中通安全开源项目之越权漏洞自动化检测

目前各类系统认证实现的方式和协议都存在很大的差异，但是从安全测试的角度实现自动化系统认证还是有很多种方案的，常见的方案有：

• 手动录入认证信息

在人工登陆待测系统后，直接获取认证后的认证信息，例如token等信息，然后将认证信息录入越权检测系统。

• 手动登录

在安全测试前，通过在越权检测工具内模拟在待测站点的登陆界面登录，使用越权检测工具记录整个登录流程中的认证信息进行登录。

• 自动登录

随着统一认证架构的普及，为自动登录提供了非常有利的条件。在中通内部几乎所有系统均使用统一认证进行安全接入，这时可以直接将越权检查工具接入统一认证体系就可以实现自动登录，另外在不同的认证体系中，对于应用间存在隔离的体系，还需要对其开放特定的支持跨应用的权限。而如果在缺少统一认证体系，每个系统的账号体系及登录流程都不同的环境中，想要实现自动登录需要为每个系统准备一套登录流程，在面对大量不同认证方式的系统时，就难以实现通用性。

在未接入公司统一权限管理系统的时，想要获取系统的全部权限，通常的做法是对系统的全部功能进行验证然后获取功能验证的流量。而抓取功能验证的流量，通常有如下几种解决可选方案：

• 使用无界面浏览器对站点进行动态的爬取

虽然从WEB2.0开始，前端框架的使用以及JS的混淆导致了主动爬取站点的复杂度增加了，但是可以使用无界面浏览器对站点进行动态的爬取，这个方案的具体实现思路可参考猪猪侠在先知白帽大会分享的WEB2.0启发式爬虫实战，详细可以见文末参考链接，这里就不再赘述了。

• 通过流量网关，获取测试/生产中所有的流量

在有流量网关的情况下，可以直接从流量网关抓取流量。依赖于流量网关，对于需要测试的目标系统，可直接从流量网关中筛选出目标的请求即可。但是此方案存在一定的局限性，还是需要对系统的全部功能进行触发，若获取到的请求数量不足，就难以覆盖到整个系统。

• 通过代理或插件等形式，被动的获取流量

通过在测试人员的浏览器中安装插件并配置好测试系统相关信息后，在测试人员手动点击待测功能，就可以通过插件或代理服务器等方式收集到待测流量。中通的分布式被动扫描系统就是基于此方式实现流量的抓取，详细介绍可以查看中通安全文章分享中通分布式被动安全扫描实践。

准备测试时，需要为待测系统创建工作空间，对于接入统一认证的系统可考虑实现自动认证，不方便实现自动认证的系统可通过手动录入认证信息来实现系统认证。

图1 工作空间配置流程

• 测试流程

测试时需要通过插件等形式捕获流量，同时为了标识测试人员身份，需要对测试人员进行身份认证，如图2所示。