PCI DSS 不正确的访问控制

6.5.8 不正确的访问控制（不安全的直接对象引用，未能限制URL访问、目录遍历和未能限制用户的功能访问）

 

不安全的直接对象引用意指一个已经授权的用户，通过更改访问时的一个参数，从而访问到了原本其并没有得到授权的对象。Web应用往往在生成Web页面时会用它的真实名字，且并不会对所有的目标对象访问时来检查用户权限，所以这就造成了不安全的对象直接引用的漏洞。例如在URL中引用表单号”www.onlinebank.com/user?acct=01”，那么用户可以直接更改acct的值来访问其他表单页面。

 

         “目录遍历漏洞”指通过在URL或参数中构造“../”，或“../”和类似的跨父目录字符串的ASCII编码、unicode编码等，完成目录跳转，读取操作系统各个目录下的敏感文件，也可以称作“任意文件读取漏洞”。程序没有充分过滤用户输入的../之类的目录跳转符，导致用户可以通过提交目录跳转来遍历服务器上的任意文件。使用多个..符号，不断向上跳转，最终停留在根/，通过绝对路径去读取任意文件。

目录遍历漏洞示例与测试：
http://210.151.85.128/../../../../../../../../../etc/passwd

http://www.test.com/my.jsp?file=../../Windows/system.ini

 

 

不正确的访问控制可以通过净化用户输入，正确的用户验证，不向用户暴露内部对象引用，用户界面不允许访问未授权的功能，限制数据资源的访问权限等。