[发明专利]一种水平越权漏洞的检测方法、装置及电子设备

权利要求书

1.一种水平越权漏洞的检测方法，包括：

在目标移动应用中，基于第一账户身份和至少一个第二账户身份发起指定账户权限操作的业务请求，其中，所述至少一个第二账户身份发起的业务请求是将所述第一账户身份发起的业务请求中的签名信息替换为第二账户身份的签名信息得到的；

基于所述第一账户身份和至少一个第二账户身份发起的业务请求，确定账户身份不同对业务请求中的请求参数的差异性影响系数；

基于所述第一账户身份和至少一个第二账户身份发起的业务请求所获得的业务反馈结果，确定账户身份不同对业务反馈结果中的反馈参数的差异性影响系数，以及所述第一账户身份的业务反馈结果的反馈参数与所述至少一个第二账户身份的业务反馈结果的反馈参数之间的相似度；

基于账户身份不同对业务请求中的请求参数的差异性影响系数、账户身份不同对业务反馈结果中的反馈参数的差异性影响系数以及所述第一账户身份的业务反馈结果的反馈参数与所述至少一个第二账户身份的业务反馈结果的反馈参数之间的相似度，确定所述目标移动应用是否存在水平越权漏洞。

2.根据权利要求1所述的方法，

基于所述第一账户身份和至少一个第二账户身份发起的业务请求，确定账户身份不同对业务请求中的请求参数的差异性影响系数，包括：

基于所述第一账户身份和至少一个第二账户身份的账户身份总数量与所有业务请求经请求参数去重后的数量的比值，确定账户身份不同对业务请求中的请求参数的差异性影响系数。

3.根据权利要求1所述的方法，

基于所述第一账户身份和至少一个第二账户身份发起的业务请求所获得的业务反馈结果，包括：

基于所述第一账户身份和至少一个第二账户身份的账户身份总数量与所有业务反馈结果经反馈参数去重后的数量的比值，确定账户身份不同对业务反馈结果中的反馈参数的差异性影响系数。

4.根据权利要求1所述的方法，

基于所述第一账户身份和至少一个第二账户身份发起的业务请求所获得的业务反馈结果，确定所述第一账户身份的业务反馈结果的反馈参数与所述至少一个第二账户身份的业务反馈结果的反馈参数之间的相似度包括：

对所述第一账户身份和至少一个第二账户身份发起的业务请求所获得的业务反馈结果的反馈参数进行阿拉伯数字编码，得到各业务反馈结果的阿拉伯数字表征值；

对第一账户身份的业务反馈结果的反馈参数的阿拉伯数字表征值与至少一个第二账户身份的业务反馈结果的反馈参数的阿拉伯数字表征值进行相似度计算，确定所述第一账户身份的业务反馈结果的反馈参数与所述至少一个第二账户身份的业务反馈结果的反馈参数之间的相似度。

5.根据权利要求1-4中任一项所述的方法，

基于账户身份不同对业务请求中的请求参数的差异性影响系数、账户身份不同对业务反馈结果中的反馈参数的差异性影响系数以及所述第一账户身份的业务反馈结果的反馈参数与所述至少一个第二账户身份的业务反馈结果的反馈参数之间的相似度，确定所述目标移动应用是否存在水平越权漏洞，包括：

若账户身份不同对业务请求中的请求参数的差异性影响系数小于账户身份不同对业务反馈结果中的反馈参数的差异性影响系数，且所述第一账户身份的业务反馈结果的反馈参数与所述至少一个第二账户身份的业务反馈结果的反馈参数之间的相似度达到预设相似度要求，则确定所述目标移动应用存在水平越权漏洞。

6.根据权利要求1-4中任一项所述的方法，

在目标移动应用中，基于所述第一账户身份和至少一个第二账户身份发起指定账户权限操作的业务请求，包括：

在目标移动应用中，反射调用所述第一账户身份在所述目标移动应用中的签名接口，基于所述第一账户身份和至少一个第二账户身份发起指定账户权限操作的业务请求。

7.根据权利要求1-4中任一项所述的方法，

业务请求中的签名信息包括签名的摘要信息。