一种web应用纵向越权漏洞的半自动检测方法及系统

摘要

本发明公开了一种web应用纵向越权漏洞的半自动检测方法及系统，其实现过程为：将高权限用户的HTTP请求中的用户身份信息替换为低权限用户的用户身份信息，并将修改过的HTTP请求的响应信息与原HTTP请求的响应信息作比对，通过差异定位漏洞位置，所述高权限用户是指具有所有操作权限的用户，低权限用户是指具有部分操作权限的用户。本发明的一种web应用纵向越权漏洞的半自动检测方法及系统与现有技术相比，借助BurpSuite代理工具和Python脚本对传统越权漏洞检测方法作了半自动化，融合了人工方法和自动方法各自的优势，提高了检测效率，弥补了商业工具在越权漏洞检测上的不足，同时突破了全自动化检测工具在不可重入问题上的局限，实用性强。