本发明涉及业务逻辑漏洞检测方法，尤其涉及一种基于流量的业务逻辑漏洞检测方法及其系统。
背景技术
常见的逻辑漏洞有垂直越权和水平越权两种。垂直越权漏洞是由于应用权限控制不当，导致低权限用户可操作高权限用户的敏感接口，例如普通用户可操作管理员的敏感接口，从而导致安全性问题。水平越权漏洞是由于应用权限控制不当，导致相同权限用户可操作对方的敏感接口，例如普通用户a可操作普通用户b的接口，从而导致a用户可修改b用户的资料等问题。垂直越权漏洞和水平越权漏洞带来的安全隐患都很大，但是目前，并没有一种扫描器能同时兼容垂直越权漏洞和水平越权漏洞的扫描。
技术实现要素：
基于此，本发明的目的在于提出一种基于流量的业务逻辑漏洞检测方法及其系统，该方法根据收集的用户流量，对流量进行权限等级标记，根据权限等级选择进入垂直越权漏洞检测或者水平越权漏洞检测，不仅能实现垂直越权漏洞检测，还能同时实现水平越权漏洞检测。具体采用的技术方案如下：
一种基于流量的业务逻辑漏洞检测方法，包括以下步骤：
收集用户流量；
对所述用户流量进行权限等级标记；
判断所述用户流量对应的权限等级；若所述权限等级相同，进入水平越权漏洞检测；否则，进入垂直越权漏洞检测。
优选的，所述水平越权漏洞检测或者所述垂直越权漏洞检测包括以下步骤：
获取用户的操作接口；
获取目标接口；
对所述目标接口进行cookie替换访问；
根据返回值判断是否存在越权。
优选的，所述垂直越权漏洞检测包括以下步骤：
通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；
通过获取所述集合中，高权限用户独有的操作接口得到所述目标接口；
将登入所述目标接口的登录凭据由高权限cookie替换为低权限cookie后进行访问；
判断所述高权限cookie对应的返回值与所述低权限cookie对应的返回值是否相等；如果相等，则表明存在垂直越权。
优选的，所述水平越权漏洞检测包括以下步骤：
通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；
通过获取所述集合中，所述用户共享的操作接口得到所述目标接口；
利用所述用户对应的cookie访问所述目标接口，得到所述用户对应的正常返回值；
将某一所述用户对应的cookie替换为另一所述用户的cookie访问所述目标接口，得到替换返回值；
判断所述用户对应的正常返回值是否相等、并判断所述替换返回值与该用户对应的正常返回值是否相等；如果所述正常返回值不相等，且所述替换返回值与该用户对应的正常返回值相等，则表明存在水平越权。
一种基于流量的业务逻辑漏洞检测系统，包括以下模块：
流量收集模块，用于收集用户流量；
权限标记模块，用于对所述用户流量进行权限等级标记；
水平越权漏洞检测模块，用于对水平越权漏洞进行检测；
垂直越权漏洞检测模块，用于对垂直越权漏洞进行检测；
判断模块：用于判断所述用户流量对应的权限等级；若所述权限等级相同，进入所述水平越权漏洞检测模块；否则，进入所述垂直越权漏洞检测模块。
优选的，所述水平越权漏洞检测模块或者所述垂直越权漏洞检测模块包括以下单元：
操作接口获取单元，用于获取用户的操作接口；
目标接口获取单元，用于获取目标接口；
访问单元，用于对所述目标接口进行cookie替换访问；
越权判断单元，用于根据返回值判断是否存在越权。
优选的，在所述垂直越权漏洞检测模块中，所述操作接口获取单元通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；所述目标接口获取单元通过获取所述集合中，高权限用户独有的操作接口得到所述目标接口；所述访问单元将登入所述目标接口的登录凭据由高权限cookie替换为低权限cookie后进行访问；所述越权判断单元判断所述高权限cookie对应的返回值与所述低权限cookie对应的返回值是否相等；如果相等，则表明存在垂直越权。
优选的，在所述水平越权漏洞检测模块中，所述操作接口获取单元通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；所述目标接口获取单元通过获取所述集合中，所述用户共享的操作接口得到所述目标接口；所述访问单元利用所述用户对应的cookie访问所述目标接口，得到所述用户对应的正常返回值，并将某一所述用户对应的cookie替换为另一所述用户的cookie，得到替换返回值；所述越权判断单元判断所述用户对应的正常返回值是否相等、并判断所述替换返回值与该用户对应的正常返回值是否相等；如果所述正常返回值不相等，且所述替换返回值与该用户对应的正常返回值相等，则表明存在水平越权。
相比与背景技术，本发明提供的一种基于流量的业务逻辑漏洞检测方法，采用收集流量，标记流量权限的方法，根据权限等级选择进入垂直越权漏洞检测或者水平越权漏洞检测，同时兼顾水平和垂直越权漏洞检测，并且误报和漏洞均偏低。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，并可依照说明书的内容予以实施，以下以本发明的较佳实施例并配合附图详细说明如后。本发明的具体实施方式由以下实施例及其附图详细给出。
附图说明
此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1为本发明一个实施例中的一种基于流量的业务逻辑漏洞检测方法流程图；
图2为本发明一个实施例中的水平逻辑漏洞检测方法流程图；
图3为本发明一个实施例中的垂直逻辑漏洞检测方法流程图；
图4为本发明一个实施例中的一种基于流量的业务逻辑漏洞检测系统结构框图。
具体实施方式
下面，结合附图以及具体实施方式，对本发明做进一步描述，需要说明的是，在不相冲突的前提下，以下描述的各实施例之间或各技术特征之间可以任意组合形成新的实施例。
如图1所示，本发明提供了一种基于流量的业务逻辑漏洞检测方法，包括以下步骤：
步骤s1：收集用户流量；
步骤s2：对所述用户流量进行权限等级标记；
步骤s3：判断所述用户流量对应的权限等级；
步骤s4：水平越权漏洞检测；
步骤s5：垂直越权漏洞检测；
当步骤s3判断所述权限等级相同，进入步骤s4:水平越权漏洞检测；否则，进入步骤s5:垂直越权漏洞检测。
在一个具体实施例中，假设存在两个用户，分别为用户a和用户b。步骤s1具体为，用户a和用户b登录不同的账号，挂上指定的代理，正常的访问某应用系统时，漏洞检测引擎通过代理收集用户a和用户b访问该应用系统产生的全部流量。步骤s2具体为，流量收集完成后，对该用户流量进行根据用户的权限等级进行权限等级标记。步骤s3、s4、s5具体为，如果用户a和用户b标记的权限等级不同，则进入垂直越权漏洞检测，如果用户a和用户b标记的权限等级相同，则进入水平越权漏洞检测。
进一步的，所述水平越权漏洞检测或者所述垂直越权漏洞检测包括以下步骤：
获取用户的操作接口：获取需要判断是否发生越权的用户的操作接口；
获取目标接口：根据操作接口获取目标接口；
对所述目标接口进行cookie替换访问：当正常访问目标接口后，替换需要判断是否发生越权的用户的cookie，再次访问目标接口；
根据返回值判断是否存在越权：根据正常访问目标接口得到的返回值和替换cookie后访问目标接口得到的返回值进行比较，判断是否存在越权。
在一个实施例中，进一步的，如图3所示，所述垂直越权漏洞检测具体包括以下步骤：
步骤s51：保存用户流量至用户的集合中，获取操作接口，具体为，通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；
步骤s52：获取高权限用户独有的操作接口作为目标接口，具体为，通过获取所述集合中，高权限用户独有的操作接口，并得到所述目标接口；
步骤s53：替换cookie访问目标接口，具体为，将登入所述目标接口的登录凭据由高权限cookie替换为低权限cookie后进行访问；
步骤s54：判断访问后的返回值是否相等，具体为，判断所述高权限cookie对应的返回值与所述低权限cookie对应的返回值是否相等；如果相等，则表明存在垂直越权。
本实施例中，同样假设存在两个用户，分别为用户a和用户b，且权限等级为1-10，数值越大权限等级越大。假设用户a标记权限等级为2，用户b标记权限等级为1，对其用户a、b对应的用户流量的权限等级也分别为2、1。用户a的所有用户流量保存在集合ra，ra中包含了用户a所有的操作接口a1,a2,a3…an，用户b的所有用户流量保存在集合rb，rb中包含了用户b所有的操作接口b1,b2,b3…bn。步骤s52获取高权限用户独有的操作接口，即用户a的接口集合ra中用户b的接口集合rb中不存在的接口，即为rc，则rc＝ra–(ra∩rb)，rc即为高权限用户独有的操作接口，称之为目标接头。如果不存在逻辑漏洞，低权限用户则没有权限访问目标接头。假设rc中接口为c1,c2,c3…cn，登录凭据都是用户a的cookie为cookiea。步骤s53包括遍历rc中的c1目标接口进行交换cookie重放，例如用户a正常重新访问c1目标接头，得到返回值res_a1，然后用户a将访问c1目标接口的登录凭据替换为用户b的cookie为cookieb，得到返回值res_b1。步骤s54：如果res_a1＝res_b1，则代表低权限用户可以访问高权限用户独有的操作接口，即c1目标接口存在漏洞；否则，c1目标接口不存在漏洞。按照此方法，可以遍历rc中的所有的目标接头，即对所有请求(目标接口)进行遍历检测、扫描。
在一个实施例中，进一步的，如图2所示，所述水平越权漏洞检测包括以下步骤：
步骤s41：保存用户流量至用户的集合中，获取操作接口；具体为，通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；
步骤s42：获取用户共享的操作接口作为目标接口，具体为，通过获取所述集合中，所述用户共享的操作接口得到所述目标接口；
步骤s43：利用所述用户对应的cookie访问所述目标接口，得到所述用户对应的正常返回值；将某一所述用户对应的cookie替换为另一所述用户的cookie访问所述目标接口，得到替换返回值；
步骤s44：判断所述用户对应的正常返回值是否相等；如果不相等，进入步骤s45；否则，目标价接口不存在漏洞。
步骤s45：判断所述替换返回值与该用户对应的正常返回值是否相等；如果相等，则表明存在水平越权；否则不存在漏洞。
本实施例中，同样假设存在两个用户，为用户a和用户b，且权限等级为1-10，数值越大权限等级越大。假设用户a标记权限等级为1，用户b标记权限等级为1，则用户a的权限等级等于用户b的权限等级，用户a、b对应的用户流量的权限等级也都为1。用户a的所有用户流量保存在集合ra，ra中包含了用户a所有的接口a1,a2,a3…an，用户b的所有用户流量保存在集合rb，rb中包含了用户b所有的接口b1,b2,b3…bn。步骤s42获取用户共享的操作接口作为目标接口为，获取用户a和用户b相同的接口rd，则rd＝ra∩rb。假设rd中的目标接口为d1,d2,d3…dn。rd中的接口是用户a和用户b共享的目标接口，以d1目标接口为例，步骤s43包括，用户a访问d1目标接口时传递的数据为data_a，使用的cookie为cookie_a，接收到的返回为res_a；用户b访问d1目标接口时传递的数据为data_b，使用的cookie为cookie_b，接收到的返回为res_b。接下来，交换cookie进行访问，即用户a使用用户b的cookie访问d1目标接口，传递的数据不变，为data_a，只有cookie变为cookie_b，假设此时接收到的返回值为res_fa。步骤s44具体为res_a与res_b是否相等的判断，如果相等，则d1目标接头不存在漏洞；否则，则进入步骤s45的判断，即判断res_a与res_fa是否相等，如果res_a＝res_fa则代表接d1目标接口存在水平越权漏洞，导致cookie_a和cookie_b访问的结果相同，则代表用户b可以访问用户a的接口；如果res_a！＝res_fa，则表明d1目标接头不存在漏洞。同样可以对rd中所有的目标接口进行检测、扫描逻辑漏洞。
上述实施例中，实际应用中操作接口和目标接头可以为用户资料，订单等等业务信息对应的访问接口。
基于上述一种基于流量的业务逻辑漏洞检测方法，本发明还提供了一种基于流量的业务逻辑漏洞检测系统，如图4所示，包括流量收集模块11、权限标记模块12、判断模块13、水平越权漏洞检测模块14、垂直越权漏洞检测模块15。
其中，流量收集模块11，用于收集用户流量；权限标记模块12，用于对所述用户流量进行权限等级标记；水平越权漏洞检测模块14，用于对水平越权漏洞进行检测；垂直越权漏洞检测模块15，用于对垂直越权漏洞进行检测；判断模块13：用于判断所述用户流量对应的权限等级；若所述权限等级相同，进入所述水平越权漏洞检测模块；否则，进入所述垂直越权漏洞检测模块。
进一步的，所述水平越权漏洞检测模块或者所述垂直越权漏洞检测模块包括以下单元：
操作接口获取单元，用于获取用户的操作接口；
目标接口获取单元，用于获取目标接口；
访问单元，用于对所述目标接口进行cookie替换访问；
越权判断单元，用于根据返回值判断是否存在越权。
进一步的，在所述垂直越权漏洞检测模块中，所述操作接口获取单元通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；所述目标接口获取单元通过获取所述集合中，高权限用户独有的操作接口得到所述目标接口；所述访问单元将登入所述目标接口的登录凭据由高权限cookie替换为低权限cookie后进行访问；所述越权判断单元判断所述高权限cookie对应的返回值与所述低权限cookie对应的返回值是否相等；如果相等，则表明存在垂直越权，否则不存在漏洞。
进一步的，在所述水平越权漏洞检测模块中，所述操作接口获取单元通过将所述用户流量保存在对应用户的集合中，获取所述用户的操作接口；所述目标接口获取单元通过获取所述集合中，所述用户共享的操作接口得到所述目标接口；所述访问单元利用所述用户对应的cookie访问所述目标接口，得到所述用户对应的正常返回值，即用户利用正确的cookie进行访问后的返回值，并将某一所述用户对应的cookie替换为另一所述用户的cookie，得到替换返回值；所述越权判断单元判断所述用户对应的正常返回值是否相等、并判断所述替换返回值与该用户对应的正常返回值是否相等；如果所述正常返回值不相等，且所述替换返回值与该用户对应的正常返回值相等，则表明存在水平越权；否则不存在越权。
以上，仅为本发明的较佳实施例而已，并非对本发明作任何形式上的限制；凡本行业的普通技术人员均可按说明书附图所示和以上而顺畅地实施本发明；但是,凡熟悉本专业的技术人员在不脱离本发明技术方案范围内，利用以上所揭示的技术内容而做出的些许更动、修饰与演变的等同变化，均为本发明的等效实施例；同时,凡依据本发明的实质技术对以上实施例所作的任何等同变化的更动、修饰与演变等，均仍属于本发明的技术方案的保护范围之内。