如何解決滲透測試中遇到的越權(quán)漏洞
滲透測試是一項安全服務(wù)，必須在網(wǎng)站和應(yīng)用程序上線之前完成。它可以提前發(fā)現(xiàn)網(wǎng)站、應(yīng)用程序中存在的漏洞和安全風險，從而避免后期漏洞的出現(xiàn)，給網(wǎng)站應(yīng)用程序運營商帶來巨大的經(jīng)濟損失。讓我們談?wù)劃B透測試中的一些知識點。
什么是越權(quán)漏洞？
詳細解釋什么是越權(quán)漏洞。在整個滲透測試過程中，網(wǎng)站和APP功能存在越權(quán)漏洞，如用戶登錄、操作、取款、修改個人數(shù)據(jù)、發(fā)送私人信件、上傳圖片、撤銷訂單、下單、充值、找回密碼等。它可以簡單地理解為繞過授權(quán)來訪問和操作某些需要驗證當前身份和權(quán)限的功能。例如，網(wǎng)站APP中的密碼檢索功能通常根據(jù)手機號碼檢索密碼。如果存在未經(jīng)授權(quán)的漏洞，可以修改數(shù)據(jù)包，并使用其他移動電話號碼獲取短消息，以重置任何移動電話號碼的帳戶密碼。該漏洞的根本原因是，需要驗證的頁面中存在漏洞，并且沒有安全驗證，從而導(dǎo)致繞過。大多數(shù)漏洞存在于網(wǎng)站端和應(yīng)用端，如PHP開發(fā)、JAVA開發(fā)和VUE。JS開發(fā)服務(wù)端口。權(quán)限較小的用戶可以使用權(quán)限較高的管理操作，這是一個越權(quán)漏洞。
越權(quán)漏洞可分為橫向越權(quán)和縱向越權(quán)。簡單地說，普通用戶的權(quán)利可以通過漏洞變成管理員的權(quán)利，或者操作其他人的帳戶的權(quán)利，也稱為未授權(quán)的漏洞。通常，訪問管理員的某些操作需要安全驗證，而越權(quán)導(dǎo)致繞過驗證，允許訪問管理員的某些敏感信息和一些管理員的操作，導(dǎo)致機密數(shù)據(jù)信息的泄露。垂直越權(quán)漏洞可以使用低權(quán)限帳戶來執(zhí)行高權(quán)限帳戶的操作，例如操作管理員的帳戶功能。橫向越權(quán)漏洞可以在同一級別的賬戶權(quán)限之間操作，并訪問某些賬戶的敏感信息，如可以修改任何賬戶的信息，包括查看成員的手機號碼、姓名、充值記錄、取款記錄、取款記錄、票據(jù)清單記錄等。它還會導(dǎo)致橫向越權(quán)執(zhí)行其他用戶的功能，如刪除銀行卡、修改手機號碼、秘密保護答案等。
讓我們舉一個越權(quán)漏洞測試方法的例子：
在許多網(wǎng)站中，在應(yīng)用程序設(shè)計過程中，標識號是以userid=001命名的。登錄網(wǎng)站后，我們輸入會員的帳戶密碼來查看用戶信息。例如，我的視圖鏈接是www.xxx.com/u/user.php?用戶id=008。打開這里的鏈接，你可以看到我的詳細信息，包括姓名，注冊手機號碼，地址，上傳圖片，余額等。如果網(wǎng)站有未經(jīng)授權(quán)的漏洞，我們可以測試它。將user_id=008改為user_id=009，打開網(wǎng)站可以看到其他用戶的詳細信息，等等，可以查看任何賬戶信息，造成信息泄露和極大危害。
滲透測試中越權(quán)漏洞的修復(fù)方案
安全驗證在具有權(quán)限驗證的頁面上執(zhí)行。從應(yīng)用程序網(wǎng)站前端獲得的參數(shù)、身份、帳戶密碼和返回信息也需要驗證。對于修改和添加等功能，判斷當前權(quán)限，驗證附屬用戶，使用seesion安全驗證用戶的操作權(quán)限。獲取和發(fā)送數(shù)據(jù)只允許輸入指定的信息，數(shù)據(jù)包不能被修改。對于未經(jīng)授權(quán)的查詢漏洞，有必要檢測每個請求是否是當前關(guān)聯(lián)用戶的身份，并加強有效性。如果程序代碼沒有被很好地理解，它也可以由專業(yè)的網(wǎng)站安全公司處理。在滲透測試服務(wù)中發(fā)現(xiàn)了許多漏洞。
