公开(公告)号：CN116647373A

公开(公告)日：2023-08-25

申请号：CN202310528515.8

申请日：2023-05-11

Applicant: 中国科学院信息工程研究所

Inventor： 刘潮歌 ,  姚敦宇 ,  刘奇旭 ,  张方娇 ,  谭儒 ,  汪旭童 ,  张金莉

IPC: H04L9/40 ,  H04L67/02

Abstract: 本公开涉及一种基于蜜饵的Web渗透感知方法及装置，所述方法包括：代理一Web服务器的所有流量，并在转发流量的过程中对流量中的后台登录界面和/或后台管理界面的HTML结构进行分析，以得到合适嵌入蜜饵的DOM节点；在合适嵌入蜜饵的DOM节点嵌入蜜饵，得到嵌入蜜饵后的页面；其中，嵌入蜜饵后的页面与未嵌入蜜饵的页面的相似度大于一设定阈值；在一流量对嵌入蜜饵后的页面中的蜜饵访问时，将流量重定向到对应的容器中，以进行流量的漏洞感知；在一流量未对嵌入蜜饵后的页面中的蜜饵访问时，将流量重定向到Web服务器，以完成流量的访问。本发明实现了一键代理即可在HTML页面中部署蜜饵的功能。

公开(公告)号：CN116738437A

公开(公告)日：2023-09-12

申请号：CN202310702059.4

申请日：2023-06-14

Applicant: 中国科学院信息工程研究所

Inventor： 刘奇旭 ,  刘清越 ,  曹雅琴 ,  谭儒 ,  李香龙 ,  何松林 ,  姚敦宇

IPC: G06F21/57 ,  G06F21/56

Abstract: 本发明公开了一种Java Web系统的越权漏洞检测方法及系统，涉及计算机网络安全和程序的静态分析领域，通过获取网站的JAR包或网站源码编译成的JAR包，通过编译得到Jimple中间代码；构建先验知识库；基于先验知识库和Jimple中间代码，构建Statement链结构；基于先验知识库和Jimple中间代码，构建ChainNode链结构；根据Statement链结构形成的调用链进行漏洞检测，找出鉴权框架越权漏洞；根据ChainNode链结构形成的调用图进行漏洞检测，找出控制器越权漏洞。本发明通过获取网站JAR包或者源代码，通过在源码和字节码层面的检测分析，即可分析并检测网站中存在的越权漏洞。