[发明专利]控制web系统越权访问的方法及装置

说明书

技术领域

本发明涉及互联网领域，尤其涉及一种控制web系统越权访问的方法及装置。

背景技术

目前互联网中存在的最严重的漏洞之一是越权访问这类漏洞，这类漏洞是指网络应用在检查授权时存在纰漏，使得攻击者可以利用某些方式绕过权限检查，访问或者操作到原本无权访问的代码。在实际代码安全检查中，越权访问这类漏洞往往很难通过网络安全工具进行自动化检测；且在实际应用中，需要进行权限控制的数据也非常多，比如用户的收货地址信息、订单信息、支付信息等，当网络业务复杂到一定程度后，很难保证这些数据的访问都经过了严格的权限检查；且传统的网关安全设备也不具备控制用户权限、业务逻辑等安全问题的能力；因此，采用现有的防御方式对越权访问这类漏洞的防御非常困难。

发明内容

鉴于此，有必要提供一种控制web系统越权访问的方法及装置，以达到控制web系统越权访问的目的。

本发明实施例公开了一种控制web系统越权访问的方法，包括以下步骤：

接收到用户发送的页面访问请求时，根据预设的识别策略，从用户的页面访问请求中提取该用户对应的用户唯一标识信息，同时提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数；

将所述表单及不可修改参数与所述用户唯一标识信息绑定后记录到参数列表中；

检测到用户提交请求页面的表单时，将所述请求页面的表单及不可修改参数与该用户对应的所述参数列表中记录的表单及不可修改参数进行比对，控制该用户的网络访问。

优选地，所述检测到用户提交请求页面的表单时，将所述请求页面的表单及不可修改参数与该用户对应的所述参数列表中记录的表单及不可修改参数进行比对，控制该用户的网络访问，包括：

检测到用户提交请求页面的表单时，获取该用户对应的用户唯一标识信息；

根据所述用户唯一标识信息，查找所述参数列表中记录的与所述用户唯一标识信息对应的表单及不可修改参数；

识别用户提交的请求页面的表单对应的不可修改参数与所述参数列表中记录的不可修改参数是否一致；

若二者不一致，则禁止该用户对所述请求页面的访问；

若二者一致，则允许该用户对所述请求页面的访问。

优选地，所述根据预设的识别策略，从用户的页面访问请求中提取该用户对应的用户唯一标识信息，包括：

当预设的所述识别策略为：http请求头中cookie传递的参数时，从所述页面访问请求中提取http请求头中cookie的username字段，将提取的所述username字段值作为该用户对应的用户唯一标识信息。

优选地，所述提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数，包括：

扫描应答页面，提取所述应答页面中的表单及对应的隐藏域，根据提取的隐藏域获取所述表单中不可修改参数。

优选地，所述提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数，包括：

虚拟执行所述应答页面包含的脚本程序，提取动态构建的隐藏域和对已有隐藏域的赋值，获取所述应答页面中的表单及该表单不可修改参数。

本发明实施例还公开了一种控制web系统越权访问的装置，包括：

参数提取模块，用于接收到用户发送的页面访问请求时，根据预设的识别策略，从用户的页面访问请求中提取该用户对应的用户唯一标识信息，同时提取所述页面访问请求对应的应答页面中的表单及该表单中不可修改参数；

参数绑定模块，用于将所述表单及不可修改参数与所述用户唯一标识信息绑定后记录到参数列表中；

越权检测模块，用于检测到用户提交请求页面的表单时，将所述请求页面的表单及不可修改参数与该用户对应的所述参数列表中记录的表单及不可修改参数进行比对，控制该用户的网络访问。

优选地，所述越权检测模块用于：

检测到用户提交请求页面的表单时，获取该用户对应的用户唯一标识信息；

根据所述用户唯一标识信息，查找所述参数列表中记录的与所述用户唯一标识信息对应的表单及不可修改参数；

识别用户提交的请求页面的表单对应的不可修改参数与所述参数列表中记录的不可修改参数是否一致；

若二者不一致，则禁止该用户对所述请求页面的访问；

若二者一致，则允许该用户对所述请求页面的访问。

优选地，所述参数提取模块用于：