[发明专利]一种Web越权漏洞检测方法与系统

说明书

技术领域

本发明涉及Web安全领域，特别是一种Web越权漏洞检测方法与系统。

背景技术

随着近期爆发的各种高危漏洞，网络安全问题引起了越来越多的关注。越权漏洞，Web应用程序中一种常见的安全漏洞，是指由于程序员疏忽，没有对某个操作所需的权限/用户进行严格的限制，导致本应没有操作权限的用户可正常进行操作，其威胁在于一个账户即可控制全站用户数据，即攻击者使用一个合法账户，即可对存在越权缺陷漏洞的其他账户数据进行非法的操作，例如查询、插入、删除、修改等常规数据库命令。

越权漏洞属于业务逻辑漏洞的一种，无法通过外部WAF(Web Application Firewall，Web应用防护系统)进行防御加固，且常涉及用户隐私数据，一旦被发现，对于系统的影响会很大。但是由于Web站点一般页面较多，使用的技术也各不相同，导致爬虫工具不能全面的对各个请求进行爬取以进行全自动化检测。

现有技术中，对于越权漏洞的检测主要是通过测试人员对Web程序进行渗透测试，人工检测出漏洞，这种人工方式检测方法耗费时间较长，检测人员需要进行大量的重复性工作，导致了检测效率极为低下。

发明内容

本发明的目的是提供一种Web越权漏洞检测方法与系统，旨在解决现有越权漏洞检测方式效率低下的问题，提高检测效率，避免重复开发检测工具导致的测试成本增加。

为达到上述技术目的，本发明提供了一种Web越权漏洞检测方法，包括以下步骤：

S1、获取Web页面中的所有HTTP请求，并记录初始响应信息；

S2、替换所述HTTP请求中的身份标识信息，重新提交请求，记录最新响应信息；

S3、对比所述的初始响应信息和最新响应信息，不同项即为存在疑似越权漏洞的请求项。

优选地，步骤S1具体为以下步骤：

S101、开启HTTP代理工具的日志记录功能；

S102、使用具有所有操作权限的用户登录待测Web系统；

S103、执行Web页面所有操作；

S104、所述HTTP代理工具记录所有HTTP请求和所述初始响应信息，保存至日志文件；

S105、删除所述日志文件中的非待测Web项和重复项；

S106、复制所述日志文件，生成日志文件备份。

优选地，步骤S2具体为以下步骤：

S201、在另一浏览器中使用非所有权限用户登录待测Web系统；

S202、记录HTTP请求中的身份标识信息；

S203、将所述身份标识信息替换掉所述日志文件备份中的对应项；

S204、重新构造日志文件备份中的HTTP请求信息，并提交请求；

S205、记录最新响应信息。

优选地，所述身份标识信息包括cookie和token信息。

本发明还提供了一种Web越权漏洞检测系统，包括：

初始响应信息模块，用于获取Web页面中的所有HTTP请求，并记录初始响应信息；

最新响应信息模块，用于替换所述HTTP请求中的身份标识信息，重新提交请求，记录最新响应信息；

越权漏洞检测模块，用于对比所述的初始响应信息和最新响应信息，不同项即为存在疑似越权漏洞的请求项。

优选地，所述初始响应信息模块包括：

日志记录开启单元，用于开启HTTP代理工具的日志记录功能；

登录用户单元，用于使用具有所有操作权限的用户登录待测Web系统；

Web操作执行单元，用于执行Web页面所有操作；

日志记录单元，用于所述HTTP代理工具记录所有HTTP请求和所述初始响应信息，保存至日志文件；

过滤单元，用于删除所述日志文件中的非待测Web项和重复项；

备份单元，用于复制所述日志文件，生成日志文件备份。

优选地，所述最新响应模块包括：

登录用户单元，用于在另一浏览器中使用非所有权限用户登录待测Web系统；

身份标识记录单元，用于记录HTTP请求中的身份标识信息；

身份标识替换单元，用于将所述身份标识信息替换掉所述日志文件备份中的对应项；

重新提交请求单元，用于重新构造日志文件备份中的HTTP请求信息，并提交请求；

响应信息记录单元，用于记录最新响应信息。

优选地，所述身份标识信息包括cookie和token信息。