[发明专利]水平越权检测方法及装置

权利要求书

1.一种水平越权检测方法，其特征在于，包括：

接收用户在被测系统的客户端发起的业务请求；

基于抓包参数，获得对被测系统抓包的业务数据；

基于越权参数特征值，从所述业务数据中识别越权接口，所述越权接口包含越权参数；

对所述越权接口涉及到的预配置的编排节点的组合顺序进行流程编排，获得编排流程，所述编排节点包括防重放防篡改编排节点、参数加密编排节点；

基于所述编排流程和水平越权漏洞确认参数，进行自动化测试，获得测试结果，所述测试结果包括确定的越权接口。

2.如权利要求1所述的方法，其特征在于，在接收用户在被测系统的客户端发起的业务请求之前，还包括：

在被测系统中载入抓包参数、水平越权漏洞确认参数、越权参数特征值、预配置的编排节点、加密组件后，初始化被测系统。

3.如权利要求1所述的方法，其特征在于，所述抓包参数包括待抓取的域名、待抓取的业务请求的类型、待抓取的业务请求的后缀。

4.如权利要求1所述的方法，其特征在于，所述编排节点还包括自定义编排节点，所述自定义编排节点为能够测试复用的编排节点。

5.如权利要求1所述的方法，其特征在于，在接收用户在被测系统的客户端发起的业务请求之前，还包括：

启动被测系统的应用层以进行抓包；

在接收到用户在被测系统的客户端发起的业务请求后，接收所述应用层对被测系统抓包的业务数据。

6.如权利要求1所述的方法，其特征在于，还包括：

获得测试后确定的所有的越权接口进行遍历测试。

7.如权利要求1所述的方法，其特征在于，还包括：

基于测试结果，生成测试报告；

存储所述测试报告，以供复测。

8.一种水平越权检测装置，其特征在于，包括：

业务请求接收模块，用于接收用户在被测系统的客户端发起的业务请求；

抓包模块，用于基于抓包参数，获得对被测系统抓包的业务数据；

越权接口识别模块，用于基于越权参数特征值，从所述业务数据中识别越权接口，所述越权接口包含越权参数；

编排模块，用于对所述越权接口涉及到的预配置的编排节点的组合顺序进行流程编排，获得编排流程，所述编排节点包括防重放防篡改编排节点、参数加密编排节点；

自动化测试模块，用于基于所述编排流程和水平越权漏洞确认参数，进行自动化测试，获得测试结果，所述测试结果包括确定的越权接口。

9.如权利要求8所述的装置，其特征在于，还包括初始化模块，用于：

在接收用户在被测系统的客户端发起的业务请求之前，在被测系统中载入抓包参数、水平越权漏洞确认参数、越权参数特征值、预配置的编排节点、加密组件后，初始化被测系统。

10.如权利要求8所述的装置，其特征在于，所述抓包参数包括待抓取的域名、待抓取的业务请求的类型、待抓取的业务请求的后缀。

11.如权利要求8所述的装置，其特征在于，所述编排节点还包括自定义编排节点，所述自定义编排节点为能够测试复用的编排节点。

12.如权利要求8所述的装置，其特征在于，还包括应用层启动模块，用于：

在接收用户在被测系统的客户端发起的业务请求之前，启动被测系统的应用层以进行抓包；

抓包模块具体用于：在接收到用户在被测系统的客户端发起的业务请求后，接收所述应用层对被测系统抓包的业务数据。

13.如权利要求8所述的装置，其特征在于，还包括遍历测试模块，用于：

获得测试后确定的所有的越权接口进行遍历测试。