授权测试专题之——绕过授权模式测试

授权测试专题之——绕过授权模式测试

对于是否能够绕过系统授权认证，通常需要从以下几个方面进行评估测试：

• l  当用户没有通过验证时，是否有可能访问该资源？
• l  是否有可能在注销后访问该资源？
• l  是否有可能获得只应由拥有不同角色/特权的用户才能访问的功能和资源？
• l  尝试作为管理员用户访问应用程序并追踪所有的管理职能。如果测试者用普通用户身份登录是否有可能访问这些管理职能？
• l  因拥有不同权限，而导致操作被拒绝的用户是否有可能使用这些功能？

 

黑盒测试

1、管理功能测试

例如，假设AddUser.jsp 的功能是应用程序管理菜单中的一部分并且通过请求下面网址能够访问这个功能：

https://www.example.com/admin/addUser.jsp

接下来，当调用AddUser 功能时会产生下面的HTTP 请求：

POST /admin/addUser.jsp HTTP/1.1

Host: www.example.com

[other HTTP headers]

userID=fakeuser&role=3&group=grp001

如果非管理员用户尝试执行这一要求会产生什幺情况呢？是否会创建新用户？如果是这样，新用户是否可以使用管理员的特权？

2、获得分配给不同角色的资源的测试

例如，分析使用一个共享目录为不同的用户存储临时PDF 文件的一个应用程序。假设documentABC.pdf 只能由有roleA 的用户test1 访问。验证由roleB 的用户test2 是否能访问此资源。

 

预期结果

尝试以标准用户执行管理员职能，或获得管理员的资源。

 

测试工具

OWASP WebScarab

 

以上来自《OWASP测试指南（中文）》，特此说明！