逻辑漏洞之越权漏洞_办公生活

创始人

2024-04-05 08:15:17

什么是越权漏洞？

顾名思义，越权漏洞就是由于设计上的缺陷对应用程序的权限做的不好。通俗点来说，就是用户A可以通过某种方式查看到用户B的个人信息，或者可以查看管理员C的一些相关信息。
分类

越权漏洞主要分为水平越权和垂直越权。下面来说一说他们的区别。

水平越权：就是攻击者尝试访问与他相同权限的用户的一些资源。举一个简单的例子，用户A在这个应用程序里保存了自己的个人信息，并且通过相关参数直接获取，用户B在保存个人信息的页面，输入了A用户的参数，直接查看到了A用户的个人信息。

为什么会出现这种情况呢？我们知道通常情况下，一个应用程序的功能流程是：登陆=>提交请求=>验证权限=>数据库查询=>返回结果。如果权限验证做的不好，就会出现越权。

都包括哪些情况呢？

比如直接对象引用，这种情况直接修改参数就可以发生越权，例如，我想查看A用户的信息，直接将URL后的参数改为A用户的就可以了。这里有一个实例，现在登陆张三用户，抓包如下图

逻辑漏洞之越权漏洞_逻辑漏洞
逻辑漏洞之越权漏洞_逻辑漏洞_02

现在将5改为2，然后发送数据包，我们发现用户变为1了

逻辑漏洞之越权漏洞_逻辑漏洞_03

还有比如一个功能，多步实现，只在第一步验证用户身份，其他不用，这样攻击者直接跳过第一步，执行下面的操作。

还有如果对身份验证做的不完善，有可能在未登录的情况下，知道敏感页面URL可以直接访问。

垂直越权：也叫权限提升攻击，例如，用户A通过构造URL直接进入了管理员B的页面。

包括哪些情况呢？

比如设计者通过隐藏URL的方式，通过URL实现访问控制，这是最不靠谱的，要是攻击者猜出后台路径，直接歇菜。

修复建议

对于水平越权：

增加访问与操作对象的用户属性，在对目标对象进行访问与操作时，服务端校验会话与对象的用户属性，在校验通过后才能执行读取和操作。                      
页面进行严格的访问权限的控制以及对访问角色进行权限检查。

对于垂直越权：

采取默认拒绝机制，采取基于角色访问控制，对于各个功能的访问，规定不同角色拥有不同的访问权限，用户访问功能时，验证用户现在的权限和规定的权限是否相同，如果奴同，拒绝访问。

《黑客攻防技术宝典Web实战篇》对访问控制进行了整理，我拍了下来分享出来，如下图

逻辑漏洞之越权漏洞_逻辑漏洞_04

我喜欢你韩语怎么说 sikid...

埃菲尔铁塔在哪中国仿建埃菲尔... 2019年4月26日，广西南宁市，街头惊现一座巨型山寨版埃菲尔铁塔，高约20米，白色塔身，造型逼真，...

苗族的传统节日贵州苗族节日有... 【岜沙苗族芦笙节】岜沙，苗语叫“分送”，距从江县城7.5公里，是世界上最崇拜树木并以树为神的枪手部落...

北京的名胜古迹北京最著名的景... 北京从元代开始，逐渐走上帝国首都的道路，先是成为大辽朝五大首都之一的南京城，随着金灭辽，金代从海陵王...

长白山自助游攻略吉林长白山游... 昨天介绍了西坡的景点详细请看链接：一个人的旅行，据说能看到长白山天池全凭运气，您的运气如何？今日介绍...

应用未安装解决办法平板应用未... ---IT小技术，每天Get一个小技能！一、前言描述苹果IPad2居然不能安装怎么办？与此IPad不...

脚上的穴位图脚面经络图对应的... 人体穴位作用图解大全更清晰直观的标注了各个人体穴位的作用，包括头部穴位图、胸部穴位图、背部穴位图、胳...

猫咪吃了塑料袋怎么办猫咪误食... 你知道吗？塑料袋放久了会长猫哦！要说猫咪对塑料袋的喜爱程度完完全全可以媲美纸箱家里只要一有塑料袋的响...

demo什么意思 demo版本... 618快到了，各位的小金库大概也在准备开闸放水了吧。没有小金库的，也该向老婆撒娇卖萌服个软了，一切只...

世界上最漂亮的人世界上最漂亮... 此前在某网上，选出了全球265万颜值姣好的女性。从这些数量庞大的女性群体中，人们投票选出了心目中最美...