越权漏洞笔记

越权漏洞是Web应用程序中一种常见的安全漏洞，它的威胁在于一个账户即可控制全站用户数据。越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定。

角色越权测试 越权测试工具

角色越权测试 越权测试工具

水平越权（ 横向越权）

水平越权指攻击者尝试访问与他拥有相同权限的用户资源。例如，用户A和用户B属于同一角色，拥有相同的权限等级，他们能获取自己的私有数据（数据A和数据B），但如果系统只验证了能访问数据的角色，而没有对数据做细分或者校验，导致用户A能访问到用户B的数据（数据B），那么用户A访问数据B的这种行为就叫做水平越权访问。

水平越权，多发生在一些能够对数据进行查询、增、删、改的地方。比如一些使用id来对对应数据进行作的功能点，如果此时没有把数据的id和用户的uid进行绑定的话，就容易产生水平越权漏洞。

平时排查问题时，可以使用Firefox浏览器F12中的网络请求功能，对关键参数进行修改替换，重新发送请求，查看响应包的内容来确认是否存在水平越权，如要进行更多的测试，使用burpsuite、fiddler等专业抓包工具。

垂直越权（纵向越权）

非法获取高权限级别用户权限。比如：只隐藏URL未判断访问权限。在用户认证后只显示给用户认证过的页面和菜单选项，而实际上这些仅仅是表示层的访问控制而不能真正生效，攻击者能够很容易的就伪造请求直接访问未被授权的页面（如功能）。

和家亲检测到你手机存在root越权是怎么回事？

出现这个提示，那就说明手机已经获取了root权限管理。

安卓手机Root后，通过禁用自启动程序，卸载系统自带软件，有助于提升手机的性能，同时也伴随着巨大的潜在风险。

越权测试 burp用哪个包进行越权

intruder就可以进行越权测试，其实和爆破不多的。

把抓到的包添加到intruder模块，

设置好要进行越权测试的变量，然后配置好要抓取的返回数据即可。

一种垂直越权的解决方案

垂直越权是一种非常常见且非常的权限漏洞，具体表现就是，低权限的用户可以不受控制的访问高权限用户的资源。

其实业界有现成的权限框架可以解决这个问题，比如Shiro、SpringSecurity，但是框架一般都比较重，如果我们的系统对权限校验的要求比较简单，那么就可以考虑自己来实现一套防止垂直越权的体系。

在开始如下方案的介绍前，需要拥有Spring、自定义注解、JaConfig的相关知识。

基于资源限定的角色来进行垂直越权控制

我们先构建一个基础的RestDemo应用，采用Spring Boot构建，然后新建一个RestController类如下：

然后定义一个自定义注解@RolePermitted，用来表示哪些角色可以访问当前这个资源。

以上，我们已经完成了基本内容的开发，剩下的就是创建一个并进行配置的注册了。

此时，我们启动应用后，对目前的全部两个URL的访问就都会走我们的RoleBasedAuthInterceptor进行角色的垂直越权校验，因为此时我们模拟的登录用户角色是employee，所以当访问 /storeMoney/{num} 时没有问题，但是访问 /getMoney 时就抛出了异常。

这种方案的优点是，实现起来非常简单，便于后续的维护，我们只需要对新增的URL添加对应的允许访问角色即可。但是缺点也非常的明显：

基于资源和角色的配置关系来进行垂直越权控制

在这个例子中，我们每个URL的Rest方法定义一个resourceCode来标识它，然后在中，先加载出当前登录者所允许的全部resourceCode，只要当前方法的resourceCode被包含在所允许的全部resourceCode中，那么就证明当前用户可以访问。

至于如何获取当前登录者的所有resourceCode，我们可以通过如下的表设计来完成：

我们只要执行如下的SQL语句就能得到当前登录者所有的resourceCode：

这种方案的优势是：

打开和家亲显示就显示检测到手机的root越权要怎么处理啊？

打开手机设置，在系统设置页面看是否有root权限设置选项，点击打开即可选择关闭。

若用户是通过第三方root软件获取root权限的，可以直接打开第三方软件，然后选择解除root权限即可

Web业务安全测试方法（1）—越权测试

来这家公司快四个月了，现在对这四个月的工作做一个总结。挖过越权漏洞、低价买服务漏洞、未鉴权的接口、CSRF漏洞、软件升级未做校验、组件暴露等漏洞，主要是业务方面的。下面我首先针对越权漏洞说下测试方法：

大家可能对用户信息又疑问，下面我举例来说明用户信息：譬如A用户的订单号是的，B用户删除自己的订单时，把自己的订单号改为A的，如果有越权漏洞，那么B用户就删除了A用户的订单。

限于公司保密需要，我找几个 乌云 的漏洞来说明下，没有的我就单独说明。

从数据包中，我们可以看到addr_id是标识用户地址的，并没有去做判断用户是否有权限作，导致了越权漏洞。诸如此类的还有保单信息、医疗保险等信息。这种改id号的最为初级的，也是最容易发现的越权漏洞。下面来看个进阶版。

测试环境：

一次测试过程中，发现获取用户信息的时候要提交自己的用户名，设是XML文件：

我尝试改为

发现没有权限获取信息。怎么办呢？想到XML文件解析时，可能解析所有的，那么我同时提交两者的用户名：

即可得到B用户的信息。