随着互联网应用技术的蓬勃发展,Web应用已成为人们日常生活中不可或缺的一部分。Web应用快速发展的同时带来了众多安全隐患,Web应用业务逻辑漏洞因其普遍性、不可预测性、无规律性以及破坏性长居漏洞排行榜榜首,其中越权漏洞尤为突出。目前针对越权漏洞的有效检测技术仍为传统手工检测,检测准确率虽高,但效率较低。提高越权漏洞检测效率,实现自动化越权漏洞检测,对于维护网络安全具有重要意义。针对现有传统手工检测与半自动检测方案效率低,且未考虑多应用海量流量数据包等问题,设计基于流量的越权漏洞自动检测方案。根据越权漏洞形成原理,结合随机森林算法与深度包检测技术在非加密流量分类识别领域的优势,提出基于流量的越权漏洞自动检测模型,系统模型将流量分类识别与越权漏洞检测有机结合,在漏洞验证阶段放弃使用传统页面内容对比策略,选用响应码与响应包长度作为对比参数。通过多次实验确定数据预处理阶段中参数值,以及漏洞验证阶段中响应包长度差值的最优范围。实验对比结果表明,在相同条件下所提方案检测效率更高,准确率与传统手工检测基本持平,在多应用海量流量数据包情况下所提方案优势更为明显。针对以上基于流量的越权漏洞自动检测方案进行系统设计,以软件工程基本思想为指导,综合考虑漏洞检测系统特点、系统开发流程,设计并实现一款针对多应用海量流量数据包情况的越权漏洞自动检测系统,系统兼顾易用性、稳定性、完整性以及可扩展性等特点。系统采用B/S架构开发,设计可视化界面,通过对检测系统的多次测试,验证了系统的可行性、易用性等基本性质。