Page_BA。若Page_A≠Page_B，且Page_A＝Page_BA，则确定该私有参数存在越权漏洞。例如userId为识别出的私有参数，是对用户信息的索引。在网关设备对该userId参数进行监控，如果监测到用户A访问了参数userId＝a，用户B访问了参数userId＝b，即可构造HTTP请求，使用用户B的会话标识访问参数userId＝a，如果服务器返回的信息与用户A相同，那么说明userId这个参数存在越权漏洞。

本实施例中通过对每一私有参数进行监控及测试，可识别出存在越权漏洞的私有参数，可覆盖检测测试范围内所有存在越权漏洞的URL参数，可以自动化识别出存在URL越权漏洞的web应用以及具体存在漏洞的URL参数。

如图4所示，本发明第二实施例提出一种web访问的越权漏洞检测装置，在上述实施例的基础上，还包括：

展示模块04，用于展示存在越权漏洞的私有参数，以供用户针对存在越权漏洞的私有参数进行相应的风险防护操作。

本实施例中在识别出存在越权漏洞的私有参数后，展示存在越权漏洞的私有参数，以及时告知用户当前存在越权漏洞的URL参数，并提示用户针对存在越权漏洞的URL参数进行相应的风险防护操作，从而有效地避免因越权漏洞导致用户的敏感数据泄漏。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (8)

1.一种web访问的越权漏洞检测方法，其特征在于，所述方法包括以下步骤：

采集预设时间内待检测的HTTP流量信息，所述HTTP流量信息包括URL参数信息及会话标识，其中，所述URL参数信息包括URL参数及参数值；

获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数，所述索引参数用于索引服务器资源；

根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数，所述私有参数用于索引用户私有资源；

对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数。

2.如权利要求1所述的web访问的越权漏洞检测方法，其特征在于，所述获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数的步骤包括：

统计所述HTTP流量信息中每一URL参数对应的参数值的不同取值个数及访问每一URL参数的访问记录条数；

若所述访问记录条数达到预设条数，且URL参数的不同取值个数在所述访问记录条数中所占比例达到预设比例，则识别该URL参数为索引参数。

3.如权利要求1所述的web访问的越权漏洞检测方法，其特征在于，当所述会话标识包括第一会话标识和第二会话标识时，所述对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数的步骤包括：

若监测到第一HTTP请求以第一会话标识访问私有参数，获取在所述第一会话标识对应的会话中所述私有参数的第一参数值，并记录反馈的第一返回信息；

若监测到第二HTTP请求以第二会话标识访问所述私有参数，获取在所述第二会话标识对应的会话中所述私有参数的第二参数值，并记录反馈的第二返回信息；

构造使用所述第二会话标识及所述第一参数值的HTTP测试请求来访问所述私有参数，并记录反馈的测试返回信息；

若所述第一返回信息与所述第二返回信息不同，且所述测试返回信息与所述第一返回信息相同，则确定所述私有参数存在越权漏洞。

4.如权利要求1所述的web访问的越权漏洞检测方法，其特征在于，所述对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数的步骤之后还包括：

展示存在越权漏洞的私有参数，以供用户针对存在越权漏洞的私有参数进行相应的风险防护操作。

5.一种web访问的越权漏洞检测装置，其特征在于，所述web访问的越权漏洞检测装置包括：

采集模块，用于采集预设时间内待检测的HTTP流量信息，所述HTTP流量信息包括URL参数信息及会话标识，其中，所述URL参数信息包括URL参数及参数值；

识别模块，用于根据所述URL参数信息及会话标识按预设规则识别出所述URL参数中用于索引服务器资源的索引参数，并从所述索引参数中提取出用于索引用户私有资源的私有参数；

测试模块，用于对每一所述私有参数进行预设的越权漏洞测试操作，根据测试结果确定存在越权漏洞的私有参数；

其中，所述识别模块具体用于：

获取所述HTTP流量信息中URL参数对应的参数值的取值特征，将取值特征符合预设条件的URL参数识别为索引参数，所述索引参数用于索引服务器资源；根据所述会话标识获取每一索引参数的平均单个会话访问的不同参数值个数，若索引参数的平均单个会话访问的不同参数值个数小于预设个数，则识别该索引参数为私有参数，所述私有参数用于索引用户私有资源。

6.如权利要求5所述的web访问的越权漏洞检测装置，其特征在于，所述识别模块具体用于：

统计所述HTTP流量信息中每一URL参数对应的参数值的不同取值个数及访问每一URL参数的访问记录条数；

若所述访问记录条数达到预设条数，且URL参数的不同取值个数在所述访问记录条数中所占比例达到预设比例，则识别该URL参数为索引参数。

7.如权利要求5所述的web访问的越权漏洞检测装置，其特征在于，当所述会话标识包括第一会话标识和第二会话标识时，所述测试模块具体用于：

若监测到第一HTTP请求以第一会话标识访问私有参数，获取在所述第一会话标识对应的会话中所述私有参数的第一参数值，并记录反馈的第一返回信息；

若监测到第二HTTP请求以第二会话标识访问所述私有参数，获取在所述第二会话标识对应的会话中所述私有参数的第二参数值，并记录反馈的第二返回信息；

构造使用所述第二会话标识及所述第一参数值的HTTP测试请求来访问所述私有参数，并记录反馈的测试返回信息；

若所述第一返回信息与所述第二返回信息不同，且所述测试返回信息与所述第一返回信息相同，则确定所述私有参数存在越权漏洞。

8.如权利要求5所述的web访问的越权漏洞检测装置，其特征在于，还包括：

展示模块，用于展示存在越权漏洞的私有参数，以供用户针对存在越权漏洞的私有参数进行相应的风险防护操作。