CN113259327A - 一种自动化接口检测方法、***和计算机设备 - Google Patents

Abstract

本发明属于接口检测技术领域，提供一种自动化接口检测方法、***和计算机设备，该方法包括：实时获取各业务线的流量数据，对流量数据进行预处理；自动检测预处理后的所有流量数据，并从中提取相应关键信息，关键信息包括客户端的请求信息和服务端的响应信息；基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息；根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。本发明方法能够自动批量检测接口是否存在未授权漏洞问题，极大减少了人工工作量，减少了漏报误差，极大提高了业务***的安全覆盖面，还能够更有效保证各接口的安全性、公司及用户信息安全性。

Description

一种自动化接口检测方法、***和计算机设备

技术领域

本发明属于接口检测技术领域，特别适用于家政服务领域，更具体的是涉及一种自动化接口检测方法、***和计算机设备。

背景技术

近年来，随着人口老龄化时代及“二胎”时代的来临，对于家政服务的需求会越来越多，而各种家政业务也随之激增，用户主要通过线下或者线上家政服务***寻找家政服务人员。其中，家政业务包括月嫂服务以及保姆服务等。

现有的家政服务***，能够为消费者提供线上预约家政服务项目，其余需求仅能够依靠经纪人或推广人电话沟通或者线上社交工具沟通。而在家政服务软件应用中，应用与服务器之间通过http接口进行数据交换处理，若接口未进行相关权限的认证，将会导致用户信息的泄露，恶意攻击者可通过接口批量获取用户信息，甚至企业竞对手也可能通过存在漏洞的接口获取用户或企业相关信息，则会给家政公司、第三方公司以及各类用户造成很不良的影响。

而现有的接口未授权漏洞通常是由安全人员人工发现，再进行修复，所以存在人工经验差异、业务覆盖面不全、效率低、发现不及时等问题，还会影响漏洞的及时修复，影响公司及用户信息安全性。

因此，有必要提供一种自动化接口检测方法，以解决上述问题。

发明内容

(一)要解决的技术问题

本发明旨在解决接口检测覆盖面不全、效率低、发现不及时，无法实现批量检测，人工工作量大，影响漏洞的及时修复，影响公司及用户信息安全性等技术问题。

(二)技术方案

为解决上述技术问题，本发明的一方面提出了一种自动化接口检测方法，其用于自动批量检测接口未授权漏洞，所述方法包括：实时获取各业务线的流量数据，对所述流量数据进行预处理；自动检测预处理后的所有流量数据，并从中提取相应关键信息，所述关键信息包括客户端的请求信息和服务端的响应信息；基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息；根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。

根据本发明的优选实施方式，实时对多条流量数据同时进行重放处理包括：根据从各条流量数据所提取的请求信息中的域名、请求接口和请求参数，重新执行各条流量数据对应的请求过程。

根据本发明的优选实施方式，还包括：设定匹配规则，该匹配规则包括第一匹配规则和第二匹配规则，其中，所述第一匹配规则用于将通过重放处理获得的响应信息与特定匹配参数进行匹配；所述第二匹配规则用于将通过重放处理获得的响应信息与对应流量数据中的实际响应信息进行匹配。

根据本发明的优选实施方式，所述特定匹配参数包括URL、身份证号、手机号、姓名和住址。

根据本发明的优选实施方式，使用所述第一匹配规则进行判断以确定当前接口是否是存在未授权漏洞的接口包括：在判断通过重放处理获得的响应信息包含至少一个特定匹配参数的情况下，确定当前接口存在未授权漏洞。

根据本发明的优选实施方式，使用第二判断规则进行判断以确定当前接口是否是存在未授权漏洞的接口包括：在判断通过重放处理获得的响应信息与流量数据中的实际响应信息相同的情况下，对当前接口进行进一步接口参数判断，以确定该当前接口存在未授权漏洞；在判断通过重放处理获得的响应信息与流量数据中的实际响应信息不相同的情况下，确定该当前接口不存在未授权漏洞。

根据本发明的优选实施方式，还包括：将所确定的存在未授权漏洞的接口及其相关信息数据进行记录存储，并向相关业务人员推送警报信息；所述业务人员对相应接口增加检测认证处理。

根据本发明的优选实施方式，所述自动对所述流量数据进行预处理包括：自动对批量的流量数据进行过滤、去重和/或数据格式化处理，从所述批量的流量数据选出待检测流量数据。

本发明第二方面提出一种自动化接口检测***，其用于自动批量检测接口未授权漏洞，所述***包括：预处理模块，用于实时获取各业务线的流量数据，对所述流量数据进行预处理；检测模块，用于自动检测预处理后的所有流量数据，并从中提取相应关键信息，所述关键信息包括客户端的请求信息和服务端的响应信息；重放处理模块，基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息；判断模块，根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。

根据本发明的优选实施方式，包括：根据从各条流量数据所提取的请求信息中的域名、请求接口和请求参数，重新执行各条流量数据对应的请求过程。

根据本发明的优选实施方式，还包括设定模块，所述设定模块用于设定匹配规则，该匹配规则包括第一匹配规则和第二匹配规则，其中，所述第一匹配规则用于将通过重放处理获得的响应信息与特定匹配参数进行匹配；所述第二匹配规则用于将通过重放处理获得的响应信息与对应流量数据中的实际响应信息进行匹配。

根据本发明的优选实施方式，所述特定匹配参数包括URL、身份证号、手机号、姓名和住址。

根据本发明的优选实施方式，所述判断模块包括：在判断通过重放处理获得的响应信息包含至少一个特定匹配参数的情况下，确定当前接口存在未授权漏洞。

根据本发明的优选实施方式，所述判断模块还包括：在判断通过重放处理获得的响应信息与流量数据中的实际响应信息相同的情况下，对当前接口进行进一步接口参数判断，以确定该当前接口存在未授权漏洞；在判断通过重放处理获得的响应信息与流量数据中的实际响应信息不相同的情况下，确定该当前接口不存在未授权漏洞。

根据本发明的优选实施方式，还包括记录存储模块，所述记录存储模块用于将所确定的存在未授权漏洞的接口及其相关信息数据进行记录存储，并向相关业务人员推送警报信息；所述业务人员对相应接口增加检测认证处理。

根据本发明的优选实施方式，所述自动对所述流量数据进行预处理包括：自动对批量的流量数据进行过滤、去重和/或数据格式化处理，从所述批量的流量数据选出待检测流量数据。

本发明第三方面提出一种计算机设备，其中，该计算机设备包括：处理器；以及，存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行本发明的自动化接口检测方法。

本发明第四方面提出一种计算机程序产品，其中，所述计算机程序产品存储一个或多个程序，所述一个或多个程序当被处理器执行时，实现本发明的的自动化接口检测方法。

(三)有益效果

与现有技术相比，本发明通过预设判断规则，能够自动批量检测接口是否存在未授权漏洞问题，能够更有效地进行判断，还能够有效避免恶意攻击者通过问题接口批量获取用户信息等的问题；能够极大减少人工工作量，还能够减少漏报误差，能够极大提高业务***的安全覆盖面，还能够更有效保证各接口的安全性、公司及用户信息安全性。

附图说明

图1是本发明的实施例1的自动化接口检测方法的一示例的流程图。

图2是本发明的实施例1的自动化接口检测方法的另一示例的流程图。

图3是本发明的实施例1的自动化接口检测方法的又一示例的流程图。

图4是本发明的实施例2的自动化接口检测***的一示例的示意图。

图5是本发明的实施例2的自动化接口检测***的另一示例的示意图；

图6是本发明的实施例2的自动化接口检测***的又一示例的示意图。

图7是本发明的一个实施例的计算机设备的结构示意图。

图8是本发明的一个实施例的计算机机程序产品的示意图。

具体实施方式

在对于具体实施例的介绍过程中，对结构、性能、效果或者其他特征的细节描述是为了使本领域的技术人员对实施例能够充分理解。但是，并不排除本领域技术人员可以在特定情况下，以不含有上述结构、性能、效果或者其他特征的技术方案来实施本发明。

附图中的流程图仅是一种示例性的流程演示，不代表本发明的方案中必须包括流程图中的所有的内容、操作和步骤，也不代表必须按照图中所显示的的顺序执行。例如，流程图中有的操作/步骤可以分解，有的操作/步骤可以合并或部分合并，等等，在不脱离本发明的发明主旨的情况下，流程图中显示的执行顺序可以根据实际情况改变。

附图中的框图一般表示的是功能实体，并不一定必然与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理单元装置和/或微控制器装置中实现这些功能实体。

各附图中相同的附图标记表示相同或类似的元件、组件或部分，因而下文中可能省略了对相同或类似的元件、组件或部分的重复描述。还应理解，虽然本文中可能使用第一、第二、第三等表示编号的定语来描述各种器件、元件、组件或部分，但是这些器件、元件、组件或部分不应受这些定语的限制。也就是说，这些定语仅是用来将一者与另一者区分。例如，第一器件亦可称为第二器件，但不偏离本发明实质的技术方案。此外，术语“和/或”、“及/或”是指包括所列出项目中的任一个或多个的所有组合。

鉴于上述问题，本发明提出一种自动化接口检测方法，其用于自动批量检测接口未授权漏洞，该方法能够自动检测批量接口是否存在未授权漏洞问题，并能够更有效且更精确地检测出存在问题的接口，还能够有效避免恶意攻击者通过问题接口批量获取用户信息等的问题。

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明作进一步的详细说明。

在对于具体实施例的介绍过程中，对结构、性能、效果或者其他特征的细节描述是为了使本领域的技术人员对实施例能够充分理解。但是，并不排除本领域技术人员可以在特定情况下，以不含有上述结构、性能、效果或者其他特征的技术方案来实施本发明。

附图中的流程图仅是一种示例性的流程演示，不代表本发明的方案中必须包括流程图中的所有的内容、操作和步骤，也不代表必须按照图中所显示的的顺序执行。例如，流程图中有的操作/步骤可以分解，有的操作/步骤可以合并或部分合并，等等，在不脱离本发明的发明主旨的情况下，流程图中显示的执行顺序可以根据实际情况改变。

附图中的框图一般表示的是功能实体，并不一定必然与物理上独立的实体相对应。即，可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理单元装置和/或微控制器装置中实现这些功能实体。

各附图中相同的附图标记表示相同或类似的元件、组件或部分，因而下文中可能省略了对相同或类似的元件、组件或部分的重复描述。还应理解，虽然本文中可能使用第一、第二、第三等表示编号的定语来描述各种器件、元件、组件或部分，但是这些器件、元件、组件或部分不应受这些定语的限制。也就是说，这些定语仅是用来将一者与另一者区分。例如，第一器件亦可称为第二器件，但不偏离本发明实质的技术方案。此外，术语“和/或”、“及/或”是指包括所列出项目中的任一个或多个的所有组合。

图1是本发明的实施例1的自动化接口检测方法的一示例的流程图。

如图1所示，自动化接口检测方法包括如下步骤：

步骤S101，实时获取各业务线的流量数据，对所述流量数据进行预处理。

步骤S102，自动检测预处理后的所有流量数据，并从中提取相应关键信息，所述关键信息包括客户端的请求信息和服务端的响应信息。

步骤S103，基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息。

步骤S104，根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。

首先，在步骤S101中，实时获取各业务线的流量数据，对所述流量数据进行预处理。

具体地，使用流量获取模块，实时获取各业务线的流量数据，其中，该流量获取模块例如为可横向扩展的插件。

例如，通过使用python所编写的程序获取日志***(例如elasticsearch/kafka)中的http请求流。

需要说明的是，在本发明中，是指从各业务线的不同业务***的接口获取批量流量数据，该流量数据是代指所有http请求，其中，接口也称为http接口，每一条http请求都对应向某一个http接口请求某些信息。

进一步地，自动对所获取的流量数据进行预处理，所述预处理包括过滤、去重和/或数据格式化处理。

在本示例中，还包括与各预处理相对应的过滤模块、去重模块和数据格式化模块。

具体地，过滤模块通过设置默认的规则来去除静态资源请求，以及自定义的一些资源，例如去除前端静态资源js(处理网页逻辑的文件)，css(网页样式文件)等；或者过滤掉URL中包含xxxx的请求。

进一步地，去重模块使用Redis，通过将URL以及参数进行hash值转换，存储至Redis数据库中，通过hash值比对来实现流量的去重。

需要说明的是，Redis(Remote Dictionary Server)，即远程字典服务，是一个开源的使用ANSI C语言编写、支持网络、可基于内存亦可持久化的日志型、Key-Value数据库，并提供多种语言的API。

更进一步地，数据格式化模块将获取到的流量格式化为例如json形式的数据，并且将请求信息中的认证信息去除，例如去除cookie字段等。

需要说明的是，上述仅作为示例进行说明，不能理解成对本发明的限制。

接下来，在步骤S102中，自动检测预处理后的所有流量数据，并从中提取相应关键信息，所述关键信息包括客户端的请求信息和服务端的响应信息。

具体地，检测模块从预处理后的批量的流量数据中选出待检测流量数据，并自动检测所述待检测流量数据。

进一步地，从各待检测流量数据中提取相应关键信息，该关键信息包括客户端的请求信息、客户端的设备信息、服务端的响应信息等。

在本示例中，所述请求信息包括URL、用户代理信息(UA)、用户ID、身份证号、手机号、姓名和住址、车牌号等。

具体地，所述响应信息包括与请求相对应的包含手机号、身份证号、姓名等的返回信息。

例如，自动检测如下的流量数据：“https://www.dao123.com/user/get**byid？userid＝1”，该客户端的请求是向dao123，请求为自己查询手机号(例如，**表示为手机号)，则服务端判断该客户端的用户身份，确定用户身份后才可会返回手机号信息，例如，返回信息为{“msg”：1831###1111}。

在上述示例中，只有用户自己有权限查询自己的手机号，但是在未授权他人通过请求也能获得该用户的手机号时，则说明所请求的接口存在未授权漏洞的问题。

需要说明的是，上述仅作为示例进行说明，不能理解成对本发明的限制。

为了解决如何自动批量检测未授权漏洞的接口的问题，本发明通过对筛选出的各条流量数据进行重放处理，并根据重放处理所获的响应信息来判断是否存在未授权漏洞的问题，以下将具体说明。

接下来，在步骤S103中，基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息。

具体地，根据所获取的每一条流量数据的关键信息，识别关键信息中的请求信息和响应信息，并进行实时记录。

进一步地，从所识别的请求信息中提取域名、请求接口和请求参数，以实时对多条流量数据同时进行重放处理。

具体地，根据从各条流量数据所提取的请求信息中的域名、请求接口和请求参数，并去除权限之后，在模拟平台上重新执行各条流量数据对应的请求过程。

进一步地，所述模拟平台的服务端根据所述请求信息，返回由重放处理获得的响应信息。

图2是示出了本发明的实施例1的自动化接口检测方法的另一示例的流程图。

如图2所示，还包括设定匹配规则的步骤S201。

在步骤S201中，设定匹配规则，以用于确定各条流量数据所对应的接口是否存在未授权漏洞问题。

具体地，该匹配规则包括第一匹配规则和第二匹配规则，其中，所述第一匹配规则用于将通过重放处理获得的响应信息与特定匹配参数进行匹配，其中，所述特定匹配参数包括URL、身份证号、手机号、姓名和住址、车牌号。

进一步地，所述第二匹配规则用于将通过重放处理获得的响应信息与对应流量数据中的实际响应信息进行匹配。

接下来，在步骤S104中，根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。

具体地，还根据通过重放处理获得的响应信息，确定使用第一匹配规则或者第二匹配规则。

优选地，根据所述响应信息中是否包含特定文本，是否包含超过特定数量的数字，是否是超过特定长度的报文。

例如，在所述响应信息中包含有特定数量的数字(例如18位的身份号及其中包含的年份时间(20110101)等等)的情况下，确定使用第二匹配规则。

再例如，在所述响应信息中包含有特定文本(例如姓氏文本、手机标识文本等)的情况下，确定使用第一匹配规则。

在一示例中，在使用所述第一匹配规则进行判断以确定当前接口是否是存在未授权漏洞的接口时，在判断通过重放处理获得的响应信息包含至少一个特定匹配参数的情况下，确定当前接口存在未授权漏洞。

具体地，将所确定的存在未授权漏洞的接口及其相关信息数据(包括URL、参数、返回报文等内容信息)进行记录存储，例如通过webhook方式、邮件或社交工具等向相关业务人员推送警报信息，并更新各客户端的相应数据。

进一步地，所述业务人员根据所推送的报警信息对相应接口增加检测认证处理，由此，能够有效保证各接口的安全性，并能够有效避免恶意攻击者通过问题接口批量获取用户信息等的问题。

在另一示例中，在使用第二判断规则进行判断以确定当前接口是否是存在未授权漏洞的接口时，在判断通过重放处理获得的响应信息与流量数据中的实际响应信息相同的情况下，则需要进行二次判断处理。

具体地，所述二次判断处理包括对当前接口进行进一步接口参数判断，以确定该当前接口存在未授权漏洞。

进一步地，在判断通过重放处理获得的响应信息与流量数据中的实际响应信息不相同的情况下，确定该当前接口不存在未授权漏洞，并进行已检测标识，以用于确定下一次检测时间。

由此，通过预设判断规则，能够自动批量检测接口是否存在未授权漏洞问题，能够更有效地进行判断，由此，能够极大减少人工工作量，还能够减少漏报误差，能够极大提高业务***的安全覆盖面，还能够更有效保证公司及用户信息安全。

需要说明的是，上述方法的过程仅用于对本发明的说明，其中，步骤的顺序和数量没有特别的限制。在其他示例中，上述方法中的步骤还可以拆分成两个(例如将步骤S104拆分成S104和S301，具体参见图3)、三个，或者有些步骤也可以合并成一个步骤，根据实际示例进行调整。上述仅作为示例进行说明，不能理解成对本发明的限制。

与现有技术相比，本发明通过预设判断规则，能够自动批量检测接口是否存在未授权漏洞问题，能够更有效地进行判断，还能够有效避免恶意攻击者通过问题接口批量获取用户信息等的问题；能够极大减少人工工作量，还能够减少漏报误差，能够极大提高业务***的安全覆盖面，还能够更有效保证各接口的安全性、公司及用户信息安全性。

实施例2

下面描述本发明的***实施例，该***可以用于执行本发明的方法实施例。对于本发明***实施例中描述的细节，应视为对于上述方法实施例的补充；对于在本发明***实施例中未披露的细节，可以参照上述方法实施例来实现。

参照图4、图5和图6，将说明本发明的实施例2的自动化接口检测***400。

根据本发明的第二方面，本发明还提供了一种自动化接口检测***400，其用于自动批量检测接口未授权漏洞，所述自动化接口检测***400包括：预处理模块401，用于实时获取各业务线的流量数据，对所述流量数据进行预处理；检测模块402，用于自动检测预处理后的所有流量数据，并从中提取相应关键信息，所述关键信息包括客户端的请求信息和服务端的响应信息；重放处理模块403，基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息；判断模块404，根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。

优选地，包括：根据从各条流量数据所提取的请求信息中的域名、请求接口和请求参数，重新执行各条流量数据对应的请求过程。

如图5所示，还包括设定模块501，所述设定模块用于设定匹配规则，该匹配规则包括第一匹配规则和第二匹配规则，其中，所述第一匹配规则用于将通过重放处理获得的响应信息与特定匹配参数进行匹配；所述第二匹配规则用于将通过重放处理获得的响应信息与对应流量数据中的实际响应信息进行匹配。

优选地，所述特定匹配参数包括URL、身份证号、手机号、姓名和住址。

优选地，所述判断模块包括：在判断通过重放处理获得的响应信息包含至少一个特定匹配参数的情况下，确定当前接口存在未授权漏洞。

具体地，所述判断模块404还包括：在判断通过重放处理获得的响应信息与流量数据中的实际响应信息相同的情况下，对当前接口进行进一步接口参数判断，以确定该当前接口存在未授权漏洞；在判断通过重放处理获得的响应信息与流量数据中的实际响应信息不相同的情况下，确定该当前接口不存在未授权漏洞。

如图6所示，还包括记录存储模块601，所述记录存储模块601用于将所确定的存在未授权漏洞的接口及其相关信息数据进行记录存储，并向相关业务人员推送警报信息；所述业务人员对相应接口增加检测认证处理。

优选地，所述自动对所述流量数据进行预处理包括：自动对批量的流量数据进行过滤、去重和/或数据格式化处理，从所述批量的流量数据选出待检测流量数据。

需要说明的是，在实施例2中，省略了与实施例1相同的部分的说明。

与现有技术相比，本发明通过预设判断规则，能够自动批量检测接口是否存在未授权漏洞问题，能够更有效地进行判断，还能够有效避免恶意攻击者通过问题接口批量获取用户信息等的问题；能够极大减少人工工作量，还能够减少漏报误差，能够极大提高业务***的安全覆盖面，还能够更有效保证各接口的安全性、公司及用户信息安全性。

实施例3

下面描述本发明的计算机设备实施例，该计算机设备可以视为对于上述本发明的方法和***实施例的具体实体实施方式。对于本发明计算机设备实施例中描述的细节，应视为对于上述方法或***实施例的补充；对于在本发明计算机设备实施例中未披露的细节，可以参照上述方法或***实施例来实现。

图7是本发明的一个实施例的计算机设备的结构示意图，该计算机设备包括处理器和存储器，所述存储器用于存储计算机可执行程序，当所述计算机程序被所述处理器执行时，所述处理器执行图1的方法。

如图7所示，计算机设备以通用计算设备的形式表现。其中处理器可以是一个，也可以是多个并且协同工作。本发明也不排除进行分布式处理，即处理器可以分散在不同的实体设备中。本发明的计算机设备并不限于单一实体，也可以是多个实体设备的总和。

所述存储器存储有计算机可执行程序，通常是机器可读的代码。所述计算机可读程序可以被所述处理器执行，以使得计算机设备能够执行本发明的方法，或者方法中的至少部分步骤。

所述存储器包括易失性存储器，例如随机存取存储单元(RAM)和/或高速缓存存储单元，还可以是非易失性存储器，如只读存储单元(ROM)。

可选的，该实施例中，计算机设备还包括有I/O接口，其用于计算机设备与外部的设备进行数据交换。I/O接口可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、***总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。

应当理解，图7显示的计算机设备仅仅是本发明的一个示例，本发明的计算机设备中还可以包括上述示例中未示出的元件或组件。例如，有些计算机设备中还包括有显示屏等显示单元，有些计算机设备还包括人机交互元件，例如按扭、键盘等。只要该计算机设备能够执行存储器中的计算机可读程序以实现本发明方法或方法的至少部分步骤，均可认为是本发明所涵盖的计算机设备。

图8是本发明的一个实施例的计算机程序产品的示意图。如图8所示，计算机程序产品中存储有计算机可执行程序，所述计算机可执行程序被执行时，实现本发明上述方法。所述计算机程序产品可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。该计算机程序产品可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。计算机程序产品上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

通过以上对实施方式的描述，本领域的技术人员易于理解，本发明可以由能够执行特定计算机程序的硬件来实现，例如本发明的***，以及***中包含的电子处理单元、服务器、客户端、手机、控制单元、处理器等。本发明也可以由执行本发明的方法的计算机软件来实现，例如由微处理器、电子控制单元，客户端、服务器端等执行的控制软件来实现。但需要说明的是，执行本发明的方法的计算机软件并不限于由一个或特定个的硬件实体中执行，其也可以是由不特定具体硬件的以分布式的方式来实现。对于计算机软件，软件产品可以存储在一个计算机可读的存储介质(可以是CD-ROM，U盘，移动硬盘等)中，也可以分布式存储于网络上，只要其能使得计算机设备执行根据本发明的方法。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，应理解的是，本发明不与任何特定计算机、虚拟装置或者计算机设备固有相关，各种通用装置也可以实现本发明。以上所述仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (18)

1.一种自动化接口检测方法，其用于自动批量检测接口未授权漏洞，其特征在于，所述方法包括：

实时获取各业务线的流量数据，对所述流量数据进行预处理；

自动检测预处理后的所有流量数据，并从中提取相应关键信息，所述关键信息包括客户端的请求信息和服务端的响应信息；

基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息；

根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。

2.根据权利要求1所述的自动化接口检测方法，其特征在于，实时对多条流量数据同时进行重放处理包括：

根据从各条流量数据所提取的请求信息中的域名、请求接口和请求参数，重新执行各条流量数据对应的请求过程。

3.根据权利要求1或2所述的自动化接口检测方法，其特征在于，还包括：

设定匹配规则，该匹配规则包括第一匹配规则和第二匹配规则，其中，

所述第一匹配规则用于将通过重放处理获得的响应信息与特定匹配参数进行匹配；

所述第二匹配规则用于将通过重放处理获得的响应信息与对应流量数据中的实际响应信息进行匹配。

4.根据权利要求3所述的自动化接口检测方法，其特征在于，所述特定匹配参数包括URL、身份证号、手机号、姓名和住址。

5.根据权利要求4所述的自动化接口检测方法，其特征在于，使用所述第一匹配规则进行判断以确定当前接口是否是存在未授权漏洞的接口包括：

在判断通过重放处理获得的响应信息包含至少一个特定匹配参数的情况下，确定当前接口存在未授权漏洞。

6.根据权利要求3所述的自动化接口检测方法，其特征在于，使用第二判断规则进行判断以确定当前接口是否是存在未授权漏洞的接口包括：

在判断通过重放处理获得的响应信息与流量数据中的实际响应信息相同的情况下，对当前接口进行进一步接口参数判断，以确定该当前接口存在未授权漏洞；

在判断通过重放处理获得的响应信息与流量数据中的实际响应信息不相同的情况下，确定该当前接口不存在未授权漏洞。

7.根据权利要求1所述的自动化接口检测方法，其特征在于，还包括：

将所确定的存在未授权漏洞的接口及其相关信息数据进行记录存储，并向相关业务人员推送警报信息；

所述业务人员对相应接口增加检测认证处理。

8.根据权利要求1所述的自动化接口检测方法，其特征在于，所述自动对所述流量数据进行预处理包括：

自动对批量的流量数据进行过滤、去重和/或数据格式化处理，从所述批量的流量数据选出待检测流量数据。

9.一种自动化接口检测***，其用于自动批量检测接口未授权漏洞，其特征在于，所述***包括：

预处理模块，用于实时获取各业务线的流量数据，对所述流量数据进行预处理；

检测模块，用于自动检测预处理后的所有流量数据，并从中提取相应关键信息，所述关键信息包括客户端的请求信息和服务端的响应信息；

重放处理模块，基于所提取的关键信息，实时对多条流量数据同时进行重放处理，并获取各自对应的响应信息；

判断模块，根据预设匹配规则，对所述响应信息进行匹配判断，以确定存在未授权漏洞的接口。

10.根据权利要求1所述的自动化接口检测***，其特征在于，包括：

根据从各条流量数据所提取的请求信息中的域名、请求接口和请求参数，重新执行各条流量数据对应的请求过程。

11.根据权利要求9或10所述的自动化接口检测***，其特征在于，还包括设定模块，所述设定模块用于设定匹配规则，该匹配规则包括第一匹配规则和第二匹配规则，其中，

所述第一匹配规则用于将通过重放处理获得的响应信息与特定匹配参数进行匹配；

所述第二匹配规则用于将通过重放处理获得的响应信息与对应流量数据中的实际响应信息进行匹配。

12.根据权利要求11所述的自动化接口检测***，其特征在于，所述特定匹配参数包括URL、身份证号、手机号、姓名和住址。

13.根据权利要求12所述的自动化接口检测***，其特征在于，所述判断模块包括：在判断通过重放处理获得的响应信息包含至少一个特定匹配参数的情况下，确定当前接口存在未授权漏洞。

14.根据权利要求11所述的自动化接口检测***，其特征在于，所述判断模块还包括：

在判断通过重放处理获得的响应信息与流量数据中的实际响应信息相同的情况下，对当前接口进行进一步接口参数判断，以确定该当前接口存在未授权漏洞；

在判断通过重放处理获得的响应信息与流量数据中的实际响应信息不相同的情况下，确定该当前接口不存在未授权漏洞。

15.根据权利要求9所述的自动化接口检测***，其特征在于，还包括记录存储模块，所述记录存储模块用于将所确定的存在未授权漏洞的接口及其相关信息数据进行记录存储，并向相关业务人员推送警报信息；

所述业务人员对相应接口增加检测认证处理。

16.根据权利要求9所述的自动化接口检测***，其特征在于，所述自动对所述流量数据进行预处理包括：

自动对批量的流量数据进行过滤、去重和/或数据格式化处理，从所述批量的流量数据选出待检测流量数据。

17.一种计算机设备，其中，该计算机设备包括：

处理器；以及，

存储计算机可执行指令的存储器，所述可执行指令在被执行时使所述处理器执行根据权利要求1-8中任一项所述的自动化接口检测方法。

18.一种计算机程序产品，其中，所述计算机程序产品存储一个或多个程序，所述一个或多个程序当被处理器执行时，实现权利要求1-8中任一项所述的自动化接口检测方法。

Images