越權訪問漏洞

一、平行越權

攻擊者請求操作（增刪改查）某條資料時，web應用程式沒有判斷該條資料的所屬人，或者在判斷資料所屬人時直接從使用者提交的表單引數中獲取，例如使用者id等，導致攻擊者可以自行修改引數，操作獲取不屬於自己的資料。

測試方法：在傳送請求時觀察請求引數，嘗試修改使用者id或者其他引數驗證是否能檢視不屬於自己的資料，進行增刪改查，若成功則存在平行越權的漏洞。

二、縱向越權

和平行越權相似，但是縱向越權是可以請求更高許可權的操作，比如普通使用者可以進行管理員的操作許可權。

測試方法：檢視請求中是否有身份標識，比如userid，角色id之類的，有的話嘗試修改，重新請求更高許可權的操作。不過之前遇到一些很奇葩的系統，普通使用者進去可以新建管理員的使用者，然後直接用管理員使用者賬號登入。

之前也看過別人寫了個越權的自動化工具，原理是先用管理員使用者進行一次爬蟲，然後普通使用者進行一次爬蟲，最後對比兩者爬取的url判斷是否存在越權訪問的頁面。

三、越權訪問漏洞的防範

1、永遠不要相信來自使用者的輸入，對於可控引數進行嚴格的檢查與過濾

2、執行關鍵操作前必須驗證使用者身份

3、直接物件引用的加密資源id，防止攻擊者列舉id

4、前後端同時校驗

5、呼叫功能前驗證使用者是否有許可權呼叫相關功能