[发明专利]一种控制web系统越权访问的方法和装置

说明书

本发明实施例涉及网络安全技术领域，尤其涉及一种控制web系统越权访问的方法和装置，包括：代理服务器接收服务器发送的第一响应消息；所述代理服务器判断所述第一响应消息中携带的第一参数是否属于预设规则库中配置的监控参数，若是，则对所述第一响应消息进行加密处理，并将加密后的第一响应消息发送给所述客户端。可以看出，在有代理服务器的应用场景下，若服务器发送的响应消息中携带的参数属于预设规则库中配置的监控参数，则代理服务器对服务器返回的响应消息中的参数进行加密处理，从而使得客户端的访问请求的参数具有不可猜测性、不可遍历性，因此，能够从根源上彻底杜绝web应用越权漏洞的发生。

本申请为申请号为201710900935.9、申请日为2017年9月28日、发明名称为“一种控制web系统越权访问的方法和装置”的分案申请。

技术领域

本发明实施例涉及网络安全技术领域，尤其涉及一种控制web系统越权访问的方法和装置。

背景技术

越权漏洞是web应用程序中一种常见的安全漏洞，攻击者利用该漏洞可能造成大量用户敏感数据泄密丢失、用户资金恶意盗刷等安全问题。例如当网站的订单信息、用户收货信息等功能存在越权漏洞时，攻击者通过一个普通账户轻易获得该网站所有用户的订单信息、收货信息等，上述信息一旦流落到黑产或电信诈骗行业，将降低网站安全信誉度、并可能给最终用户造成经济损失；如果在支付环节如存在越权漏洞，未严格校验用户权限使得用户可以滥用其他用户的余额或积分等，造成用户资金损失。

现有技术中，关于防御web应用越权漏洞的解决方案是，用户登录网站后，访问具体功能时，后端系统会根据当前用户是否具有相关权限，将根据判断结果展示相关页面或者反馈无操作权限。该方案存在比较大的缺陷是，网站系统功能较多时，应用开发人员进行权限校验会存在遗漏，从而导致WEB应用系统的功能存在越权情况，不能从根本上解决web应用越权漏洞的问题。

发明内容

本发明实施例提供一种控制web系统越权访问的方法和装置，通过使得客户端的访问请求参数具有不可猜测性、不可遍历性，从而从根源上杜绝web应用越权漏洞的发生。

本发明实施例提供一种控制web系统越权访问的方法，包括：

代理服务器接收服务器发送的第一响应消息，所述第一响应消息是所述服务器通过所述代理服务器接收到客户端的第一页面访问请求消息后所生成的；

所述代理服务器判断所述第一响应消息中携带的第一参数是否属于预设规则库中配置的监控参数，若是，则对所述第一响应消息进行加密处理，并将加密后的第一响应消息发送给所述客户端。

较佳的，在将加密后的第一响应消息发送给所述客户端之后，还包括：

所述代理服务器接收所述客户端发送的第二页面访问请求消息，判断所述第二页面访问请求消息携带的第二参数是否属于所述规则库中的监控参数，若是，则对所述第二页面访问请求消息进行解密处理，并将解密后的第二页面访问请求消息发送给所述服务器，以使所述服务器根据解密后的第二页面访问请求消息生成第二响应消息，其中，所述第二页面访问请求消息是基于所述第一响应消息所生成的。

较佳的，所述对所述第一响应消息加密处理，包括：对所述第一响应消息中的参数进行加密处理；

所述对所述第二页面访问请求消息进行解密处理，包括：对所述第二页面访问请求中的参数进行解密处理。

本发明另一实施例还提供一种控制web系统越权访问的方法，包括：

服务器接收到客户端发送的业务创建消息，所述业务创建消息用于在所述服务器中为所述客户端创建新业务；

所述服务器根据所述业务创建消息，生成参数信息；