[发明专利]接口安全性检测方法、装置、电子设备与存储介质

权利要求书

1.一种接口安全性检测方法，其特征在于，包括：

基于目标系统的待测域名集，获取所述目标系统的接口信息；其中，所述待测域名集包括能够访问所述目标系统的多个域名；所述接口信息包括接口的输入元素以及接口的输出元素；

根据所述接口的输入元素以及所述接口的输出元素，确定敏感信息；

将所述目标系统中多个接口的接口信息进行关联，当根据第一信息以及所述关联后的多个接口的接口信息，得到第二信息且所述第二信息为敏感信息时，则确定所述目标系统存在信息交叉泄漏风险；其中，所述第二信息与所述第一信息不属于同一接口的接口信息；

其中，所述将所述目标系统中多个接口的接口信息进行关联，当根据第一信息以及所述关联后的多个接口的接口信息，得到第二信息且所述第二信息为敏感信息时，确定所述目标系统存在信息交叉泄漏风险，包括：

获取所述目标系统中各个接口的输入元素与输出元素；

当第二接口的输入元素与第三接口的输出元素相关时，将所述第二接口的输入元素、输出元素与所述第三接口的输入元素、输出元素关联起来，形成输入输出链条；其中，所述第二接口为所述目标系统中的任意一个接口，所述第三接口为所述目标系统中除所述第二接口之外的其他任意一个接口；

根据第一信息，判断是否能够从所述输入输出链条中得到第二信息，当能够得到第二信息且所述第二信息为敏感信息时，确定所述目标系统存在信息交叉泄漏风险；

或，获取所述目标系统中各个接口的输入元素与输出元素；

确定第一接口集合，所述第一接口集合为所述目标系统中输入元素为第一信息的所有接口的集合；

将所述第一接口集合中各个接口的输出元素进行关联，当根据关联后的输出元素得到第二信息且所述第二信息为敏感信息时，确定所述目标系统存在信息交叉泄漏风险。

2.根据权利要求1所述的接口安全性检测方法，其特征在于，方法还包括：

根据所述目标系统的接口信息，确定所述目标系统中的开放接口；

检查所述开放接口是否符合开放标准，当所述开放接口不符合开放标准时，确定所述目标系统存在隐藏接口风险。

3.根据权利要求1所述的接口安全性检测方法，其特征在于，方法还包括：

确定第一接口的输出元素中是否包含除第三信息之外的第四信息，当包含第四信息且所述第四信息为敏感信息时，确定所述目标系统存在横向信息流溢出风险；其中，

所述第一接口为所述目标系统中的任意一个接口；所述第三信息为所述第一接口的输入元素所包含的敏感信息。

4.根据权利要求1所述的接口安全性检测方法，其特征在于，方法还包括：

确定第一接口的输入元素中是否同时包含身份标识信息与密码信息，当未同时包含身份标识信息与密码信息时，确定所述目标系统存在弱复杂度验证风险；

或，确定第一接口的输入元素中的输入限制条件，根据所述输入限制条件，当预设时间段内输入身份标识信息的次数大于预设阈值时，确定所述目标系统存在弱复杂度验证风险。

5.根据权利要求1所述的接口安全性检测方法，其特征在于，方法还包括：

根据第一接口的输入元素，当确定所述输入元素中的验证码未满足预设的安全条件时，确定所述目标系统存在弱验证码风险。

6.根据权利要求1至5任一项所述的接口安全性检测方法，其特征在于，所述基于目标系统的待测域名集，获取所述目标系统的接口信息，包括：

基于所述待测域名集中的域名，由多个爬虫采用动态浏览器模拟的方式爬取所述目标系统的接口信息；其中，所述多个爬虫使用代理IP地址池中的代理IP地址。

7.根据权利要求1至5任一项所述的接口安全性检测方法，其特征在于，方法还包括：

以域名备案系统中的备案域名作为种子域名，开展子域名挖掘，得到目标系统的待测域名集。