[发明专利]一种降低越权漏洞风险的企业微信应用代理系统

说明书

本发明涉及一种降低越权漏洞风险的企业微信应用代理系统，包括：部署在外网的企业微信本地版客户端；部署在内网的应用服务器；部署在内网的应用代理，所述应用代理部署在企业微信本地版接入机上，或者部署在独立的应用代理服务器上；所述企业微信本地版客户端内嵌的代理机制引导流量仅访问应用代理，并由应用代理进行代理访问企业微信轻应用服务，并返回结果给企业微信本地版客户端。本发明的企业微信应用代理系统通过部署应用代理之后，企业微信本地版客户端可以通过应用代理安全、可控的访问企业微信轻应用服务，以实现企业微信本地版客户端对企业微信应用或短信、邮件网关等相关服务的代理访问，保证了信息的安全和保密性。

技术领域

本发明涉及一种应用代理系统，特别是涉及一种降低越权漏洞风险的企业微信应用代理系统。

背景技术

目前互联网中存在的最严重的漏洞之一是越权访问这类漏洞，如在URL越权漏洞中，利用URL传入参数的可猜测性，通过变更输入的参数值，就可能造成横向越权访问，拿到他人私有信息。URL越权漏洞是一种危害非常大的业务逻辑漏洞，它可以直接绕过基础的网络安全服务防御，越权漏洞发现难度大。越权漏洞能够被攻击者利用，造成越权访问，导致用户敏感信息的泄漏。

在目前企业微信使用过程中，漏洞出现频繁。其中在一次使用企业微信时，对企业微信6个应用进行安全扫描，共发现严重问题201个、高危问题60个、中危问题79个、低危问题826个。经过大量时间的修正、打补丁，共修复严重问题172个、高危问题35个、低危问题826个，消耗了巨大的人力物力。这些漏洞可以归纳为同一类型漏洞，即用户越权漏洞，存在很大的风险。

因此，在使用企业微信时，无法控制对企业微信本地版客户端对互联网资源的访问。为了信息的安全和保密性，有必要寻找一种降低企业微信内轻应用越权漏洞风险的系统。

发明内容

本发明的目的是针对企业微信内轻应用使用时的信息的安全和保密性，提出一种降低越权漏洞风险的企业微信应用代理系统，以降低越权漏洞风险，实现企业微信本地版的PC和手机客户端通过应用代理安全、可控的访问企业微信轻应用服务。

为实现上述目的，本发明提供了一种降低越权漏洞风险的企业微信应用代理系统，包括：

部署在外网的企业微信本地版客户端；

部署在内网的应用服务器，所述应用服务器提供企业微信轻应用服务；

部署在内网的应用代理，所述应用代理部署在企业微信本地版接入机上，或者部署在独立的应用代理服务器上；所述应用代理提供对应企业微信本地版集群所有企业微信本地版客户端对企业微信轻应用访问的http/https代理，所述应用服务器通过应用网关与应用代理建立连接；

在启用应用代理后，所述企业微信本地版客户端内嵌的代理机制引导流量仅访问应用代理，并由应用代理进行代理访问企业微信轻应用服务，并返回结果给企业微信本地版客户端。

优选地，所述企业微信本地版客户端和应用代理之间使用https加密访问。

优选地，所述应用代理在启用后，将对企业微信轻应用访问的Ticket进行检测，仅代理带有合法Ticket的访问到企业微信轻应用服务上。

优选地，所述应用代理仅在企业微信内H5页面内执行，所述企业微信轻应用页面在企业微信内置的webview内执行。

优选地，所述企业微信应用代理系统的网络访问策略包括：

互联网访问接入服务器的80/443和8080这2个TCP端口；

接入服务器访问互联网的80/8080/443/2195/2196这5个TCP端口；

接入服务器访问存储/逻辑服务器的80/8080这2个TCP端口；