-
公开(公告)号:CN116647373A
公开(公告)日:2023-08-25
申请号:CN202310528515.8
申请日:2023-05-11
Applicant: 中国科学院信息工程研究所
Abstract: 本公开涉及一种基于蜜饵的Web渗透感知方法及装置,所述方法包括:代理一Web服务器的所有流量,并在转发流量的过程中对流量中的后台登录界面和/或后台管理界面的HTML结构进行分析,以得到合适嵌入蜜饵的DOM节点;在合适嵌入蜜饵的DOM节点嵌入蜜饵,得到嵌入蜜饵后的页面;其中,嵌入蜜饵后的页面与未嵌入蜜饵的页面的相似度大于一设定阈值;在一流量对嵌入蜜饵后的页面中的蜜饵访问时,将流量重定向到对应的容器中,以进行流量的漏洞感知;在一流量未对嵌入蜜饵后的页面中的蜜饵访问时,将流量重定向到Web服务器,以完成流量的访问。本发明实现了一键代理即可在HTML页面中部署蜜饵的功能。
-
公开(公告)号:CN116738437A
公开(公告)日:2023-09-12
申请号:CN202310702059.4
申请日:2023-06-14
Applicant: 中国科学院信息工程研究所
Abstract: 本发明公开了一种Java Web系统的越权漏洞检测方法及系统,涉及计算机网络安全和程序的静态分析领域,通过获取网站的JAR包或网站源码编译成的JAR包,通过编译得到Jimple中间代码;构建先验知识库;基于先验知识库和Jimple中间代码,构建Statement链结构;基于先验知识库和Jimple中间代码,构建ChainNode链结构;根据Statement链结构形成的调用链进行漏洞检测,找出鉴权框架越权漏洞;根据ChainNode链结构形成的调用图进行漏洞检测,找出控制器越权漏洞。本发明通过获取网站JAR包或者源代码,通过在源码和字节码层面的检测分析,即可分析并检测网站中存在的越权漏洞。
-