[发明专利]接口安全性检测方法、装置、电子设备与存储介质

说明书

本发明提供一种接口安全性检测方法、装置、电子设备与存储介质，方法包括：基于目标系统的待测域名集，获取所述目标系统的接口信息；其中，所述待测域名集包括能够访问所述目标系统的多个域名；所述接口信息包括接口的输入元素以及接口的输出元素；根据所述接口的输入元素以及所述接口的输出元素，确定敏感信息；将所述目标系统中多个接口的接口信息进行关联，当根据第一信息以及所述关联后的多个接口的接口信息，得到第二信息且所述第二信息为敏感信息时，确定所述目标系统存在信息交叉泄漏风险。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种接口安全性检测方法、装置、电子设备与存储介质。

背景技术

在计算机中，接口是计算机系统中两个独立的部件进行信息交换的共享边界。接口安全性检测是指对接口是否存在安全漏洞，从而导致信息泄漏进行检测。

在实际应用中存在信息交叉泄漏的情况，即：接口单次查询结果不会泄露信息，但将单个接口多次查询的结果或对多个接口查询的结果关联后会获得额外的信息，从而造成信息泄漏。现有技术中的接口安全性检测方法一般只关注单个接口是否存在安全漏洞，无法检测到信息交叉泄漏的情况。

发明内容

本发明提供一种接口安全性检测方法、装置、电子设备与存储介质，用以解决现有技术中只关注单个接口是否存在安全漏洞，无法检测到多接口信息交叉泄漏风险的缺陷。

本发明提供一种接口安全性检测方法，包括：

基于目标系统的待测域名集，获取所述目标系统的接口信息；其中，所述待测域名集包括能够访问所述目标系统的多个域名；所述接口信息包括接口的输入元素以及接口的输出元素；

根据所述接口的输入元素以及所述接口的输出元素，确定敏感信息；

将所述目标系统中多个接口的接口信息进行关联，当根据第一信息以及所述关联后的多个接口的接口信息，得到第二信息且所述第二信息为敏感信息时，确定所述目标系统存在信息交叉泄漏风险；其中，所述第二信息与所述第一信息不属于同一接口的接口信息。

根据本发明提供的一种接口安全性检测方法，方法还包括：

根据所述目标系统的接口信息，确定所述目标系统中的开放接口；

检查所述开放接口是否符合开放标准，当所述开放接口不符合开放标准时，确定所述目标系统存在隐藏接口风险。

根据本发明提供的一种接口安全性检测方法，方法还包括：

确定第一接口的输出元素中是否包含除第三信息之外的第四信息，当包含第四信息且所述第四信息为敏感信息时，确定所述目标系统存在横向信息流溢出风险；其中，

所述第一接口为所述目标系统中的任意一个接口；所述第三信息为所述第一接口的输入元素所包含的敏感信息。

根据本发明提供的一种接口安全性检测方法，方法还包括：

确定第一接口的输入元素中是否同时包含身份标识信息与密码信息，当未同时包含身份标识信息与密码信息时，确定所述目标系统存在弱复杂度验证风险；

或，确定第一接口的输入元素中的输入限制条件，根据所述输入限制条件，当预设时间段内输入身份标识信息的次数大于预设阈值时，确定所述目标系统存在弱复杂度验证风险。

根据本发明提供的一种接口安全性检测方法，方法还包括：

根据第一接口的输入元素，当确定所述输入元素中的验证码未满足预设的安全条件时，确定所述目标系统存在弱验证码风险。