什么是越权漏洞?
由于没有对用户权限进行严格判断,导致低权限的账号(普通用户)可以去完成高权限账号(高级管理员)范围内的操作。
水平越权:
A用户和B用户属于同一级别用户,正常情况下不能操作对方模块。但是A用户可以操作B用户的模块。
垂直越权:
A用户权限高于B用户,但是B用户可以操作A用户的模块。
越权漏洞属于逻辑漏洞,是因为权限校验不够严谨导致。每个应用系统其用户对应的权限是根据其业务功能划分,而每个企业的业务又都是不一样的。因此越权漏洞很难通过扫描工具发现。
什么是越权漏洞?
由于没有对用户权限进行严格判断,导致低权限的账号(普通用户)可以去完成高权限账号(高级管理员)范围内的操作。
水平越权:
A用户和B用户属于同一级别用户,正常情况下不能操作对方模块。但是A用户可以操作B用户的模块。
垂直越权:
A用户权限高于B用户,但是B用户可以操作A用户的模块。
越权漏洞属于逻辑漏洞,是因为权限校验不够严谨导致。每个应用系统其用户对应的权限是根据其业务功能划分,而每个企业的业务又都是不一样的。因此越权漏洞很难通过扫描工具发现。