【渗透测试基础】越权攻击讲解

01 什么是越权

越权,是攻击者在获得低权限账号后,利用一些方式绕过权限检查,访问或者操作到原本无权访问的高权限功能。在实际的代码安全审查中,这类漏洞很难通过工具进行自动化检测,因此危害很大。越权有两种类型:

  1. 垂直越权,是一种“基于URL的访问控制”设计缺陷引起的漏洞。由于web应用程序没有做权限控制或者仅仅在前端菜单上做了权限控制,导致恶意用户只要猜测其他管理页面的URL,就可以访问其他角色拥有的数据或页面。通俗点说,普通用户A利用一些方式访问了管理员角色才有权限访问的页面和数据。
  2. 水平越权,是一种“基于数据的访问控制”设计缺陷引起的漏洞。由于服务器端在接收请求时没有判断数据的所属人而引起的越权数据访问。如服务端直接从客户端提交请求中获取用户id,恶意攻击者通过修改请求ID的值,即可查看或修改其他用户的数据。即,普通用户A访问了普通用户B的数据。

02 示例

02-1 pikachu靶场-水平越权

通过lucy/123456登录,并点击“查看个人信息”

修改username=kevin,再次请求,发现可以查看kevin的个人信息,越权成功。

 02-2 pikachu靶场-垂直越权

通过pikachu/000000登录系统,发现pikachu只有查询权限

根据提示,使用admin/123456登录超管账号,发现admin可以添加账号,url为 http://192.168.77.193:8082/vul/overpermission/op2/op2_admin_edit.php。

退出admin账号,登录pikachu账号,尝试访问http://192.168.77.193:8082/vul/overpermission/op2/op2_admin_edit.php,并输入新增用户信息并创建。

 

03 检测方法

  1. 找到管理员/高权限才能访问的页面链接A,尝试通过普通用户访问链接A,若能访问,则存在越权漏洞
  2. 检查接口参数是否有isadmin字段,并尝试更改值,以确认是否可以越权
  3. 如http://localhost/users/getinfo?id=123,尝试修改参数id的值,以确认是否可以访问其他用户的信息
  4. ……

04 防御措施

垂直越权防御:服务端对每个URL进行权限校验,检查用户是否登录,是否对资源有访问/操作权限。不能仅仅在客户端进行菜单屏蔽和disabled/hidden来限制。

水平越权防御:从session中获取用户的id信息,接口执行中应使用session中获取到的id。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.rhkb.cn/news/21772.html

如若内容造成侵权/违法违规/事实不符,请联系长河编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

渗透测试工具

前言 本篇文章总结了很好用的渗透测试工具,会不断更新!!! 供大家学习使用!!! 正文 01 信息收集 1.1 dirsearch 1.1.1介绍: 类似御剑扫描的一款网站目录扫描器,由pyt…

PentestGPT:一款由ChatGPT驱动的强大渗透测试工具

关于PentestGPT PentestGPT是一款由ChatGPT驱动的强大渗透测试工具,该工具旨在实现渗透测试任务执行过程的自动化。该工具基于ChatGPT实现其功能,允许广大研究人员以交互式的方式使用,并指导渗透测试人员进行渗透测试任务的总体进度调控并执行指定操作。 除此之外,Pentes…

利用ChatGPT进行内网域渗透学习

ChatGPT可以直接模拟在域内环境中的命令执行结果 1、查看共享 2、定位域控

考研政治考题分布、单选多选技巧Keywords、大题点默析

文章目录 一、考题分布(一) 选择33道 (16道单选,17道多选:16117250分)(二) 大题5道 (51050分) 二、选择技巧、选择题规律Keywords选择题规律 三、大题点默析结构 一、考题分布 (一) 选择33道 (16道单选,17道多选:16117250分) 1-4:马原4道单…

chatgpt-4它的未来是什么?该如何应用起来?

在当今快节奏的数字通信世界中,ChatGPT已成为一个强大的在线聊天平台,改变了人们互动和沟通的方式。凭借其先进的AI功能、用户友好的界面和创新技术,ChatGPT已成为个人和企业的热门选择。 然而,ChatGPT的未来有望更加激动人心和具…

万字干货!ChatGPT 从零完全上手实操指南!【二】

2.调教 GPT之奖惩指令 其实这个所谓“奖惩指令(有监督学习)”的作用和调教原理很好理解,它就像是我们教育孩子一样。 如果你希望孩子达到你理想的行为标准,那么你就需要对他进行教育,如果孩子做得好,我们就…

分享一些程序员接私活、兼职的平台

跟大家分享一下如何判断一个外包项目是否靠谱,有哪些接项目的渠道,以及其他接私活的经验。 判断项目是否靠谱,上来不说需求没有文档直接问你多少需要多少钱,说话不靠谱,可能就是打听价的,这样的项目无需太…

chatgpt赋能python:Python如何成为一名兼职SEO?

Python如何成为一名兼职SEO? 简介 SEO,即搜索引擎优化,是一种很有前途的职业。随着互联网的发展,越来越多的公司意识到网站能为自己带来的价值,从而开始注重SEO。如果你想在这个领域探索机会,那么Python就…

【大虎与二狗】预算减半KPI不变,你该怎么办?

“哎呀,今天又没抢到,名额太少了,下次你们帮我一起哈”。 不需要抬头看,陈虎就知道说话的是楠楠。作为部门里自诩的“文青“,楠楠最爱的就是穷游,而最近每天10点她都会守在电脑前抢购某旅游平台“3999五一…

AI绘画大全 Midjourney13000+gpt最新注册+使用教程+关键词描述词 软件+教程

AI绘画大全 Midjourney13000gpt最新注册使用教程关键词描述词 软件教程 AI绘画大全:Midjourneygpt最新注册和使用教程,Midjourney13000AI绘画关键词描述词等(教程软件) ai美术馆-第一周 3.Ai绘图变现渠道 4.Ai生成图 2.30AI绘…

遥感云大数据在灾害、水体与湿地领域典型案例实践及GPT模型

近年来遥感技术得到了突飞猛进的发展,航天、航空、临近空间等多遥感平台不断增加,数据的空间、时间、光谱分辨率不断提高,数据量猛增,遥感数据已经越来越具有大数据特征。遥感大数据的出现为相关研究提供了前所未有的机遇&#xf…

GEE入门学习,遥感云大数据分析、管理与可视化以及在林业应用丨灾害、水体与湿地领域应用丨GPT模型应用

目录 ①海量遥感数据处理与GEE云计算技术实践应用 ②GPT模型支持下的Python-GEE遥感云大数据分析、管理与可视化技术及多领域案例实践应用 ③GEE遥感云大数据林业应用典型案例实践及GPT模型应用 ④遥感云大数据在灾害、水体与湿地领域典型案例实践及GPT模型应用 ①海量遥感…

AI工具在科研领域的应用(全网最全)

编者寄语: AI工具的潮流磅礴而至,诸多应用已从曾经的“玩具”华丽蜕变为实用强大的“工具”,学术界的翘楚们亦纷纷投入其研究和应用。作为追求卓越的科研人员,我们岂能袖手旁观,任凭自己在学术与科研工作中渐行渐远&am…

遥感云大数据在灾害、水体与湿地领域典型案例实践及GPT模型应用

目录 平台及基础开发平台 GEE基础知识与ChatGPT等AI模型交互 重要知识点微型案例串讲与GPT模型交互演示 案例一、洪涝灾害监测 案例二、洪水敏感性和风险模拟 案例三、水体质量监测 案例四、河道轮廓监测 案例五、地下水变化监测 案例六、红树林遥感制图 以Earth Engi…

免费好用的思维导图工具,让你事半功倍

🔅思维导图是一种以图形化的形式展示思维过程和思维关系的工具。它经常用于制定计划🎯、做学习(工作)笔记📝、做手帐🧾等,帮助人们梳理思路,发散思维🙇🏼♀️…

机器人专业讲师与科技的转型思考

2023年以前,编程需要学习各种语法,现在只需要提示词。 未来还需要编程老师吗?需求一定越来越少。 “ Prompting TurtleSim from ChatGPT ” https://github.com/mhubii/chatgpt_turtlesim The demo lets ChatGPT call into ROS services …

AI4S 与 AIGC 时代,云上 Notebook 将如何革新教学与科研体系

随着以 ChatGPT 为代表的 AIGC(AI-Generated Content)技术的极速普及、以及 AI4S(AI for Science)从愿景走向流行,不同领域、不同背景的人们以一种前所未有的方式连接在了一起,共同经历着知识结构、技术体系…

MathGPT是什么,MathGPT与ChatGPT的区别是什么,MathGPT十大应用场景

MathGPT是一种基于自然语言处理技术的数学语言模型,其目的是通过自动化生成数学公式、证明和解题步骤等来辅助数学学习和研究。 与ChatGPT相比,MathGPT主要关注数学领域而非通用性的自然语言理解,因此其训练语料库和预测任务都与数学有关&…

AI绘画之Midjourney从小白到入门保姆级教学

大家好,我是可乐。 随着ChatGPT的发布,这段时间各种衍生的AIGC(利用人工智能技术来生成内容)工具层出不穷,通过文字生成文字,比如 ChatGPT、文心一言、new bing等等;通过文字生成视频&#xff…

通向AGI的规划和展望 - Sam Altman ,the CEO of OpenAI

我们OpenAI的使命是确保AGI(通用人工智能) - 一种智能程度普遍高于人类的AI系统可以造福于全人类。如果我们成功创建了AGI,这项技术可以丰富我们的生活、推动全球经济发展,帮助我们发现能改变人类目前所受限的新技术,提升全人类的幸福。 AGI有…