一种web水平权限自动化识别的方法及装置的制造方法
【专利摘要】本发明实施例提供一种WEB水平权限自动化识别的方法及装置，所述方法包括：收集WEB日志，提取并汇总所述WEB日志中的统一资源定位符URL，得到待检测的URL库；针对待检测的URL库，通过分析URL中的参数将各URL进行分类，得到分类后的URL库；利用分类后的URL库中各URL对应的扫描器，通过改变URL中参数的方式进行水平权限的检测。上述技术方案具有如下有益效果：针对目前水平权限的有效检测方法，即手工检测的缺陷，本发明实施例提供一种有效的自动化检测水平权限的方法，通过分析日志，对URL分类检测，提高检测覆盖率，降低漏报率。自动化的扫描系统可以快速地识别出水平权限，提高漏洞检测效率。
【专利说明】
一种WEB水平权限自动化识别的方法及装置
技术领域
[0001]本发明涉及网络技术领域，尤其涉及一种WEB水平权限自动化识别的方法及装置。
【背景技术】
[0002] 目前，安全审计人员一般采用手工检测WEB水平权限。相对于其他安全漏洞来说， 水平权限往往跟具体业务授权逻辑有关。水平特权漏洞往往需要安全审计人员分析系统中 的敏感数据操作页面，手工记录用户的操作权限（譬如创建新记录，获取信息，删除记录 等），然后尝试通过另外的用户去访问这些功能，逐个检查其页面返回是否合理。
[0003] 水平权限就是网站A用户只能操作A用户自己的内容数据，如修改头像、发文章。而 不能操作B用户的内容数据;更加不能使用网站管理员的一些操作权限。水平权限漏洞:凡 是用户A可以利用来访问用户B的敏感资源的漏洞。通常，水平权限漏洞产生的原因是:在展 现用户信息时，使用了较易被伪造的身份依据。
[0004] 手工检测水平权限漏洞检测成本高，对于大型WEB应用来说困难重重。大型WEB应 用中的页面资源非常多，其相应的授权逻辑也非常复杂，如果想手工检测水平权限漏洞，工 作量会非常大，实际工作中往往也难以保证其测试覆盖率。同时，水平权限漏洞检测相对其 他测试来说较为费时费力，必然影响应用系统的快速交付。
[0005] 现有技术还采用漏洞扫描器通过主动式扫描检测WEB水平权限。常见的漏洞扫描 器接入WEB应用入口，通过爬虫爬取暴露给用户的URL(Uniform Resource Locator，统一资 源定位符），结合预设的字典猜解出无法爬取的URL，完成前期信息收集。然后对收集的URL 进行相似性识别、去重，得到待检测的URL。针对每一个待检测的URL，通过自动fuzz(模糊测 试），填充各种攻击性数据，根据返回结果来检测是否存在水平权限，将可疑URL返回，并标 注漏洞等级与payload(净荷）。但是，漏洞扫描器通过主动式扫描检测水平权限漏洞漏报率 高，影响业务系统稳定性。首先权限检测需要测试人员熟悉权限的设置，工具无法完成此类 工作，无法处理高交互式的应用，难以覆盖100%的URL。另外WEB应用系统功能比较复杂，主 动式扫描会写入大量脏数据，影响业务系统的稳定性。
【发明内容】
[0006] 本发明实施例提供一种WEB水平权限自动化识别的方法及装置，以提高检测覆盖 率，降低漏报率。
[0007] -方面，本发明实施例提供了一种WEB水平权限自动化识别的方法，所述方法包 括：
[0008] 收集WEB日志，提取并汇总所述WEB日志中的统一资源定位符URL，得到待检测的 URL库；
[0009] 针对待检测的URL库，通过分析URL中的参数将各URL进行分类，得到分类后的URL 库；
[0010] 利用分类后的URL库中各URL对应的扫描器，通过改变URL中参数的方式进行水平 权限的检测。
[0011]另一方面，本发明实施例提供了一种WEB7K平权限自动化识别的装置，所述装置包 括：
[0012] URL采集单元，用于收集WEB日志，提取并汇总所述WEB日志中的统一资源定位符 URL，得到待检测的URL库；
[0013] URL分发单元，用于针对待检测的URL库，通过分析URL中的参数将各URL进行分类， 得到分类后的URL库；
[0014] 扫描器单元，用于利用分类后的URL库中各URL对应的扫描器，通过改变URL中参数 的方式进行水平权限的检测。
[0015] 上述技术方案具有如下有益效果:针对目前水平权限的有效检测方法，即手工检 测的缺陷，本发明实施例提供一种有效的自动化检测水平权限的方法，通过分析日志，对 url分类检测，提高检测覆盖率，降低漏报率。自动化的扫描系统可以快速地识别出水平权 限，提高漏洞检测效率。
【附图说明】
[0016] 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现 有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本 发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以 根据这些附图获得其他的附图。
[0017] 图1为本发明实施例一种WEB水平权限自动化识别的方法流程图；
[0018] 图2为本发明实施例一种WEB水平权限自动化识别的装置结构示意图；
[0019] 图3为本发明实施例URL分发单元结构示意图；
[0020] 图4为本发明实施例扫描器单元结构示意图。
【具体实施方式】
[0021] 下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完 整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于 本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他 实施例，都属于本发明保护的范围。
[0022] 如图1所示，为本发明实施例一种WEB水平权限自动化识别的方法流程图，所述方 法包括：
[0023] 101、收集WEB日志，提取并汇总所述WEB日志中的统一资源定位符URL，得到待检测 的URL库；
[0024] 102、针对待检测的URL库，通过分析URL中的参数将各URL进行分类，得到分类后的 URL库；
[0025] 103、利用分类后的URL库中各URL对应的扫描器，通过改变URL中参数的方式进行 水平权限的检测。
[0026] 优选地，所述WEB日志包括如下日志中的一种或者多种:代理服务器日志、WEB服务 器日志、旁路镜像日志。
[0027] 优选地，还包括：提取并汇总所述WEB日志中的URL后，进行相似化识别和除重处 理，从而得到所述待检测的URL库。
[0028]优选地，针对待检测的URL库，通过分析所述URL中的参数将各URL进行分类，得到 分类后的URL库，具体包括：
[0029]针对待检测的URL库中的每一个URL，分别执行如下处理：
[0030]判断当前URL中的参数是否包括使用签名算法的参数，如果是，则当前URL属于有 签名参数URL，否则，属于无签名参数URL;
[0031 ]和/或，判断当前URL中的参数是否包括cookie参数，如果是，则当前URL属于有 cookie参数URL，否则，属于无cookie参数URL;
[0032] 和/或，判断当前URL中的参数是否包括关键表单参数，如果是，则当前URL属于有 关键表单参数URL，否则，属于无关键表单参数URL;
[0033] 汇总待检测的URL库中的每一个URL的分类信息，得到分类后的URL库。
[0034] 优选地，所述扫描器包括如下模块中的一个或多个:签名扫描模块、cookie参数扫 描模块和表单参数扫描模块；以及利用分类后的URL库中各URL对应的扫描器，通过改变URL 中参数的方式进行水平权限的检测，具体包括：
[0035] 利用有签名参数URL对应的签名扫描模块，针对分类后得到的每一个有签名参数 URL，检测如果不提交URL中的签名是否可以正常进行URL对应的请求，以及检测URL中的签 名是否可以被破解；
[0036] 和/或，利用有cookie参数URL对应的cookie参数扫描模块，针对分类后得到的每 一个有cookie参数URL，检测如果不提交URL中的cookie，提交请求是否能通过；以及通过修 改cookie中用于用户身份识别的参数，提交请求是否能通过；
[0037] 和/或，利用有关键表单参数URL对应的表单参数扫描模块，针对分类后得到的每 一个有关键表单参数URL，检测如果修改关键表单参数的值，是否可以正常进行URL对应的 请求；
[0038] 汇总检测结果，生成并输出检测报告。
[0039] 如2所示，为本发明实施例一种WEB水平权限自动化识别的装置结构示意图，所述 装置包括：
[0040] URL采集单元21，用于收集WEB日志，提取并汇总所述WEB日志中的统一资源定位符 URL，得到待检测的URL库；
[0041 ] URL分发单元22,用于针对待检测的URL库，通过分析URL中的参数将各URL进行分 类，得到分类后的URL库；
[0042] 扫描器单元23，用于利用分类后的URL库中各URL对应的扫描器，通过改变URL中参 数的方式进行水平权限的检测。
[0043] 优选地，所述WEB日志包括如下日志中的一种或者多种:代理服务器日志、WEB服务 器日志、旁路镜像日志。
[0044]优选地，所述URL采集单元21，具体用于提取并汇总所述WEB日志中的URL后，进行 相似化识别和除重处理，从而得到所述待检测的URL库。
[0045]优选地，如图3所示，为本发明实施例URL分发单元结构示意图，所述URL分发单元 22,包括如下模块中的一个或多个:签名识别模块221、c〇〇kie参数识别模块222和表单参数 识别模块223,所述URL分发单元22用于针对待检测的URL库中的每一个URL，分别执行如下 处理，其中：
[0046]所述签名识别模块221，用于判断当前URL中的参数是否包括使用签名算法的参 数，如果是，则当前URL属于有签名参数URL，否则，属于无签名参数URL;
[0047] 所述cookie参数识别模块222,用于判断当前URL中的参数是否包括cookie参数， 如果是，则当前URL属于有cookie参数URL，否则，属于无cookie参数URL;
[0048]所述表单参数识别模块223,用于判断当前URL中的参数是否包括关键表单参数， 如果是，则当前URL属于有关键表单参数URL，否则，属于无关键表单参数URL;
[0049] 所述URL分发单元22,还用于汇总待检测的URL库中的每一个URL的分类信息，得到 分类后的URL库。
[0050] 优选地，如图4所示，为本发明实施例扫描器单元结构示意图，所述扫描器单元23 包括报告生成模块234，还包括如下模块中的一个或多个:签名扫描模块231、cookie参数扫 描模块232、表单参数扫描模块233,其中：
[0051]所述签名扫描模块231，用于利用有签名参数URL对应的签名扫描模块，针对分类 后得到的每一个有签名参数URL，检测如果不提交URL中的签名是否可以正常进行URL对应 的请求，以及检测URL中的签名是否可以被破解；
[0052] 所述cookie参数扫描模块232,用于利用有cookie参数URL对应的cookie参数扫描 模块，针对分类后得到的每一个有cookie参数URL，检测如果不提交URL中的cookie，提交请 求是否能通过;以及通过修改cookie中用于用户身份识别的参数，提交请求是否能通过； [0053]所述表单参数扫描模块233,用于利用有关键表单参数URL对应的表单参数扫描模 块，针对分类后得到的每一个有关键表单参数URL，检测如果修改关键表单参数的值，是否 可以正常进行URL对应的请求；
[0054]所述报告生成模块234，用于汇总检测结果，生成并输出检测报告。
[0055] 上述技术方案具有如下有益效果:针对目前水平权限的有效检测方法，即手工检 测的缺陷，本发明实施例提供一种有效的自动化检测水平权限的方法，通过分析日志，对 URL分类检测，提高检测覆盖率，降低漏报率。自动化的扫描系统可以快速地识别出水平权 限，提高漏洞检测效率。
[0056] 以下结合应用实例对本发明上述实施例进行详细说明：
[0057]本发明应用实例WEB水平权限自动化识别的装置包括3个单元:URL采集单元、URL 分发单元、扫描器单元。
[0058] URL采集单元：
[0059]这个单元收集了代理服务器、Web服务器和旁路镜像的日志，然后逐个提取日志中 的URL信息。将URL信息汇总到一块，进行相似化识别和除重，得到待检测的URL库。
[0060] URL分发单元：
[00611针对待检测的URL库，分析URL中的参数。分别经过签名识别模块、cookie参数识别 模块和表单参数识别模块来将URL分类，方便扫描器单元进行检测。其中：
[0062]签名识别模块:对于使用sign等MD5签名算法的参数进行识别，进行归类；
[0063] Cookie参数识别模块:对于请求URL是否有cookie进行归类；
[0064]表单参数识别模块:判断表单参数中是否有关键参数，可能有可以改变其值来进 行越权操作的URL进行归类。
[0065]扫描器单元：
[0066]从分类后的URL库取出URL分别经过签名扫描模块、cookie参数扫描模块和表单参 数扫描模块。这些模块会根据URL的特征针对性地改变参数进行水平权限的检测，然后汇总 检测结果，通过报告生成模块输出检测报告。其中：
[0067]签名扫描模块:对于用于签名的参数，检测如果不提交sign是否可以正常请求，并 且尝试用一些算法来破解sign，检测是否可以被破解；
[0068] cookie参数扫描模块:检测若不提交cookie，提交请求是否能通过。修改cookie中 的关键的用作用户身份识别的参数，提交请求是否能通过；
[0069]表单参数扫描模块:检测当修改关键表单参数的值，判断是否可以正常请求。比 如：order_id= 123，为用户只能查看123这个订单;修改order_id= 133，查看请求能否生 效。
[0070] 例如，如下具体应用实例：
[0071] 第一步:从日志中提取URL:
[0072] 下面是从旁路镜像日志中提取URL的关键代码：
[0074]
[0075] 第二步:URL识别单元
[0076] 分析URL中的各种参数，将URL依据需要通过检测的模块进行分类，为扫描器单元 提供处理好的URL。
[0077] 第三步:扫描器单元
[0078]改变URL中的参数，对比参数改变前后返回的结果，判定是否存在水平权限。针对 有问题的URL，会把payload和返回结果记录下来，汇总到扫描报告里面。
[0079] 本发明应用实例技术方案带来的有益效果：自动化识别WEB水平权限漏洞，提高漏 洞识别效率，确保WEB应用更加安全。
[0080] 应该明白，公开的过程中的步骤的特定顺序或层次是示例性方法的实例。基于设 计偏好，应该理解，过程中的步骤的特定顺序或层次可以在不脱离本公开的保护范围的情 况下得到重新安排。所附的方法权利要求以示例性的顺序给出了各种步骤的要素，并且不 是要限于所述的特定顺序或层次。
[0081] 在上述的详细描述中，各种特征一起组合在单个的实施方案中，以简化本公开。不 应该将这种公开方法解释为反映了这样的意图，即，所要求保护的主题的实施方案需要比 清楚地在每个权利要求中所陈述的特征更多的特征。相反，如所附的权利要求书所反映的 那样，本发明处于比所公开的单个实施方案的全部特征少的状态。因此，所附的权利要求书 特此清楚地被并入详细描述中，其中每项权利要求独自作为本发明单独的优选实施方案。
[0082] 为使本领域内的任何技术人员能够实现或者使用本发明，上面对所公开实施例进 行了描述。对于本领域技术人员来说;这些实施例的各种修改方式都是显而易见的，并且本 文定义的一般原理也可以在不脱离本公开的精神和保护范围的基础上适用于其它实施例。 因此，本公开并不限于本文给出的实施例，而是与本申请公开的原理和新颖性特征的最广 范围相一致。
[0083] 上文的描述包括一个或多个实施例的举例。当然，为了描述上述实施例而描述部 件或方法的所有可能的结合是不可能的，但是本领域普通技术人员应该认识到，各个实施 例可以做进一步的组合和排列。因此，本文中描述的实施例旨在涵盖落入所附权利要求书 的保护范围内的所有这样的改变、修改和变型。此外，就说明书或权利要求书中使用的术语 "包含"，该词的涵盖方式类似于术语"包括"，就如同"包括，"在权利要求中用作衔接词所解 释的那样。此外，使用在权利要求书的说明书中的任何一个术语"或者"是要表示"非排它性 的或者"。
[0084] 本领域技术人员还可以了解到本发明实施例列出的各种说明性逻辑块 (illustrative logical block)，单元，和步骤可以通过电子硬件、电脑软件，或两者的结 合进行实现。为清楚展示硬件和软件的可替换性（：!^丨6代1^1^6313；[1；^7)，上述的各种说明 性部件（illustrative components)，单元和步骤已经通用地描述了它们的功能。这样的功 能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员 可以对于每种特定的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为 超出本发明实施例保护的范围。
[0085]本发明实施例中所描述的各种说明性的逻辑块，或单元都可以通过通用处理器， 数字信号处理器，专用集成电路(ASIC)，现场可编程门阵列或其它可编程逻辑装置，离散门 或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处 理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制 器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器， 多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置 来实现。
[0086]本发明实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软 件模块、或者这两者的结合。软件模块可以存储于RAM存储器、闪存、ROM存储器、EPROM存储 器、EEPR0M存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介 中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并 可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可 以设置于ASIC中，ASIC可以设置于用户终端中。可选地，处理器和存储媒介也可以设置于用 户终端中的不同的部件中。
[0087] 在一个或多个示例性的设计中，本发明实施例所描述的上述功能可以在硬件、软 件、固件或这三者的任意组合来实现。如果在软件中实现，这些功能可以存储与电脑可读的 媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电 脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以 是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但 不限于RAM、ROM、EEPROM、⑶-ROM或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任 何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理 器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例 如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电缆、双 绞线、数字用户线(DSL)或以例如红外、无线和微波等无线方式传输的也被包含在所定义的 电脑可读媒介中。所述的碟片(disk)和磁盘(disc)包括压缩磁盘、错射盘、光盘、DVD、软盘 和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合 也可以包含在电脑可读媒介中。
[0088] 以上所述的【具体实施方式】，对本发明的目的、技术方案和有益效果进行了进一步 详细说明，所应理解的是，以上所述仅为本发明的【具体实施方式】而已，并不用于限定本发明 的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含 在本发明的保护范围之内。
【主权项】
1. 一种WEB水平权限自动化识别的方法，其特征在于，所述方法包括： 收集WEB日志，提取并汇总所述WEB日志中的统一资源定位符URL，得到待检测的URL库； 针对待检测的URL库，通过分析URL中的参数将各URL进行分类，得到分类后的URL库； 利用分类后的URL库中各URL对应的扫描器，通过改变URL中参数的方式进行水平权限 的检测。2. 如权利要求1所述WEB水平权限自动化识别的方法，其特征在于，所述WEB日志包括如 下日志中的一种或者多种： 代理服务器日志、WEB服务器日志、旁路镜像日志。3. 如权利要求1或2所述WEB水平权限自动化识别的方法，其特征在于，还包括： 提取并汇总所述WEB日志中的URL后，进行相似化识别和除重处理，从而得到所述待检 测的URL库。4. 如权利要求2所述WEB水平权限自动化识别的方法，其特征在于，针对待检测的URL 库，通过分析所述URL中的参数将各URL进行分类，得到分类后的URL库，具体包括： 针对待检测的URL库中的每一个URL，分别执行如下处理： 判断当前URL中的参数是否包括使用签名算法的参数，如果是，则当前URL属于有签名 参数URL，否则，属于无签名参数URL; 和/或，判断当前URL中的参数是否包括cookie参数，如果是，则当前URL属于有cookie 参数URL，否则，属于无 cookie参数URL; 和/或，判断当前URL中的参数是否包括关键表单参数，如果是，则当前URL属于有关键 表单参数URL，否则，属于无关键表单参数URL; 汇总待检测的URL库中的每一个URL的分类信息，得到分类后的URL库。5. 如权利要求4所述WEB水平权限自动化识别的方法，其特征在于，所述扫描器包括如 下模块中的一个或多个:签名扫描模块、cookie参数扫描模块和表单参数扫描模块;以及 利用分类后的URL库中各URL对应的扫描器，通过改变URL中参数的方式进行水平权限 的检测，具体包括： 利用有签名参数URL对应的签名扫描模块，针对分类后得到的每一个有签名参数URL， 检测如果不提交URL中的签名是否可以正常进行URL对应的请求，以及检测URL中的签名是 否可以被破解； 和/或，利用有cookie参数URL对应的cookie参数扫描模块，针对分类后得到的每一个 有cookie参数URL，检测如果不提交URL中的cookie，提交请求是否能通过；以及通过修改 cookie中用于用户身份识别的参数，提交请求是否能通过； 和/或，利用有关键表单参数URL对应的表单参数扫描模块，针对分类后得到的每一个 有关键表单参数URL，检测如果修改关键表单参数的值，是否可以正常进行URL对应的请求； 汇总检测结果，生成并输出检测报告。6. -种WEB水平权限自动化识别的装置，其特征在于，所述装置包括： URL采集单元，用于收集WEB日志，提取并汇总所述WEB日志中的统一资源定位符URL，得 到待检测的URL库； URL分发单元，用于针对待检测的URL库，通过分析URL中的参数将各URL进行分类，得到 分类后的URL库； 扫描器单元，用于利用分类后的URL库中各URL对应的扫描器，通过改变URL中参数的方 式进行水平权限的检测。7. 如权利要求6所述WEB水平权限自动化识别的装置，其特征在于，所述WEB日志包括如 下日志中的一种或者多种： 代理服务器日志、WEB服务器日志、旁路镜像日志。8. 如权利要求6或7所述WEB水平权限自动化识别的装置，其特征在于， 所述URL采集单元，具体用于提取并汇总所述WEB日志中的URL后，进行相似化识别和除 重处理，从而得到所述待检测的URL库。9. 如权利要求7所述WEB水平权限自动化识别的装置，其特征在于，所述URL分发单元， 包括如下模块中的一个或多个:签名识别模块、cookie参数识别模块和表单参数识别模块， 所述URL分发单元用于针对待检测的URL库中的每一个URL，分别执行如下处理，其中： 所述签名识别模块，用于判断当前URL中的参数是否包括使用签名算法的参数，如果 是，则当前URL属于有签名参数URL，否则，属于无签名参数URL; 所述cookie参数识别模块，用于判断当前URL中的参数是否包括cookie参数，如果是， 则当前URL属于有cookie参数URL，否则，属于无 cookie参数URL; 所述表单参数识别模块，用于判断当前URL中的参数是否包括关键表单参数，如果是， 则当前URL属于有关键表单参数URL，否则，属于无关键表单参数URL; 所述URL分发单元，还用于汇总待检测的URL库中的每一个URL的分类信息，得到分类后 的URL库。10. 如权利要求9所述WEB水平权限自动化识别的装置，其特征在于，所述扫描器单元包 括报告生成模块，还包括如下模块中的一个或多个:签名扫描模块、cookie参数扫描模块、 表单参数扫描模块，其中： 所述签名扫描模块，用于利用有签名参数URL对应的签名扫描模块，针对分类后得到的 每一个有签名参数URL，检测如果不提交URL中的签名是否可以正常进行URL对应的请求，以 及检测URL中的签名是否可以被破解； 所述cookie参数扫描模块，用于利用有cookie参数URL对应的cookie参数扫描模块，针 对分类后得到的每一个有cookie参数URL，检测如果不提交URL中的cookie，提交请求是否 能通过;以及通过修改cookie中用于用户身份识别的参数，提交请求是否能通过； 所述表单参数扫描模块，用于利用有关键表单参数URL对应的表单参数扫描模块，针对 分类后得到的每一个有关键表单参数URL，检测如果修改关键表单参数的值，是否可以正常 进行URL对应的请求； 所述报告生成模块，用于汇总检测结果，生成并输出检测报告。
【文档编号】H04L29/06GK106027528SQ201610350375
【公开日】2016年10月12日
【申请日】2016年5月24日
【发明人】谢作孟
【申请人】微梦创科网络科技（中国）有限公司