水平越权检测方法及装置制造方法及图纸

本说明书提供一种水平越权检测方法及装置，所述方法包括：扫描数据入口指令，确定目标资源标识的数据流与目标用户标识；在确定的数据流存在多条的情况下，从确定出的多条数据流中选取目标数据流，并确定所述目标数据流与所述多条数据流中的其他数据流之间的相交节点，所述目标数据流对应的数据库操作指令用于获取所述目标资源标识所表征的目标资源，所述相交节点中包含所述目标资源的实际所有者标识；将所述目标数据流中满足所有预设条件的节点选取为目标节点，并在确认存在所述目标用户标识的数据源点至所述目标节点的数据流的情况下，确定存在水平越权风险；其中，所述预设条件包含：位于所述相交节点之后、包含所述实际所有者标识。有者标识。有者标识。

【技术实现步骤摘要】
水平越权检测方法及装置


[0001]本说明书实施例涉及数据安全
，特别涉及一种水平越权检测方法及装置。

技术介绍

[0002]随着网络技术的飞速发展，信息安全正面临着巨大的挑战，用户的隐私的面临着巨大的挑战，用户的隐私通常会被别人越权访问，导致信息泄露，因此各大网站平台在用户进行数据访问时，都会进行越权风险的检测，以防止信息的泄露。
[0003]在进行水平越权检测时，通常使用的是黑盒检测，通过创建两个权限等级相同的账号，利用第一账号进行合法测试，得到合法测试请求网址；基于合法测试请求网址，利用第二账号进行对照测试求，得到对应的对照测试请求结果，将对照测试请求结果与第一个账号操作权限进行比对，确定是否存在水平越权漏洞。但是该水平越权检测方式需要预先创建账号，然后分别进行测试，部署起来较为繁琐，导致效率较低，因此亟需一种高效的水平越权检测方法。

技术实现思路

[0004]有鉴于此，本说明书提供一种水平越权检测方法及装置，以解决相关技术中存在的不足。
[0005]具体地，本说明书是通过如下技术方案实现的：
[0006]根据本说明书实施例的第一方面，提供了一种水平越权检测方法，包括：
[0007]扫描数据入口指令，确定目标资源标识的数据流与目标用户标识；
[0008]在确定的数据流存在多条的情况下，从确定出的多条数据流中选取目标数据流，并确定所述目标数据流与所述多条数据流中的其他数据流之间的相交节点，所述目标数据流对应的数据库操作指令用于获取所述目标资源标识所表征的目标资源，所述相交节点中包含所述目标资源的实际所有者标识；
[0009]将所述目标数据流中满足所有预设条件的节点选取为目标节点，并在确认存在所述目标用户标识的数据源点至所述目标节点的数据流的情况下，确定存在水平越权风险；其中，所述预设条件包含：位于所述相交节点之后、包含所述实际所有者标识。
[0010]根据本说明书实施例的第二方面，提供了一种水平越权检测装置，所述装置包括：
[0011]指令扫描单元，用于扫描数据入口指令，确定目标资源标识的数据流与目标用户标识；
[0012]目标数据流确定单元，用于在确定的数据流存在多条的情况下，从确定出的多条数据流中选取目标数据流，并确定所述目标数据流与所述多条数据流中的其他数据流之间的相交节点，所述目标数据流对应的数据库操作指令用于获取所述目标资源标识所表征的目标资源，所述相交节点中包含所述目标资源的实际所有者标识；
[0013]风险判断单元，用于将所述目标数据流中满足所有预设条件的节点选取为目标节
点，并在确认存在所述目标用户标识的数据源点至所述目标节点的数据流的情况下，确定存在水平越权风险；其中，所述预设条件包含：位于所述相交节点之后、包含所述实际所有者标识。
[0014]根据本说明书实施例的第三方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如第一方面所述的方法的步骤。
[0015]根据本说明书实施例的第四方面，提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如第一方面所述的方法的步骤。
[0016]在本说明书所提供的技术方案中，通过扫描数据入口指令确定出目标资源标识的数据流以及目标用户标识，并根据从多条数据流中选取的目标数据流确定出包含目标资源的实际所有者标识的相交节点，进而确定出目标数据流中满足所有预设条件的目标节点，以使在存在目标用户标识的数据源点至目标节点的数据流的情况下即可确定存在水平越权风险，其中，由于上述目标节点的存在说明了目标数据流在获取目标资源的过程中必然参与有实际所有者标识，而目标用户标识的数据源点至目标节点的数据流的存在有进一步地说明了目标数据流涉及目标用户标识以及实际所有者标识的使用，因此可以根据该数据流判断出是否存在水平越权风险；此外，该水平越权检测方法并未依赖其他的外部条件，使得确定是否存在水平越权风险的效率更高。
[0017]应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书。
附图说明
[0018]为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据这些附图获得其他的附图。
[0019]图1是本说明书一示例性实施例示出的一种水平越权检测系统的架构示意图；
[0020]图2是本说明书一示例性实施例示出的一种水平越权检测方法的流程示意图；
[0021]图3是本说明书一示例性实施例示出的另一种水平越权检测方法的流程示意图；
[0022]图4a是本说明书一示例性实施例示出的一种目标资源标识的数据流的数据链路示意图；
[0023]图4b是本说明书一示例性实施例示出的另一种目标资源标识的数据流的数据链路示意图；
[0024]图5是本说明书一示例性实施例示出的一种电子设备的示意结构图；
[0025]图6是本说明书一示例性实施例示出的一种水平越权检测装置的结构示意图。
具体实施方式
[0026]这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本说明书相一致的所有实施方式。相反，它们仅是与本说
明书的一些方面相一致的装置和方法的例子。
[0027]需要说明的是：在其他实施例中并不一定按照本说明书示出和描述的顺序来执行相应方法的步骤。在一些其他实施例中，其方法所包括的步骤可以比本说明书所描述的更多或更少。此外，本说明书中所描述的单个步骤，在其他实施例中可能被分解为多个步骤进行描述；而本说明书中所描述的多个步骤，在其他实施例中也可能被合并为单个步骤进行描述。应当理解，尽管在本说明书可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在
……
时”或“当
……
时”或“响应于确定”。
[0028]首先，对本说明书一个或多个实施例涉及的名词术语进行解释。
[0029]水平越权：指攻击者尝试访问与他拥有相同权限的用户资源，比如，访问不属于自己的数据或者操作不属于自己的数据。
[0030]静态扫描：不对代码进行编译，直接进行扫描。
[0031]数据源点(source点)：数据入口，通常用于执行初始化文档。
[0032]漏洞触发点(sink点)：也叫污点敏感点，是污点数据有可能被误用的系统调用点。...

【技术保护点】

【技术特征摘要】
1.一种水平越权检测方法，包括：扫描数据入口指令，确定目标资源标识的数据流与目标用户标识；在确定的数据流存在多条的情况下，从确定出的多条数据流中选取目标数据流，并确定所述目标数据流与所述多条数据流中的其他数据流之间的相交节点，所述目标数据流对应的数据库操作指令用于获取所述目标资源标识所表征的目标资源，所述相交节点中包含所述目标资源的实际所有者标识；将所述目标数据流中满足所有预设条件的节点选取为目标节点，并在确认存在所述目标用户标识的数据源点至所述目标节点的数据流的情况下，确定存在水平越权风险；其中，所述预设条件包含：位于所述相交节点之后、包含所述实际所有者标识。2.根据权利要求1所述的方法，所述数据入口指令包括源代码和用户访问请求；所述扫描数据入口指令，确定目标资源标识的数据流与目标用户标识，包括：扫描所述用户访问请求，确定目标资源标识的数据流；扫描所述源代码，将所述源代码中表示用户身份的代码特征确定为目标用户标识。3.根据权利要求1所述的方法，还包括：在无法通过扫描所述数据入口指令以确定所述目标用户标识的情况下，确定存在水平越权风险；或者，在无法通过扫描所述数据入口指令以确定所述目标用户标识的情况下，从所述数据库操作指令对应的指令参数中提取参考参数，并在所述数据入口指令中对所述参考参数进行上下文分析以确定所述目标用户标识，所述参考参数为除所述目标资源标识以外的参数；其中，若无法通过上下文分析确定所述目标用户标识，则确定存在水平越权风险。4.根据权利要求1所述的方法，还包括：在确定的数据流不存在多条的情况下，确定存在水平越权风险。5.根据权利要求1所述的方法，还包括：在确定的数据流存在多条且所述相交节点不存在的...

【专利技术属性】
技术研发人员：高星宇，张园超，
申请(专利权)人：浙江网商银行股份有限公司，
类型：发明
国别省市：