如何解決滲透測(cè)試中遇到的越權(quán)漏洞
滲透測(cè)試是一項(xiàng)安全服務(wù)，必須在網(wǎng)站和應(yīng)用程序上線之前完成。它可以提前發(fā)現(xiàn)網(wǎng)站、應(yīng)用程序中存在的漏洞和安全風(fēng)險(xiǎn)，從而避免后期漏洞的出現(xiàn)，給網(wǎng)站應(yīng)用程序運(yùn)營(yíng)商帶來(lái)巨大的經(jīng)濟(jì)損失。讓我們談?wù)劃B透測(cè)試中的一些知識(shí)點(diǎn)。
什么是越權(quán)漏洞？
詳細(xì)解釋什么是越權(quán)漏洞。在整個(gè)滲透測(cè)試過(guò)程中，網(wǎng)站和APP功能存在越權(quán)漏洞，如用戶登錄、操作、取款、修改個(gè)人數(shù)據(jù)、發(fā)送私人信件、上傳圖片、撤銷訂單、下單、充值、找回密碼等。它可以簡(jiǎn)單地理解為繞過(guò)授權(quán)來(lái)訪問(wèn)和操作某些需要驗(yàn)證當(dāng)前身份和權(quán)限的功能。例如，網(wǎng)站APP中的密碼檢索功能通常根據(jù)手機(jī)號(hào)碼檢索密碼。如果存在未經(jīng)授權(quán)的漏洞，可以修改數(shù)據(jù)包，并使用其他移動(dòng)電話號(hào)碼獲取短消息，以重置任何移動(dòng)電話號(hào)碼的帳戶密碼。該漏洞的根本原因是，需要驗(yàn)證的頁(yè)面中存在漏洞，并且沒(méi)有安全驗(yàn)證，從而導(dǎo)致繞過(guò)。大多數(shù)漏洞存在于網(wǎng)站端和應(yīng)用端，如PHP開發(fā)、JAVA開發(fā)和VUE。JS開發(fā)服務(wù)端口。權(quán)限較小的用戶可以使用權(quán)限較高的管理操作，這是一個(gè)越權(quán)漏洞。
越權(quán)漏洞可分為橫向越權(quán)和縱向越權(quán)。簡(jiǎn)單地說(shuō)，普通用戶的權(quán)利可以通過(guò)漏洞變成管理員的權(quán)利，或者操作其他人的帳戶的權(quán)利，也稱為未授權(quán)的漏洞。通常，訪問(wèn)管理員的某些操作需要安全驗(yàn)證，而越權(quán)導(dǎo)致繞過(guò)驗(yàn)證，允許訪問(wèn)管理員的某些敏感信息和一些管理員的操作，導(dǎo)致機(jī)密數(shù)據(jù)信息的泄露。垂直越權(quán)漏洞可以使用低權(quán)限帳戶來(lái)執(zhí)行高權(quán)限帳戶的操作，例如操作管理員的帳戶功能。橫向越權(quán)漏洞可以在同一級(jí)別的賬戶權(quán)限之間操作，并訪問(wèn)某些賬戶的敏感信息，如可以修改任何賬戶的信息，包括查看成員的手機(jī)號(hào)碼、姓名、充值記錄、取款記錄、取款記錄、票據(jù)清單記錄等。它還會(huì)導(dǎo)致橫向越權(quán)執(zhí)行其他用戶的功能，如刪除銀行卡、修改手機(jī)號(hào)碼、秘密保護(hù)答案等。
讓我們舉一個(gè)越權(quán)漏洞測(cè)試方法的例子：
在許多網(wǎng)站中，在應(yīng)用程序設(shè)計(jì)過(guò)程中，標(biāo)識(shí)號(hào)是以u(píng)serid=001命名的。登錄網(wǎng)站后，我們輸入會(huì)員的帳戶密碼來(lái)查看用戶信息。例如，我的視圖鏈接是www.xxx.com/u/user.php?用戶id=008。打開這里的鏈接，你可以看到我的詳細(xì)信息，包括姓名，注冊(cè)手機(jī)號(hào)碼，地址，上傳圖片，余額等。如果網(wǎng)站有未經(jīng)授權(quán)的漏洞，我們可以測(cè)試它。將user_id=008改為user_id=009，打開網(wǎng)站可以看到其他用戶的詳細(xì)信息，等等，可以查看任何賬戶信息，造成信息泄露和極大危害。
滲透測(cè)試中越權(quán)漏洞的修復(fù)方案
安全驗(yàn)證在具有權(quán)限驗(yàn)證的頁(yè)面上執(zhí)行。從應(yīng)用程序網(wǎng)站前端獲得的參數(shù)、身份、帳戶密碼和返回信息也需要驗(yàn)證。對(duì)于修改和添加等功能，判斷當(dāng)前權(quán)限，驗(yàn)證附屬用戶，使用seesion安全驗(yàn)證用戶的操作權(quán)限。獲取和發(fā)送數(shù)據(jù)只允許輸入指定的信息，數(shù)據(jù)包不能被修改。對(duì)于未經(jīng)授權(quán)的查詢漏洞，有必要檢測(cè)每個(gè)請(qǐng)求是否是當(dāng)前關(guān)聯(lián)用戶的身份，并加強(qiáng)有效性。如果程序代碼沒(méi)有被很好地理解，它也可以由專業(yè)的網(wǎng)站安全公司處理。在滲透測(cè)試服務(wù)中發(fā)現(xiàn)了許多漏洞。
